En erklæring om kontroller hos leverandøren regner ofte med, at kunden selv udfører en række kontroller. Står de komplementære kontroller i ISAE-erklæringen, er det jeres opgave at finde dem, give hver en ejer og kunne vise, at de bliver udført.
Det overses let, fordi erklæringen handler om leverandøren. Men konklusionen hviler på en forudsætning om jer, og den forudsætning har revisor ikke kontrolleret.
Hvad standarden siger
ISAE 3402 definerer komplementære brugerkontroller. Oversat fra engelsk er det kontroller, som serviceleverandøren ved udformningen af sin ydelse forudsætter gennemført hos brugervirksomhederne, og som skal være identificeret i systembeskrivelsen, hvis de er nødvendige for at nå kontrolmålene.
Henviser beskrivelsen til sådanne kontroller, skal revisors erklæring efter standarden sige to ting. Revisor har ikke vurderet, om de er hensigtsmæssigt udformet, eller om de virker. Og kontrolmålene kan kun nås, hvis brugervirksomhedernes kontroller er passende udformet eller virker effektivt sammen med leverandørens.
Standarden siger også, at erklæringen er beregnet til brugere, der vurderer den sammen med andre oplysninger, herunder oplysninger om de kontroller, brugerne selv udfører. Erklæringen er altså skrevet til en læser, der forventes at kende sin egen halvdel.
Samme tanke i andre ordninger
Det tyske cybersikkerhedsagentur BSI beskriver det samme for sine C5-erklæringer om cloudtjenester. En sådan erklæring gør kunden opmærksom på kundens egne pligter til at medvirke, og den er derfor ikke den eneste garanti for sikker brug af cloud. Kunden skal selv vurdere, om kravene passer til eget beskyttelsesbehov. Læsningen af en C5-erklæring er beskrevet i C5-attestationen fra en cloududbyder.
Spørgeskemaet fra sikkerdigital.dk har samme spor. Et af dets afsnit handler om ansvarsfordelingen og beder leverandøren skrive op, hvad kunden selv tager sig af, fx brugeroprettelse, nedlæggelse og rettigheder, og hvad leverandøren forventer af kunden.
Typiske eksempler
Hvilke kontroller der står i en konkret erklæring, afhænger af ydelsen. Eksemplerne nedenfor er tænkte, men de viser den slags opgaver, der ofte ligger hos kunden, når driften er lagt ud.
- (Kun godkendte brugere har adgang til systemet) · (Kunden meddeler leverandøren rettidigt, når en medarbejder skal oprettes eller fratræder)
- (Brugeres rettigheder svarer til deres funktion) · (Kunden gennemgår med faste mellemrum, hvem der har adgang, og melder fejl)
- (Ændringer af systemet er godkendt) · (Kunden godkender ændringer, der påvirker forretningen, før de sættes i drift)
- (Data kan genskabes) · (Kunden melder, hvilke data der er kritiske, og deltager i gendannelsestest)
Læg mærke til, at den første kontrol ofte bliver stående i kundens hænder, selv om leverandøren driver hele systemet. Leverandøren kan ikke lukke en adgang, ingen har bedt om at få lukket.
Sådan finder I dem
Der er ingen fast dansk overskrift for afsnittet, og placeringen varierer. En almindelig fremgangsmåde er at søge i hele erklæringen efter ord som kunde, bruger, forudsætter og komplementær, og at læse systembeskrivelsen fra ende til anden. Nogle erklæringer samler kontrollerne i en liste. Andre nævner dem under hvert kontrolmål.
Skriv dem ind i en liste med fire kolonner: kontrollen, hvem hos jer der ejer den, hvordan den udføres, og hvor beviset ligger. Er der kontroller, I ikke kan udføre, eller som I ikke vidste fandtes, er det et spørgsmål til leverandøren, før det bliver et hul.
Giv hver kontrol en ejer
Komplementære kontroller havner let mellem stolene. IT tror, at HR melder fratrædelser. HR tror, at det sker automatisk. Indkøb har aldrig læst erklæringen. Når hver kontrol har en navngiven ejer, og ejeren ved, at kontrollen er en forudsætning for leverandørens erklæring, er der en chance for, at den bliver udført.
Ingen kilde kræver, at kunden laver denne liste. Den er praksis. Men uden den kan I ikke vise, at forudsætningen for erklæringen er opfyldt hos jer.
Kontrollerne i jeres egen audit
Når I selv bliver auditeret, eller når jeres revisor ser på outsourcet IT, er det naturligt at spørge, hvordan I lever op til de kontroller, leverandørens erklæring forudsætter. Listen besvarer spørgsmålet. Den gør det også lettere at se, når en ny version af erklæringen tilføjer eller fjerner en forudsat kontrol.
Ændrer leverandøren sin ydelse, kan ansvarsfordelingen flytte sig. Læs derfor afsnittet igen, hver gang I modtager en ny erklæring, og ret listen. Hvordan resten af erklæringen læses, står i sådan læser I erklæringen.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen læser systembeskrivelsen med jeres egne processer for øje, og at de ejere, der bliver udpeget, accepterer opgaven. Arbejdet er størst første gang. Derefter handler det om at holde listen ajour.
Uden listen har I en erklæring, hvis konklusion forudsætter noget, I ikke har kontrolleret hos jer selv. Sker der en hændelse i netop det felt, viser erklæringen, at leverandøren gjorde sin del, og spørgsmålet bliver, om I gjorde jeres.
Det skal I lade være med
- At læse erklæringen som et billede af hele sikkerheden · den dækker leverandørens del.
- At gå ud fra, at leverandøren lukker adgange af sig selv · ofte venter leverandøren på jeres besked.
- At lade listen ligge uændret, når erklæringen fornyes · ansvarsfordelingen kan flytte sig.
Det skal auditten kunne vise
- ☐ En liste over de kontroller, erklæringen forudsætter hos jer.
- ☐ En navngiven ejer for hver kontrol.
- ☐ Bevis for, at kontrollerne er udført i erklæringens periode.
- ☐ Dato for seneste gennemgang af listen mod den nyeste erklæring.
Kilder
- IAASB, ISAE 3402 Assurance Reports on Controls at a Service Organization, i IAASB Handbook 2013, afsnit 9(b), 53(c) og 53(e), læst 12. november 2026.
- BSI, C5 FAQ, læst 12. november 2026.
- sikkerdigital.dk, leverandørpakken, spørgeskemaet pkt. 5, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Søg i jeres største leverandørs erklæring efter de kontroller, den forudsætter hos jer, og skriv dem ind i en liste med ejere.
Læs også: Er underleverandørens kontroller med i erklæringen? · Kend jeres egen leverance, før I auditerer
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
