En audit hos leverandøren varsles som udgangspunkt med den frist, aftalen fastsætter. En audit uden varsel er kun mulig, hvis aftalen giver ret til det, og i statens kontraktmodel forudsætter det en velbegrundet mistanke om, at leverandøren ikke overholder kontrakten.
De to former kan vise forskellige ting. En varslet audit viser, hvordan leverandøren arbejder, når den er forberedt. En audit uden varsel viser, hvordan det ser ud en almindelig dag. Hvilken form der passer, afhænger af, hvad I vil vide, og hvad aftalen tillader.
Hvad kontraktmodellerne siger om varsel
K04, statens standardkontrakt for it-drift, er en offentlig model, som private kan låne fra. Punkt 16 lader kunden auditere, når der er givet varsel, og kontraktens forslag er [30] dage. Tallet står i skarpe parenteser og er et felt, kunden kan ændre. Varslet kan springes over, når kunden har et velbegrundet og dokumenteret grundlag for at tro, at leverandøren ikke lever op til kontrakten. K04 bruger ordene kvalificeret og underbygget.
Kataloget fra 2022 over kontraktbestemmelser til samfundskritiske systemer er bygget op på samme måde, med et aftalt varsel som hovedregel og intet varsel, når mistanken er velbegrundet. K03, en ældre statslig model for udviklingsprojekter, havde 10 arbejdsdages varsel som udgangspunkt.
Datatilsynets skabelon til databehandleraftale nævner hverken et varsel eller audit uden varsel. Bilag C.7 giver den dataansvarlige adgang til inspektion, når den dataansvarlige finder det nødvendigt. Om det i en konkret sag giver ret til at komme uden varsel, siger skabelonen ikke. Det bør ikke læses ind i den.
EU-Kommissionens standardbestemmelser for databehandlere går den anden vej. Bestemmelse 7.6 siger, at inspektioner skal gennemføres med et rimeligt varsel, hvor det er relevant.
Som kontrolform
Statens vejledning om cybersikkerhed i leverandørforhold nævner tilsyn hos leverandøren som en af flere kontrolformer og skriver, at det kan ske som et varslet eller uanmeldt besøg. Vejledningen tager ikke stilling til, hvornår hvert passer. Den forudsætter, at formen står i aftalen.
Hvad hver form kan vise
Sammenligningen er vores egen og en praksis.
- Grundlag · Varslet audit: Aftalens almindelige revisionsret · Audit uden varsel: Aftalens særlige ret, typisk ved underbygget mistanke
- Forberedelse hos leverandøren · Varslet audit: De rigtige personer og dokumenter er klar · Audit uden varsel: Den bemanding og dokumentation, der er på dagen
- Hvad den viser godt · Varslet audit: Processer, dokumentation, ledelsens svar · Audit uden varsel: Fysiske forhold, rutiner og logs i den tilstand, de er
- Risiko · Varslet audit: Leverandøren rydder op til lejligheden · Audit uden varsel: Nøglepersoner er ikke til stede, og driften forstyrres
- Forhold til leverandøren · Varslet audit: Samarbejde · Audit uden varsel: Tillidsspørgsmål, der skal kunne begrundes
Den varslede audit er den almindelige. Den passer til planlagte audits, hvor formålet er at se, om leverandøren lever op til aftalen. Leverandørens forberedelse er ikke en fejl. Den giver auditten adgang til de rigtige personer og dokumenter.
Audit uden varsel passer til situationer, hvor I har en konkret grund til at tro, at billedet på en varslet dag ikke er retvisende. Det kan være oplysninger om en hændelse, der ikke er meldt, eller rapporter, der ikke stemmer med det, I selv ser. Eksemplerne er tænkte.
Mistanken skal kunne underbygges
Betingelsen i K04 betyder, at I bør kunne vise, hvad mistanken bygger på. Skriv det ned, før auditten gennemføres: hvilke oplysninger, hvornår de kom, og hvorfor de ikke kan afklares med en varslet audit. Det er praksis og jeres beskyttelse, hvis leverandøren senere bestrider, at betingelsen var opfyldt.
K04 beder også om, at auditten planlægges, så den generer driften så lidt som muligt. Det gælder også en audit uden varsel. Planlæg, hvem der skal tale med hvem, og hvad der skal ses, så besøget bliver kort.
Hvad aftalen bør sige
Står der intet om varsel i jeres aftale, er formen et forhandlingsspørgsmål hver gang. Det kan være en fordel at aftale tre ting på forhånd. Et varsel for planlagte audits, som giver leverandøren tid nok til at stille med de rigtige folk. En betingelse for audit uden varsel, som begge parter forstår ens. Og en regel om, hvem der skal kunne tage imod auditorerne, hvis de kommer uden varsel. Forslaget er vores og ikke en færdig klausul. Hvordan klausulen kan bygges op, er beskrevet under revisionsretten i kontrakten.
En mellemvej
Mellem de to former findes et kort varsel. Varsles auditten med få dage, kan leverandøren stille med de rigtige personer, men ikke ændre meget. Det kræver, at aftalen tillader et kortere varsel, eller at leverandøren accepterer det. En anden mellemvej er en varslet audit, hvor nogle stikprøver først udvælges på dagen. Begge dele er praksis.
Er I leverandør og vil vide, hvordan I tager imod en varslet audit, se kunden har varslet audit.
Hvad det kræver, og hvad det koster at lade være
En varslet audit kræver, at varslet i aftalen overholdes, og at planen sendes i tide. En audit uden varsel kræver, at aftalen giver retten, at mistanken er dokumenteret, og at auditorerne er klar til at møde op med kort tid.
Bruges audit uden varsel uden grundlag, kan leverandøren afvise adgang med henvisning til aftalen, og samarbejdet bagefter bliver sværere. Bruges den aldrig, også når der er grund til det, kan et problem få lov at vokse.
Det skal I lade være med
- At læse Datatilsynets skabelon som en ret til at komme uden varsel · skabelonen nævner det ikke.
- At gennemføre en audit uden varsel uden en skriftlig begrundelse · K04 kræver en underbygget mistanke.
- At se leverandørens forberedelse som et problem · den giver adgang til de rigtige personer.
Det skal auditten kunne vise
- ☐ Den bestemmelse i aftalen, auditten er gennemført efter.
- ☐ Det varsel, der blev givet, eller begrundelsen for, at der ikke blev givet et.
- ☐ Den dokumenterede mistanke, hvis auditten var uden varsel.
- ☐ Hvordan hensynet til leverandørens drift blev taget.
- ☐ Leverandørens eventuelle indsigelser mod formen.
Kilder
- Digitaliseringsstyrelsen, K04 Standardkontrakt for levering af drift og øvrige løbende ydelser til it-systemer, offentliggjort 25. august 2020, punkt 16, læst 12. november 2026.
- Digitaliseringsstyrelsen, Katalog over kontraktbestemmelser for samfundskritiske it-systemer, marts 2022, punkt 4.1.5, læst 12. november 2026.
- Digitaliseringsstyrelsen, K03 juridisk vejledning, punkt 18.3, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bilag C.7, læst 12. november 2026.
- Kommissionens gennemførelsesafgørelse (EU) 2021/915, bestemmelse 7.6, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, s. 25, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find varslet og eventuelle regler om audit uden varsel i jeres vigtigste aftaler, og noter dem i jeres årsplan.
Læs også: Audit efter en sikkerhedshændelse hos leverandøren · Besøget hos leverandøren
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
