Få hjælp til leverandøraudit

Alt stof på sitet kan I bruge på egen hånd. Vil I have en uvildig part til at kontrollere en leverandør, eller skal jeres egen sikkerhed som leverandør vurderes inden kundernes spørgsmål, har Nielco IT ydelsen Leverandøraudit. Siden beskriver, hvad den omfatter, hvilke niveauer den kan have, hvordan et forløb skrider frem, og hvilken indsats det kræver af jer, så I kan afgøre, om den passer til jeres sag.

Før I vælger, hvem der skal kontrollere

Den, der kontrollerer jeres leverandør, bør være uden binding til leverandøren. Disse artikler hjælper jer med at vælge, uanset hvem det ender med.

• Selv, revisor eller uvildig rådgiver: hvem skal udføre auditten? Uafhængighed målt i forhold til leverandøren.
• Hvad påvirker omfanget af en leverandøraudit, og hvordan får I et tilbud? De forhold, der gør opgaven større eller mindre.
• Hvem har bestilt rapporten? Fem slags sikkerhedsrapporter fra leverandøren og afsenderens uafhængighed Afsenderen bestemmer, hvad konklusionen kan bære.

To udgangspunkter

I køber IT-ydelser. Jeres systemer og data er tilgængelige for eksterne leverandører, og I vil vide, hvordan de passer på dem. Leverandørauditten vurderer sikkerheden hos de kritiske leverandører, peger på dem, der udgør en risiko, giver forslag til krav i kontrakterne og giver jer dokumentation for leverandørstyringen over for ledelse eller tilsyn.

I leverer IT-ydelser. Kunderne stiller krav og vil vide, om de kan betro jer data og systemer. Her giver gennemgangen jer et billede af jeres sikkerhedsniveau, et grundlag for at svare på kundernes spørgsmål og et overblik over de huller, der bør lukkes, før kunderne finder dem.

Det, auditten ser på

Indholdet tilpasses leverandøren og jeres situation. Typisk indgår:

• Adgangsstyring · hvem hos leverandøren der kan se hvad, og hvad der sker, når en medarbejder stopper.
• Databeskyttelse · hvor data ligger, hvordan de er beskyttet, og hvordan adgangen logges.
• Hændelser · hvordan I bliver informeret, og hvilken plan leverandøren har.
• Backup og kontinuitet · om data kan gendannes, og hvad der sker, hvis leverandøren går ned.
• Underleverandører · hvem leverandøren selv har givet adgang til jeres data.
• Kontrakten · hvad der står om sikkerhed, og hvad der sker ved brud.

Niveauerne

Ikke alle leverandører skal gennemgås lige grundigt, og indsatsen følger risikoen:

• Dokumentgennemgang · leverandørens politikker, sikkerhedsdokumentation og eventuelle erklæringer. Passer til leverandører med begrænset adgang.
• Spørgeskema og interview · en struktureret vurdering med dialog med leverandøren, som går dybere end dokumenterne.
• Teknisk gennemgang · en gennemgang af leverandørens tekniske sikkerhed. Til kritiske leverandører med vidtgående adgang.

Sådan foregår et forløb

Forløbet begynder med en kortlægning af leverandørerne og en vurdering af, hvilke der er kritiske. For hver kritisk leverandør vurderes risikoen ud fra adgangen, de data, leverandøren håndterer, og følgerne, hvis den svigter. Derefter gennemgås leverandøren på det niveau, der passer til risikoen. Til sidst får I en rapport med en vurdering af hver leverandør, de risici, der er fundet, og konkrete anbefalinger.

Det, ydelsen ikke omfatter

Ydelsen rummer hverken certifikater eller erklæringer efter ISAE 3000 og ISAE 3402, fordi Nielco IT hverken er revisor eller bemyndiget organ. En gennemgang af en leverandør kan derfor ikke træde i stedet for leverandørens egen revisorerklæring. Test af fysiske produkter indgår ikke. Uden forhandleraftaler bag sig peger anbefalingerne aldrig på bestemte leverandører eller produkter. Det er leverandøren eller jer, der retter efter rapporten, og juridiske spørgsmål om aftalen tager jeres advokat sig af.

Hvad det kræver, og hvad det koster at lade være

Et forløb kræver, at aftaler, bilag og leverandørens dokumentation ligger klar, og at dem, der kender leverancen, har tid til det. Omfanget afhænger af antallet af leverandører, kontraktens adgang, leverandørens vilje til at samarbejde og det niveau, hver leverandør skal gennemgås på. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.

Kan I selv gennemføre kontrollen med sitets artikler som grundlag, er det en god begyndelse. Hviler jeres viden om leverandørens sikkerhed alene på leverandørens egne oplysninger, mangler ledelsen et billede, den kan forsvare over for et tilsyn.

Det skal I lade være med

• At lade leverandørens egen beskrivelse være den eneste kilde · få et blik udefra på det vigtigste.
• At bestille uden at vide, hvilke leverandører der er kritiske · kortlægningen kommer først.
• At forvente en erklæring eller et certifikat · resultatet er en rapport med vurdering og anbefalinger.

Det skal forløbet kunne vise

• ☐ Hvilke leverandører der er vurderet kritiske, og hvorfor.
• ☐ Det niveau, hver leverandør er gennemgået på.
• ☐ Rapporten med risici og anbefalinger pr. leverandør.
• ☐ Hvem hos jer der beslutter, hvad der sker med anbefalingerne.

Senest gennemgået: november 2026.

Næste skridt

Skriv ned, hvilken leverandør det drejer sig om, og hvad der sætter sagen i gang. Det er udgangspunktet for den første samtale.

• Hvilke leverandører skal auditeres?
• Kontakt

Læs også: Tre grader af kontrol · Om leverandoeraudit.dk

→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT