En leverandøraudit er en planlagt undersøgelse af, om en IT-leverandør gør det, aftalen forpligter den til, udført med bevis og med kontrakten som adgang. Den er den grundigste af tre grader af kontrol, og de fleste leverandører har brug for en af de to lettere.
Ordene bliver brugt i flæng. Denne artikel skiller dem ad og giver det overblik, resten af sitet bygger på: hvad kunden kontrollerer, hvorfor, med hvilken ret, og hvordan man vælger graden for den enkelte leverandør.
Ansvaret bliver hos kunden
Når driften lægges ud, følger ansvaret ikke med. Det står klart i den vejledning om leverandørforhold, som Center for Cybersikkerhed og Digitaliseringsstyrelsen udgav i 2022. Ansvaret for egne systemer og oplysninger bliver hos kunden, og derfor anbefaler vejledningen en løbende kontrol, så længe aftalen kører. Vejledningen er primært skrevet til statslige myndigheder, men den nævner selv, at virksomheder, der har outsourcet deres IT, kan bruge den. Her bruges den som model.
For databehandlere er kravet skarpere. Artikel 28 i databeskyttelsesforordningen tillader kun databehandlere med tilstrækkelige garantier, og aftalen med dem skal åbne for revision og inspektion. Datatilsynet skriver i sin vejledning fra oktober 2021, at den dataansvarlige skal føre en passende kontrol med databehandleren.
Tre ord for tre situationer
Ingen kilde giver ordene en officiel betydning. På dette site bruges de sådan:
- Leverandørvurdering er kontrollen, før aftalen underskrives. Statens vejledning kalder fasen leverandørvalg og nævner bl.a. leverandørens vilje til at lade sig efterse.
- Tilsyn er den løbende kontrol i aftaleperioden. Det er vejledningens fase for styring af leverandøren, og det er Datatilsynets ord for kontrollen med databehandlere.
- Leverandøraudit er den mest indgående form for tilsyn: en afgrænset undersøgelse med plan, kriterier, bevis og en rapport med fund.
Skellet er vores fremstilling. Det gør det lettere at tale om, hvad kunden kan nå i hver fase, og hvornår en audit overhovedet er det rigtige værktøj.
Trappen: tre grader af kontrol
I en boks med eksempler nævner statens vejledning otte kontrolformer. Det er statusmøder, rapporter på skrift, besøg hos leverandøren med eller uden varsel, leverandørens egenkontrol, en ekstern gennemgang ved kunden selv eller en uvildig part, it-revision ved certificerede revisorer, øvelser i beredskab og de tekniske undersøgelser, der også kaldes penetrationstest. Vejledningen sætter dem ikke i rækkefølge.
Trappen herunder er vores egen model. Den samler de otte i tre trin efter, hvor meget kunden selv efterprøver.
- 1. Dokumentgennemgang · Hvad kunden gør: Læser det, leverandøren allerede har: erklæring, certifikat, årlig status, rapportering · Typisk bevis: (En ISAE 3000-erklæring holdt op mod jeres ydelse)
- 2. Spørgeskema med opfølgning · Hvad kunden gør: Spørger ind til netop jeres aftale og beder om dokumentation på udvalgte svar · Typisk bevis: (Udtræk over lukkede adgange for et kvartal)
- 3. Audit · Hvad kunden gør: Undersøger selv eller ved en uvildig auditor, på afstand eller på stedet · Typisk bevis: (Observationer, interviews og stikprøver med fund)
Eksemplerne i parentes er tænkte.
Datatilsynet har en parallel for databehandlere. Vejledningen beskriver seks tilsynskoncepter med stigende krav: fra intet, medmindre noget er galt, over en skriftlig bekræftelse og en årlig status til en certificering, et tilsyn ved en uafhængig tredjepart og til sidst et dokumenteret tilsyn, man selv fører. Man kan blande dem og skifte mellem dem fra år til år.
Hvilken risiko kræver hvilket trin
Statens vejledning anbefaler, at omfang og frekvens af kontrollen beror på en konkret vurdering af leverancens væsentlighed og risici, og at vurderingen dokumenteres. Har kunden flere leverandører, bør de rangeres, så de vigtigste får grundigere og hyppigere kontrol. Hvordan rangeringen laves, står i hvilke leverandører der skal auditeres.
Som tommelfingerregel, og den er vores praksis:
- Trin 1 passer til standardleverancer, hvor leverandøren har lidt adgang, og hvor en uafhængig erklæring dækker det, I køber.
- Trin 2 passer, når erklæringen ikke dækker jeres ydelse, når aftalen har særlige krav, eller når der ikke findes nogen erklæring.
- Trin 3 passer til leverandører med driftsansvar for forretningskritiske systemer, bred adgang til jeres data eller en historik med hændelser.
For databehandlere er målestokken risikoen for de registrerede, ikke for virksomheden. Datatilsynet nævner mængden af personer, følsomme oplysninger og indgribende behandling.
Hvad med finanssektoren og de digitale udbydere
DORA gælder kun for finansielle enheder, men den viser, hvor langt et regelsæt kan gå. Den delegerede forordning 2024/1773 lister metoderne til kontrol af IKT-leverandører, der understøtter kritiske eller vigtige funktioner: egen revision eller revision ved en udpeget tredjepart, fælles revisioner med andre kunder, tredjepartscertificeringer og leverandørens revisionsrapporter. Samme regel siger, at certifikater og leverandørens rapporter ikke i længden må blive enhedens eneste grundlag. For andre virksomheder er det en målestok.
Kontrakten er adgangen
En audit kan kun nå så langt, som aftalen tillader. Uden revisionsret har kunden det, leverandøren frivilligt giver, med den undtagelse, der følger af artikel 28 for databehandlere. Klausulens indhold gennemgås i artiklen om revisionsretten. Over for en meget stor leverandør er erklæringerne ofte det eneste realistiske grundlag, se når leverandøren er den store part.
Kommer I til trin 3 og vil have en uvildig auditor uden forhandleraftaler med leverandøren, kan Nielco IT tage opgaven. Valget af trin er jeres eget at begrunde.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over leverandørerne, et trin for hver med en kort begrundelse og en person, der ejer kontrollen. Trin 1 kan klares ved skrivebordet. Trin 3 kræver planlægning hos begge parter.
Uden en begrundet kontrolform er det svært at vise, at kontrollen var passende. Ved en hændelse spørger ledelsen, tilsynsmyndigheden eller Datatilsynet, hvad I gjorde, og hvorfor det var nok.
Det skal I lade være med
- At auditere alle leverandører ens · ressourcerne ender hos dem med lavest risiko.
- At kalde en arkiveret erklæring for tilsyn · den skal læses og holdes op mod jeres ydelse.
- At springe begrundelsen over · uden den kan valget af trin ikke forsvares bagefter.
Det skal auditten kunne vise
- ☐ En liste over leverandører med det valgte trin for hver.
- ☐ En skriftlig begrundelse for trinnet ud fra væsentlighed og risiko.
- ☐ Dokumentation for den kontrol, der faktisk er ført.
- ☐ Gemt korrespondance med leverandøren.
- ☐ Dato for næste kontrol pr. leverandør.
Kilder
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, s. 3, 5, 18, 23 og 25, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, afsnit 2-4, læst 12. november 2026.
- Forordning (EU) 2016/679, artikel 28, læst 12. november 2026.
- Kommissionens delegerede forordning (EU) 2024/1773, artikel 8, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv jeres leverandører op, og sæt et foreløbigt trin ud for hver med én linjes begrundelse.
Læs også: Hvem har bestilt rapporten? · Før underskrift
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
