En erklæring fra leverandørens revisor kan bære en stor del af jeres kontrol, når den dækker jeres ydelse, er ny nok og har testet de kontroller, I er afhængige af. Den kan sjældent stå alene over tid, og finanssektorens regler giver otte betingelser, som andre købere kan bruge som målestok for beslutningen.
Spørgsmålet opstår typisk, når leverandøren svarer på en anmodning om audit med en ISAE 3402- eller ISAE 3000-erklæring. Erklæringen er lavet til alle leverandørens kunder. Opgaven er at afgøre, om den også er nok for jer.
Hvad Datatilsynet siger om databehandlere
For persondata har Datatilsynet beskrevet situationen i sin vejledning om tilsyn med databehandlere. Under det koncept, hvor kunden baserer sin kontrol på en erklæring fra en uafhængig tredjepart, skal kunden sikre fem ting: at tilsynet dækker kundens egne behandlingsaktiviteter, at det handler om overholdelse af databehandleraftalen, at det dækker særlige aftalte krav, at det har fokus på underdatabehandlere, og at den, der udfører det, er uafhængig af databehandleren. Et moder- eller datterselskab er ikke uafhængigt.
I vejledningen om cloud går Datatilsynet et skridt videre. Det vil normalt være tilstrækkeligt at gennemgå de revisionsrapporter, cloudleverandøren årligt får udarbejdet. Kunden må dog se efter, hvor meget af de overladte behandlinger rapporten faktisk omfatter. Gør den ikke det, skal kunden sikre sig, at aftalen lader kunden forlange en ny revision, hvor omfanget eller metoden er en anden. Datatilsynets skabelon til databehandleraftaler har samme tanke i bilag C.7: kunden kan anfægte rammerne for eller metoden i erklæringen og bede om en ny.
Finanssektorens otte betingelser
Den delegerede forordning 2024/1773, der hører under DORA, regulerer, hvad finansielle virksomheder skal have på plads i aftaler om IKT-tjenester bag deres kritiske eller vigtige funktioner. Artikel 8 beskriver, hvordan de kan få adgang til oplysninger, inspektion og revision. En af metoderne er revisionsrapporter eller certificeringer, som leverandøren stiller til rådighed.
Forordningen tilføjer, at en finansiel virksomhed over tid ikke udelukkende må forlade sig på sådanne rapporter. Den må bruge dem, hvis den:
- finder leverandørens revisionsplan tilfredsstillende i forhold til aftalerne,
- sikrer, at anvendelsesområdet omfatter de systemer og centrale kontroller, den selv har udpeget,
- løbende vurderer indholdet grundigt og efterprøver, at rapporterne ikke er forældede,
- sikrer, at centrale systemer og kontroller kommer med i fremtidige versioner,
- finder den revisions- eller certificeringsvirksomhed, der står bag, tilfredsstillende egnet,
- har fået godtgjort, at arbejdet sker efter bredt anerkendte faglige standarder og at de centrale kontrollers funktion i driften bliver testet,
- har kontraktlig ret til at bede om ændringer af anvendelsesområdet,
- har kontraktlig ret til individuelle og fælles revisioner efter eget skøn.
Reglerne gælder kun finansielle virksomheder og kun for tjenester, der understøtter kritiske eller vigtige funktioner. For andre virksomheder er de ikke et krav. Vi bruger dem her som målestok, fordi de beskriver præcist, hvornår en erklæring kan stå i stedet for egen kontrol. Det er en analogi.
Betingelserne oversat til en almindelig købers spørgsmål
Omsat til en virksomhed uden for finanssektoren bliver de otte betingelser til en række spørgsmål, der kan besvares ud fra erklæringen og aftalen.
Dækker den jeres ydelse? Læs systembeskrivelsen. Står den tjeneste, I køber, og de lokationer, jeres data ligger på, i beskrivelsen? Er underleverandører udeladt, se er underleverandørens kontroller med i erklæringen.
Er de kontroller, I er afhængige af, testet? Lav en kort liste over de kontroller, jeres risiko hviler på, og find dem i revisors testskema. En kontrol, der kun er beskrevet, er ikke testet.
Er den ny nok? Hvornår sluttede perioden? Er der sket ændringer siden, fx en ny platform eller en ny underleverandør? Hverken standarden eller forordningen sætter en grænse i måneder, så vurderingen er jeres.
Er der afvigelser? Afvigelser kan stå i testskemaet, selv om konklusionen er uden forbehold. Hvordan de findes, står i sådan læser I erklæringen.
Kan I påvirke næste udgave? Giver aftalen ret til at bede om, at en bestemt kontrol eller ydelse kommer med næste gang? Uden den ret er I henvist til at tage det, der kommer.
Har I en ret i baghånden? Har aftalen en revisionsret, I kan bruge, hvis erklæringen ikke slår til? Det er den, der gør det realistisk at nøjes med erklæringen.
Tre mulige udfald
Efter gennemgangen ender beslutningen typisk ét af tre steder. Erklæringen dækker det væsentlige, og I dokumenterer jeres gennemgang. Erklæringen dækker en del, og I supplerer med spørgsmål eller en målrettet audit af resten. Eller erklæringen dækker ikke jeres ydelse, og I går videre med jeres egen kontrol. Det tekniske delte ansvar mellem kunde og leverandør, fx i en cloudtjeneste, er beskrevet under kontrolpunkterne ét for ét.
Uanset udfaldet er det jeres egen vurdering, der er beviset. Skriv et kort notat om, hvad erklæringen dækker, og hvad I gjorde ved resten. Det notat er det, der viser, at kontrollen er ført.
Ønsker I en uafhængig til at læse erklæringen sammen med jer og pege på hullerne, kan Nielco IT gøre det som uvildig rådgiver uden forhandleraftaler. Rådgiveren afgiver ikke selv erklæringer. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen læser hele erklæringen med systembeskrivelse og testskema og holder den op mod en liste over de kontroller, jeres risiko afhænger af. Det kræver også, at aftalen giver en vej videre, hvis erklæringen ikke er nok.
Lader I erklæringen stå alene uden gennemgang, ved I ikke, om den dækker jeres ydelse. Datatilsynets vejledning lægger netop vægt på, at tilsynet dækker kundens egne behandlinger.
Det skal I lade være med
- At læse konklusionen og springe testskemaet over · afvigelserne står i skemaet.
- At bruge DORA-reglerne som krav uden for finanssektoren · de er en målestok.
- At nøjes med erklæringen år efter år uden at kunne påvirke dens omfang · I mister indflydelsen på, hvad der testes.
Det skal auditten kunne vise
- ☐ Erklæringen med periode, type og revisorens uafhængighed noteret.
- ☐ En liste over jeres centrale kontroller og, for hver, om erklæringen har testet den.
- ☐ Afvigelser i testskemaet og jeres vurdering af dem.
- ☐ Beslutningen om at erstatte eller supplere, med begrundelse og dato.
- ☐ Aftalens bestemmelser om ændret omfang og egen revision.
Kilder
- Kommissionens delegerede forordning (EU) 2024/1773, artikel 8, stk. 2 og 3, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, koncept 5, læst 12. november 2026.
- Datatilsynet, Vejledning om cloud, marts 2022, afsnit 3.3.3, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bilag C.7, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de fem kontroller ned, jeres risiko hos leverandøren hviler mest på, og find dem i erklæringens testskema.
Læs også: Komplementære brugerkontroller · ISAE 3000 eller ISAE 3402
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
