En stor del af en leverandøraudit kan foregå på afstand: gennemgang af dokumenter, interviews over video og skærmdeling af udtræk. Fysiske forhold, som adgang til driftsrum, og beviser, leverandøren ikke vil sende, kræver et besøg. En audit kan derfor ende som en blanding, hvor formen aftales på forhånd for hver del.
Valget træffes over for en ekstern part, der også har andre kunder. Fjernadgang til leverandørens systemer er et sikkerhedsspørgsmål for leverandøren, og et besøg kræver plads, ledsagelse og tid. Begge dele skal kunne forklares.
Hvem der vælger
Er leverandøren databehandler, har Databeskyttelsesrådet en klar holdning i sine retningslinjer om databehandlere. Parterne bør efter rådet i fællesskab og i god tro afgøre, om auditten skal foregå i databehandlerens lokaler, over nettet eller på en tredje måde. Hensynet til sikkerheden tæller med, men det er den dataansvarlige, der har det sidste ord. Det er rådets fortolkning og ikke lovens ordlyd.
For finansielle virksomheder giver DORA ved kritiske eller vigtige funktioner mulighed for at aftale andre sikkerhedsniveauer for kontrollen, hvis andre kunders rettigheder ellers påvirkes. Uden for finanssektoren er det en målestok.
Uden for de to områder er formen et spørgsmål om aftalen. Står der intet, må den aftales for hver audit.
Hvad certificeringsverdenen har lært
Den mest gennemarbejdede tekst om fjernaudit kommer fra certificering. IAF’s dokument MD 4 fra 2025 er skrevet til certificerings- og akkrediteringsorganer og ikke til kunder, der auditerer leverandører. Det bruges her som analogi.
Dokumentet kræver, at brugen af informations- og kommunikationsteknologi aftales mellem den auditerede og den, der auditerer, før den tages i brug, og at det sker med hensyn til informationssikkerhed og databeskyttelse. Kan parterne ikke blive enige, bruges andre metoder. Auditplanen skal angive, hvordan og hvor meget teknologien bruges, og rapporten skal angive det samme bagefter. Processer, der skal udføres fysisk, kan ikke auditeres virtuelt.
Overført til en leverandøraudit giver det tre gode vaner. Aftal formen før auditten. Skriv den ind i planen. Og skriv i rapporten, hvilke dele der blev set på afstand.
Et eksempel fra bilindustrien
Ordningen TISAX, hvor leverandører i bilindustrien vurderes én gang og deler resultatet med flere kunder, har tre niveauer, der viser forskellen tydeligt. På det laveste niveau, hvor leverandørens egenvurdering kontrolleres for sammenhæng, foregår interviews typisk via webkonference. Et mellemniveau er en fuld fjernvurdering uden aktiviteter på stedet. På det højeste niveau skal auditoren møde op, undersøge dokumenter og bevis, holde planlagte og uplanlagte interviews og se forholdene på stedet.
Kan et besøg midlertidigt ikke lade sig gøre, tillader ordningen video som erstatning, men det registreres som en mindre afvigelse, der kræver opfølgning på stedet senere. Bevis, som leverandøren ikke vil sende, kan ses ved inspektion. TISAX nævnes her, fordi ordningen beskriver valget konkret, og ikke som en anbefaling.
Sådan deler I auditten
Delingen nedenfor er vores forslag og en praksis.
- Politikker, procedurer, erklæringer · På afstand: Ja, som dokumenter · På stedet: Kun hvis de ikke må udleveres
- Interviews med nøglepersoner · På afstand: Ja, via videomøde · På stedet: Når samtalen bør følges af en visning
- Udtræk af adgange og logs · På afstand: Ja, som udtræk eller skærmdeling · På stedet: Når andre kunders data er i samme visning
- Fysisk adgangskontrol og driftsrum · På afstand: Nej · På stedet: Ja
- Opbevaring af medier og udstyr · På afstand: Nej · På stedet: Ja
- Leverandørens rutiner en almindelig dag · På afstand: Begrænset · På stedet: Ja
En fjernaudit kan kræve mere forberedelse end et besøg. Dokumenterne skal være sendt, mødesystemet skal være godkendt af leverandøren, og skærmdeling skal kunne begrænses til jeres miljø. Et besøg kræver til gengæld rejse og leverandørens tid til ledsagelse. Hvad et besøg kan vise, er beskrevet under besøget hos leverandøren.
Sikkerheden ved selve fjernauditten
En fjernaudit åbner en forbindelse mellem to virksomheder. Skærmdeling kan vise mere end tiltænkt, optagelser kan ende de forkerte steder, og filer sendt til auditoren skal opbevares sikkert. IAF’s dokument nævner netop informationssikkerhed og databeskyttelse som betingelser for at bruge teknologien.
Aftal derfor, om møder må optages, hvilket system der bruges til at dele filer, og hvem der deltager i hvert møde. Bed leverandøren lukke andre vinduer og vise jeres miljø alene. Skriv det ind i planen, så auditorerne kender reglerne på forhånd. Fortrolighed og materialets skæbne er beskrevet under fortrolighed og adgangsregler for auditoren.
Hvis leverandøren ligger langt væk
En udenlandsk leverandør med driften i et andet land gør besøget mere krævende og fjernauditten mere oplagt. Her kan en kombination af fjernaudit og leverandørens egne erklæringer være det realistiske. Afstanden er en grund til at vælge formen omhyggeligt. Kontrollen bortfalder ikke af den grund. Se audit af en udenlandsk leverandør.
Hvad det kræver, og hvad det koster at lade være
En god fjernaudit forudsætter en plan, der siger, hvad der ses på afstand, et mødesystem, leverandøren accepterer, og dokumenter sendt i tide. Et besøg forudsætter aftalte sikkerhedsforskrifter og ledsagelse.
Vælges formen tilfældigt, risikerer auditten at se det, der er let at vise, og overse det, der kun kan ses på stedet. Og står det ikke i rapporten, hvad der blev set på afstand, kan ingen bagefter vurdere, hvor meget fundene er værd.
Det skal I lade være med
- At auditere fysiske forhold over video · de kræver et besøg.
- At bruge et mødesystem, leverandøren ikke har godkendt · formen bør aftales før.
- At udelade formen i rapporten · læseren skal kunne se, hvad der blev set hvordan.
Det skal auditten kunne vise
- ☐ Den aftalte form for hver del af auditten.
- ☐ Leverandørens accept af mødesystem og deling.
- ☐ Hvilke kontroller der blev udført på afstand, og hvilke på stedet.
- ☐ Bevis, der kun blev set på stedet, og hvordan det er noteret.
- ☐ Dele, der bør følges op med et besøg senere.
Kilder
- EDPB, Guidelines 07/2020 on the concepts of controller and processor, version 2.1, punkt 144, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 30, stk. 3, læst 12. november 2026.
- IAF MD 4:2025, Issue 3, afsnit 3.1, 4.1 og 4.2, læst 12. november 2026.
- ENX Association, TISAX Participant Handbook, version 2.8, 13. marts 2025, vurderingsniveauer, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Del jeres næste leverandøraudit op efter tabellen, og send forslaget til leverandøren sammen med planen.
Læs også: Fælles audit · Varslet audit eller audit uden varsel
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
