Har I mange kunder med auditret, kan I spare både jer selv og kunderne for arbejde ved at gøre kundeaudits til en fast proces. Den består typisk af én indgang for alle anmodninger, vilkår, der tilbydes på forhånd, en fælles dokumentpakke og samlede auditdage. Processen er jeres eget valg, og den kan ikke tage en ret fra en kunde, som aftalen giver.
Artiklen er skrevet til leverandøren. Ingen regel beskriver en procedure for kundeaudits; det, der står her om opbygningen, er praksis. Kilderne viser til gengæld, at samme dokumentation kan bruges over for mange kunder.
Grundlaget for fælles dokumentation
Datatilsynets vejledning fra 2021 opstiller seks tilsynskoncepter, ordnet efter hvor meget de kræver. Den tredje bygger på en årlig skriftlig status fra databehandleren, som kan gives “enten direkte eller via sin hjemmeside”. Egne rapporter må altså gerne ligge offentligt, og én status kan nå alle kunder.
Det femte trin bygger på et dokumenteret tilsyn fra en uafhængig tredjepart, som en ISAE 3000-erklæring er et eksempel på, og tredjeparten kan være bemyndiget af flere dataansvarlige i fællesskab. Det sjette er den dataansvarliges eget tilsyn, og Datatilsynets eksempel er flere kommuner, der går sammen om det.
I cloudvejledningen fra 2022, afsnit 3.3.3, skriver Datatilsynet, at kunden normalt kan nøjes med at gennemgå de årlige revisionsrapporter fra cloudleverandøren. Dækker de ikke kundens behandlingsaktiviteter, skal aftalen give kunden mulighed for at kræve en revision, der er lagt anderledes an.
Også i statens bilag 4.e til K04 er tanken, at det fælles dækkes én gang. Bilaget forudsætter, at de faciliteter og forhold, der er fælles for leverandørens kunder, dækkes af en ISAE 3402-erklæring af type 2.
Et eksempel fra én branche
Bilindustrien har en fælles ordning, TISAX, som drives af ENX Association. Ifølge deltagerhåndbogen opstod den, fordi leverandører fik lignende anmodninger fra forskellige samarbejdspartnere og skulle vise det samme mange gange. En vurdering kan deles med flere partnere, leverandøren bestemmer, op til hvilket niveau en partner får adgang, og resultatet gælder i tre år. Kravkataloget er branchens eget.
Ordningen nævnes her som eksempel på, hvordan delte vurderinger kan organiseres. Den hører til én branche og er ikke en anbefaling.
Procedurens dele
Det følgende er praksis, som I kan tilpasse.
Én indgang. Alle anmodninger om audit, spørgeskemaer og dokumentation går til samme rolle eller postkasse. Rollen registrerer anmodningen, finder kundens aftale frem og svarer inden for en fast tid.
Faste vilkår, tilbudt på forhånd. Skriv de vilkår ned, I gerne vil have, at kunderne accepterer. Det kan være varsel, fortrolighedserklæring, jeres sikkerhedsforskrifter for besøgende, regler for fjernadgang, hvordan dokumenter udleveres, og hvordan andre kunders data skjules. Vilkårene gælder kun, hvis de er aftalt eller passer ind i kundens aftale.
En dokumentpakke. Saml det, de fleste kunder spørger om: erklæringer og certifikater med dato og omfang, listen over underleverandører, politikker og en beskrivelse af ydelsen. Hold pakken opdateret, og sæt dato på hver del.
Samlede auditdage. Tilbyd et par faste perioder om året, hvor kunder kan auditere enten samlet eller efter hinanden. Fælles møder om de delte dele sparer tid. Kundespecifikke dele holdes adskilt.
En log. Registrér hver audit med dato, omfang, auditor, udleveret materiale og fund. Loggen giver jer overblik over, hvilke fund der går igen på tværs af kunder.
Grænsen: kundens aftalte ret
En fast proces er et tilbud til kunderne. Den kan ikke ensidigt erstatte en ret, kunden har i sin aftale. Det følger af to kilder, og læsningen er en tolkning.
I Datatilsynets skabelon til databehandleraftaler kan kunden efter bilag C.7 anfægte rammer og metode for en erklæring og bede om en ny. Og når ydelsen understøtter kritiske eller vigtige funktioner hos en finansiel kunde, har kunden efter DORA artikel 30, stk. 3, litra e, en uindskrænket ret til at komme ind og efterse.
Afviser en kunde jeres fælles dag eller jeres fælles rapport, er det derfor kundens aftale, der afgør, hvad der sker. I kan forklare, hvorfor den fælles løsning dækker kundens behov, og I kan tilbyde at supplere den.
Hvordan I får kunderne med
Kunder tager lettere imod en fælles løsning, når den svarer på deres egne spørgsmål. Vis for hver del af dokumentpakken, hvilket krav i databehandleraftalen eller sikkerhedsbilaget den dækker. Sig tydeligt, hvad der ikke er dækket, så kunden selv kan vælge, om der skal suppleres.
Køberens side af samme sag står i fælles audit, hvor flere kunder samler sig om én leverandør.
Hvad det kræver, og hvad det koster at lade være
Det kræver en ansvarlig rolle, et skrevet sæt vilkår, en dokumentpakke, der vedligeholdes, og nogle kalenderdage, der holdes fri hvert år.
Uden en proces svarer forskellige medarbejdere forskelligt til forskellige kunder. Det tager tid, og når to kunder sammenligner svar, opdager de uoverensstemmelserne.
Det skal I lade være med
- At præsentere fælles vilkår som en betingelse · kundens aftale går forud.
- At lade dokumentpakken stå uden datoer · en kunde kan ikke vurdere et bevis uden at kende alderen.
- At blande kundespecifikke dele ind i fælles møder · andre kunders forhold er beskyttet.
Det skal auditten kunne vise
- ☐ En skrevet procedure for kundeaudits med én ansvarlig rolle.
- ☐ Faste vilkår og en oversigt over, hvilke kunder der har accepteret dem.
- ☐ En dokumentpakke med dato og en kobling til aftalens krav.
- ☐ En log over gennemførte audits, udleveret materiale og fund.
Kilder
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, koncept 3, 5 og 6, læst 12. november 2026.
- Datatilsynet, Vejledning om cloud, marts 2022, afsnit 3.3.3, læst 12. november 2026.
- Digitaliseringsstyrelsen, K03/K04 bilag 4.e Revision og kontrol, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bilag C.7, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 30, stk. 3, læst 12. november 2026.
- ENX Association, TISAX Participant Handbook, version 2.8 af 13. marts 2025, afsnit 2.3 til 3.4, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de vilkår ned, I tilbyder alle kunder, og saml dokumentpakken med datoer.
Læs også: Den årlige status til kunderne · Hvad må kunden se?
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
