Afvigelser i revisorerklæringen står i revisors testskema, og de kan stå der, selv om konklusionen er uden forbehold. Derfor læses en erklæring fra forsiden og ned: typen, perioden, beskrivelsen, testene og til sidst konklusionen set i lyset af det, testene viste.
Artiklen følger rækkefølgen i en ISAE 3402-erklæring. Mange ISAE 3000-erklæringer om IT-sikkerhed er bygget på samme måde, men læs altid den konkrete erklæring for sig.
Type 1 eller type 2
ISAE 3402 skelner mellem to typer. Oversat fra standardens definitioner indeholder en type 1-erklæring leverandørens systembeskrivelse, leverandørens skriftlige udsagn om, at beskrivelsen er retvisende, og at kontrollerne pr. en given dag var hensigtsmæssigt udformet. Dertil kommer revisors erklæring om begge dele.
En type 2-erklæring dækker det samme for en hel periode og desuden, at kontrollerne fungerede effektivt i perioden. Revisors erklæring indeholder i så fald en beskrivelse af testene og deres resultater.
Forskellen er afgørende for en modtager. En type 1 siger, at kontrollerne fandtes og var fornuftigt bygget på én dag. Om de blev udført resten af året, siger den intet om. Kun type 2 har et testskema.
Datoen og perioden
Find erklæringens dato og, for type 2, periodens start og slutning. Erklæringen må efter standarden tidligst dateres, når revisor har tilstrækkeligt bevis.
Standarden sætter ingen grænse for, hvor længe efter periodens udløb en erklæring kan bruges. Finanssektorens regler i forordning 2024/1773 kræver, at finansielle virksomheder efterprøver, at rapporter ikke er forældede. Uden for finanssektoren kan reglen bruges som målestok. Spørg jer selv, hvad der er sket hos leverandøren efter periodens slutning, og om noget af det berører jeres ydelse.
Beskrivelsen
Systembeskrivelsen er leverandørens egen tekst. Læs den for at se, hvilke ydelser, lokationer og underleverandører den omfatter. Erklæringen skal efter standarden angive de dele af beskrivelsen, konklusionen ikke dækker. Står jeres ydelse ikke i beskrivelsen, dækker erklæringen den ikke.
Læg også mærke til, hvordan underleverandører er behandlet, og hvilke kontroller beskrivelsen forudsætter hos jer. De to emner har hver deres artikel: underleverandørens kontroller og komplementære brugerkontroller.
Testskemaet
I en type 2-erklæring angiver revisor for hver kontrol, om alle elementer eller et udvalg er testet, og hvilken slags test der er brugt. Ved afvigelser oplyses stikprøvens størrelse og afvigelsernes antal og art.
Standarden siger udtrykkeligt, at revisor skal rapportere afvigelser, også når revisor ud fra testene har konkluderet, at kontrolmålet blev nået. Det er nøglen til læsningen. En ren konklusion betyder, at revisor vurderede kontrolmålet som nået samlet set, og den kan godt rumme enkelte fejl i testene. BSI skriver det samme om sine C5-erklæringer: en konklusion uden forbehold er ikke ensbetydende med, at der ingen afvigelser er, og kunden må selv vurdere dem.
Gå derfor testskemaet igennem og noter hver afvigelse. Spørg for hver: angår den en kontrol, jeres ydelse afhænger af? Har leverandøren kommenteret den? Er den rettet, og hvornår?
Konklusionen
Revisors konklusion er positivt formuleret om beskrivelsen, udformningen og for type 2 virkningen. Standarden kræver en modificeret konklusion, hvis beskrivelsen ikke er retvisende, hvis kontrollerne ikke er hensigtsmæssigt udformet, hvis de testede kontroller ikke fungerede effektivt, eller hvis revisor ikke kunne skaffe tilstrækkeligt bevis. Alle grunde skal beskrives.
Standardens egne tænkte eksempler viser forbehold, fordi adgangskontrol kun var indført i nogle applikationer, og fordi programændringer hverken blev godkendt af en uafhængig person eller testet før idriftsættelse. Standarden omtaler også en afkræftende konklusion og den situation, hvor revisor ikke kan give en konklusion.
Erklæringen skal desuden nævne kontrollernes begrænsninger og, for type 2, risikoen ved at fremskrive vurderingen til fremtidige perioder. Det afsnit er standardtekst, men det minder om, at erklæringen ser bagud.
Når der er bemærkninger: handlingsplanen
Har I aftalt statens standardkontrakt K04, står der i punkt 15, at leverandøren sender revisorerklæringen videre inden for 10 arbejdsdage. Har revisor bemærkninger, suppleres erklæringen med revisors samlede revisionsgrundlag og en handlingsplan fra leverandøren, som kunden skal have senest 10 arbejdsdage efter erklæringen. Kunden må være med til møder med revisor og spørge ind til erklæringen og grundlaget. Først når revisor i en ny erklæring har dokumenteret, at forholdet er rettet, regnes det for bragt i orden. Revisionen omfatter også underleverandører.
Uden K04 kan I bede om det samme, men retten følger af jeres egen aftale.
Ønsker I hjælp til at læse en erklæring og formulere opfølgningen, er det en opgave, Nielco IT løser uvildigt og uden forhandleraftaler. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Notatet efter gennemgangen
Gennemgangen bør efterlade et kort notat, som kan findes igen ved næste tilsyn. Notatet er praksis, ingen regel kræver det. Uden det kan I ikke vise, at erklæringen er læst. Et notat med faste felter kan se sådan ud (de tænkte eksempler står i parentes):
- Erklæring · Standard, type og udsteder (ISAE 3402 type 2 fra leverandørens revisor)
- Periode · Fra og til, og afstanden til i dag (1. januar til 31. december, læst i marts)
- Omfang · Hvilke ydelser og lokationer der er med, og om jeres ydelse er dækket (drift ja, support nej)
- Afvigelser · Kontrol, antal og om den angår jeres leverance (adgangsgennemgang, 2 af 25, ja)
- Komplementære kontroller · Hver kontrol hos jer med en intern ejer (brugeroprettelse, HR og IT-ansvarlig)
- Beslutning · Godkendt, godkendt med opfølgning eller ikke tilstrækkelig (godkendt med opfølgning)
- Opfølgning · Hvad der er bedt om, og hvornår (handlingsplan til afvigelsen, inden en aftalt dato)
- Dato og navn · Hvem der læste, og hvornår
Notatet hører sammen med erklæringen i jeres tilsynsmappe. Næste år sammenligner I med det forrige notat.
Hvad det kræver, og hvad det koster at lade være
Det kræver tid til at læse testskemaet og viden om, hvilke kontroller jeres ydelse afhænger af. En erklæring på mange sider kan reduceres til en kort liste over afvigelser, der betyder noget for jer.
Læser I kun konklusionen, overser I de afvigelser, revisor har fundet, men vurderet som ikke afgørende for leverandørens kunder samlet. For netop jeres ydelse kan de være afgørende.
Det skal I lade være med
- At behandle en type 1 som bevis for drift over tid · den har ingen test af virkningen.
- At stoppe ved en konklusion uden forbehold · afvigelserne står i testskemaet.
- At sætte en fast grænse i måneder for erklæringens alder · vurdér ændringerne siden perioden.
Det skal auditten kunne vise
- ☐ Erklæringens type, dato og periode.
- ☐ Et notat med faste felter for hver læst erklæring.
- ☐ Om jeres ydelse og lokationer står i beskrivelsen.
- ☐ En liste over afvigelser i testskemaet med jeres vurdering af hver.
- ☐ Konklusionens art og eventuelle forbehold.
- ☐ Leverandørens handlingsplan og opfølgningen, hvor der er bemærkninger.
Kilder
- IAASB, ISAE 3402, i IAASB Handbook 2013, afsnit 9(j), 9(k), 53 til 55, A51, A52 og bilag 3, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 Standardkontrakt for drift, punkt 15, læst 12. november 2026.
- Kommissionens delegerede forordning (EU) 2024/1773, artikel 8, stk. 3, læst 12. november 2026.
- BSI, C5 FAQ, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Åbn den seneste erklæring fra jeres vigtigste leverandør, og tæl afvigelserne i testskemaet, før I læser konklusionen.
Læs også: ISAE 3000 eller ISAE 3402 · Handlingsplanen efter auditten
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
