Når I overtager ansvaret for en leverandør, som en anden har valgt, er den første audit ikke altid en audit i egentlig forstand. Den begynder med at finde aftalen, bilagene og den dokumentation, der findes, og med at fastslå, hvad leverandøren faktisk har lovet. Først derefter kan leverandøren måles.
Situationen opstår, når en kontraktejer fratræder, når virksomheden køber en anden, eller når en leverandør er vokset frem uden at blive registreret. Fælles for dem er, at kontraktgrundlaget er ukendt eller mangelfuldt.
Start med det, der findes
Den statslige vejledning om leverandørforhold lægger op til, at den også bruges på kontrakter, der allerede løber, og anbefaler en fælles gennemgang af kontrakten med leverandøren hvert år. For en arvet leverandør er den første gennemgang det naturlige startpunkt.
Statens krav til myndigheder med samfundskritiske systemer beskriver et kontraktbibliotek med stamdata, selve aftalen, tillæg og ændringer, og en samling af dokumentation som mødereferater, risikovurderinger, revisionserklæringer og rapporter fra leverandøren. Kravene gælder myndigheder, men de er en brugbar tjekliste for, hvad den nye kontraktejer bør finde frem. De nævner også overdragelse af viden som et selvstændigt punkt, netop fordi viden forsvinder, når personer skifter.
Fire spørgsmål før auditten
Forarbejdet kan samles i fire spørgsmål. Inddelingen er vores egen og en praksis.
Findes der en underskrevet aftale? Hvis ja, hvilken version, og hvilke tillæg er der? Hvis nej, hvad bygger samarbejdet så på: et tilbud, en ordrebekræftelse, leverandørens standardvilkår?
Findes der en databehandleraftale? Behandler leverandøren personoplysninger for jer, skal der være en. Datatilsynet skriver i sin vejledning om tilsyn med databehandlere, at hvis man ikke har indgået databehandleraftaler, skal man kontakte virksomhederne, så aftalerne kommer på plads. Det er det første, der skal rettes, og det kommer før en audit.
Hvad leverer leverandøren i dag? Spørg dem, der bruger ydelsen, og sammenlign med aftalen. Ydelser kan være kommet til uden at blive skrevet ind.
Hvilken dokumentation har leverandøren givet tidligere? Erklæringer, rapporter, svar på spørgeskemaer og korrespondance. Datatilsynet gentager i sin vejledning, at korrespondancen med databehandleren bør gemmes. Ligger den i en fratrådt medarbejders postkasse, er den værd at finde.
Den første audit som kortlægning
Er grundlaget mangelfuldt, kan den første audit med fordel have et andet formål end de følgende. Den kortlægger leverancen, finder kravene og afdækker, hvor aftalen er tynd. Uden en kendt aftale kan der ikke konstateres brud, så resultaterne skrives som observationer om leverandørens niveau.
En almindelig fremgangsmåde er at bede leverandøren om at beskrive sin egen leverance til jer: ydelser, systemer, lokationer, underleverandører, adgange og de sikkerhedsforanstaltninger, den mener at have lovet. Beskrivelsen sammenlignes med det, I selv har fundet. Forskellene er auditens første resultat.
K04, statens standardkontrakt for it-drift, viser, hvad en beskrivelse kan indeholde. Underleverandørerne står i et særskilt bilag, og kontrakten kræver dokumentation, der giver kunden reel indsigt i ydelserne. Den private kunde kan bruge opbygningen som model for, hvad der bør bedes om.
Ret grundlaget, før I måler
Når kortlægningen er færdig, kan grundlaget rettes. Mangler en databehandleraftale, indgås den. Er sikkerhedskravene vage eller fraværende, kan de skrives ind ved et tillæg. Se tillæg til en løbende aftale om, hvordan det gøres uden at genforhandle alt.
Den næste audit kan så måle leverandøren mod et grundlag, begge parter kender. Det er den, der giver egentlige fund.
Et tænkt eksempel
En mellemstor virksomhed køber et mindre firma. Med i købet følger en hostingleverandør, som driver firmaets webshop. Der findes et tilbud fra for fem år siden og en række fakturaer, men ingen underskrevet aftale og ingen databehandleraftale, selv om webshoppen rummer kundeoplysninger.
Den nye kontraktejer begynder med databehandleraftalen, fordi den er et lovkrav. Derefter beder hun leverandøren om en beskrivelse af ydelsen og sammenligner den med det, webshoppens ansvarlige fortæller. Forskellene bliver grundlaget for en egentlig aftale med sikkerhedskrav. Den første audit gennemføres et halvt år senere mod den nye aftale. Eksemplet er tænkt.
Det tekniske miljø
Har I sammen med leverandøren også arvet et miljø, den har bygget og drevet, er der brug for en teknisk gennemgang af selve miljøet. Det er et andet emne end aftalen og beskrives under teknisk gennemgang af et overtaget miljø.
Hvad det kræver, og hvad det koster at lade være
Opgaven ligger hos den nye kontraktejer: at samle det, der findes, tale med brugerne og bede leverandøren om en beskrivelse. Det tager tid, men det skal kun gøres én gang, hvis resultatet arkiveres.
Uden kortlægningen bliver den første audit en diskussion om, hvad leverandøren skulle. Leverandøren kan afvise fund, I ikke kan føre tilbage til en aftale, og en manglende databehandleraftale kan stå ubemærket hen.
Det skal I lade være med
- At måle leverandøren mod krav, ingen kan finde · start med at finde grundlaget.
- At skubbe en manglende databehandleraftale til efter auditten · den skal på plads først.
- At smide den tidligere kontraktejers korrespondance ud · den kan være det eneste bevis.
Det skal auditten kunne vise
- ☐ Den aftale, tillæg og databehandleraftale, der gælder, eller at de mangler.
- ☐ Leverandørens beskrivelse af sin egen leverance.
- ☐ Forskelle mellem aftalen og den faktiske leverance.
- ☐ Tidligere dokumentation fra leverandøren, samlet ét sted.
- ☐ En plan for at rette grundlaget før næste audit.
Kilder
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, s. 4-7 og afsnit 5.5, læst 12. november 2026.
- Digitaliseringsstyrelsen, Krav til kontrakt- og leverandørstyring for samfundskritiske it-systemer, januar 2023, krav 1.1, 1.2 og 2.3, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, afsnit 1.1 og kapitel 4, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 Standardkontrakt for levering af drift og øvrige løbende ydelser til it-systemer, offentliggjort 25. august 2020, punkt 10 og 32, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Saml aftale, tillæg, databehandleraftale og tidligere korrespondance for den arvede leverandør i én mappe, og notér, hvad der mangler.
Læs også: Ingen revisionsret i aftalen · Skift af leverandør
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
