En rapport fra en leverandøraudit har to modtagere med forskellige interesser. Kundens ledelse skal kunne beslutte, om leverandøren er god nok, og leverandøren skal kunne se præcist, hvad der skal rettes, og efter hvilken bestemmelse i aftalen. Rapporten virker, når hvert fund er knyttet til kontrakten og bevist, så begge parter kan læse det på samme måde.
Rapportform i almindelighed er beskrevet under rapport og fund i den almene metode. Her handler det om det særlige, når modparten er en ekstern leverandør.
Kontrakten er målestokken
Styringen af en leverandør bør altid tage afsæt i parternes kontrakt. Det skriver Center for Cybersikkerhed og Digitaliseringsstyrelsen i deres fælles leverandørvejledning. Kunden kan udvælge de sikkerhedskrav i kontrakten, det er mest relevant at kontrollere. Datatilsynet siger tilsvarende, at rammen for tilsyn med en databehandler som udgangspunkt er databehandleraftalen.
I rapporten betyder det, at kriterierne står med henvisning til aftalens punkter og bilag. Et fund, der ikke kan føres tilbage til en bestemmelse, kan være en relevant observation, men leverandøren har ingen pligt til at rette det. Skriv sådanne observationer i et særskilt afsnit, så de ikke blandes sammen med brud på aftalen.
Rapportens elementer
Anerkendt praksis fra standarderne for intern revision og fra NIST beskriver en rapport med disse elementer. De er skrevet til andre formål, men passer også her.
- Mål og omfang: hvilke ydelser, systemer og lokationer auditten dækkede.
- Kriterier: de bestemmelser i aftalen, bilagene eller lovgivningen, der blev målt imod.
- Metoder: dokumentgennemgang, interviews, stikprøver, observation.
- Omfangsbegrænsninger: det, der ikke kunne ses, og hvorfor.
- Fund med betydning og prioritet.
- Anbefalinger eller en handlingsplan med ansvarlige og datoer.
- En samlet konklusion.
- Et resumé til ledelsen.
Afsnittet om omfangsbegrænsninger fylder mere i en leverandøraudit end i en intern. Afviste leverandøren adgang til et system, eller kunne et dokument kun ses på skærmen, bør det stå her. Det er en del af svaret på, om leverandøren kan kontrolleres.
Hvert fund skal kunne bruges af begge
Et fund i en leverandøraudit bør efter anerkendt praksis indeholde kriterium, tilstand, grundårsag og virkning. Over for en leverandør har hvert af de fire led en særlig funktion.
Kriterium er bestemmelsen i aftalen. Den giver leverandøren pligten til at rette.
Tilstand er det, der blev set, med henvisning til beviset. Den gør det muligt for leverandøren at genfinde forholdet.
Grundårsag hjælper leverandøren med at rette varigt.
Virkning forklarer kundens ledelse, hvorfor fundet betyder noget for kunden.
Leverandørens bemærkninger
Anerkendt praksis er at sende en foreløbig rapport til den reviderede, før rapporten er endelig. Leverandøren kan så rette faktuelle misforståelser og pege på bevis, der blev overset. Er parterne uenige om en vurdering, kan begge synspunkter fremgå af rapporten. Auditor ændrer efter samme praksis ikke et resultat uden en gyldig grund.
Over for en leverandør er den ordning værdifuld, fordi rapporten senere kan blive brugt i en drøftelse om kontraktens opfyldelse. En rapport, leverandøren har haft lejlighed til at kommentere, står stærkere.
Kravet om udbedring
Efter en inspektion bør den dataansvarlige ifølge EDPB’s retningslinjer 07/2020 kunne forlange, at databehandleren udbedrer de mangler, inspektionen har vist. Hos finansielle virksomheder kræver artikel 9, stk. 3, i forordning 2024/1773, at vurderingen af leverandøren dokumenteres og bruges til at ajourføre virksomhedens risikovurdering.
Rapporten bør derfor give kunden et beslutningsgrundlag og leverandøren et grundlag for at rette. Den sammenkobling er vores tolkning af kilderne.
Fortrolighed og flere udgaver
Rapporten indeholder ofte oplysninger om leverandørens sikkerhed, som leverandøren ikke vil have spredt. I K04, statens standardkontrakt for drift, kan leverandøren betinge adgangen af, at auditøren skriver under på fortrolighed og følger leverandørens regler for sikkerhed. DORA åbner i artikel 30, stk. 3, litra e, ii, for et andet sikkerhedsniveau ved revisionen, når hensynet til andre kunder kræver det.
De internationale standarder for intern revision tillader, at samme revision munder ud i mere end én version, skåret til hver sin læser. En kort udgave til kundens ledelse og en detaljeret til leverandørens tekniske folk er en almindelig løsning. Hvem der må se hvilken udgave, er et spørgsmål om aftale og praksis og bør afklares før auditten.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at auditor kender aftalen godt nok til at henvise til den i hvert fund, og at rapportens udgaver og modtagere er aftalt på forhånd. Det kræver også et resumé, ledelsen kan læse på få minutter.
En rapport uden kontrakthenvisninger giver leverandøren mulighed for at afvise fundene som kundens ønsker. En rapport uden resumé ender i en mappe, ingen i ledelsen åbner.
Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Det skal I lade være med
- At blande observationer og brud på aftalen · leverandøren har kun pligt til at rette det, aftalen kræver.
- At udelade omfangsbegrænsninger · ledelsen skal vide, hvad der ikke blev set.
- At sende den fulde rapport bredt · fortrolighed og udgaver aftales på forhånd.
Det skal auditten kunne vise
- ☐ Kriterier med henvisning til aftalens punkter og bilag.
- ☐ Fund med kriterium, tilstand, grundårsag og virkning.
- ☐ Et afsnit om omfangsbegrænsninger.
- ☐ Et resumé til kundens ledelse og en aftalt fordeling af udgaver.
- ☐ Et grundlag for leverandørens handlingsplan.
Kilder
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, anbefaling 5.3, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, afsnit 3.1, læst 12. november 2026.
- EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, version 2.1, punkt 144, læst 12. november 2026.
- Delegeret forordning (EU) 2024/1773, artikel 9, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 standardkontrakt for drift, punkt 16, læst 12. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 30, stk. 3, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards, 9. januar 2024, standard 13.1, 14.4 og 15.1, læst 12. november 2026.
- NIST, Special Publication 800-53A Revision 5, januar 2022, kap. 3, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag den seneste rapport om en leverandør frem, og se, om hvert fund henviser til en bestemmelse i aftalen.
Læs også: Auditkriterier · Fortrolighed og adgangsregler for auditoren
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
