Den første revisorerklæring kræver, at I har bestemt, hvilken form kunderne kan bruge, beskrevet jeres ydelse og kontroller, og gjort kontrollerne sporbare, før revisor begynder. Selve erklæringen afgives af en revisor. Forberedelsen er jeres, og den afgør, hvor meget der står i afsnittet om afvigelser.
Artiklen er skrevet til leverandøren, der endnu ikke har en erklæring. Begreberne er ISAE 3402’s og ISAE 3000’s egne. Danske skabeloner og betegnelser fra revisorernes brancheorganisation er ikke gennemgået her.
Hvilken form kunderne kan lægge til grund
Begynd med det, kunderne beder om. Tre kilder giver et billede af det, der efterspørges.
Bilag 4.e til statens driftskontrakt K04 beskriver en årlig pakke. Pakken har tre dele. Den første er en erklæring, hvor revisor efter ISAE 3000 udtaler sig med høj sikkerhed om kontrollerne mod kontraktens sikkerhedskrav. Den anden er en type 2-erklæring efter ISAE 3402 om det, leverandøren deler mellem sine kunder. Den tredje er dokumentation for ledelsessystemet, fx et ISO 27001-certifikat, i det omfang det dækker kravene. Behandler leverandøren personoplysninger for kunden, kommer en erklæring om databeskyttelse efter samme standard til. Bilaget er skrevet til offentlige kunder. En privat kunde kan bruge det som forlæg.
Datatilsynets pointskala for databehandlertilsyn peger ved de mest risikofyldte behandlinger på en erklæring fra en uafhængig tredjepart, fx efter ISAE 3000, der giver høj grad af sikkerhed.
Datatilsynet har i afgørelser fra december 2022 godtaget tilsyn, der byggede på en ISAE 3000- og en ISAE 3402-erklæring, når de blev gennemgået og fulgt op med spørgsmål. Se fire tilsyn uden kritik.
Forskellen på de to standarder
ISAE 3402 handler om kontroller hos en serviceleverandør, der sandsynligvis har betydning for kundernes regnskabsaflæggelse. Den passer, når jeres ydelse fx omfatter drift af økonomisystemer.
ISAE 3000 er den generelle standard for erklæringer med sikkerhed, der ikke handler om revision af regnskaber. Den kan afgives med høj grad af sikkerhed, hvor revisor udtaler sig positivt, eller med begrænset sikkerhed, hvor revisor kun udtaler sig om, hvorvidt noget er kommet til revisors kendskab. I K04’s bilag 4.e er det den standard, erklæringerne om databeskyttelse og om kontraktens sikkerhedskrav bygger på.
Type 1 eller type 2
ISAE 3402 skelner mellem to typer. En type 1-rapport handler om ét tidspunkt og siger, om beskrivelsen er retvisende, og om kontrollerne var hensigtsmæssigt udformet. En type 2-rapport dækker en periode og siger desuden, om kontrollerne har virket effektivt i hele perioden.
For forberedelsen betyder det, at en type 2-erklæring kræver bevis for hele perioden. En kontrol, der først får spor fra midt i perioden, kan ikke testes for den første halvdel. Start derfor med at gøre kontrollerne sporbare, før perioden begynder.
Systembeskrivelsen
Standarden lister, hvad beskrivelsen skal indeholde. Den omfatter de ydelser, der er dækket, procedurerne, kontrolmålene og kontrollerne, og de kontroller, I forudsætter, at kunderne selv har. Det sidste kaldes komplementære kontroller hos kunden.
Skriv beskrivelsen ud fra det, I faktisk gør. En beskrivelse, der er skrevet ud fra en skabelon og ikke passer på jeres drift, giver afvigelser. Afgræns tydeligt, hvilke ydelser og lokationer der er med. Kunderne læser afgrænsningen først.
Vær konkret om de komplementære kontroller. Forudsætter I fx, at kunden selv godkender brugeroprettelser, skal det stå, så kunden ved, hvad der er kundens del.
Ledelsens skriftlige udtalelse
ISAE 3402 kræver en skriftlig udtalelse fra leverandøren selv. Den siger, at beskrivelsen er retvisende, og at kontrollerne er hensigtsmæssigt udformet, og ved type 2, at de har virket i perioden. Udtalelsen underskrives af jeres ledelse. Den er ledelsens påstand, og revisors erklæring handler om den.
Ledelsen kan kun underskrive med god samvittighed, hvis den har set beviset. Planlæg derfor en intern gennemgang, før udtalelsen skrives.
Underleverandørerne
Bruger I en underleverandør, fx et datacenter, skal I vælge mellem to metoder. Ved carve-out beskrives underleverandørens ydelser, men dens kontroller er udeladt af beskrivelsen og revisionen. Beskrivelsen skal så indeholde jeres egne kontroller med underleverandøren, fx gennemgang af dens erklæring. Ved inclusive er underleverandørens kontroller med.
Standarden siger, at inclusive generelt kun kan lade sig gøre, hvis I og underleverandøren er forbundne selskaber, eller hvis kontrakten mellem jer giver mulighed for det. Valget påvirker også kunderne, som ved carve-out selv skal se på underleverandørens dokumentation. Se når kundens audit rammer drift hos jeres underleverandør.
Revisors adgang
Standarden kræver, at leverandøren giver revisor adgang til alle relevante oplysninger og uhindret adgang til personer i virksomheden. Aftal med de medarbejdere, der ejer kontrollerne, at de skal kunne forklare og vise dem.
Hvad det kræver, og hvad det koster at lade være
Det kræver en afgrænsning af ydelsen, kontrolmål og kontroller med spor, en systembeskrivelse, en ledelse, der tager stilling, og en revisor. Arbejdet før den første periode er det største.
Nielco IT kan gennemgå systembeskrivelse og kontroller, før revisor begynder. Erklæringen afgives af revisor.
Uden en erklæring vil hver kunde spørge for sig, og nogle kunder kan ikke bruge jer, fordi deres egne krav forudsætter en erklæring.
Det skal I lade være med
- At vælge form, før I har spurgt kunderne · en erklæring, ingen kan bruge, er spildt.
- At skrive beskrivelsen ud fra en skabelon · forskellen mellem tekst og drift bliver til afvigelser.
- At starte en type 2-periode uden spor · kontroller uden bevis kan ikke testes.
Det skal auditten kunne vise
- ☐ En oversigt over kundernes krav til erklæringens form.
- ☐ En systembeskrivelse med afgrænsning, kontrolmål, kontroller og komplementære kontroller hos kunden.
- ☐ Et dokumenteret valg mellem carve-out og inclusive for hver underleverandør.
- ☐ Spor for hver kontrol fra periodens første dag.
- ☐ Ledelsens underskrevne udtalelse.
Kilder
- IAASB, ISAE 3402, Assurance Reports on Controls at a Service Organization (Handbook 2013), afsnit 9, 13, 16 og A4, læst 12. november 2026.
- IAASB, ISAE 3000 (Revised), afsnit 1 og 12, læst 12. november 2026.
- Digitaliseringsstyrelsen, K03/K04 bilag 4.e Revision og kontrol, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, koncept 5, læst 12. november 2026.
- Revisorloven, lovbekendtgørelse nr. 206 af 20. februar 2025, § 1, stk. 2, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Spørg jeres største kunder, hvilken form for erklæring deres egne krav forudsætter.
Læs også: ISAE 3000 eller ISAE 3402 · Komplementære brugerkontroller
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
