Når jeres revisor spørger til den IT, der drives af en leverandør, er det fordi leverandørens ydelser kan være en del af det system, regnskabet bygger på. Revisor skal så skaffe sig bevis for de kontroller, der sidder hos leverandøren, og den lettest tilgængelige vej er som regel leverandørens erklæring.
Artiklen handler kun om leverandørdelen af årsrevisionen. Den bygger på den internationale revisionsstandard ISA 402 om virksomheder, der bruger serviceorganisationer. Standarden er læst i den irske udgave, opdateret oktober 2024. IAASB’s egen udgave og en dansk udgave er ikke læst, og artiklen siger intet om, hvilke standarder danske revisorer er forpligtet til at følge.
Hvorfor revisor interesserer sig for leverandøren
ISA 402 handler om revisors ansvar for at skaffe tilstrækkeligt og egnet revisionsbevis, når en virksomhed bruger en eller flere serviceorganisationer. Ydelserne er relevante for revisionen, når de og kontrollerne over dem indgår i virksomhedens informationssystem til regnskabsaflæggelsen (punkt 3). Det kan være et lønsystem, et økonomisystem i skyen eller en driftsleverandør, der passer serverne bag bogføringen.
Hvor meget revisor skal gøre, afhænger af ydelsernes karakter og betydning (punkt 4). En leverandør, der kun leverer e-mail, fylder mindre end den, der beregner lønnen.
Revisors fire veje til forståelsen
Efter punkt 12 kan revisor skaffe sig forståelsen af leverandørens kontroller på fire måder:
- ved at læse en rapport af type 1 eller 2, som leverandørens revisor har afgivet
- ved at kontakte leverandøren gennem jer
- ved et besøg hos leverandøren
- ved at bruge en anden revisor
Standarden skelner mellem de to rapporttyper (punkt 8). En type 1-rapport handler om beskrivelsen og designet af kontrollerne på en bestemt dato. En type 2-rapport handler også om, hvorvidt kontrollerne har virket effektivt i en periode.
Skal revisor bygge på, at kontrollerne hos leverandøren virker, kræves der efter punkt 16 bevis ved en type 2-rapport, egne test eller en anden revisor. Ved en type 2-rapport vurderes periodens længde og tiden siden testene (punkt 17).
Det, revisor vurderer i erklæringen
Når revisor bruger en rapport, skal revisor efter punkt 13 sikre sig, at leverandørens revisor er kompetent og uafhængig, og at den standard, rapporten er udarbejdet efter, er tilstrækkelig. Efter punkt 14 vurderer revisor, om rapporten gælder et passende tidspunkt eller en passende periode, og om de komplementære kontroller hos brugervirksomheden er relevante og indført hos jer.
Det sidste punkt rammer jer direkte. En erklæring forudsætter ofte, at kunden selv gør bestemte ting, fx godkender brugeroprettelser eller afstemmer data. Har I ikke gjort dem, hjælper leverandørens kontroller ikke revisor meget.
Punkt 18 handler om underleverandører. En rapport, der udelader en underserviceorganisation med den såkaldte carve-out-metode, dækker ikke underleverandørens ydelser. Revisor må så finde beviset et andet sted.
Kan revisor ikke få tilstrækkeligt bevis, modificeres konklusionen (punkt 20).
Det, I kan have klar
Revisionsstandarden pålægger revisor pligter. Den pålægger ikke jer noget. Listen herunder er praksis afledt af punkt 12 til 17 og gør revisors arbejde kortere.
- En oversigt over de leverandører, der berører regnskabet, og hvilke processer de understøtter.
- Den seneste erklæring fra hver, med periode og type.
- En gennemgang af de komplementære kontroller, erklæringen forudsætter, og bevis for, at I har udført dem.
- Oplysning om underleverandører, erklæringen udelader, og hvad I ved om deres kontroller.
- En sammenligning af erklæringens periode med jeres regnskabsår, så revisor kan se, hvor stor en del af året testene dækker.
Det sidste punkt hænger sammen med punkt 14 og 17, hvor revisor vurderer, om perioden passer, og hvor lang tid der er gået siden testene. Ligger erklæringens periode langt fra regnskabsåret, vil revisor ofte spørge, hvad der er sket i mellemtiden. Det er en god idé at have spurgt leverandøren først.
Når der ingen erklæring er
Har leverandøren ingen erklæring, må revisor bruge de andre veje: oplysninger gennem jer, et besøg eller en anden revisor. Det kan blive en større opgave. Går revisor gennem jer, skal I kunne formidle spørgsmålene og få svar tilbage. Aftal på forhånd med leverandøren, hvem der svarer, og inden for hvilken tid, så revisionen ikke står og venter på et svar fra en leverandør, der ikke kender sagen. Er leverandøren vigtig for regnskabet, kan det være værd at tage spørgsmålet om en erklæring op ved næste kontraktforhandling.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at I kender de leverandører, der påvirker regnskabet, beder om erklæringerne i tide og kan dokumentere de kontroller, erklæringerne forudsætter hos jer.
Mangler beviset, kan revisor ikke bygge på leverandørens kontroller og må enten udføre mere arbejde eller i sidste ende modificere sin konklusion.
Det skal I lade være med
- At sende erklæringen uden at have læst afsnittet om kundens egne kontroller · det er ofte dér, revisor finder hullet.
- At gå ud fra, at en type 1-rapport viser, at kontrollerne virker · den handler om design på én dato.
- At glemme de underleverandører, erklæringen udelader · deres ydelser er ikke dækket.
Det skal auditten kunne vise
- ☐ En oversigt over leverandører, der berører regnskabet.
- ☐ Den seneste erklæring fra hver, med type og periode.
- ☐ Bevis for de komplementære kontroller hos jer.
- ☐ En vurdering af udeladte underleverandører.
- ☐ En sammenligning af erklæringens periode med regnskabsåret.
Kilder
- IAASA, International Standard on Auditing (Ireland) 402, Audit Considerations Relating to an Entity Using a Service Organization, opdateret oktober 2024, punkt 1 til 20, læst 12. november 2026. IAASB’s egen udgave og en dansk udgave er ikke læst.
Senest gennemgået: november 2026.
Næste skridt
Lav en liste over de leverandører, der berører regnskabet, og bed om den seneste erklæring fra hver.
Læs også: Komplementære brugerkontroller · Er underleverandørens kontroller med i erklæringen?
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
