Ændringsstyring hos leverandøren kan kontrolleres med tre spørgsmål til hver ændring i jeres miljø: Hvem godkendte den, hvordan blev den testet, før den gik i drift, og hvordan kunne den være rullet tilbage? Svarene findes i leverandørens ændringssager, og en stikprøve af dem viser, om processen bliver fulgt.
Artiklen handler om ændringer i systemer, konfiguration og software. Sikkerhedsopdateringer og frister for at rette sårbarheder er et særskilt emne under sårbarhedshåndtering hos leverandøren.
Hvorfor ændringer er et auditområde for sig
Når noget går galt i drift, er den seneste ændring et af de første steder, man leder. En opdatering, der ikke var testet. En konfiguration, der blev rettet i en fart. En ændring, kun én person kendte til.
Hos en ekstern leverandør er I sjældent med, når ændringerne sker. I ser kun følgerne. Derfor er det leverandørens proces, I må efterprøve.
Målestokken
Den statslige vejledning om leverandørforhold anbefaler, at parternes proces for ændringer står i aftalen. Det er udgangspunktet. Står processen i aftalen, kan I kontrollere den.
En mere detaljeret målestok findes i punkt 6.4 i bilaget til gennemførelsesforordning (EU) 2024/2690, der retter sig mod cloududbydere og udbydere af administrerede tjenester. Der skal være procedurer for udgivelser, ændringer og nødændringer af software, hardware og konfiguration. Ændringer skal dokumenteres, og de skal testes og vurderes i lyset af de mulige virkninger, før de gennemføres. Ved en nødændring skal resultatet dokumenteres sammen med begrundelsen for, at de almindelige procedurer ikke kunne følges.
Over for leverandører, der ikke er omfattet af forordningen, er punktet en målestok, I kan skrive ind i aftalen.
Ændringsstyring i revisors erklæring
Har leverandøren en ISAE 3402-erklæring, er ændringsstyring ofte et af de kontrolområder, revisor har testet. Standarden bruger selv ændringsstyring i et af sine tænkte eksempler på en konklusion med forbehold: Programændringer var ikke gennemgået og godkendt af personer, der var uafhængige af dem, der lavede ændringerne, og der var intet krav om test før idriftsættelse.
Eksemplet viser, hvad revisor kigger efter. Find afsnittet om ændringer i jeres leverandørs erklæring, og læs både konklusionen og testskemaet. Afvigelser står i testskemaet, også når konklusionen er uden forbehold. Hvordan erklæringen læses, er beskrevet i sådan læser I erklæringen.
Stikprøven
En almindelig fremgangsmåde er at bede om en liste over ændringer i jeres miljø i en afgrænset periode og vælge nogle af dem. For hver ændring ser I efter:
- Godkendelse · Navn og dato for den, der godkendte, og at det var en anden end den, der udførte ændringen
- Vurdering af virkning · En kort beskrivelse af, hvad ændringen kunne påvirke
- Test før drift · Hvor og hvordan ændringen blev testet, og resultatet
- Plan for tilbagerulning · Hvordan ændringen kunne fortrydes, hvis den mislykkedes
- Gennemførelse · Dato og tidspunkt, og om det lå i et aftalt vindue
- Underretning af jer · Om I fik besked, hvis aftalen kræver det
Vælg gerne mindst én nødændring. De er dér, processen oftest bliver sprunget over, og forordningens krav om begrundelse giver et konkret punkt at kontrollere.
Tilbagerulning
Tilbagerulning nævnes ikke med det ord i de læste kilder. Forordningens krav om at vurdere de mulige virkninger før gennemførelsen er det nærmeste. En plan for at fortryde en ændring er praksis. Den er alligevel værd at spørge efter, fordi den viser, om leverandøren har tænkt på, hvad der sker, hvis ændringen går galt.
Et tænkt eksempel: En ændring af jeres e-mailfiltre er godkendt og testet i et testmiljø. Sagen siger intet om, hvordan den gamle opsætning kan genskabes. Ændringen gik godt, men sagen viser, at en fejl ville have krævet improvisation.
Ændringer, I selv skal godkende
Nogle ændringer er så store, at aftalen kræver jeres godkendelse. Andre kræver kun, at I bliver orienteret. Kontrollér, at leverandøren kender forskellen, og at grænsen er overholdt i stikprøven.
Det er også her, I opdager, om leverandøren ændrer noget hos jer, som I ikke vidste var aftalt. Ændringer i jeres egne systemer og i jeres egen opsætning er tekniske kontrolpunkter. Her drejer det sig om leverandørens proces.
Ændringer, der rammer alle kunder på én gang
Hos en leverandør med mange kunder bliver nogle ændringer lavet i fælles komponenter: et fælles netværk, en fælles platform, et fælles administrationsværktøj. De rammer jer, selv om de aldrig var tænkt som en ændring i jeres miljø.
Spørg derfor også efter ændringer i de fælles dele i perioden. Bed om at se, hvordan virkningen for de enkelte kunder blev vurderet, og om kunderne blev orienteret. Et tænkt eksempel: En opdatering af leverandørens fælles fjernadgangsværktøj blev rullet ud til alle kunder samme aften. Sagen viser test i et testmiljø, men ingen vurdering af, hvilke kunders systemer der var afhængige af den gamle version.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at leverandøren registrerer ændringer i sager, og at I har ret til at se dem. Stikprøven kan gennemgås på et par timer sammen med leverandørens ansvarlige.
Uden kontrol ved I ikke, om ændringer i jeres miljø bliver testet, eller om de gennemføres af den, der også godkender dem. Opdager I det efter et nedbrud, er det svært at vise, at I har stillet krav.
Det skal I lade være med
- At nøjes med leverandørens procedurebeskrivelse · stikprøven af sager viser, om den følges.
- At springe nødændringerne over · dér bliver processen oftest fraveget.
- At overse erklæringens testskema · afvigelser om ændringer kan stå dér uden at nå konklusionen.
Det skal auditten kunne vise
- ☐ Aftalens bestemmelse om ændringsproces, godkendelse og underretning.
- ☐ Liste over ændringer i jeres miljø i perioden.
- ☐ Stikprøve med godkendelse, vurdering, test og plan for tilbagerulning.
- ☐ Mindst én nødændring med begrundelse.
- ☐ Erklæringens resultater for ændringsstyring, hvis der findes en.
- ☐ Leverandørens svar på afvigelser.
Kilder
- Kommissionens gennemførelsesforordning (EU) 2024/2690, bilag punkt 6.4, læst 12. november 2026.
- IAASB, ISAE 3402 Assurance Reports on Controls at a Service Organization, IFAC Handbook 2013, bilag 3, illustration 2, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 4, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed leverandøren om en liste over ændringer i jeres miljø i det seneste halve år, og vælg fem, herunder en nødændring.
Læs også: Sådan læser I erklæringen · Auditkriterier
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
