En årsplan for leverandøraudits er en kalender, hvor hver leverandørs faste datoer står side om side: hvornår erklæringen kommer, hvornår kontrakten kan fornyes eller opsiges, og hvornår I selv har planlagt en kontrol. Planen styres af andres datoer, og derfor bygges den bedst ud fra leverandørernes kalender.
Når datoerne står samlet, kan I se, hvornår der er travlt, og flytte jeres egne kontroller derhen, hvor der er plads.
Hvor ideen kommer fra
Ifølge statens vejledning om leverandørforhold kan en prioriteret leverandørliste bruges til at lave en plan for tilsynet.
Digitaliseringsstyrelsens katalog fra januar 2023 for myndigheder med samfundskritiske systemer går et skridt videre. Det peger på en “kontraktkalender, årshjul eller tilsvarende styringsdokument” til at holde styr på tilsyn og opfølgning. Kravene gælder myndigheder. For en privat virksomhed er de en gennemarbejdet model.
Datatilsynet råder til én fast dato om året, hvor databehandlerne gennemgås, og hvor det besluttes, hvem der står for tur.
De datoer, der skal i kalenderen
Datoerne findes i kontrakterne og i leverandørernes erklæringer. Statens standardkontrakt K04 bruges her som eksempel, fordi den har tydelige frister.
Erklæringens ankomst. I K04’s bilag 4.e er fristen for den første erklæring [seks måneder] fra transitionsdagen, og derefter følger en ny hvert år. Erklæringen dækker perioden siden den forrige. Datoen er altså fast, når den første er kommet.
Videresendelse og handlingsplan. Efter K04 punkt 15 sender leverandøren erklæringen videre inden for 10 arbejdsdage efter modtagelsen. Har revisor bemærkninger, skal kunden have leverandørens handlingsplan senest 10 arbejdsdage efter erklæringen. Begge frister er værd at have i kalenderen, så det opdages, hvis intet kommer.
Kontraktens fornyelse og opsigelse. Fornyelse og opsigelse sker med et varsel aftalt i kontrakten. Datoen, hvor varslet begynder, er det sidste tidspunkt for at bruge en audit som grundlag for forhandling eller exit.
Kontraktgennemgang. Statens vejledning anbefaler at gennemgå kontrakten med leverandøren mindst én gang om året og opdatere risikovurderingen af leverandørforholdet med samme interval.
Jeres egne kontroller. Spørgeskemaer, statusmøder med sikkerhed på dagsordenen, audits og besøg.
En tænkt årsplan
- (Februar) · Leverandør: (Driftsleverandør) · Hændelse: (Erklæring for forrige år modtages) · Handling hos jer: (Læs og hold op mod ydelsen inden 1. april)
- (Marts) · Leverandør: (Driftsleverandør) · Hændelse: (Frist for handlingsplan) · Handling hos jer: (Kontrollér, at den er modtaget)
- (Maj) · Leverandør: (SaaS-leverandør) · Hændelse: (Årlig status på hjemmesiden) · Handling hos jer: (Hent og gem, spørg til brud)
- (September) · Leverandør: (Webbureau) · Hændelse: (Planlagt spørgeskema) · Handling hos jer: (Send, følg op i oktober)
- (Oktober) · Leverandør: (Driftsleverandør) · Hændelse: (Opsigelsesvarsel begynder om tre måneder) · Handling hos jer: (Beslut, om en audit skal ligge før)
- (November) · Leverandør: (Alle) · Hændelse: (Årlig gennemgang af leverandørlisten) · Handling hos jer: (Ledelsen godkender trin og interval)
Eksemplet er tænkt. Rækkerne viser, at de fleste datoer kommer udefra.
Fordel arbejdet over året
En kalender med alle datoer kan vise, at flere erklæringer kommer i de samme måneder, fx når leverandørerne følger kalenderåret. Det kan I ikke ændre. Det, der kan flyttes, er jeres egne spørgeskemaer og audits. Læg dem i de måneder, hvor der ikke ankommer erklæringer, og hvor de mennesker, der skal læse dem, ikke er optaget af regnskab eller ferie.
Hold også øje med leverandørens kalender. En audit i leverandørens travleste periode giver dårligere svar. Det er rimeligt at spørge leverandøren, hvilke måneder der passer.
Plads til det uplanlagte
En årsplan kan ikke indeholde hændelser, opkøb og nye underleverandører. Men den kan have plads til dem. Sæt tid af til én eller to ekstra kontroller om året, og skriv, hvad der udløser dem. Udløserne er listet i artiklen om, hvor tit der auditeres.
En enkel regel er at holde mindst én måned om året fri for planlagte kontroller. Så er der plads, når en leverandør skifter ejer med kort varsel.
Hvem holder kalenderen
Planen har brug for en ejer. Statens vejledning anbefaler én udpeget rolle hos kunden med ansvar for at kontrollere leverandørens efterlevelse af sikkerhedskravene. Den rolle er det naturlige sted for kalenderen. Fordelingen mellem indkøb, IT og kontraktejer står i hvem der ejer leverandørauditten.
Jeres interne auditprogram for egne systemer har sin egen rytme og sin egen metode. Det er beskrevet under planlægning af jeres egne audits. De to planer kan med fordel ses side om side, så de samme mennesker ikke bliver kaldt ind til begge i samme uge.
Når en leverandør skifter rytme
Leverandører skifter revisor, ændrer erklæringsperiode eller går fra en erklæring til et certifikat. Så flytter datoen i jeres kalender, og der kan opstå et hul, hvor ingen periode er dækket. Kontrollér ved hver ny erklæring, at perioden begynder, hvor den forrige sluttede. Er der et hul, så spørg leverandøren, hvad der dækker det, og notér svaret. Det samme gælder, når en kontrakt fornyes med nye vilkår. De nye frister føres ind i kalenderen samme dag, som aftalen er underskrevet.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at datoerne hentes ud af hver kontrakt og hver erklæring, og at én person opdaterer kalenderen, når noget ændres. Den første udgave tager tid, fordi datoerne ligger spredt i bilag og breve. Derefter er det vedligehold, og en kort gennemgang hver måned er som regel nok til at holde den ajour.
Uden kalender opdager I en manglende erklæring, når nogen spørger efter den. Og et opsigelsesvarsel kan løbe ud, før I har det grundlag, der skulle have været brugt i forhandlingen.
Det skal I lade være med
- At planlægge efter jeres eget årshjul alene · erklæringer og varsler følger leverandørens datoer.
- At lægge alle egne kontroller i samme kvartal · læsningen af erklæringer kræver også tid.
- At fylde kalenderen helt · der skal være plads til en ekstra kontrol efter en hændelse.
Det skal auditten kunne vise
- ☐ En kalender med erklæringsdatoer, frister og kontraktvarsler pr. leverandør.
- ☐ Planlagte egne kontroller med dato og ansvarlig.
- ☐ Bevis for, at erklæringer og handlingsplaner er modtaget til tiden.
- ☐ Afsat kapacitet til ekstra kontroller.
- ☐ En navngiven ejer af planen.
Kilder
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 5.1, 5.2 og 5.5, læst 12. november 2026.
- Digitaliseringsstyrelsen, Krav til kontrakt- og leverandørstyring for samfundskritiske it-systemer, januar 2023, krav 3.5, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, s. 5, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 Standardkontrakt for it-drift, punkt 15 og bilag 4.e, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv datoen for næste erklæring og næste opsigelsesvarsel ud for jeres tre vigtigste leverandører.
Læs også: K04’s punkt 15 og 16 og bilag 4.e · Fælles audit
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
