Erklæringer og certifikater læst som modtager

Leverandørens erklæring eller certifikat er ofte det første bevis, en kunde får, og det kan bære en stor del af kontrollen. Det kræver, at nogen læser det med jeres aftale ved siden af: hvilken ydelse det dækker, hvilken periode, hvilke kontroller der er testet, hvilke afvigelser revisor fandt, og hvilke kontroller erklæringen forudsætter, at I selv udfører. Artiklerne her læser de forskellige typer fra modtagerens stol. Standarderne og ordningerne beskrives på samme måde og uden rangering.

Beslutningen

• Kan erklæringen erstatte jeres egen audit? Otte betingelser at prøve den på Finanssektorens betingelser brugt som målestok for andre købere.
• ISAE 3000 eller ISAE 3402: hvad skal I kræve af leverandøren? Fordelingen i K04’s bilag 4.e som holdepunkt.

Læsningen af en revisorerklæring

• Sådan læser I erklæringen: type 1 eller 2, perioden, revisors testskema, afvigelserne og konklusionen Fra forsiden ned til testskemaet.
• Erklæringen er udløbet, og den nye er ikke kommet: ledelsens brev om mellemperioden Hvad leverandørens eget brev kan bære, når revisors periode er slut.
• Komplementære brugerkontroller: det, erklæringen forudsætter, at I selv gør Jeres egen andel, læst ud af leverandørens dokument.
• Er underleverandørens kontroller med i erklæringen? De to metoder, standarden tillader Udeladt eller medtaget, og hvad det betyder for planen.
• ISAE 3000-erklæringen om databeskyttelse: hvornår den er nok som tilsyn, og hvornår den skal give høj grad af sikkerhed Erklæringen som tilsyn med en databehandler.
• NIS2-erklæringen fra leverandørens revisor: det, der er offentliggjort, og det, I bør spørge om Vejledende eksempler og den konkrete erklærings test.

Andre typer bevis

• SOC 2-rapporten fra en udenlandsk leverandør Fem kategorier, og hvilke af dem rapporten dækker.
• C5-attestationen fra en cloududbyder: den tyske målestok læst af en dansk køber En revisorerklæring om navngivne tjenester og regioner.
• Certifikatet slået op: ægte, akkrediteret, gyldigt, og dækker det jeres leverance? Fire ting, hvoraf tre kan slås op.
• D-mærket hos leverandøren: det, kontrollen bag mærket består af, og det, I ikke kan slutte af det

• CE-mærket på software ved køb: det, mærket fortæller, og det, det ikke dækker Mærkets kriterier set fra modtageren.

Når dokumentationen holdes tilbage

• Leverandøren vil ikke udlevere dokumentation: indsigt uden kopi Gennemsyn, afgrænset læseadgang og redigerede uddrag.

Sådan bruger I siden

Er der en erklæring på bordet, så begynd med artiklen om, hvordan den læses, og gå derefter til de komplementære kontroller. Skal I afgøre, om den kan erstatte en audit, er de otte betingelser næste skridt. Står I over for et certifikat eller et mærke, er det opslaget og omfanget, der tæller. Den tekniske side af det delte ansvar er beskrevet på sitet om teknisk audit.

Hvad det kræver, og hvad det koster at lade være

Læsningen kræver en person med tid til hele erklæringen fra forside til testskema, og som kender jeres aftale godt nok til at se, om ydelsen er med. Bliver erklæringen arkiveret efter første side, opdages afvigelser og udeladte underleverandører først, når det er for sent, og jeres egne komplementære kontroller bliver ikke udført af nogen.

Det skal I lade være med

• At stoppe ved revisors konklusion · afvigelserne findes i testene bagved.
• At antage, at et certifikat dækker jeres ydelse · læs gyldighedsområdet.
• At overse de kontroller, erklæringen lægger hos jer · giv hver af dem en ejer.

Det skal auditten kunne vise

• ☐ Erklæringens type, periode og den ydelse, den dækker.
• ☐ De afvigelser, revisor fandt, og hvad leverandøren har gjort ved dem.
• ☐ Jeres komplementære kontroller med ejer og bevis.
• ☐ Opslaget af certifikatet med dato og status.

Senest gennemgået: november 2026.

Næste skridt

• Sådan læser I erklæringen
• Kan erklæringen erstatte jeres egen audit?

Læs også: Kontraktgrundlaget for audit · Auditområder hos leverandøren

→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT