Der findes ingen offentlig statistik over typiske fund i en leverandøraudit. Det, der findes, er offentliggjorte sager, hvor det er gået galt mellem en kunde og en leverandør, og revisionsstandardens egne eksempler. De peger på fire områder: tilsynet med underleverandører, gendannelse fra backup, fælles komponenter i delte miljøer og leverandørens egne kontroller med adgang og ændringer.
Sagerne nedenfor er eksempler. De siger ikke noget om, hvor ofte fundene forekommer.
Hvorfor fundene opstår i snitfladen
Mange fund i en almindelig sikkerhedsaudit handler om én organisations egne forhold. Hvordan sådanne fund klassificeres, er beskrevet under den almene auditmetode. I en leverandøraudit kommer en anden slags fund til. De opstår, fordi to parter hver tror, at den anden har opgaven, eller fordi en pligt i aftalen aldrig bliver fulgt op.
Fællestrækket er, at ingen af parterne alene ville have fundet dem i sin egen gennemgang.
Eksempel 1: Underleverandøren, ingen førte tilsyn med
I august 2019 afsluttede Datatilsynet et planlagt tilsyn hos en kommune, der brugte databehandlere. Kommunen havde sagt god for databehandlerens underdatabehandlere. Datatilsynet skelnede mellem at godkende en underdatabehandler og løbende at holde øje med den. Ingen havde aftalt, at databehandleren skulle kontrollere sine underdatabehandlere, og ingen havde spurgt til det. Afgørelsen endte med alvorlig kritik.
Sagen viste også et andet problem. Varslen ved nye underdatabehandlere var for kort til, at kommunen reelt kunne protestere.
Fundet i en leverandøraudit: Der er godkendt underleverandører, men intet bevis for, at nogen kontrollerer dem. Se underleverandører: kæden bag leverandøren.
Eksempel 2: Backuppen, der aldrig blev prøvet
En databehandler blev ved dom i november 2024 idømt en bøde efter en politianmeldelse fra Datatilsynet. Ved et ransomwareangreb var både serveren og sikkerhedskopierne blevet krypteret, og krypteringsnøglen var ikke sikret. Ifølge Datatilsynet havde databehandleren ikke, som aftalt i databehandleraftalen, etableret en procedure for at teste, om backuppen kunne bruges til genopretning.
Fundet i en leverandøraudit: Aftalen kræver test af gendannelse, men der findes ingen testrapport. Se leverandørens backup af jeres data.
Eksempel 3: Det fælles lag under kunderne
En udtalelse fra Datatilsynet i december 2015 handlede om et angreb på en driftsleverandørs mainframe, som rummede systemer for flere myndigheder. Miljøet var delt i partitioner, men diske og adgangskontrolsystem var fælles. En angriber, der kom ind via én kundes webserver, fik adgang til alle data. Ifølge udtalelsen udnyttede angrebet to sårbarheder, der ikke fandtes rettelser til. Datatilsynet vurderede, at delingen gav kunderne forøgede risici fra hinanden. Sagen er afgjort efter den dagældende persondatalov og bruges her som illustration.
Fundet i en leverandøraudit: Kunderne er adskilt på papiret, men deler komponenter, som ingen erklæring dækker. Se adskillelse mellem kunder.
Eksempel 4: Det, revisor selv bruger som eksempel
Revisionsstandarden ISAE 3402 indeholder tænkte eksempler på erklæringer med forbehold. Det ene handler om adgangskontrol, der kun var indført i nogle af applikationerne. Det andet om programændringer, der ikke blev godkendt af en person uafhængig af den, der lavede dem, og ikke blev testet før idriftsættelse.
At standarden bruger netop de to områder, siger ikke, at de er de hyppigste. Det viser, hvilke slags kontroller standarden selv fremhæver, og hvad I kan lede efter i leverandørens erklæring. Selv en konklusion uden forbehold kan have afvigelser bag sig i testskemaet.
Det, eksemplerne har til fælles
- Underleverandører · Hvad der manglede: Tilsyn efter godkendelsen · Hvem troede, at den anden havde det: Kunden regnede med leverandøren
- Backup · Hvad der manglede: Afprøvet gendannelse · Hvem troede, at den anden havde det: Aftalen lagde testen hos leverandøren
- Delte miljøer · Hvad der manglede: Adskillelse af fælles komponenter · Hvem troede, at den anden havde det: Kunden kendte ikke det fælles lag
- Adgang og ændringer · Hvad der manglede: Uafhængig godkendelse og test · Hvem troede, at den anden havde det: Fremgår af revisors erklæring, hvis nogen læser den
Tabellen er en sammenfatning af eksemplerne og ikke en rangering.
Fund, der ikke findes i nogen sag
Eksemplerne er dem, der er blevet offentliggjort. Snitfladefund kan sagtens opstå uden nogensinde at nå en myndighed. Det kan være en eksportfunktion, ingen har prøvet, en kontaktperson hos leverandøren, der er stoppet, eller en aftalt rapport, der aldrig er sendt. De er sværere at belægge med kilder, men de opstår af samme grund: en pligt i aftalen, som ingen følger op på.
Et tænkt eksempel: Aftalen siger, at leverandøren sender en månedlig driftsrapport. Den seneste kom for et år siden. Ingen hos kunden har savnet den, fordi den person, der modtog den, har skiftet stilling.
Brug eksemplerne i jeres egen plan
En almindelig fremgangsmåde er at lade de fire områder indgå i hver leverandøraudit, uanset hvad leverandøren ellers leverer. De er lette at spørge til, og beviset er konkret: en dokumentation for tilsyn, en testrapport, en beskrivelse af fælles komponenter, et udsnit af erklæringens testskema.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen kender aftalen og ved, hvilke pligter den lægger på hver part. Fundene ovenfor kommer frem, når nogen stiller spørgsmålet: Hvem gør det her, og hvordan ved vi det?
Lader I være, opdager I snitfladen, når den svigter. Sagerne viser, at kunden da kan blive vurderet på, om den havde kontrol med sikkerheden hos leverandøren.
Det skal I lade være med
- At læse eksemplerne som statistik · de viser, hvad der er sket, ikke hvor ofte.
- At gå ud fra, at leverandøren har en opgave, fordi den står i aftalen · bed om bevis.
- At navngive parter fra sagerne i jeres egne rapporter · brug myndighed, dato og journalnummer.
Det skal auditten kunne vise
- ☐ Dokumentation for leverandørens tilsyn med underleverandører.
- ☐ Rapport fra seneste gendannelsestest af jeres data.
- ☐ Beskrivelse af fælles komponenter og erklæringens dækning af dem.
- ☐ Erklæringens resultater for adgangskontrol og ændringsstyring.
- ☐ Fordelingen af opgaver mellem jer og leverandøren på de fire områder.
Kilder
- Datatilsynet, afgørelse af 5. august 2019, j.nr. 2018-423-0022, læst 12. november 2026.
- Datatilsynet, Databehandler indstillet til bøde, 12. november 2024, læst 12. november 2026.
- Datatilsynet, udtalelse af 15. december 2015, j.nr. 2014-632-0082, læst 12. november 2026.
- IAASB, ISAE 3402 Assurance Reports on Controls at a Service Organization, IFAC Handbook 2013, afsnit 54 og bilag 3, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag de fire områder ind i jeres næste leverandøraudit, og bed om beviset for hvert af dem.
Læs også: Handlingsplanen efter auditten · Kend jeres egen leverance, før I auditerer
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
