En leverandør af løn og økonomi behandler oplysninger om alle jeres ansatte og om jeres penge. Auditten tager derfor udgangspunkt i to ting: hvor følsomme oplysningerne er, hvilket afgør niveauet for tilsynet, og hvordan leverandørens kontroller hænger sammen med jeres regnskab. Begge dele kan belægges med dokumenter, leverandøren som regel allerede har.
Typen er velkendt. Datatilsynet bruger selv lønbureauet som eksempel, når tilsynet forklarer, hvad en databehandler er.
Niveauet for tilsynet
Den model, Datatilsynet beskrev i sin tilsynsvejledning i 2021, er vejledende. Den giver point efter fire kriterier: antal personer, særlige kategorier af oplysninger, fortrolige oplysninger og særlige behandlinger. Jo flere point, jo mere intensivt tilsyn lægger modellen op til.
Vejledningen bruger netop et lønbureau som eksempel. Et lønbureau, der administrerer løn for 250 ansatte, giver efter antallet af personer ét point, fordi det er under 1.000 personer. Antallet af kunder, lønbureauet har, er efter vejledningen uinteressant. Det er antallet af personer i jeres behandling, der tæller.
Behandler leverandøren også helbredsoplysninger, fx sygefravær med årsag i et HR-system, er det særlige kategorier, som efter vejledningen giver tre point.
Hvilket tilsynskoncept et bestemt pointtal fører til, står i en figur i vejledningen. Den gengives ikke her. Det, der kan siges med sikkerhed, er, at vejledningens koncept 5 nævner behandlinger, der giver 7 til 10 point, og at en erklæring, der bruges som tilsyn ved de pointtal, ifølge vejledningen skal give høj grad af sikkerhed.
Tilsynskoncepterne i kort form
Vejledningen beskriver seks koncepter, fra intet tilsyn, medmindre noget er galt, over databehandlerens skriftlige bekræftelse og en årlig status til en uafhængig tredjeparts dokumenterede tilsyn og kundens eget tilsyn. Koncepterne kan kombineres, fx en erklæring hvert andet år og en årlig status de øvrige år.
Efter vejledningen følger tilsynets intensitet af, hvor kritisk behandlingen er for de registrerede. Problemer med at overholde aftaler, flere alvorlige brud og hyppige skift af underdatabehandlere taler for et højere niveau. Lang erfaring med stabil service taler for et lavere.
Når leverandørens kontroller indgår i regnskabet
En løn- og økonomileverandør er ofte en del af jeres regnskabsaflæggelse. Det betyder, at jeres revisor kan interessere sig for leverandørens kontroller.
Den internationale revisionsstandard ISA 402 handler om revisors arbejde, når en virksomhed bruger en serviceorganisation. Den er her læst i den irske udgave fra oktober 2024. Ifølge standarden kan revisor bl.a. bygge sin forståelse på en type 1- eller type 2-rapport fra serviceorganisationen. Revisor skal i så fald vurdere, om rapporten gælder en passende periode, og om de kontroller, rapporten forudsætter hos brugervirksomheden, er indført. Standarden er revisors og ikke en pligt for jer. Hvilke standarder danske revisorer skal følge, er ikke behandlet her.
For auditten er pointen praktisk. En erklæring fra leverandøren kan bruges af både jer og jeres revisor. Læs den med begge formål for øje, og se efter de kontroller, I selv forudsættes at udføre. Se komplementære brugerkontroller.
Kontrolpunkterne for typen
Kontrolpunkterne er praksis og ikke en officiel liste.
- Adgang til lønoplysninger · Hvem hos leverandøren kan se lønsedler, CPR-numre og sygefravær
- Ændringer af bankoplysninger · Hvordan en ændring af en ansats kontonummer godkendes og kontrolleres
- Udbetalinger · Hvordan en lønkørsel godkendes, og af hvem hos jer og hos leverandøren
- Overførsel af filer · Hvordan lønfiler og bankfiler sendes, og hvem der kan ændre dem undervejs
- Underleverandører · Hvilket system og hvilken hosting leverandøren selv bruger
- Sletning · Hvordan oplysninger om fratrådte slettes efter jeres instruks
Punktet om ændring af bankoplysninger er særligt for typen. Et ændret kontonummer kan flytte penge, og kontrollen bør derfor omfatte, hvordan ændringen bekræftes, og hvem der godkender den.
Et tænkt eksempel: En mail, som tilsyneladende er sendt af en medarbejder, beder leverandøren om at bruge et nyt kontonummer. Proceduren siger, at ændringen bekræftes via et kendt telefonnummer. Bed om at se de seneste tre ændringer og beviset for, at proceduren blev fulgt.
Økonomidelen: kreditorer og betalinger
Leverer samme virksomhed også bogføring eller betaling af regninger, kommer et område til. Spørg, hvem der kan oprette en ny kreditor, hvem der kan ændre en eksisterende kreditors bankoplysninger, og hvem der godkender en betaling. Er det samme person hos leverandøren, der kan alle tre ting, er der ingen indbygget kontrol.
Aftal, hvilke godkendelser der ligger hos jer, og hvilke hos leverandøren. Bed derefter om at se et udsnit af de seneste betalinger og ændringer med navnene på dem, der udførte og godkendte dem. Udsnittet er en almindelig fremgangsmåde og ikke et krav fra nogen myndighed.
Hvad det kræver, og hvad det koster at lade være
Det kræver en vurdering af, hvor følsomme oplysningerne er, et valg af tilsynskoncept og en gennemgang af leverandørens erklæring eller status. De særlige kontrolpunkter kan tages på et møde.
Lader I kontrollen ligge, ved I ikke, hvem der har indblik i jeres ansattes oplysninger, eller hvordan en lønudbetaling kan blive ændret. Begge dele rammer mennesker direkte.
Det skal I lade være med
- At lade leverandørens antal kunder bestemme niveauet · det er antallet af personer i jeres behandling, der tæller.
- At glemme helbredsoplysninger i HR-delen · de hæver niveauet.
- At overse procedurer for ændring af kontonumre · de flytter penge.
Det skal auditten kunne vise
- ☐ Vurdering af oplysningernes følsomhed efter Datatilsynets pointskala.
- ☐ Valgt tilsynskoncept og begrundelse.
- ☐ Leverandørens erklæring eller årlige status.
- ☐ Oversigt over leverandørens medarbejdere, der kan åbne jeres løndata.
- ☐ Stikprøve af ændringer i bankoplysninger med bevis for kontrol.
- ☐ Jeres egne kontroller, som erklæringen forudsætter.
Kilder
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, afsnit 1.1, 2.3, kap. 4 og 5, læst 12. november 2026.
- IAASA, International Standard on Auditing (Ireland) 402, opdateret oktober 2024, punkt 12-14, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tæl personerne i jeres lønbehandling, notér om der er helbredsoplysninger, og find det tilsynsniveau, det giver.
Læs også: Betalingsleverandøren · ISAE 3000-erklæringen om databeskyttelse
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
