Omfanget af en leverandøraudit afhænger mest af forhold, der ligger uden for jeres egen virksomhed: hvor meget kontrakten giver adgang til, hvor villig leverandøren er til at samarbejde, og hvor mange led der skal med. Dertil kommer de valg, I selv træffer om antal leverandører, besøg og rapportens form.
En god beskrivelse af opgaven giver et tilbud, der passer. En uklar beskrivelse giver et tilbud med mange forbehold.
Drivere, der ligger hos leverandøren
Leverandørens samarbejdsvilje. Statens vejledning “Cybersikkerhed i leverandørforhold” nævner leverandørens vilje til at samarbejde som en parameter, når leverandørerne rangeres. Den advarer også om, at leverandørens villighed til at levere den efterspurgte dokumentation kan være begrænset. En leverandør med en fast proces for kundeaudits gør arbejdet kortere. En leverandør, der skal overtales til hvert dokument, gør det længere.
Kontraktens adgang. Har aftalen en klar revisionsret med varsel, adgang til data og leverandørens bistand, kan auditten gå direkte til sagen. Står retten uklart, går der tid med at forhandle adgangen. Statens standardkontrakt K04 giver leverandøren vederlag for sin bistand efter medgået tid ved kundens audit. Det er en udgift ud over auditorens.
Antallet af led. Ligger driften hos en underleverandør, skal den måske med. K04 lader den årlige revision omfatte underleverandører, og Datatilsynets skabelon til databehandleraftale har et særskilt bilag om tilsyn med underdatabehandlere. Hvert led giver en ekstra part at planlægge med.
Eksisterende erklæringer. Har leverandøren en uafhængig erklæring, der dækker jeres ydelse, kan auditten nøjes med det, erklæringen ikke dækker. Datatilsynet skriver i vejledningen om cloud, at det normalt vil være tilstrækkeligt at gennemgå de revisionsrapporter, en cloudleverandør årligt får udarbejdet, hvis de dækker de behandlinger, I har overladt.
Drivere, der ligger hos jer
Antal leverandører. Én audit af én kritisk leverandør er en anden opgave end et program for ti. Rangeringen afgør, hvor mange der skal have en egentlig audit, se hvilke leverandører der skal auditeres.
Graden af kontrol. En gennemgang af dokumenter, et spørgeskema med opfølgning og en audit med interviews og stikprøver er tre størrelser. Trinene står i tre grader af kontrol.
Besøg eller fjernaudit. Et besøg kræver rejse, men giver adgang til observationer, der ikke kan gøres på skærm. En fjernaudit kræver til gengæld mere planlægning af, hvordan bevis deles sikkert.
Rapportens form. En kort rapport til jer selv er mindre end en rapport, der skal bruges over for ledelsen, en tilsynsmyndighed eller i en forhandling med leverandøren.
Jeres egen forberedelse. Kender I jeres egen del af ydelsen, og ligger kontrakten og bilagene klar, sparer auditoren tid.
Ingen af kilderne siger noget om pris. Listen er praksis.
Det, der ikke bør drive omfanget
Hvem der bærer udgiften ved audit hos en databehandler, er efter Databeskyttelsesrådets (EDPB) retningslinjer et spørgsmål for parternes forhandling. Men parterne bør ikke aftale gebyrer, der er så uforholdsmæssige, at retten til revision aldrig bliver brugt i praksis. Møder I sådanne vilkår, er det et problem i aftalen og bør løses dér, før auditten planlægges. Fordelingen i kontrakterne står i hvem der betaler for auditten.
Sådan beskriver I opgaven
En forespørgsel, der giver sammenlignelige tilbud, indeholder det samme hver gang. Felterne herunder er en skabelon med tænkte eksempler:
- Leverandøren og ydelsen (driftsleverandør, hosting og drift af ERP-system).
- Aftalens grundlag (revisionsret i punkt 16 med [30] dages varsel, databehandleraftale med bilag C.7).
- Hvad I vil vide (om aftalte sikkerhedskrav til adgangsstyring og backup er opfyldt).
- Hvad der findes i forvejen (ISAE 3000-erklæring for forrige år, egne noter fra sidste spørgeskema).
- Led, der skal med (underleverandør, der driver datacenteret).
- Form (fjernaudit med mulighed for ét besøg).
- Rapportens modtager (ledelsen og kontraktejeren).
- Tidsrum (inden fornyelsesdatoen).
Har I flere leverandører, så beskriv hver for sig. Det gør det muligt at prioritere, hvis tilbuddet bliver større end forventet.
Omfanget af jeres egen sikkerhedsaudit har andre drivere, fx antal systemer og lokationer hos jer selv. De er beskrevet under omfanget af en almindelig sikkerhedsaudit.
Er I klar til at få en uvildig leverandøraudit beskrevet og prissat, kan I sende felterne ovenfor til Nielco IT og få et svar på, hvordan opgaven kan skæres. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at kontrakten og eventuelle erklæringer er fundet frem, og at I har besluttet, hvad auditten skal svare på. Tid brugt på beskrivelsen sparer tid i dialogen bagefter.
Uden en klar beskrivelse bliver omfanget fastlagt undervejs. Det giver overraskelser i både tid og forventninger, og leverandøren får sværere ved at planlægge sin del.
Det skal I lade være med
- At bede om et tilbud uden aftalen ved hånden · revisionsretten bestemmer, hvad der er muligt.
- At glemme leverandørens egen tid · aftalen kan give leverandøren vederlag for bistand.
- At auditere det, en gyldig erklæring allerede dækker · start, hvor erklæringen holder op.
Det skal auditten kunne vise
- ☐ En skriftlig beskrivelse af opgaven med aftalegrundlag og formål.
- ☐ De erklæringer og dokumenter, der lå til grund for afgrænsningen.
- ☐ Hvilke led og lokationer der var med, og hvilke der var udeladt.
- ☐ Godkendelse af omfanget fra den, der ejer leverandørauditten.
Kilder
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 1.3 og 5.1, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 Standardkontrakt for it-drift, punkt 15 og 16, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bilag C.8, læst 12. november 2026.
- Datatilsynet, Vejledning om cloud, marts 2022, afsnit 3.3.3, læst 12. november 2026.
- EDPB, Guidelines 07/2020 on the concepts of controller and processor, version 2.1, punkt 145, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Udfyld felterne ovenfor for den leverandør, der står øverst på jeres liste.
Læs også: Audit af en leverandør, der er langt større end jer · Fælles audit
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
