Statens standardkontrakt K04 til IT-drift har to mekanismer til kontrol af leverandøren. Punkt 15, “Revision og kontrol”, forpligter leverandøren til hvert år at lade sig revidere af en statsautoriseret revisor efter eget valg. Punkt 16, “Audit”, giver kunden ret til selv at lade en uvildig auditor undersøge ydelserne. Bilag 4.e er kataloget over de erklæringer, kunden vælger at kræve.
K04 er en offentlig standardkontrakt fra Digitaliseringsstyrelsen, offentliggjort 25. august 2020 under en åben licens. Private kunder kan bruge den som model, og det er sådan, den læses her.
Punkt 15: leverandørens årlige revision
Leverandøren skal mindst én gang årligt lade en ekstern statsautoriseret revisor, udpeget af leverandøren, revidere ydelserne efter bilag 4.e. Bruger leverandøren underleverandører, skal revisionen også omfatte dem.
Revisor afgiver en erklæring, og leverandøren sender den til kunden inden for 10 arbejdsdage efter at have modtaget den.
Har revisor bemærkninger, skal erklæringen suppleres med revisors samlede revisionsgrundlag og en fyldestgørende handlingsplan fra leverandøren om, hvordan og hvornår forholdet bringes i orden. Kunden skal have handlingsplanen senest 10 arbejdsdage efter erklæringen. Kunden må deltage, når revisor holder møde om erklæringen, og må spørge ind til den og til revisionsgrundlaget.
Når forholdet er bragt i orden, supplerer revisor erklæringen eller udfærdiger en ny. K04 er præcis på dette punkt. Før revisors nye eller supplerede erklæring dokumenterer rettelsen og er afleveret til kunden, regnes forholdet ikke som rettet. Det, revisor peger på, rettes efter aftalens regler, og hvor de intet siger, inden for en rimelig frist afpasset efter, hvor alvorligt det er.
Hele regningen for erklæring, handlingsplan, rettelser og ny erklæring ligger hos leverandøren.
Punkt 16: kundens egen audit
Kunden har ret til at gennemføre audit af ydelserne med [30] dages varsel, også for at kontrollere, at leverandøren opfylder kontrakten. Tallet i skarp parentes er et felt, som kunden kan ændre. Varslet kan springes over, hvis mistanken om brud er både kvalificeret og underbygget.
Auditøren skal være ekstern, uvildig og anerkendt til den type ydelser, der auditeres. Leverandøren kan ikke modsætte sig valget uden saglig grund, og auditørerne må ikke være konkurrenter til leverandøren. Leverandøren må forlange en almindelig fortrolighedserklæring og overholdelse af sine sikkerhedsregler.
Leverandøren åbner for de data om systemet, auditten har brug for, og hjælper til i nødvendigt omfang. Hjælpen betales efter tidsforbrug.
Kunden betaler i første omgang de eksterne auditører. Viser auditten, at kravene ikke er opfyldt, skal leverandøren afhjælpe manglerne og betale auditten.
Leverandørens ansvar er uændret af, at der auditeres, og auditten planlægges, så driften mærker den mindst muligt.
Forskellen på de to
Punkterne bruges ofte i samme åndedrag, men de virker forskelligt. Skellet herunder er vores læsning af kontraktteksten.
- Hvem tager initiativet · Punkt 15: Leverandøren, hvert år · Punkt 16: Kunden, når kunden vil
- Hvem udfører · Punkt 15: Statsautoriseret revisor udpeget af leverandøren · Punkt 16: Uvildig auditor valgt af kunden
- Resultat · Punkt 15: Revisorerklæring efter bilag 4.e · Punkt 16: Auditrapport
- Lukning af forhold · Punkt 15: Når revisors opdaterede erklæring dokumenterer det · Punkt 16: Efter punkt 16 og kontraktens mangelsregler
- Omkostninger · Punkt 15: Leverandøren · Punkt 16: Kunden først, leverandøren ved mangler
Det er værd at bemærke rækken om lukning. Reglen om, at et forhold først er bragt i orden, når revisors opdaterede erklæring viser det, står i punkt 15 og gælder revisors bemærkninger. Fund fra kundens audit håndteres efter punkt 16 og aftalens almindelige mangelsregler. Det er en tolkning af teksten.
Bilag 4.e: kataloget, kunden vælger fra
Bilag 4.e er et kategori B-bilag. Det er delvist færdigt og skal færdiggøres af kunden. Bilaget kalder sig selv et katalog af revisions- og kontrolerklæringer og siger, at det for nogle systemer vil være passende kun at kræve et udvalg.
På informationssikkerhed skal leverandøren inden [seks måneder] fra transitionsdagen, og siden én gang om året, kunne vise en opdateret ledelseserklæring om kontraktens sikkerhedskrav. Den omfatter:
- Om kontrollerne mod aftalens sikkerhedskrav i perioden siden sidst: en ISAE 3000-erklæring med høj grad af sikkerhed, afgivet af en uafhængig revisor, eller en tilsvarende, kunden har godkendt.
- For de dele af driften, leverandøren deler med andre kunder, en ISAE 3402-erklæring af type II fra en uafhængig revisor, også med høj grad af sikkerhed.
- Dokumentation af leverandørens ledelsessystem for informationssikkerhed. Et gyldigt ISO 27001-certifikat kan bruges, hvis leverandøren viser, at det rækker til kundens krav.
Behandler leverandøren personoplysninger for kunden, følger en særskilt ISAE 3000-erklæring om databeskyttelse med samme frist og samme grad af sikkerhed. Kunden kan tilføje egne krav, og leverandøren udfylder en kravmatrice med opfyldt helt, delvist eller ikke.
Sådan bruges modellen i en privat aftale
Tre ting er nemme at tage med. Skellet mellem leverandørens årlige erklæring og kundens egen audit. Fristerne for at sende erklæring og handlingsplan. Og reglen om, at et forhold først er lukket, når det er dokumenteret. Hvad en klausul i øvrigt bør indeholde, står i revisionsretten i kontrakten, og fordelingen af omkostninger i artiklen om, hvem der betaler.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at kunden udfylder bilag 4.e og vælger, hvilke erklæringer der er brug for, og at nogen læser erklæringerne og følger handlingsplanerne. Modellen virker kun, hvis den bruges.
Bruges K04 uden at bilag 4.e udfyldes, er der ikke fastlagt, hvilke erklæringer leverandøren skal levere.
Det skal I lade være med
- At blande punkt 15 og 16 sammen · de har hver sin udfører, sit resultat og sin betaler.
- At lade bilag 4.e stå uudfyldt · kataloget er kundens at vælge fra.
- At lukke et forhold på leverandørens ord · K04 kræver revisors opdaterede erklæring.
Det skal auditten kunne vise
- ☐ Et udfyldt bilag 4.e med de valgte erklæringer.
- ☐ Modtagne erklæringer med dato og overholdte frister.
- ☐ Handlingsplaner ved bemærkninger og opdaterede erklæringer ved lukning.
- ☐ Gennemførte audits efter punkt 16 og opfølgningen på dem.
Kilder
- Digitaliseringsstyrelsen, K04 Standardkontrakt for it-drift, punkt 15 og 16, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 bilag 4.e Revision og kontrol, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 standardkontrakt for it-drift (side), læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læg bilag 4.e ved siden af jeres egen driftsaftale, og markér, hvilke af de tre erklæringer I i dag får.
Læs også: Årsplan for leverandøraudits · Selv, revisor eller uvildig rådgiver
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
