Leverandørens side af bordet

Artiklerne her er skrevet til jer, der leverer IT og bliver kontrolleret af jeres kunder: direktøren, den kvalitetsansvarlige eller den, der har fået sikkerheden som en del af jobbet. Kunderne har forskellige aftaler, forskellige skemaer og forskellige auditorer, og de spørger ofte om det samme på hver sin måde. Siden går fra den varslede audit og grænserne for, hvad kunden må se, til en fast proces, den første erklæring og svaret på fund. Målet er, at hver kontrol kan klares med et bevis, I allerede har.

Når kunden varsler

• Kunden har varslet audit: forberedelsen og selve dagen Klausulen først, resten af forberedelsen bagefter.
• Hvad må kunden se? Grænserne ved andre kunders data, kildekode og interne vurderinger Andre kunders forhold er den tydeligste grænse.
• Kunden auditerer jer, men driften ligger hos jeres underleverandør: hvem møder, hvilken adgang, hvilket bevis Ansvaret for hele leverancen er jeres.
• I er underleverandør: slutkunden vil auditere jer, men aftalen er med mellemleddet Aftalekæden og slutkundens instruks.

Én måde at tage imod alle kunder

• Kundeaudits som fast proces: én indgang, faste vilkår og samlede auditdage En fælles dokumentpakke, der sparer begge parter.
• Svar på kundernes spørgeskemaer: aldrig ja uden bevis, og samme svar til alle Hvert ja peger på et bevis.
• Den årlige status til kunderne, punkt for punkt: det, tilsynsmodellen forudsætter, at I leverer Databehandlerens skriftlige status med henvisning til bevis.

Før kunderne kommer

• Uvildig audit af jer selv, før kunderne kommer Find det, der kun findes på papiret.
• Fra ingen dokumentation til den første erklæring: valg af form, systembeskrivelse og ledelsens udtalelse Forberedelsen er jeres, erklæringen afgives af en revisor.
• Lille leverandør uden sikkerhedsansvarlig: de få ting, kunden har grund til at se, og hvorfor Syv ting, der klarer de fleste kundeaudits.

Efter kundens audit

• Leverandøren fik fund: svar, handlingsplan og indsigelse Ret fejl, gør indsigelse med kriteriet, planlæg resten.
• Kundens auditrapport om jer: ejerskab, genbrug over for andre kunder og omtale i salget Rapporten tilhører kunden, til andet er aftalt.

Sådan bruger I siden

Står en kunde lige nu med en varslet audit, så begynd med forberedelsen og artiklen om grænserne. Kommer der mange anmodninger, er den faste proces og spørgeskemasvarene det, der sparer mest tid på længere sigt. Overvejer I en erklæring, så læs artiklen om den første erklæring, før I kontakter en revisor.

Hvad det kræver, og hvad det koster at lade være

Som leverandør skal I have en ansvarlig for kundekontrol, et samlet sæt af dokumenter, der holdes ajour, og en regel for, hvad der må vises. Mangler det, bliver hver kundeaudit et projekt for sig, svarene til kunderne begynder at afvige fra hinanden, og et ja i ét skema kan blive et fund i en andens rapport.

Det skal I lade være med

• At svare ja i et skema uden at kunne vise det · svaret bliver kundens dokumentation.
• At vise én kundes forhold til en anden kunde · det er den skarpeste grænse.
• At bruge en kundes rapport i salget uden aftale · rapporten er kundens.

Det skal leverandøren kunne vise

• ☐ Den klausul, hver kundeaudit bygger på.
• ☐ En dokumentpakke med dato for seneste opdatering.
• ☐ Ens svar på ens spørgsmål på tværs af kunder.
• ☐ Kontrollen med jeres egne underleverandører.

Senest gennemgået: november 2026.

Næste skridt

• Kunden har varslet audit
• Spørgeskema og svar

Læs også: Fund, rapport og opfølgning · Erklæringer og certifikater

→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT