Auditplanen til leverandøren er et dokument til en anden virksomhed. Den fortæller, hvad auditten skal se på, hvem hos leverandøren der skal være til stede, hvilke systemer, dokumenter og lokaler der skal være tilgængelige, og hvornår. Jo mere præcis den er, jo mindre tid går der med at lede på dagen.
Leverandøren er ikke forpligtet ud over kontrakten. Planen er derfor også et forslag, der skal kunne accepteres. En plan, der respekterer leverandørens drift og andre kunder, bliver lettere godkendt.
Hvad kontrakten giver jer at bygge på
K04, statens standardkontrakt for it-drift, bruges her som model, fordi den beskriver begge parters pligter ved audit. Leverandøren skal bistå auditøren og kunden i det nødvendige omfang og give auditørerne adgang til alle data om systemet, så auditten kan gennemføres effektivt. Til gengæld kan leverandøren kræve, at auditøren følger dens sikkerhedsforskrifter, og auditten skal så vidt muligt tilrettelægges, så den generer driften mindst muligt.
Efter statens vejledning om leverandørforhold bør aftalen pålægge leverandøren at sætte folk og tid af til kontrollen og at åbne fysisk og logisk for lokaliteter, systemer og data. Vejledningen foreslår desuden, at leverandøren har en navngiven kontakt for sikkerhed over for kunden, som også bruges, når kunden kontrollerer. Den person er planens første modtager.
Planens indhold
En auditplan har nogle faste elementer, uanset hvem der auditeres. Formål, omfang, kriterier, metode, team og tidsplan. Det særlige ved en leverandøraudit er de felter, der beder en anden virksomhed om at stille noget til rådighed. Skabelonen er vores forslag, og eksemplerne er tænkte.
- Formål · Hvad leverandøren skal vide: Hvorfor auditten gennemføres · Tænkt eksempel: (Planlagt årlig audit efter aftalens punkt 16)
- Omfang · Hvad leverandøren skal vide: Ydelser, systemer og lokationer · Tænkt eksempel: (Drift og backup af økonomisystemet, driftscenter)
- Kriterier · Hvad leverandøren skal vide: Hvad der måles imod · Tænkt eksempel: (Sikkerhedsbilaget og databehandleraftalen)
- Auditorer · Hvad leverandøren skal vide: Navne og uafhængighed · Tænkt eksempel: (To navngivne personer, ekstern rådgiver)
- Roller hos leverandøren · Hvad leverandøren skal vide: Hvem der skal være til stede, og hvornår · Tænkt eksempel: (Driftschef dag 1 formiddag, backupansvarlig dag 1 eftermiddag)
- Adgange · Hvad leverandøren skal vide: Systemer, konsoller og udtræk, der skal kunne vises · Tænkt eksempel: (Konsol til backup med læseadgang, adgangslog for de seneste 90 dage)
- Dokumenter · Hvad leverandøren skal vide: Det, der skal sendes før eller ligge klar · Tænkt eksempel: (Seneste gendannelsestest, liste over administratorer)
- Lokaler · Hvad leverandøren skal vide: Hvad der besøges, og hvilke regler der gælder · Tænkt eksempel: (Driftsrum med ledsagelse)
- Fjern eller på stedet · Hvad leverandøren skal vide: Hvilke dele der foregår på afstand · Tænkt eksempel: (Interview om ændringsstyring via videomøde)
- Tidsplan · Hvad leverandøren skal vide: Datoer og tidspunkter · Tænkt eksempel: (To dage, opstart kl. 9, afslutning kl. 15 dag 2)
- Afslutning · Hvad leverandøren skal vide: Hvornår foreløbige iagttagelser gennemgås · Tænkt eksempel: (Afslutningsmøde dag 2)
Roller, der skal stille
Hvem leverandøren skal stille med, afhænger af omfanget. Ved en driftsaudit kan det være den driftsansvarlige, den, der har ansvaret for backup, den, der administrerer adgange, og den sikkerhedsansvarlige. Ved en audit af ændringsstyring er det den, der godkender ændringer. Det er praksis.
Skriv rollen ved siden af navnet, og spørg, om der er en stedfortræder, hvis personen er syg på dagen. Leverandøren ved bedst, hvem der faktisk udfører opgaven, og det er den person, I har brug for.
Systemer, der skal være åbne
Meget tid på en auditdag kan gå med at få vist det rigtige skærmbillede eller udtræk. Planen kan undgå det ved at sige, hvad der skal kunne vises, og om det skal være læseadgang, skærmdeling eller et udtræk lavet på forhånd.
Hensynet til andre kunder er reelt. En leverandør kan ikke vise en konsol, hvor andre kunders data er synlige. Skriv derfor, at visningen kan begrænses til jeres miljø, og spørg, hvordan det gøres teknisk. I bilindustriens ordning TISAX kan bevis, leverandøren ikke vil sende, ses ved inspektion på stedet. Samme tanke kan bruges her.
Fjernteknik i planen
Skal dele af auditten ske på afstand, bør planen sige hvilke, og hvilket mødesystem der bruges. I certificeringsverdenen skal auditplanen efter IAF’s dokument MD 4 angive, hvordan og i hvilket omfang fjernteknik bruges, og brugen skal aftales med den auditerede. Dokumentet gælder ikke for leverandøraudits, men det er en god analogi.
Afslutningsmødet hører med i planen
Planen bør slutte med et møde, hvor auditorerne gennemgår de foreløbige iagttagelser med leverandøren. Så kan leverandøren rydde misforståelser af vejen og pege på dokumentation, der ikke blev vist, før rapporten skrives. Det er almindelig praksis i audits og ikke et krav i de kontraktmodeller, der er nævnt her.
Skriv i planen, hvem fra leverandøren der deltager, og at mødet ikke er en forhandling om fundene. Den egentlige høring af leverandøren kommer, når rapporten foreligger i udkast. Hvordan uenighed om fund håndteres, er beskrevet under høring af leverandøren.
Planen kan også sige, hvornår leverandøren kan forvente udkastet. En dato giver leverandøren mulighed for at sætte tid af til at læse det.
Send planen i god tid
Planen bør sendes så tidligt, at leverandøren kan finde personerne og forberede udtrækkene. K04 foreslår et varsel på [30] dage for kundens audit, et felt, parterne kan ændre. Bed leverandøren bekræfte planen skriftligt og melde tilbage, hvis noget ikke kan lade sig gøre. Den almene metode for auditplaner er beskrevet under planlægning af en sikkerhedsaudit.
Leverandørens side af samme forberedelse er beskrevet under kunden har varslet audit.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at omfang og kriterier ligger fast, før planen skrives, og at nogen kan beskrive, hvilke systemer og udtræk auditten har brug for. Når de ligger fast, er planen en kort opgave.
Uden en præcis plan bruger auditten sin tid på at vente. De rigtige personer er ikke til stede, adgangen er ikke klar, og dokumenterne skal findes frem. Det koster både jer og leverandøren tid, og auditten ser mindre.
Det skal I lade være med
- At skrive navne uden roller · leverandøren ved bedst, hvem der udfører opgaven.
- At bede om adgang, der viser andre kunders data · det kan leverandøren ikke give.
- At sende planen så sent, at udtrækkene ikke kan nå at blive lavet · varslet i aftalen er et minimum.
Det skal auditten kunne vise
- ☐ Den plan, der blev sendt, med dato.
- ☐ Leverandørens skriftlige bekræftelse eller bemærkninger.
- ☐ Roller, adgange og dokumenter, der blev bedt om.
- ☐ Hvilke dele der foregik på afstand, og hvordan.
- ☐ Afvigelser fra planen under auditten og årsagen.
Kilder
- Digitaliseringsstyrelsen, K04 Standardkontrakt for levering af drift og øvrige løbende ydelser til it-systemer, offentliggjort 25. august 2020, punkt 16, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 4.1 og 5.2, læst 12. november 2026.
- IAF MD 4:2025, Issue 3, afsnit 4.1 og 4.2, læst 12. november 2026.
- ENX Association, TISAX Participant Handbook, version 2.8, 13. marts 2025, vurderingsniveauer, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag skabelonen, og udfyld felterne for roller, adgange og dokumenter for den næste leverandør på jeres plan.
Læs også: Fortrolighed og adgangsregler for auditoren · Besøget hos leverandøren
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
