En leverandørs erklæring kan behandle underleverandører på to måder: enten er deres kontroller udeladt af revisors arbejde, eller de er taget med. Står der carve-out i ISAE 3402-erklæringen, er underleverandørens kontroller ikke testet, og det led i kæden bliver det næste, I må forholde jer til.
Det gælder alle slags leverandører. En SaaS-leverandør kører måske på en hostingudbyders platform. En driftsleverandør har måske lagt backup ud til en anden. Spørgsmålet er altid det samme: hvem har set på kontrollerne i næste led?
De to metoder
ISAE 3402 beskriver to metoder. Gengivelserne er oversat fra engelsk.
Carve-out. Leverandøren beskriver, hvad underleverandøren leverer, men underleverandørens kontrolmål og kontroller er udeladt af systembeskrivelsen og af revisors arbejde. Leverandørens egne kontroller med at overvåge underleverandøren er med. De kan fx bestå i, at leverandøren gennemgår en erklæring fra underleverandøren.
Inclusive. Underleverandørens kontrolmål og kontroller er med i systembeskrivelsen og i revisors arbejde.
Erklæringen skal efter standarden sige, hvilken metode der er brugt. Ved carve-out skal den også sige, at revisors handlinger ikke omfatter kontroller hos underleverandøren.
Sådan ser I, hvilken metode der er brugt
Søg i erklæringen efter navnene på de to metoder og efter ordet underleverandør eller underserviceleverandør. Metoden står typisk i revisors erklæring eller i indledningen til systembeskrivelsen. Find derefter listen over underleverandører, og noter for hver, hvad den leverer, og om den er udeladt eller med.
Mange erklæringer bruger carve-out. Standarden forklarer hvorfor. Inclusive kan efter dens ordlyd generelt kun lade sig gøre, hvis leverandøren og underleverandøren er forbundne, eller hvis aftalen mellem dem giver mulighed for det. Standarden nævner også, at et skift fra inclusive til carve-out kan være rimeligt, fx hvis leverandøren ikke kan skaffe revisor adgang hos underleverandøren.
Carve-out er derfor ingen fejl i sig selv. Metoden markerer en grænse for erklæringen, og grænsen kan gå før det led, hvor jeres data måske fysisk ligger.
Hvad det betyder for jeres auditplan
Bruger erklæringen carve-out, har revisor ikke testet noget hos underleverandøren i den erklæring, I sidder med. Følgen for jer er vores tolkning, men den er ligetil. I må se på to ting.
Leverandørens overvågning af underleverandøren. Den er med i erklæringen. Find den kontrol, der beskriver, hvordan leverandøren følger op på underleverandøren, og se, hvordan revisor har testet den. Gennemgår leverandøren en erklæring fra underleverandøren hvert år, og er der fundet afvigelser?
Underleverandørens egen dokumentation. Har underleverandøren selv en erklæring eller et certifikat, kan I bede om at se det, eller bede leverandøren om at sende det. Det skal så læses for sig, med samme opmærksomhed på omfang, periode og afvigelser.
Et tænkt eksempel gør det konkret. En leverandør af et lønsystem har en erklæring uden forbehold, men både drift og backup ligger hos en hostingudbyder, der er udeladt efter carve-out. Leverandørens kontrol med hostingudbyderen består i at modtage dennes erklæring hvert år, og revisor har testet, at det sker. Det, I mangler, er selve hostingudbyderens erklæring og leverandørens notat om, hvad den viste.
Er underleverandøren kritisk for jeres ydelse, og findes ingen af delene, er underleverandøren reelt ukontrolleret set fra jer. Det er et fund, uanset hvor ren leverandørens egen erklæring er.
Persondata: tilsynet i kæden
Er leverandøren databehandler, gælder Datatilsynets vejledning om tilsyn. Efter den skal kunden sikre, at databehandleren fører tilsyn med sine underdatabehandlere. Vejledningen nævner som eksempel, at databehandleren dokumenterer sine tilsyn over for jer.
Datatilsynet har også i en afgørelse fra 2019 udtalt, at det i sig selv ikke er et løbende tilsyn at godkende en underdatabehandler. En carve-out i erklæringen sammen med manglende dokumentation for tilsyn i næste led er derfor et punkt, I må følge op på. Kontrollen af kæden i praksis er beskrevet i underleverandører, og retten til at nå ned i kæden står i revisionsret over for underleverandører.
Det samme i andre erklæringer
Det tyske cybersikkerhedsagentur BSI kræver i sine C5-kriterier, at kravene føres videre til underleverandører, og at de kontroller, underleverandører forudsættes at udføre, står i rapporten. Statens standardkontrakt K04 siger i punkt 15, at revisionen også skal omfatte underleverandører. Det gælder kun, hvis aftalen bygger på K04. Begge viser, at spørgsmålet om næste led er en del af læsningen, uanset hvilken erklæringstype leverandøren har valgt.
Hvad det kræver, og hvad det koster at lade være
Det kræver en oversigt over leverandørens underleverandører, kendskab til, hvor jeres data og ydelse reelt kører, og tid til at læse en erklæring mere, når den findes.
Uden den læsning kan I tro, at hele kæden er dækket, fordi leverandørens erklæring er uden forbehold. I virkeligheden er det led, der driver platformen, slet ikke testet.
Det skal I lade være med
- At læse en ren konklusion som dækkende for hele kæden · ved carve-out stopper revisors arbejde ved leverandøren.
- At gå ud fra, at inclusive er standard · standarden beskriver, hvorfor den ofte ikke kan bruges.
- At nøjes med en liste over godkendte underleverandører · godkendelse er ikke tilsyn.
Det skal auditten kunne vise
- ☐ Hvilken metode erklæringen bruger for hver underleverandør.
- ☐ Hvilke underleverandører der er kritiske for jeres ydelse.
- ☐ Leverandørens overvågning af underleverandørerne, og hvordan revisor har testet den.
- ☐ Underleverandørernes egne erklæringer eller certifikater, hvor de findes.
- ☐ Beslutningen om, hvordan udeladte led kontrolleres.
Kilder
- IAASB, ISAE 3402, i IAASB Handbook 2013, afsnit 9(a), 9(g), 53(c), A4 og A12, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, kap. 6, læst 12. november 2026.
- Datatilsynet, afgørelse af 5. august 2019, j.nr. 2018-423-0022, læst 12. november 2026.
- BSI, C5 FAQ, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 Standardkontrakt for drift, punkt 15, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find metoden i jeres største leverandørs erklæring, og skriv de udeladte underleverandører op.
Læs også: Sådan læser I erklæringen · Samme underleverandør bag flere leverandører
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
