Når leverandøren holder til i et andet land, planlægges auditten efter tre forhold: hvilket sprog beviserne findes på, hvad der skal ses fysisk, og hvor de medarbejdere sidder, der kan komme til jeres data. Det sidste vejer tungest, fordi en supportfunktion i et tredjeland kan kræve et overførselsgrundlag, selv om selve driften foregår i EU.
Artiklen handler om audittens praktik. Hvilket overførselsgrundlag der passer til et bestemt land, behandles ikke her.
Kortlæg, hvem der kan tilgå data, og hvorfra
Datatilsynets vejledning om cloud fra marts 2022 siger, at alle overførsler til tredjelande kræver et overførselsgrundlag. Det gælder også, når oplysningerne kun bruges til service og support, afregning eller fejlsøgning. Kortlægningen skal derfor vise, om oplysningerne behandles eller “tilgås” af databehandlere i tredjelande.
Vejledningen har et tænkt eksempel, der passer på mange udenlandske leverandører. En tillægsservice med it-support døgnet rundt leveres af en underdatabehandler i et tredjeland, og medarbejderne dér kan i sjældne tilfælde komme til oplysningerne. Den adgang skal også vurderes. Datatilsynet skriver, at det ikke altid er tilstrækkeligt kun at se på kerneydelsen.
For auditten betyder det, at spørgsmålet om placering stilles bredere end til serverrummet. Bed om en oversigt over de funktioner, der har adgang til jeres data: drift, support, udvikling, sikkerhedsovervågning og fejlretning. For hver funktion vil I kende landet, om adgangen er fast eller kun sker efter anmodning, og hvordan den logges. Stikprøver i loggen viser bagefter, om oversigten passer.
Koncernen bag leverandøren
En leverandør kan være etableret i EU og alligevel høre til en koncern med moderselskab uden for EU. Datatilsynet nævner, at leverandøren gennem koncernstrukturen kan blive mødt med anmodninger fra myndigheder i det land, hvor moderselskabet ligger. Vejledningen siger samtidig, at det ikke i sig selv er ulovligt at bruge sådan en leverandør.
Auditten kan derfor spørge til, hvordan leverandøren håndterer en anmodning fra en myndighed uden for EU, og hvem i koncernen der beslutter svaret. Den skriftlige procedure er et bevis, I kan lægge ved jeres egen vurdering. Den juridiske vurdering af landet ligger uden for auditten.
Finansielle kunder har faste punkter
Er I en finansiel virksomhed, gælder DORA. Ved underentreprise til en underleverandør i et tredjeland skal fordele og risici afvejes, og der skal tages hensyn til databeskyttelsesreglerne og til en effektiv håndhævelse af retten i det pågældende land (artikel 29, stk. 2). Aftalen skal angive de lande, hvor tjenesten leveres, og hvor data behandles og lagres, og leverandøren skal varsle ændringer på forhånd (artikel 30, stk. 2, litra b).
For andre virksomheder er DORA ikke et krav. Punkterne kan bruges som målestok for, hvad en aftale med en udenlandsk leverandør bør oplyse. Det er vores forslag og ingen pligt.
Afstanden: skærm eller besøg
Mange audits af udenlandske leverandører foregår helt eller delvist på afstand. IAF MD 4:2025 er en international vejledning til certificeringsorganer, men den rummer god praksis, der også kan bruges af en kunde. Brugen af kommunikationsteknologi aftales, før den tages i brug. Auditplanen angiver, hvordan teknologien bruges. Rapporten angiver, hvad der faktisk blev dækket. Et virtuelt besøg kan ikke omfatte processer, der skal udføres fysisk.
Den sidste regel fortjener opmærksomhed. Fysisk adgangskontrol, opbevaring af medier og håndtering af udstyr kan ikke afgøres på et videomøde alene. Er de punkter vigtige for jer, er der tre veje: et besøg, en erklæring fra en uafhængig revisor, der dækker netop de kontroller, eller en note i rapporten om, at punktet ikke er efterprøvet.
Sproget i dokumenter og samtaler
Ingen regel fastlægger sproget i en leverandøraudit. Det har alligevel betydning for, hvad auditten kan konkludere. Aftal på forhånd, hvilket sprog dokumenter udleveres på, og om interviews foregår på engelsk eller med tolk. Et oversat resumé af en procedure er et svagere bevis end proceduren selv.
Energistyrelsens vejledning i leverandørstyring er skrevet til energisektoren. Den anbefaler at overveje, om kontrakten skal beskrive målgruppe og sprog for underretning om hændelser. Tanken kan bruges i andre brancher. En hændelsesmeddelelse, jeres vagt ikke kan læse midt om natten, er en svaghed, som auditten kan finde ved at bede om en tidligere meddelelse.
Tidszoner og svartider
Hvor leverandørens medarbejdere sidder, afgør også, hvornår de kan svare. Sammenhold de svartider, aftalen lover, med de tidszoner, supporten arbejder i. Bed om vagtplanen for den funktion, der reagerer på hændelser, og se, om den dækker både jeres åbningstid og nattetimerne.
Hvad det kræver, og hvad det koster at lade være
Det kræver en kortlægning af adgang fra tredjelande, en aftale om sprog og om, hvad der ses på skærm, og som regel mere forberedelse end ved en dansk leverandør. Er fysiske kontroller vigtige, afsættes tid til et besøg, eller der findes en erklæring, som dækker dem.
Springes kortlægningen over, kan en supportfunktion i et tredjeland stå uden overførselsgrundlag, og det ansvar ligger hos jer som dataansvarlig. Et videomøde, der fremstilles som en fuld audit, giver ledelsen et billede, beviserne ikke bærer.
Det skal I lade være med
- At nøjes med at spørge, hvor serverne står · support og fejlsøgning kan foregå andre steder.
- At skrive fysiske kontroller som efterprøvet efter et videomøde · rapporten skal sige, hvad der ikke blev set.
- At acceptere oversatte resuméer som eneste bevis · bed om originalen og en oversættelse af de afgørende afsnit.
Det skal auditten kunne vise
- ☐ En oversigt over funktioner med adgang til jeres data, med land og adgangsform.
- ☐ Overførselsgrundlag for hver adgang fra et tredjeland, hvor der behandles personoplysninger.
- ☐ Leverandørens procedure for anmodninger fra myndigheder uden for EU.
- ☐ En aftale om sprog, fjernaudit og det, der ses på stedet.
- ☐ En tydelig angivelse i rapporten af, hvilke kontroller der ikke er efterprøvet fysisk.
Kilder
- Datatilsynet, Vejledning om cloud, marts 2022, kap. 2 (eksempel 2), 3.4 og 3.6, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 29, stk. 2, og artikel 30, stk. 2, litra b, læst 12. november 2026.
- IAF MD 4:2025 om brug af informations- og kommunikationsteknologi ved audit, læst 12. november 2026.
- Energistyrelsen, Vejledning i leverandørstyring, version 1.1 af 6. juli 2026, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed leverandøren om en oversigt over alle funktioner med adgang til jeres data, med land for hver.
Læs også: Underleverandører: kæden bag leverandøren · Audit af en leverandør, der er langt større end jer
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
