Leverandøren bør se rapportudkastet, før det bliver endeligt, så faktuelle fejl kan rettes, og overset bevis kan komme frem. Høringen er et faktatjek. Uenighed om vurderinger skal behandles åbent, og et fund ændres kun, når der er en gyldig grund i kriterium, bevis eller tolkning.
Over for en ekstern leverandør har høringen ekstra vægt. Leverandøren har kommercielle interesser i rapporten, og rapporten kan senere indgå i en drøftelse af, om kontrakten er opfyldt. Høring som en del af den almene metode for audit gennemgås andetsteds. Denne artikel samler sig om leverandøren, der har en kontrakt med jer.
Hvad høringen er til
Anerkendt praksis, bl.a. hos NIST, er en foreløbig rapport, hvor den reviderede får lejlighed til at udbedre små mangler med det samme og til at oplyse misforståelser, inden den endelige version foreligger. Ændrede kontroller vurderes så igen.
Over for en leverandør giver det tre slags svar:
- Faktuelle rettelser. Et system har et andet navn, en procedure er nyere end den, auditor så. Rettes, når beviset ligger på bordet.
- Overset bevis. Leverandøren fremlægger dokumentation, der fandtes på auditdagen, men ikke blev vist. Vurderes som bevis på linje med det øvrige.
- Uenighed om vurderingen. Leverandøren er enig i fakta, men ikke i, at forholdet er et brud på aftalen. Behandles efter reglerne nedenfor.
En fjerde slags er rettelser foretaget efter auditten. De er gode nyheder. Det, auditten fandt, står dog uændret, og rettelsen skrives som status ved siden af fundet.
Uenighed føres tilbage til kriterium, bevis eller tolkning
Et fund bør efter anerkendt praksis være en upartisk og faktuel gengivelse. Det gør det muligt at placere uenigheden præcist. Enten er parterne uenige om, hvad kriteriet siger, om hvad beviset viser, eller om hvordan de to skal holdes op mod hinanden.
Standarderne for intern revision beskriver, at auditor ved uenighed søger en fælles forståelse, at auditor ikke ændrer resultatet uden gyldig grund, og at begge synspunkter kan fremgå. Det er praksis, og ingen regel pålægger en kunde at følge den. Princippet passer alligevel godt til en leverandøraudit. Fund forhandles ikke væk. Leverandørens indsigelse kan til gengæld stå i rapporten sammen med auditors svar.
Kundens ret til at anfægte
Retten går også den anden vej. Ifølge Databeskyttelsesrådets retningslinjer 07/2020 kan den dataansvarlige anfægte omfang, metode og resultat af en inspektion, også når auditoren er foreslået af databehandleren. Har leverandøren selv valgt auditor, og er I uenige i resultatet, har I altså ret til at sige det.
Det modsatte tilfælde, hvor leverandøren anfægter kundens auditor, er ikke reguleret i de kilder, artiklen bygger på. K04, statens standardkontrakt for drift, lader dog leverandøren modsætte sig kundens valg af auditør med saglig grund, fx at auditøren er en konkurrent. Den slags indsigelse hører hjemme, før auditten begynder.
Når uenigheden er en tvist om kontrakten
Nogle uenigheder handler i virkeligheden om, hvad kontrakten forpligter leverandøren til. Så er det ikke længere en sag for auditor alene.
K04 har en model for tvister om kontraktens opfyldelse. Tvisten forhandles først på det niveau i samarbejdsorganisationen, hvor den er opstået, og eskaleres til næste niveau, hvis den ikke er løst inden for et antal arbejdsdage, kontrakten fastsætter. Derefter følger mediation og voldgift (punkt 56.1 til 56.4). Parterne skal fortsat opfylde kontrakten under tvisten (punkt 56.5). K04 er statens kontrakt. For en privat aftale er den en model, og det er jeres egen aftales bestemmelser, der gælder.
En praktisk høringsrunde
Det følgende er praksis.
- Send udkastet med en frist og en skabelon, hvor leverandøren svarer fund for fund.
- Bed om bevis for hver faktuel rettelse.
- Hold et møde om de fund, hvor parterne er uenige om vurderingen.
- Skriv i den endelige rapport, hvilke fund der er ændret og hvorfor, og gengiv leverandørens indsigelser, hvor de fastholdes.
Send udkastet til en navngiven person hos leverandøren, gerne den modpart, aftalen udpeger. Udkastet indeholder oplysninger om svagheder, og det bør ikke ligge i en fælles postkasse. Bed også om, at svaret kommer fra en person, der kan tale på leverandørens vegne. Et svar fra en enkelt tekniker kan blive trukket tilbage, når ledelsen læser den endelige rapport.
Hvad det kræver, og hvad det koster at lade være
Det kræver tid i forløbet til høringen, en skabelon til svar og en auditor, der kan begrunde sine vurderinger med kriterium og bevis.
Uden høring risikerer rapporten at indeholde fejl, leverandøren bagefter kan bruge til at så tvivl om hele rapporten. Med en høring uden faste principper bliver fundene forhandlet ned, og rapporten mister sin værdi for kundens ledelse.
Det skal I lade være med
- At ændre et fund, fordi leverandøren er utilfreds · der skal være en grund i kriterium, bevis eller tolkning.
- At slette fund, der er rettet efter auditten · skriv rettelsen som status.
- At lade en tvist om kontraktens indhold blive i auditrapporten · den hører til aftalens tvistløsning.
Det skal auditten kunne vise
- ☐ Et rapportudkast sendt i høring med frist.
- ☐ Leverandørens svar fund for fund.
- ☐ Bevis for hver faktuel rettelse.
- ☐ En begrundelse for hvert ændret fund.
- ☐ Fastholdte indsigelser gengivet i den endelige rapport.
Kilder
- NIST, Special Publication 800-53A Revision 5, januar 2022, kap. 3, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards, 9. januar 2024, standard 13.1 og 14.4, læst 12. november 2026.
- EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, version 2.1, punkt 144, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 standardkontrakt for drift, punkt 16 og 56, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav en skabelon, hvor leverandøren svarer på rapportudkastet fund for fund og vedlægger bevis.
Læs også: Leverandøren fik fund · Handlingsplanen efter auditten
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
