Når en kunde varsler audit, er det første skridt at finde den bestemmelse i aftalen, kunden bygger på. Klausulen fastlægger, hvad kunden må se, hvem der må komme, og hvad I selv kan stille som betingelse, og resten af forberedelsen følger af den.
Artiklen er skrevet til jer, der bliver auditeret. Ingen lov beskriver, hvordan en leverandør tager imod en kundeaudit. Det meste herunder er derfor praksis, og det er markeret, hvor teksten bygger på en kilde.
Find hjemlen, før I svarer på varslet
En kundes ret til audit kommer af kontrakten og, hvis I behandler personoplysninger for kunden, af databeskyttelsesforordningen. Efter artikel 28, stk. 3, litra h, giver databehandleren kunden den information, kunden behøver for at dokumentere, at kravene er opfyldt, og revisioner og inspektioner skal kunne gennemføres med databehandlerens medvirken. Det er en ret, kunden har som dataansvarlig, også selv om den nærmere fremgangsmåde mangler i aftalen.
Bruger aftalen Datatilsynets skabelon til databehandleraftale, står fremgangsmåden i bilag C.7. Skabelonens ene eksempeltekst giver kunden adgang til inspektioner, også fysiske, når kunden finder det nødvendigt, og databehandleren afsætter de nødvendige ressourcer, “hovedsageligt den tid”. Den anden eksempeltekst bygger på en årlig erklæring fra en uafhængig tredjepart. Læs, hvilken af dem parterne har valgt.
Statens driftskontrakt K04 rummer i punkt 16 en mere detaljeret model, som en privat aftale kan låne fra. Kunden kan auditere med varsel, hvor kontrakten som forslag nævner 30 dage, og uden varsel, når der er en kvalificeret og underbygget mistanke om misligholdelse. Auditørerne skal være eksterne og uvildige, de må ikke være jeres konkurrenter, og I kan forlange en sædvanlig fortrolighedserklæring og, at jeres sikkerhedsforskrifter overholdes. Bestemmelserne gælder kun, hvis de er aftalt.
Er kunden en finansiel virksomhed, vil den efter DORA artikel 30, stk. 3, have aftalt, at I oplyser om omfang, procedurer og hyppighed for adgang, inspektion og revision. Læs kundens audit efter DORA, hvis det er jeres situation.
Afklar omfanget skriftligt
Svar på varslet med en bekræftelse af, hvad auditten omfatter. Det er almindelig praksis at bede om fire ting på skrift:
- Hvilke ydelser, systemer og lokationer auditten dækker.
- Hvilke krav der måles imod, fx sikkerhedsbilaget eller databehandleraftalens instruks.
- Hvilken periode beviserne skal dække.
- Hvem der kommer, og om de arbejder for kunden selv eller for en ekstern auditor.
En vejledning på sikkerdigital.dk om intern audit, skrevet til myndigheder, nævner, at en auditplan forholder sig til mål, omfang, metode, kriterier, tidligere resultater og holdets sammensætning, og at de auditerede får besked i god tid. Beder I kunden om de samme punkter, kommer I tættere på en plan, I kan forberede jer efter. Kriterier som “tilstrækkelig sikkerhed” kan ikke auditeres. Bed om den konkrete bestemmelse.
Saml materialet, før det bliver bedt om
Gennemgå aftalen bestemmelse for bestemmelse, og find det bevis, der viser, at hver enkelt overholdes. Typisk er det politikker og procedurer, logudtræk, ændringssager, adgangslister, rapporter om backup og gendannelse, hændelsessager og listen over underleverandører.
Vurdér for hvert dokument, om det kan udleveres som kopi, vises på skærmen eller kun ses hos jer. Indeholder det andre kunders oplysninger, så tag det med i overvejelserne om hvad kunden må se. Et dokument, der først skal renses for andres data på selve dagen, giver forsinkelser og fejl.
Læs også jeres egne svar til kunden fra tidligere. Har I svaret ja i et spørgeskema, vil auditoren ofte bede om beviset for netop det svar.
Fjernadgang og data aftales på forhånd
Foregår dele af auditten på afstand, er det god praksis at aftale det inden. Den internationale vejledning for certificeringsorganer om audit med informations- og kommunikationsteknologi, IAF MD 4, siger, at brugen af teknologien aftales mellem parterne før brug med hensyn til informationssikkerhed og databeskyttelse, og at der bruges andre metoder, hvis parterne ikke er enige. Den er skrevet til certificering, men tanken passer også her.
Aftal derfor, om auditoren må optage skærmbilleder, om dokumenter sendes eller kun vises, og hvor auditorens noter opbevares.
Roller på selve dagen
Udpeg én koordinator, som modtager auditoren, holder styr på anmodningerne og noterer, hvad der er udleveret. Koordinatoren svarer ikke på faglige spørgsmål, men henter den medarbejder, der ved det.
Sæt navne på, hvem der svarer på hvilke områder: drift, adgangsstyring, backup, hændelser, udvikling og kontrakt. Aftal med dem, at de er til stede eller kan nås. En auditor, der venter en time på et svar, skriver ofte en note om det.
Svar på det, der bliver spurgt om, og vis beviset. Gætter en medarbejder, bliver gættet en del af grundlaget. Det er bedre at sige, at svaret kommer senere, og så sende det samme dag.
Hold en liste over alt udleveret materiale med tidspunkt og modtager. Listen er jeres egen dokumentation, hvis der senere opstår tvivl om, hvad auditoren fik at se.
Det afsluttende møde
Bed om et afsluttende møde, før auditoren går. Vejledningen på sikkerdigital.dk nævner et afslutningsmøde, hvor auditoren gennemgår afvigelserne, så misforståelser kan blive rettet. Det er her, I kan pege på bevis, auditoren ikke nåede at se, og rette faktuelle fejl. Uenighed om vurderinger hører til senere i forløbet, når I har rapporten. Se leverandøren fik fund.
Hvad det kræver, og hvad det koster at lade være
Det kræver en ansvarlig for forløbet, nogle timer til at læse aftalen og samle bevis, og at fagfolkene er til stede på dagen. Har I flere kunder med auditret, kan det samme arbejde bruges igen.
Uden forberedelse bliver auditten længere, flere spørgsmål ender som fund, og kunden får et billede af en leverandør, der ikke kan dokumentere sin egen drift. Det billede er svært at rette bagefter.
Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Det skal I lade være med
- At svare på varslet uden at have læst klausulen · I kan give mere adgang end aftalt eller afvise noget, kunden har ret til.
- At lade den nærmeste medarbejder svare på alt · gæt bliver til bevis.
- At rense dokumenter for andres data på dagen · det giver fejl og forsinkelse.
Det skal auditten kunne vise
- ☐ Den bestemmelse, kunden auditerer efter, og en skriftlig bekræftelse af omfang, kriterier og periode.
- ☐ Bevis for hver bestemmelse i aftalen, samlet før dagen.
- ☐ En aftale om fjernadgang og om, hvordan dokumenter udleveres.
- ☐ En koordinator og navngivne fagpersoner for hvert område.
- ☐ En liste over udleveret materiale med dato og modtager.
Kilder
- Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 28, stk. 3, litra h, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bestemmelse 12 og bilag C.7, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 standardkontrakt for drift, punkt 16, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 30, stk. 3, læst 12. november 2026.
- Sikkerdigital.dk, Audit og måling, læst 12. november 2026.
- IAF MD 4:2025 om brug af informations- og kommunikationsteknologi ved audit, afsnit 4.1, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find klausulen frem, og send kunden en skriftlig bekræftelse af omfang, kriterier og periode.
Læs også: Kundeaudits som fast proces · Svar på kundernes spørgeskemaer
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
