En fælles audit er en kontrol, som flere kunder af samme leverandør gennemfører eller bestiller sammen, så leverandøren kun skal igennem den én gang. Kilderne beskriver tre modeller, og i alle tre gælder det samme: hver kunde skal selv vurdere, om resultatet dækker netop dens brug.
Fordelen er tydelig for begge parter. Leverandøren slipper for at vise de samme ting til den ene auditor efter den anden, og kunderne får en grundigere kontrol, end hver af dem kunne have gennemført alene.
Model 1: Datatilsynets fælles tilsyn med databehandlere
I Datatilsynets tilsynsvejledning fra 2021 findes flere udgaver af et fælles tilsyn.
Under det koncept, hvor en uafhængig tredjepart fører tilsynet, nævner vejledningen, at en brancheforening kan føre tilsyn på medlemmernes vegne, og at man sammen med andre dataansvarlige kan bemyndige en uafhængig tredjepart til at udføre et tilsyn på vegne af alle.
Under det koncept, hvor man selv fører tilsynet, beskriver vejledningen, at flere dataansvarlige kan føre et fælles tilsyn med samme databehandler. Vejledningens eksempel er kommuner, der gør det sammen, og hvor hver kommune vurderer resultatet for sig. Offentlige kunders samarbejde er et emne for sig og behandles under tilsyn med leverandører i det offentlige.
Datatilsynet tilføjer, at man skal sikre, at tilsynet dækker egne behandlinger, aftalens krav, særlige krav og underdatabehandlere, og at den, der fører tilsynet, er uafhængig af databehandleren.
Model 2: finanssektorens fælles revisioner
DORA gælder for finansielle enheder. Den delegerede forordning 2024/1773 nævner fælles revisioner og fælles IKT-test, tilrettelagt sammen med andre kunder af samme leverandør, som en af de metoder, enheden kan bruge, når den kontrollerer en leverandør af kritiske eller vigtige funktioner. Enheden skal have kontraktlig ret til både individuelle og fælles revisioner efter eget skøn. DORA artikel 28 taler desuden om en pulje af revisorer.
Uden for finanssektoren er det en målestok. Den viser, at fælles revision kan stå side om side med retten til at gå alene.
Model 3: bilindustriens udveksling
Bilindustrien har en ordning, hvor én vurdering deles med flere kunder. Ordningen hedder TISAX og drives af branchens forening. Ifølge deltagerhåndbogen opstod den, fordi leverandører fik de samme krav fra mange kunder og var trætte af at vise auditor efter auditor de samme forhold.
Processen har tre trin: registrering, vurdering og udveksling. Leverandøren bliver vurderet én gang efter et fast spørgeskema og et fastlagt niveau. Ved udvekslingen bestemmer leverandøren, hvor meget hver kunde må se. Deltagerne er underlagt regler om fortrolighed.
Modellen er nævnt, fordi den viser en løsning, branchen selv har bygget. Den er knyttet til bilindustrien.
Tre modeller side om side
- Hvem tager initiativ · Datatilsynet: Kunder eller en brancheforening · Finanssektoren: Kunderne · Bilindustrien: Leverandøren registrerer sig
- Hvem udfører · Datatilsynet: Kunderne selv eller en uafhængig tredjepart · Finanssektoren: Intern revision, tredjepart eller pulje · Bilindustrien: Auditorer i ordningen
- Hvem ser resultatet · Datatilsynet: Alle deltagende kunder · Finanssektoren: De deltagende enheder · Bilindustrien: De kunder, leverandøren giver adgang
- Kundens eget ansvar · Datatilsynet: Vurderer resultatet for sig · Finanssektoren: Bevarer det fulde ansvar · Bilindustrien: Vurderer niveau og dækning
Tabellen er vores sammenfatning af kilderne.
Det, hver kunde stadig skal vurdere
En fælles audit dækker det fælles. Det særlige for den enkelte kunde kan falde uden for. Spørgsmålene herunder bygger på Datatilsynets krav til tilsyn ved tredjepart og på DORA’s betingelser for at bruge andres rapporter.
- Dækker omfanget jeres ydelse? En leverandør kan levere forskellige ydelser til de deltagende kunder.
- Er jeres særlige krav med? Har jeres aftale krav, de andre ikke har, skal de kontrolleres separat.
- Er underleverandørerne med? Datatilsynet nævner dem udtrykkeligt.
- Er auditoren uafhængig af leverandøren? Den, der fører tilsynet, bør ikke have økonomiske interesser hos leverandøren.
- Er resultatet aktuelt? En fælles rapport fra for længe siden siger mindre om i dag.
Svarene skrives ned som jeres egen vurdering. Den fælles rapport alene viser ikke, at I har taget stilling.
Sådan kommer en fælles audit i gang
Initiativet kan komme fra en kunde, en brancheforening eller leverandøren selv. Hvem der starter, er mindre vigtigt end at aftale tre ting fra begyndelsen: et fælles omfang, hvem der vælger auditoren, og hvad hver kunde får at se. Aftal også fortrolighed, så den enkelte kundes oplysninger ikke deles med de andre.
Tjek jeres aftale. Står der, at auditten skal udføres af en auditor, I har valgt, bør det fælles valg også være jeres. Hvad der i øvrigt gælder for auditorens person, står i selv, revisor eller uvildig rådgiver.
Når leverandøren selv tager initiativet
Nogle leverandører tilbyder selv en fælles løsning, fx en årlig dag, hvor alle kunder kan stille spørgsmål, eller en rapport, der deles med alle. Det kan være en god løsning, men læs den med de samme spørgsmål som ovenfor. Har leverandøren valgt både omfang og auditor, er rapporten tættere på leverandørens egen fremstilling end på en kundeaudit. For databehandlere peger Databeskyttelsesrådet på, at kunden kan bestride både omfanget, metoden og konklusionerne, selv hvis databehandleren har udpeget auditoren.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen tager initiativet, at kunderne bliver enige om omfang og auditor, og at hver kunde bagefter laver sin egen vurdering. Koordineringen tager tid, men arbejdet hos leverandøren bliver mindre.
Uden samarbejde får leverandøren mange audits, der overlapper, og hver kunde bærer hele arbejdet med sin egen.
Det skal I lade være med
- At læse en fælles rapport som jeres egen · den dækker det fælles og måske ikke jeres særlige krav.
- At dele jeres egne oplysninger med de andre kunder · aftal fortrolighed først.
- At opgive jeres individuelle ret · den kan stå ved siden af den fælles.
Det skal auditten kunne vise
- ☐ Aftalen mellem kunderne om omfang, auditor og fortrolighed.
- ☐ Den fælles rapport og jeres egen vurdering af dækningen.
- ☐ Særskilt kontrol af de krav, kun jeres aftale har.
- ☐ Auditorens uafhængighed af leverandøren.
Kilder
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, koncept 5 og 6, læst 12. november 2026.
- Kommissionens delegerede forordning (EU) 2024/1773, artikel 8, stk. 2 og 3, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 28, stk. 6, læst 12. november 2026.
- EDPB, Guidelines 07/2020 on the concepts of controller and processor, version 2.1, punkt 144, læst 12. november 2026.
- ENX Association, TISAX Participant Handbook, version 2.8 af 13. marts 2025, afsnit 2.3-2.4 og 3, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Spørg jeres vigtigste leverandør, om andre kunder har bedt om audit inden for det seneste år, og om de vil være med til en fælles.
Læs også: Hvem har bestilt rapporten? · Fortrolighed og adgangsregler for auditoren
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
