Har en kundes audit givet fund, er jeres svar lige så vigtigt som fundene selv. Ret de faktuelle fejl, før rapporten er endelig, gør indsigelse, hvor I kan pege på kriteriet eller beviset, og send en handlingsplan for resten med ejer, dato og lukkebevis.
Artiklen er skrevet til leverandøren. Fristerne og pligterne herunder gælder kun, hvis de står i jeres aftale. Resten er praksis.
Læs fundene, før I svarer
Et fund i en audit beskriver, hvordan den faktiske tilstand afviger fra et kriterium. Ifølge NIST’s vejledning om vurdering af sikkerhedskontroller skal et fund gengive det fundne sagligt og uden at tage parti. Det giver jer tre spørgsmål til hvert fund:
- Er det beskrevne faktum korrekt?
- Er kriteriet det, der står i jeres aftale med kunden?
- Er vurderingen rimelig ud fra faktum og kriterium?
Sortér fundene efter svaret. Nogle bygger på en misforståelse eller et bevis, auditoren ikke så. Nogle bygger på en anden læsning af kravet end jeres. De fleste er korrekte og skal blot rettes.
Brug den foreløbige rapport
Samme vejledning lader den auditerede få et udkast først. I den fase kan små svagheder udbedres med det samme, og uenighed om, hvad auditoren har forstået, kan ryddes af vejen. Ændres en kontrol undervejs, vurderes den på ny.
Tilbyder kunden ikke en foreløbig udgave, så bed om den. Det er i kundens interesse også, for en endelig rapport med faktuelle fejl er svær at bruge over for kundens ledelse eller tilsynsmyndighed. Kundens side af samme forløb står i høring af leverandøren og uenighed om fund.
Send rettelserne skriftligt med det bevis, der viser det rigtige faktum. Et “det er ikke rigtigt” uden bevis flytter ingenting.
Indsigelse mod en vurdering
Er I uenige i selve vurderingen, så før uenigheden tilbage til kriteriet, beviset eller tolkningen. Er kriteriet et krav, der ikke står i aftalen, så sig det og henvis til aftalens tekst. Er beviset for spinkelt, så tilbyd mere. Er det tolkningen, så forklar jeres læsning.
Det er almindelig praksis, at parterne forsøger at nå en fælles forståelse, og at auditoren kun ændrer resultatet, når der er en gyldig grund. Lykkes det ikke, kan jeres synspunkt fremgå af rapporten, fx som bilag. Bed om det, hvis I mener, et fund er forkert. Så kan kunden se begge sider.
Hold indsigelsen saglig og kort. En leverandør, der bestrider alt, mister troværdighed for de punkter, hvor indsigelsen er rigtig.
Handlingsplanen
For de fund, I er enige i, eller som står efter høringen, skal kunden have en plan. Har aftalen bestemmelser som K04, statens standardkontrakt for drift, er der faste krav.
K04’s punkt 15 handler om den årlige revisorerklæring. Har revisor bemærkninger, sender leverandøren revisionsgrundlaget og en “fyldestgørende handlingsplan” inden for 10 arbejdsdage. Kunden har adgang til møderne med revisor og kan spørge ind. Først når revisor i en ny erklæring bekræfter, at forholdet er rettet, regnes det for løst.
K04’s punkt 16 handler om kundens egen audit. Viser den, at kravene ikke er opfyldt, afhjælper leverandøren forholdet og bærer omkostningerne ved auditten. Punktet siger også, at en audit ikke begrænser leverandørens ansvar.
Bruger I Datatilsynets skabelon, kan kunden efter bilag C.7 kræve flere foranstaltninger, når resultatet giver grund til det. Kunden kan altså stille krav, der rækker ud over det, I selv foreslår.
Uden sådanne bestemmelser er planens form et spørgsmål om, hvad I aftaler med kunden. En plan, kunden kan følge, har for hvert fund en handling, der kan efterprøves, en ansvarlig hos jer, en dato og en beskrivelse af det bevis, der lukker fundet.
Kundeforholdet
Kunden har brug for at kunne fortælle sin egen ledelse, at fundene bliver håndteret. Gør det let. Svar inden for den frist, aftalen sætter, eller hurtigt, hvis der ingen er. Sig tydeligt, hvad I har rettet, hvad I er uenige i, og hvad der kommer.
Når et fund er lukket, så send beviset uden at vente på, at kunden spørger. Fund, der bliver stående, uden at kunden hører noget, kan føre til eskalering. Kundens side af det står i leverandøren lukker ikke fundene.
Hold også øje med, om samme fund går igen hos flere kunder. Er det tilfældet, ligger årsagen sandsynligvis i jeres fælles drift. Ret det samlet.
Hvad det kræver, og hvad det koster at lade være
Det kræver en person, der koordinerer svaret, fagpersoner, der kan vurdere hvert fund, og en ledelse, der afsætter ressourcer til rettelserne.
Uden et klart svar står fundene i kundens rapport, som auditoren skrev dem. Ved en aftale som K04 kan manglende afhjælpning blive til misligholdelse, og kunden kan bruge rapporten, når kontrakten skal fornyes.
Det skal I lade være med
- At bestride fund uden bevis · indsigelsen bliver ikke taget alvorligt.
- At sende en plan uden datoer og ejere · kunden kan ikke følge den.
- At rette det enkelte fund hos én kunde, når årsagen er fælles · det samme fund kommer hos den næste.
Det skal auditten kunne vise
- ☐ Skriftlige rettelser til faktuelle fejl med vedlagt bevis.
- ☐ Begrundede indsigelser, der henviser til kriterium, bevis eller tolkning.
- ☐ En handlingsplan med handling, ejer, dato og lukkebevis for hvert fund.
- ☐ Lukkebevis sendt til kunden for hvert lukket fund.
Kilder
- NIST, Special Publication 800-53A Revision 5, januar 2022, kap. 3, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 standardkontrakt for drift, punkt 15 og 16, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bilag C.7, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Gå hvert fund igennem med de tre spørgsmål, og send rettelser til faktuelle fejl, før rapporten er endelig.
Læs også: Handlingsplanen efter auditten · Kunden har varslet audit
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
