Hvem der betaler for en audit af en leverandør, afgøres af aftalen. De offentlige modeller og skabeloner, vi har læst, fordeler omkostningerne på tre måder: kunden betaler først, og leverandøren betaler, hvis auditten viser mangler. Den, der bestiller auditten, betaler. Eller parterne vælger selv i et felt i aftalen.
Databeskyttelsesreglerne fastsætter ingen fordeling, men de sætter en grænse: omkostningerne må ikke være så tunge, at retten til revision aldrig bliver brugt.
Model 1: kunden først, leverandøren ved mangler
Statens standardkontrakt K04 til IT-drift, som private kan bruge som model, har to bestemmelser med hver sin fordeling.
Ved kundens egen audit efter punkt 16 afholder kunden i første omgang omkostningerne til eksterne auditører. Leverandøren skal bistå auditøren og får vederlag for sin bistand efter medgået tid. Viser auditten, at kontraktens krav ikke opfyldes, skal leverandøren ud over at afhjælpe manglerne afholde omkostningerne ved auditten, herunder til de eksterne auditører.
Ved leverandørens årlige revision efter punkt 15 er fordelingen enklere. Her bærer leverandøren hele udgiften til erklæringen, handlingsplanen, rettelserne og den nye erklæring.
Konstruktionen kan læses sådan, at den giver kunden et incitament til kun at bruge auditten, når der er grund til det, og leverandøren et incitament til at opfylde kravene.
Model 2: den, der bestiller, betaler
Den ældre udviklingskontrakt K03 har en simplere regel. Efter punkt 18.3 afholder den rekvirerende part omkostningerne til auditor. Har leverandøren overskredet fristen for overtagelse eller driftsprøve, kan der fraviges. Da styrelsen selv betegner K03 som utidssvarende på flere områder, er modellen med som eksempel.
Model 3: parterne vælger i skabelonen
Datatilsynets skabelon til databehandleraftale lader parterne udfylde fordelingen i bilag C.7. Eksempelteksten siger, at databehandleren indhenter en revisionserklæring eller inspektionsrapport for “[EGEN/DEN DATAANSVARLIGES]” regning. Parterne vælger.
Skabelonen har også valgfrie tilføjelser. Efter den ene betaler den dataansvarlige selv for sin fysiske inspektion, mens databehandleren stiller den nødvendige tid til rådighed. I bilag C.8 om underdatabehandlere er der en valgfri tekst om, at databehandlerens og underdatabehandlerens udgifter ved en inspektion hos underdatabehandleren er den dataansvarlige uvedkommende.
EU-Kommissionens standardbestemmelser for databehandlere (afgørelse 2021/915) siger intet om, hvem der betaler for revisionen.
Grænsen i databeskyttelsesreglerne
Ifølge Databeskyttelsesrådets (EDPB) retningslinjer regulerer forordningen ikke, hvem der betaler for audit. Det er op til parterne. Parterne bør dog ikke indsætte klausuler om omkostninger eller gebyrer, der er klart uforholdsmæssige eller overdrevne og virker afskrækkende. Så ville retten til revision aldrig blive brugt i praksis og blive rent teoretisk.
Det er rådets fortolkning. For kunden er den et argument, når en databehandlers standardvilkår sætter høje gebyrer for hver audit.
De tre modeller side om side
- Kunden først · Kilde: K04 punkt 16 · Kunden betaler: Egen auditor, leverandørens bistand efter tid · Leverandøren betaler: Hele auditten, hvis kravene ikke er opfyldt
- Leverandørens egen revision · Kilde: K04 punkt 15 · Kunden betaler: Intet · Leverandøren betaler: Erklæring, handlingsplan, udbedring, ny erklæring
- Bestilleren betaler · Kilde: K03 punkt 18.3 · Kunden betaler: Når kunden bestiller · Leverandøren betaler: Når leverandøren bestiller, eller ved overskredne frister
- Parterne vælger · Kilde: Datatilsynets skabelon, C.7 og C.8 · Kunden betaler: Efter valget i feltet · Leverandøren betaler: Efter valget i feltet
Tabellen er vores sammenfatning. Den gengiver, hvem der betaler, uden beløb.
Et beslægtet spørgsmål fra finanssektoren
DORA gælder for finansielle enheder og handler i artikel 30 om, hvad deres aftaler med IKT-leverandører skal indeholde. Et af punkterne er leverandørens bistand ved IKT-hændelser, enten uden yderligere omkostning eller til en omkostning, der er fastsat på forhånd. Bestemmelsen handler om hændelser og ikke om audit. Tanken er alligevel brugbar for andre kunder: når udgiften er aftalt, før behovet opstår, bliver den ikke et forhandlingspunkt midt i en presset situation.
Det samme gælder audit. En regel, der står i aftalen fra start, er lettere at leve med for begge parter end en regning, der skal forhandles bagefter.
Leverandørens egne erklæringer
Når leverandøren selv bestiller og betaler en årlig erklæring, er den en del af leverandørens omkostninger ved at drive ydelsen. For kunden betyder det, at erklæringen ikke koster noget ekstra at modtage. Til gengæld er omfanget valgt af leverandøren. Ønsker I et andet omfang, er det en ny opgave, og så skal fordelingen aftales igen.
Hvad der er værd at aftale
Ud over hovedreglen er der tre spørgsmål, som fordelingen typisk står eller falder med. Rådene er vores tolkning af modellerne ovenfor.
Hvornår skifter regningen? K04 lader den skifte, når kravene ikke er opfyldt. Skriv, om det gælder alle fund eller kun væsentlige, og hvem der afgør det.
Hvad koster leverandørens tid? K04 giver leverandøren vederlag for bistand efter medgået tid efter kontraktens regler. Står der intet, kan det blive et spørgsmål efter auditten.
Hvem betaler i kæden? Skal auditten ned til en underleverandør, bør det stå, hvem der bærer den udgift. Datatilsynets skabelon har en valgfri tekst om netop det.
Fordelingen er et af de punkter, der hører med i en brugbar revisionsklausul, se revisionsretten i kontrakten.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at fordelingen står i aftalen, før den første audit planlægges, og at leverandørens bistand er med. Det er lettest at aftale ved underskrift.
Uden en aftalt fordeling bliver regningen et forhandlingspunkt, når auditten er overstået, og en leverandør kan bruge høje gebyrer for bistand til at gøre retten dyr at bruge.
Det skal I lade være med
- At overse leverandørens egen tid · den kan være en udgift ud over auditorens.
- At acceptere gebyrer, der gør retten teoretisk · Databeskyttelsesrådet advarer mod netop det.
- At lade fordelingen i kæden stå åben · audits hos underleverandører har deres egne udgifter.
Det skal auditten kunne vise
- ☐ Aftalens regel om, hvem der betaler for auditor og bistand.
- ☐ Hvornår regningen skifter til leverandøren.
- ☐ Fordelingen ved kontrol hos underleverandører.
- ☐ Jeres vurdering af, om gebyrerne lader retten være brugbar.
Kilder
- Digitaliseringsstyrelsen, K04 Standardkontrakt for it-drift, punkt 15 og 16, læst 12. november 2026.
- Digitaliseringsstyrelsen, K03 juridisk vejledning, punkt 18.3, læst 12. november 2026.
- Digitaliseringsstyrelsen, side om K04, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bilag C.7 og C.8, læst 12. november 2026.
- Kommissionens gennemførelsesafgørelse (EU) 2021/915, bestemmelse 7.6, læst 12. november 2026.
- EDPB, Guidelines 07/2020 on the concepts of controller and processor, version 2.1, punkt 145, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 30, stk. 2, litra f, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find omkostningsbestemmelsen i jeres revisionsklausul, og notér, om leverandørens bistand og underleverandørerne er nævnt.
Læs også: K04’s punkt 15 og 16 og bilag 4.e · Hvad påvirker omfanget af en leverandøraudit?
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
