Når leverandørens seneste erklæring slutter for flere måneder siden, og den næste ikke er udgivet, står I med et hul i jeres bevis. Mange leverandører udfylder hullet med et brev fra deres egen ledelse om perioden siden erklæringen. Brevet kan bruges, men det er leverandørens ord, ikke revisors, og det skal læses sådan.
Hvorfor hullet opstår
En type 2-erklæring efter ISAE 3402 dækker en bestemt periode. Revisor tester, om kontrollerne fungerede i den periode, og erklæringen dateres først, når revisor har tilstrækkeligt bevis (ISAE 3402, afsnit 53(l)). Der går derfor altid tid fra periodens sidste dag, til I har rapporten i hånden.
Standarden siger også, at erklæringen skal nævne risikoen ved at fremskrive en vurdering af effektiviteten til senere perioder (afsnit 53(k)). Revisor udtaler sig altså ikke om dagene efter periodens udløb. Hvor mange måneder efter udløbet en erklæring stadig kan bruges, står ikke i standarden. Den grænse må I selv sætte ud fra risikoen ved ydelsen.
For finansielle kunder giver DORA en ramme. Den delegerede forordning 2024/1773, artikel 8, stk. 3, lader kun kunden støtte sig til revisionsrapporter, der blandt andet ikke er forældede. Hvornår en rapport er forældet, siger forordningen ikke med et tal.
Hvad brevet er
På engelsk kaldes dokumentet ofte et bridge letter. Det er en skriftlig udtalelse fra leverandørens ledelse om perioden fra erklæringens slutdato og frem til en nyere dato. Brevet er ikke en del af ISAE-standarderne, og ingen revisor har efterprøvet det. Det er praksis mellem leverandører og kunder, ikke et lovkrav.
Værdien ligger i, at ledelsen skriftligt står inde for bestemte forhold. Er udsagnet forkert, har I et dokument at holde leverandøren op på efter kontrakten.
Det, brevet bør sige
Et brugbart brev er konkret. Bed om, at det mindst indeholder:
- den erklæring, brevet bygger videre på, med type, periode og dato
- den periode, brevet dækker, med start- og slutdato
- om der er sket væsentlige ændringer i systemer, kontroller, organisation eller underleverandører i perioden
- om der har været sikkerhedshændelser eller brud, der berører ydelsen til jer
- status på de afvigelser, revisor fandt i seneste erklæring
- hvornår den næste erklæring forventes, og hvilken periode den vil dække
- navn, stilling og underskrift fra en person i ledelsen
Et brev, der kun siger, at “der ikke er sket noget væsentligt”, uden at nævne afvigelserne fra sidste år, svarer ikke på det, I har brug for.
Hvor langt det bærer
Brevet kan bære en kort overgang, når erklæringen bag det var ren eller havde afvigelser, I har fulgt op på, og når leverandøren oplyser en dato for den næste erklæring. Brevet kan ikke erstatte test. Har leverandøren skiftet driftsplatform, fået ny underleverandør eller haft en alvorlig hændelse i perioden, er brevet ikke nok. Så må I bede om mere: dokumentation for ændringen, en rapport om hændelsen eller et møde med de ansvarlige.
Underleverandører kræver særlig opmærksomhed. Er en del af ydelsen udeladt fra erklæringen og dækket af underleverandørens egen erklæring, så tjek, om også den er udløbet. Det er beskrevet i artiklen om underleverandørens kontroller.
Når brevet kommer igen år efter år
Et brev hvert år kan være udtryk for, at erklæringsperioden ligger skævt i forhold til jeres regnskabsår. Det er et praktisk problem, som kan løses. Bed leverandøren om at flytte perioden, eller aftal, at erklæringen leveres inden for et bestemt antal uger efter periodens udløb.
Kommer den nye erklæring for sent hvert år, eller udskydes den flere gange, tæller det som et fund. Det kan pege på, at leverandøren har svært ved at få kontrollerne testet. Notér det i jeres vurdering af leverandøren, og tag det op på næste statusmøde.
Sådan dokumenterer I brugen af brevet
Læg brevet sammen med den erklæring, det bygger på, og skriv et kort notat: hvilken periode der nu er dækket af revisor, hvilken af ledelsen, og hvad I har gjort ved de ændringer, brevet nævner. Når den nye erklæring kommer, så sammenhold den med brevet. Viser erklæringen afvigelser i en periode, hvor brevet sagde, at alt var i orden, skal det følges op over for leverandøren. Gennemgangen af selve rapporten er beskrevet i artiklen om at læse erklæringen.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at I kender slutdatoen for hver leverandørs erklæring og ved, hvornår den næste ventes. Det kræver også en fast skabelon for, hvad et brev om mellemperioden skal indeholde.
Uden det står I med et bevis, der dækker en periode, som ligger langt tilbage. Spørger Datatilsynet eller jeres egen revisor til kontrollen i dag, kan I ikke vise, hvad I har gjort for at dække tiden siden.
Det skal I lade være med
- At læse brevet som en erklæring · ingen revisor har efterprøvet det.
- At godtage et brev uden datoer og underskrift · så kan I ikke holde nogen op på det.
- At glemme at sammenholde brevet med den næste erklæring · først dér ser I, om udsagnet holdt.
Det skal auditten kunne vise
- ☐ Slutdatoen for seneste erklæring og forventet dato for den næste for hver vigtig leverandør.
- ☐ Et brev om mellemperioden med periode, ændringer, hændelser og underskrift fra ledelsen.
- ☐ Status på afvigelserne fra seneste erklæring.
- ☐ Et notat om, hvordan brevet er brugt, og hvad der er fulgt op.
- ☐ En sammenligning mellem brevet og den nye erklæring, når den kommer.
Kilder
- IAASB: ISAE 3402, Assurance Reports on Controls at a Service Organization, afsnit 53(k) og 53(l), læst 12. november 2026.
- Delegeret forordning (EU) 2024/1773, artikel 8, stk. 3, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find slutdatoen på erklæringerne fra jeres tre vigtigste leverandører, og bed om et brev, hvor perioden siden er længere end jeres egen grænse.
Læs også: Komplementære brugerkontroller · Mellem to audits
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
