Leverandørauditten bør have én ejer hos kunden, som har ansvaret for, at kontrollen bliver planlagt, gennemført og fulgt op, og som henter jura, IT og indkøb ind, når der er brug for dem. Leverandøren bør have en tilsvarende kontaktperson. Uden de to navne falder auditten typisk mellem de afdelinger, der hver kender en del af aftalen.
Hvem ejeren er, afhænger af jeres organisation. Det vigtigste er, at det er besluttet og skrevet ned.
Tre afdelinger, tre halve billeder
Indkøb kender kontrakten, priserne og fornyelsesdatoerne, men sjældent sikkerhedskravene i bilagene. IT kender systemerne og leverandørens folk, men har ikke altid læst, hvad aftalen giver adgang til. Kontraktejeren, ofte den forretningsenhed, der bruger ydelsen, kender behovet og mærker fejlene først.
Statens vejledning “Cybersikkerhed i leverandørforhold” beskriver det samme. Leverandørstyring kræver kompetencer inden for jura, økonomi, IT og sikkerhed, og de dele ligger sjældent hos én person. Vejledningen peger også på, at dem, der skrev kontrakten, ikke altid er dem, der har driftsansvaret bagefter. Derfor anbefaler den et opstartsmøde efter underskrift, hvor de driftsansvarlige på begge sider går aftalen igennem.
Én udpeget rolle hos kunden
Vejledningens anbefaling 5.2 er klar. Én rolle hos kunden bør have opgaven at holde øje med, om leverandøren lever op til kontraktens sikkerhedskrav. Rollen bør have både styringsmæssige og sikkerhedstekniske kompetencer og inddrage andre funktioner efter behov.
Samme anbefaling siger, at kunden bør sikre, at leverandøren udpeger en rolle, der er kundens kontaktperson om sikkerhed, også når kunden fører kontrol, og når der sker hændelser.
Rollen behøver ikke være et fuldtidsjob. Vejledningen nævner selv, at én medarbejder kan udfylde flere roller. Det, der tæller, er, at nogen har opgaven og kan svare på, hvornår leverandøren sidst blev kontrolleret.
Statens eksempel på en fordeling
Vejledningens bilag 4 giver et eksempel på, hvordan rollerne kan fordeles. I eksemplet er den kontraktansvarlige ansvarlig for den generelle styring og håndhævelse af kontrakten. Den it-sikkerhedsansvarlige skal sikre, at der føres tilstrækkelig kontrol med leverandørens efterlevelse af sikkerhedskravene. System- og dataejere skal kontrollere, at leverandøren efterlever sikkerhedskravene for deres systemer. DPO’en rådgiver om databehandleraftalen og overvåger, at den overholdes. Ledelsen, jura og IT-ansvarlige har hver deres del, og HR og økonomi støtter.
Fordelingen er et eksempel. Tabellen i bilaget er sat op på en måde, der kan læses på flere måder, så brug den som inspiration.
En fordeling, der virker i en privat virksomhed
Den følgende tabel er vores forslag til, hvordan opgaverne i en leverandøraudit kan fordeles. Den bygger på statens eksempel, men er tilpasset en virksomhed uden store stabsfunktioner.
- Liste over leverandører og deres trin · Ejer: (Auditejeren) · Inddrages: (Indkøb, IT)
- Revisionsret og andre vilkår i nye aftaler · Ejer: (Indkøb eller jura) · Inddrages: (Auditejeren)
- Læsning af erklæringer · Ejer: (Auditejeren) · Inddrages: (IT, DPO ved persondata)
- Planlægning og gennemførelse af audit · Ejer: (Auditejeren) · Inddrages: (Kontraktejeren, IT)
- Opfølgning på fund over for leverandøren · Ejer: (Kontraktejeren) · Inddrages: (Auditejeren, indkøb)
- Konsekvenser efter kontrakten · Ejer: (Ledelsen) · Inddrages: (Jura, indkøb)
Den sidste række er vigtig. At bruge kontraktens sanktioner er en ledelsesbeslutning, og den, der gennemfører auditten, bør ikke stå alene med den.
Hvad offentlige kunder er blevet bedt om
Myndigheder med samfundskritiske systemer skal efter Digitaliseringsstyrelsens katalog fra januar 2023 have rollerne i leverandørstyringen skrevet ned og godkendt af ledelsen. Mindst én deltager i møderne med leverandøren skal kunne træffe beslutninger. Kravet er rettet mod myndigheder. Private kan bruge det som målestok, fordi det peger på to ting, der let mangler: ledelsens godkendelse af rollerne og en deltager i møderne, der kan træffe beslutninger.
Energistyrelsens vejledning i leverandørstyring for energisektoren fra juli 2026 nævner samme løsning med en kontaktperson eller leverandøransvarlig eller en egentlig samarbejdsorganisation.
Modparten hos leverandøren
Leverandørens kontaktperson er den, der modtager auditplanen, finder de rigtige folk og sørger for svar. Spørg i aftalen eller ved opstartsmødet, hvem det er, og hvem der træder til, hvis personen er væk. En leverandør, der allerede har en fast proces for kundeaudits, har typisk én indgang. Har den ikke, er det en del af jeres planlægning at finde den.
Hvordan ejeren vælger, hvilke leverandører der skal have hvilken kontrol, står i tre grader af kontrol. Spørgsmålet om, hvem der udfører selve auditten, er et andet, se selv, revisor eller uvildig rådgiver.
Når ejeren skifter job
Leverandørforhold varer ofte længere end ansættelser. Når ejeren af auditten skifter stilling eller rejser, forsvinder viden om, hvad der er lovet, hvad der er kontrolleret, og hvilke fund der står åbne. Statens katalog fra 2023 nævner overdragelse af viden som et krav til myndigheder. For andre er det god praksis at holde en kort overdragelsesnote pr. kritisk leverandør: trin, seneste kontrol, åbne fund, kontaktperson og næste dato.
Hvad det kræver, og hvad det koster at lade være
Det kræver en ledelsesbeslutning om, hvem der ejer leverandørauditten, en kort beskrivelse af, hvem der inddrages hvornår, og et navn hos hver kritisk leverandør. Ejeren har brug for afsat tid til opgaven, ellers bliver den gjort, når der er tid.
Uden en ejer bliver erklæringer arkiveret ulæst, fund bliver ikke fulgt op, og ingen kan svare, når ledelsen eller en tilsynsmyndighed spørger, hvad der er gjort.
Det skal I lade være med
- At lægge auditten hos indkøb alene · de sikkerhedstekniske spørgsmål kræver anden viden.
- At lade IT eje den uden adgang til kontrakten · kontrollen kan kun nå det, aftalen giver.
- At lade auditøren bære beslutningen om sanktioner · den hører til ledelsen.
Det skal auditten kunne vise
- ☐ En navngiven ejer af leverandørauditten, godkendt af ledelsen.
- ☐ En beskrivelse af, hvem der inddrages i hvilke opgaver.
- ☐ En kontaktperson hos hver kritisk leverandør.
- ☐ Referat fra opstartsmødet eller det seneste møde med sikkerhed på dagsordenen.
Kilder
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, afsnit 1.5, 4.1, 5.2 og bilag 4, læst 12. november 2026.
- Digitaliseringsstyrelsen, Krav til kontrakt- og leverandørstyring for samfundskritiske it-systemer, januar 2023, krav 2.1 og 2.4, læst 12. november 2026.
- Energistyrelsen, Vejledning i leverandørstyring, version 1.1 af 6. juli 2026, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv navnet på den person, der i dag ville svare, hvis ledelsen spurgte til jeres vigtigste leverandør. Er der intet navn, er det første opgave.
Læs også: Hvilke leverandører skal auditeres? · Revisionsretten i kontrakten
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
