En forhåndsaudit er en gennemgang, I selv bestiller hos en uvildig part, før kunderne auditerer jer. Den finder de steder, hvor jeres sikkerhed findes på papiret, men ikke kan bevises, så I kan rette det, før det bliver et fund i en kundes rapport.
Artiklen er skrevet til leverandøren. Ingen regel kræver en forhåndsaudit. Alt om metoden er praksis, og afsnittet om, hvad resultatet kan bruges til over for kunderne, bygger på en tolkning af Datatilsynets vejledning.
Fire spørgsmål, der sorterer alt
En vejledning om audit og måling på sikkerdigital.dk deler arbejdet op i fire spørgsmål, som også passer på en leverandør, der vil se sig selv udefra. Omskrevet til jeres situation lyder de sådan. Findes kontrollen? Bliver den udført? Dækker den det, den skal? Og har den den virkning, der var meningen?
De fleste leverandører kan svare ja til det første. Det er ved de tre næste, at forskellen mellem papir og praksis viser sig. En adgangsprocedure kan være skrevet, men fratrådte konti kan stadig være aktive. En backupprocedure kan beskrive gendannelsestest, men den seneste test kan ligge flere år tilbage.
Hvad en forhåndsaudit typisk finder
Der findes ingen opgørelse over fund ved forhåndsaudits. Listen herunder er derfor typer af forhold, som de fire spørgsmål er gode til at afsløre:
- Kontroller, der er beskrevet, men ikke efterlader spor, som kan vises.
- Svar i kundernes spørgeskemaer, der lover mere, end praksis kan dokumentere.
- Underleverandører, der bruges, men ikke står på listen over godkendte.
- Procedurer, der er skrevet til et system, I ikke længere bruger.
- Opgaver, der hænger på én medarbejder uden stedfortræder.
En kunde, der finder sådanne forhold, skriver dem i sin rapport. Finder I dem selv, kan I rette dem uden en kundes tidsfrist.
Vælg kriterierne fra jeres kunder
En audit måler mod kriterier, og kriterierne skal være konkrete. Ordene “tilstrækkelig sikkerhed” kan ikke auditeres. Brug derfor de krav, jeres kunder faktisk stiller: databehandleraftalernes instrukser, sikkerhedsbilagene, de spørgeskemaer, I oftest modtager, og eventuelle krav om erklæringer.
Er I selv omfattet af NIS 2-loven som udbyder af administrerede tjenester, hører jeres egne lovkrav også med. Er I det ikke, kommer kundernes krav kun til jer gennem kontrakterne.
Uafhængigheden
En gennemgang, jeres egen driftsafdeling laver af sig selv, er nyttig som forberedelse. Den bliver dog vurderet af den, der har bygget løsningen. NIST beskriver en uafhængig vurderer som en, der kan foretage en upartisk vurdering, fri af faktiske eller opfattede interessekonflikter i forhold til udvikling, drift eller ledelse af systemet.
Vil I kunne vise resultatet til en kunde, skal gennemgangen derfor være lavet af en part, der hverken har bygget, driver eller leverer til det, der vurderes, og som ikke har en forhandleraftale om de løsninger, den kunne anbefale.
Hvad resultatet kan bruges til over for kunderne
En forhåndsaudit er ikke en erklæring og ikke et certifikat. Erklæringer med sikkerhed afgives af en revisor efter revisorloven, og certifikater udstedes af certificeringsorganer. Rapporten kan heller ikke erstatte en kundes aftalte audit. Datatilsynets skabelon til databehandleraftale lader kunden anfægte rammerne og metoden for den dokumentation, databehandleren sender.
Datatilsynets tilsynsvejledning fra 2021 har et koncept, hvor tilsynet er ført af en uafhængig tredjepart. Tredjeparten skal være uafhængig af databehandleren, og tilsynet skal dække kundens behandlingsaktiviteter, aftalen, særlige krav og underdatabehandlere. En rapport, I selv har bestilt, kan efter en læsning af vejledningen kun bruges i det koncept, hvis den opfylder de krav og det, kunden har aftalt. Det er en tolkning, og det er kunden, der vurderer.
Det, rapporten altid kan bruges til, er jeres egen forberedelse og en dokumenteret handlingsplan. Vis gerne kunden, at I har fået en uvildig gennemgang, hvad den omfattede, og hvilke fund I har lukket. Lov ikke, at gennemgangen betyder, at kunden kan springe sin egen kontrol over.
Fra fund til plan
Behandl forhåndsauditens fund på samme måde som en kundes fund: en ejer, en dato og et lukkebevis. Det gør det lettere at svare, når en kunde senere spørger, hvad I har gjort ved samme forhold. Se leverandøren fik fund.
Planlæg gennemgangen, så den ligger før de perioder, hvor kunderne normalt kommer. Har I samlede auditdage, så læg den et par måneder før. Se kundeaudits som fast proces.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at I vælger kriterierne, stiller med de folk og det bevis, en kunde ville bede om, og afsætter tid til at rette fundene bagefter.
Nielco IT laver uvildige forhåndsgennemgange for leverandører og har ingen forhandleraftaler. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Uden en forhåndsaudit er det kunderne, der finder hullerne. Det sker med deres frister, i deres rapporter og ofte flere gange, fordi flere kunder finder det samme.
Det skal I lade være med
- At kalde forhåndsauditten en erklæring eller en godkendelse · det er den ikke.
- At lade driftsafdelingen vurdere sig selv og kalde det uvildigt · uafhængigheden måles i forhold til det, der vurderes.
- At love kunderne, at deres egen audit bliver overflødig · kunden har sin aftalte ret.
Det skal auditten kunne vise
- ☐ Kriterierne, gennemgangen målte mod, med henvisning til kundernes krav.
- ☐ Hvem der lavede den, og deres uafhængighed af det vurderede.
- ☐ Fundene med ejer, dato og lukkebevis.
- ☐ En kort beskrivelse til kunderne af omfanget og af, hvad den ikke dækker.
Kilder
- Sikkerdigital.dk, Audit og måling, læst 12. november 2026.
- NIST, Special Publication 800-53A Revision 5, januar 2022, kap. 3, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, koncept 5, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bilag C.7, læst 12. november 2026.
- Revisorloven, lovbekendtgørelse nr. 206 af 20. februar 2025, § 1, stk. 2, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Saml de krav, jeres kunder oftest stiller, og brug dem som kriterier for gennemgangen.
Læs også: Kunden har varslet audit · Svar på kundernes spørgeskemaer
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
