En auditaftale er det skriftlige grundlag, der ligger klar, før auditor får adgang til personer, systemer og oplysninger. Den bør sige, hvad auditten omfatter, hvilken adgang auditor får og på hvilke vilkår, hvordan oplysningerne beskyttes, hvad der gemmes bagefter, og hvad der sker, hvis auditor støder på en hændelse.
Ingen lov fastlægger, hvad en auditaftale skal indeholde. Punkterne nedenfor er hentet fra god praksis hos IIA, NIST og det internationale akkrediteringsforum IAF, og på de regler i NIS 2-loven, der kan blive aktuelle undervejs. Aftalen er den praktiske forlængelse af det opdrag, I har bestilt efter.
Omfang og kriterier
Gentag mål, omfang og kriterier fra opdraget i aftalen, så der ikke er tvivl om, hvad auditor har påtaget sig. IIA’s standarder lægger op til, at omfanget og dets grænser står på skrift. Skriv også, hvordan ændringer undervejs aftales, og hvem hos jer der kan godkende dem.
Er der områder, I har valgt fra, hører de også med her. Så kan ingen senere sige, at de var en del af opgaven.
Adgang til personer, lokaler, data og systemer
Aftalen bør sige, hvem auditor må tale med, hvilke lokaler auditor må besøge, og hvilken adgang til systemer og data auditor får. Angiv for hver adgang, om auditor selv logger på, om en medarbejder viser skærmen, eller om der leveres udtræk.
Den form for adgang, auditor har, påvirker, hvor stærkt beviset er. Et udtræk, auditor ser blive lavet, vejer tungere end et, der sendes bagefter. Hvordan beviset vurderes, står i hvad tæller som bevis.
Skriv også, hvordan adgangen fjernes, når auditten er slut. Midlertidige brugere og delte mapper bør lukkes på en aftalt dato.
Fjernadgang aftales på forhånd
Foregår dele af auditten på afstand, anbefaler IAF’s dokument om fjernaudit en forudgående aftale om de digitale værktøjer, hvor sikkerhed og databeskyttelse er tænkt ind. Bliver parterne ikke enige, bruges andre metoder. Dokumentet er skrevet til certificeringsorganer, men det beskriver god praksis.
Konkret nævner aftalen programmerne til video og fildeling, tager stilling til optagelser og skærmbilleder og siger, hvor de ligger. Valget mellem gennemgang på stedet og på afstand er beskrevet i på stedet eller på afstand.
Fortrolighed og beskyttelse af oplysninger
Auditor ser ofte oplysninger, der er følsomme for virksomheden, fx svagheder, adgangsrettigheder og netværkets opbygning. Aftalen bør sige, hvem auditor må dele oplysningerne med, hvordan de opbevares, og hvad der sker med dem efter auditten.
Den bør også sige, hvem der må få rapporten. Skal den bruges over for kunder, bestyrelse eller andre, bør det stå her. Om deling, se hvem må få auditrapporten.
Arbejdspapirerne
Arbejdspapirer er auditors egne noter, referater, udtræk og beregninger, som rapporten bygger på. Ifølge IIA bør dokumentationen være så fyldig, at en anden fagperson kan gå samme vej og komme frem til det samme. NIST beskriver, at arbejdspapirerne normalt ikke indgår i rapporten, men gemmes som spor af beviset.
Aftalen bør derfor sige, hvad auditor gemmer, hvor længe, og om I kan få indsigt i det. Det kan blive vigtigt, hvis et fund senere bliver bestridt, eller hvis en myndighed spørger til grundlaget.
Hvis auditor finder en hændelse
Under en audit kan auditor støde på tegn på, at noget er sket, fx et ukendt login eller data, der ligger, hvor de ikke burde. Er virksomheden omfattet af NIS 2-loven, skal den underrette myndigheden og CSIRT’en om væsentlige hændelser (§ 12, stk. 1). En tidlig varsling skal ske senest 24 timer, og en hændelsesunderretning senest 72 timer, regnet fra det tidspunkt, enheden fik kendskab til hændelsen (§ 13, stk. 1). Modtagerne af virksomhedens tjenester skal i visse tilfælde også underrettes (§ 15).
Pligten ligger hos virksomheden. Hvornår virksomheden har fået kendskab, når det er auditor, der opdager noget, er ikke afklaret, og vi tager ikke stilling til det. Aftalen bør derfor sige, hvordan og hvor hurtigt auditor giver besked, og til hvem, så virksomheden selv kan vurdere sin pligt. Situationen er beskrevet i auditten finder en hændelse.
Ansvar
Aftalen bør sige, hvad auditor står inde for, og hvad ikke. En auditrapport bygger på det, der er undersøgt i en given periode og med en given metode. Den er ikke en garanti for, at der ikke findes andre svagheder. Skriv det, så ingen læser rapporten som et certifikat.
Er auditten led i en kundes krav til jer som leverandør, kan aftalen også skulle tage stilling til kundens adgang. Det er en opgave, der hører under kundens revisionsret over for leverandøren.
Hvad det kræver, og hvad det koster at lade være
Aftalen kræver, at den, der bestiller, den IT-ansvarlige og den, der har ansvar for databeskyttelse, læser den igennem, før den underskrives. Mange punkter kan genbruges fra en skabelon.
Uden aftale opstår spørgsmålene, når de er sværest at løse. Det kan være, når auditor vil se et system, ingen har aftalt, eller når en hændelse dukker op midt i arbejdet, og ingen ved, hvem der skal have besked.
Det skal I lade være med
- At give adgang, før aftalen er underskrevet · adgangen bør have aftalte grænser fra første dag.
- At overlade underretningen til auditor · pligten efter NIS 2-loven ligger hos virksomheden.
- At glemme at lukke adgangen · midlertidige brugere bliver let stående.
Det skal auditten kunne vise
- ☐ En underskrevet aftale med omfang, kriterier og fravalg.
- ☐ En liste over adgange, hvem der gav dem, og hvornår de blev lukket.
- ☐ Aftalt vej og frist for besked, hvis auditor støder på en hændelse.
- ☐ Hvad auditor har gemt som arbejdspapirer, og hvor længe.
Kilder
- The Institute of Internal Auditors, Global Internal Audit Standards (offentliggjort 9. januar 2024), standard 13.3 og 14.6, https://www.theiia.org/globalassets/site/standards/editable-versions/globalinternalauditstandards_2024january9_editable.pdf, læst 12. november 2026.
- NIST, SP 800-53A Revision 5 (januar 2022), bilag E, https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-53Ar5.pdf, læst 12. november 2026.
- International Accreditation Forum, IAF MD 4:2025, Issue 3, afsnit 4.1, https://iaf.nu/iaf_system/uploads/documents/IAF_MD_4_Issue_3_30012025.pdf, læst 12. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 12, 13 og 15, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Interviews i auditten · Aflevering af bevis
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
