Omfanget af en leverandøraudit følger det, leverandøren leverer til jer, og den kontrakt, der beskriver det. En god afgrænsning siger, hvilke ydelser, systemer og lokationer der er med, hvilke der ikke er, og hvorfor, så leverandøren og auditoren forstår den på samme måde.
Afgrænsningen er det første sted, en uenighed om auditten kan undgås. En leverandør kan have mange kunder på samme platform, og jeres ydelse er kun en del af den. Afgrænsningen bestemmer, hvor auditten stopper.
Start i kontrakten, ikke i organisationen
En intern audit kan afgrænses efter organisationens afdelinger, processer og lokationer. En leverandøraudit afgrænses bedst efter leverancen. Det er praksis, og den bygger på, at jeres adgang til leverandøren følger af aftalen.
Statens standardkontrakt for it-drift, K04, viser, hvor materialet findes. Kundens ret til audit i punkt 16 gælder audit af ydelserne. Ydelserne er beskrevet i ydelsesbilagene. Kundens eget it-miljø står i et særskilt bilag, og underleverandørerne står i bilag 4.f. K04 er skrevet til offentlige kunder, men opbygningen er en brugbar model. Har jeres aftale andre bilag, er princippet det samme.
For persondata er Datatilsynet klar i sin tilsynsvejledning fra 2021. Udgangspunktet for tilsynets omfang er databehandleraftalen.
Tre lag i afgrænsningen
En brugbar afgrænsning har tre lag. Inddelingen er vores egen.
Ydelser. Hvilke af leverandørens ydelser til jer er med? Drift, backup, support, hosting, overvågning. Henvis til bilagets nummer, så der ikke er tvivl.
Systemer. Hvilke systemer og miljøer understøtter ydelserne? Produktion, test, backup, administrationsværktøjer og de fjernadgange, leverandøren bruger til jer. Delte platforme, hvor andre kunder også ligger, kan være med, men kun for den del, der vedrører jer.
Lokationer. Hvor leveres ydelsen fra, og hvor behandles data? Datacentre, kontorer med driftsfolk og underleverandørernes steder. Kataloget over kontraktbestemmelser til samfundskritiske systemer lader leverandøren oplyse sine lokationer. DORA kræver for finansielle virksomheder, at aftaler angiver steder for levering og databehandling. Begge er modeller for andre.
Det, der skal stå udenfor
En afgrænsning er lige så meget en liste over det, der ikke er med. Udeladelser kan fx være leverandørens andre kunder, leverandørens egne interne systemer, der ikke berører jeres ydelse, og områder, der er dækket af en erklæring, I har valgt at stole på.
Det sidste kræver omtanke. Hvis en del af leverancen er dækket af leverandørens årlige erklæring, kan den udelades fra auditten. Det forudsætter, at erklæringens omfang faktisk dækker jeres systemer. DORA’s delegerede forordning 2024/1773 kræver af finansielle virksomheder, at leverandørens rapporter dækker de relevante systemer og centrale kontroller, før de bruges. Det er en god målestok for alle. Hvordan I afgør det, er beskrevet under kan erklæringen erstatte jeres egen audit.
Udeladelser bør begrundes. Det gør det muligt bagefter at forklare, hvorfor auditten ikke så noget.
Afgrænsning i tid
Omfanget har også en tidsdimension. Hvilken periode ser auditten på? Et udtræk af adgange viser i dag, men en audit kan også spørge, hvad der skete i de sidste tolv måneder: hvor mange ændringer der blev godkendt, hvilke hændelser der blev meldt, og hvornår backup sidst blev testet.
Vælg en periode, der hænger sammen med det, I allerede har. Er seneste audit eller erklæring et år gammel, kan perioden begynde dér, så der ikke opstår et hul. Har leverandøren skiftet underleverandør eller flyttet driften i perioden, bør afgrænsningen sige, om tiden før og efter skiftet er med. Det er praksis.
Fjern eller på stedet
Afgrænsningen siger også, hvilke dele der kan auditeres på afstand, og hvilke der kræver et besøg. IAF’s dokument MD 4 er skrevet til certificeringsorganer. Det beder om, at det fremgår, hvor meget der foregår ved fjernteknik, og det udelukker, at processer, som udføres fysisk, auditeres på afstand. Dokumentet gælder ikke for leverandøraudits, men tankegangen kan overføres. Valget er beskrevet under fjernaudit eller besøg.
En skabelon
Afgrænsningen kan skrives på én side. Felterne nedenfor er vores forslag, eksemplerne er tænkte.
- Ydelser med · Indhold: Bilag og ydelser · Tænkt eksempel: (Bilag 12.a drift og 12.c backup)
- Ydelser uden · Indhold: Med begrundelse · Tænkt eksempel: (Support, dækket af månedlig rapportering)
- Systemer · Indhold: Miljøer og værktøjer · Tænkt eksempel: (Produktion, backup, fjernadgang til økonomisystemet)
- Lokationer · Indhold: Steder for drift og data · Tænkt eksempel: (Driftscenter og ét datacenter hos underleverandør)
- Underleverandører · Indhold: Hvilke, og om de besøges · Tænkt eksempel: (Datacenter via erklæring, ikke besøg)
- Periode · Indhold: Den tid, auditten ser på · Tænkt eksempel: (De seneste tolv måneder)
- Form · Indhold: Fjern, på stedet eller begge · Tænkt eksempel: (Dokumenter på afstand, driftscenter på stedet)
- Uden for · Indhold: Det, der bevidst ikke er med · Tænkt eksempel: (Andre kunders miljøer)
Når leverandøren er uenig
Send afgrænsningen til leverandøren, før planen ligger fast. Uenighed om omfanget er lettere at løse på papir end på auditdagen. Hvis leverandøren mener, at noget falder uden for aftalen, så bed om en henvisning. Hvis I mener, at noget hører med, så giv selv en.
Den almene metode for afgrænsning og begrænsninger i omfanget er beskrevet under afgrænsning af en sikkerhedsaudit.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen har læst kontraktens bilag og kender jeres egen leverance. Afgrænsningen tager tid at skrive, men den sparer tid under auditten.
En uklar afgrænsning giver en audit, der enten bliver for bred og afvises af leverandøren, eller for smal og overser det vigtige. Begge dele opdages først, når rapporten er skrevet.
Det skal I lade være med
- At afgrænse efter jeres egen organisation · auditten følger leverancen.
- At udelade områder uden begrundelse · I bør kunne forklare, hvad auditten ikke så.
- At lade en erklæring dække noget, den ikke omfatter · læs omfanget først.
Det skal auditten kunne vise
- ☐ En skriftlig afgrænsning med henvisning til kontraktens bilag.
- ☐ Ydelser, systemer og lokationer, der er med.
- ☐ Det, der er udeladt, og begrundelsen.
- ☐ Leverandørens bemærkninger til afgrænsningen.
- ☐ Hvilke dele der blev auditeret på afstand, og hvilke på stedet.
Kilder
- Digitaliseringsstyrelsen, K04 Standardkontrakt for levering af drift og øvrige løbende ydelser til it-systemer, offentliggjort 25. august 2020, punkt 16 og bilagsoversigt, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, afsnit 3.1, læst 12. november 2026.
- Digitaliseringsstyrelsen, Katalog over kontraktbestemmelser for samfundskritiske it-systemer, marts 2022, punkt 1.10.1, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 30, stk. 2, læst 12. november 2026.
- Kommissionens delegerede forordning (EU) 2024/1773, artikel 8, stk. 3, læst 12. november 2026.
- IAF MD 4:2025, Issue 3, afsnit 3.1 og 4.2, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Udfyld skabelonen for den næste leverandør, I skal auditere, og send den til leverandøren til bemærkninger.
Læs også: Kend jeres egen leverance, før I auditerer · Underleverandører i auditten
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
