En auditrapport, som en kunde har bestilt og betalt, er som udgangspunkt kundens. Vil I vise den til andre kunder eller omtale den i salget, så aftal det med kunden først, og omtal den som det, den er: én kundes kontrol af én leverance mod den kundes krav.
Artiklen er skrevet til leverandøren. Ingen regel fastlægger ejerskabet til en auditrapport. Det, der står om ejerskab, er en tolkning, og ophavsret og aftaleret er ikke gennemgået. Det er ikke juridisk rådgivning.
Hvem ejer rapporten
Kunden har bestilt auditten, valgt auditoren og ofte betalt for den. Det naturlige udgangspunkt er derfor, at rapporten er kundens, medmindre andet er aftalt. Den læsning er en tolkning.
Nogle aftaler regulerer det indirekte. Standardkontrakten K04 til statslig drift har i punkt 52 en gensidig tavshedspligt. Leverandøren har tavshedspligt om kundens forhold, og konsulenter, der bistår kunden, pålægges en tilsvarende pligt om leverandørens forhold. En kundes auditor, der har set jeres drift, er dermed bundet over for jer, hvis aftalen indeholder bestemmelsen. Punktet siger samtidig, at leverandøren ikke må bruge kunden som reference uden samtykke, bortset fra en simpel referenceliste.
Bed altid om en kopi af den endelige rapport. I har brug for den til at følge op på fundene, og den er et godt grundlag for jeres egen forberedelse til næste kunde.
Kan den vises til andre kunder
Andre kunder kan spørge, om I er blevet auditeret før. Det er fristende at sende en god rapport videre. Tre forhold taler for at spørge den første kunde først.
Rapporten kan indeholde oplysninger om kunden: systemer, konfiguration, fund i kundens egen del af opsætningen og navne. De er kundens forhold.
Rapporten måler jer mod den første kundes kriterier. En vurdering af kontroller mod kriterier, der er lavet til ét formål, er ikke nødvendigvis egnet til et andet. ISAE 3000 siger det om erklæringer, og tanken kan overføres. Den anden kunde har andre krav, en anden aftale og måske andre ydelser.
Rapporten er et øjebliksbillede. Fund kan være lukket, og nye forhold kan være kommet til.
Et eksempel på, hvordan brugen af en rapport kan være begrænset, findes i ISAE 3402. En erklæring efter den standard indeholder en angivelse af, at den er tiltænkt brugervirksomhederne og deres revisorer. Det gælder erklæringer og ikke kundeaudits, men det viser, at brugen af en rapport kan være afgrænset til bestemte modtagere.
Får I kundens accept, så aftal også formen. Det kan være rapporten i sin helhed, en udgave uden kundens oplysninger eller kun et resumé, som kunden har godkendt.
Bedre end at sende rapporten videre
Det kan være mere nyttigt for den nye kunde at få jeres egen redegørelse. Den kan sige, at I er blevet auditeret af kunder, hvilke områder auditterne har dækket, og hvordan fundene er håndteret. Den bygger på jeres egne oplysninger og kræver ikke, at en anden kundes rapport forlader huset.
Har mange kunder brug for den samme dokumentation, kan en erklæring eller en fælles proces være en bedre vej. Se kundeaudits som fast proces.
Omtale i salget
En kundes auditrapport er ikke et certifikat, ikke en erklæring og ikke en godkendelse. Formuleringer i salgsmateriale, der får den til at lyde sådan, lover mere, end rapporten bærer, og kan skade jer, når en kunde opdager forskellen.
Tænkte eksempler på formuleringer, der lover for meget:
- (Godkendt af vores kunder)
- (Auditeret og certificeret)
- (Lever op til alle krav)
Tænkte eksempler på formuleringer, der holder sig til det, der skete:
- (Vores drift blev i 2026 auditeret af en kunde mod kundens sikkerhedskrav. Fundene er lukket.)
- (Vi modtager kundeaudits efter en fast procedure, som kan ses på forespørgsel.)
Nævn ikke kundens navn uden samtykke, heller ikke hvis aftalen ikke har en bestemmelse som K04’s punkt 52.
Når rapporten er forkert
Står der fejl i den endelige rapport, er det kundens dokument, og I kan ikke rette det selv. Bed kunden om at vedlægge jeres bemærkninger eller rette fejlen. Det er nemmest, før rapporten er endelig. Se leverandøren fik fund. Den almene metode for rapporter og høring er beskrevet på siden om sikkerhedsaudit som metode.
Hvad det kræver, og hvad det koster at lade være
Det kræver en aftale med hver kunde om, hvad rapporten må bruges til, og en gennemgang af salgsmaterialet, så omtalen passer til det, der faktisk skete.
Bruger I en kundes rapport uden aftale, kan I bryde en tavshedspligt over for den kunde. Lover salgsmaterialet mere, end rapporten bærer, er det jeres troværdighed, der betaler, når en kunde læser rapporten selv.
Det skal I lade være med
- At sende en kundes rapport videre uden accept · den indeholder kundens forhold.
- At kalde en kundeaudit en certificering eller godkendelse · det er den ikke.
- At nævne kundens navn i salget uden samtykke · aftalen kan forbyde det.
Det skal auditten kunne vise
- ☐ En kopi af kundens endelige rapport og jeres bemærkninger til den.
- ☐ Kundens skriftlige accept, hvis rapporten eller et resumé deles med andre.
- ☐ Salgsmateriale, der beskriver kundeaudits uden at love mere, end de bærer.
Kilder
- Digitaliseringsstyrelsen, K04 standardkontrakt for drift, punkt 52, læst 12. november 2026.
- IAASB, ISAE 3402 (Handbook 2013), afsnit 53(e), læst 12. november 2026.
- IAASB, ISAE 3000 (Revised), A166, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Gennemgå jeres salgsmateriale for omtale af kundeaudits, og bed de kunder, der har auditeret jer, om en aftale om brug af rapporten.
Læs også: Uvildig audit af jer selv, før kunderne kommer · Hvem har bestilt rapporten?
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
