En erklæring efter ISAE 3402 eller ISAE 3000 afgives af en erklæringsgiver efter en international standard og har modtagere uden for virksomheden for øje. En auditrapport er skrevet til jeres egen ledelse med fund og anbefalinger. Hvilken I har brug for, afhænger af, hvem der skal læse resultatet, og hvad modtageren skal bruge det til.
Spørgsmålet kommer typisk, når en kunde, en bestyrelse eller en samarbejdspartner beder om “dokumentation for IT-sikkerheden”. Nogle beder om en erklæring ved navn, andre bare om noget skriftligt. Artiklen her forklarer de tre former, så I kan vælge den, der passer.
ISAE 3000: erklæringer om andet end regnskaber
ISAE 3000 (Revised) er udgivet af IAASB, den internationale standardsætter for revision og erklæringer. Den handler om erklæringsopgaver med sikkerhed, der ikke er revision eller review af historiske finansielle oplysninger. Den bruges bl.a. til erklæringer om IT-sikkerhed og databeskyttelse.
Der findes to niveauer, som på engelsk hedder reasonable og limited assurance. På dansk bruges ofte høj grad af og begrænset sikkerhed, men FSR’s danske oversættelse er ikke læst, så ordene her er vores egne. Det høje niveau ender i en egentlig udtalelse om emnet. Det begrænsede niveau ender i en konklusion om, hvorvidt erklæringsgiveren er stødt på noget, der tyder på væsentlige fejl.
For at bruge standarden skal erklæringsgiverens hold følge IESBA’s etiske regler, som bl.a. omfatter uafhængighed, eller regler, der er mindst lige så strenge. Firmaet bag skal desuden have krav om kvalitetsstyring.
ISAE 3402: kontroller hos en serviceleverandør
ISAE 3402 handler om erklæringer om kontroller hos en serviceleverandør. Ifølge IAASB’s oversigt afgiver revisorer i offentlig praksis rapporten til brugervirksomhederne og deres revisorer, når serviceleverandørens ydelse sandsynligvis er relevant for brugervirksomhedernes interne kontrol med regnskabsaflæggelsen.
Standarden er altså skrevet til en bestemt situation: I leverer en ydelse, typisk drift eller lønbehandling, som påvirker jeres kunders regnskab. Er det ikke jeres situation, er ISAE 3402 sjældent den rigtige form. De forskellige typer af ISAE 3402-erklæringer er ikke beskrevet her, fordi primærkilden ikke er læst.
Hvem afgiver erklæringen
Revisorloven gælder ifølge § 1, stk. 2, når en revisor afgiver erklæringer med sikkerhed, der ikke udelukkende er til hvervgiverens eget brug. En erklæring, der skal gives videre til kunder, falder dermed typisk ind under loven, når en revisor afgiver den. Hvilken faggruppe der skal afgive en bestemt erklæring, afgøres af den lov eller den aftale, der kræver den. Det er en forenkling, og en konkret aftale bør læses af en jurist, hvis der er tvivl.
Auditrapporten
En auditrapport fra en sikkerhedsauditor følger ikke en erklæringsstandard. Den beskriver, hvad der er undersøgt, hvilke kriterier der er brugt, hvad der er fundet, og hvad der anbefales. Det er vores tolkning, at den derfor ikke er en erklæring med sikkerhed, selv om den bygger på bevis og er udført uafhængigt.
Styrken er detaljerne. Rapporten kan nævne konkrete svagheder, systemer og personer, fordi den er skrevet til jeres egen ledelse. Netop derfor bør den sjældent sendes ud af huset i fuld længde. Hvad I kan vise i stedet, står i hvem må få auditrapporten.
Hvad bestyrelsen kan spørge om
Bestyrelsesforeningens anbefalinger om cybersikkerhed fra marts 2021 har en checkliste, der spørger, om virksomheden får udarbejdet revisorerklæringer om IT-sikkerhed, fx efter ISAE 3402 eller ISAE 3000, og om der er fund med en plan for udbedring. Publikationen er fra 2021, og der kan være kommet en nyere udgave.
Spørgsmålet viser, at bestyrelsen kan bruge begge former. Erklæringen giver en konklusion fra en part med etiske regler og kvalitetskrav. Auditrapporten giver den detaljerede viden, der skal til for at følge op.
Sådan vælger I
- Mange kunder vil have samme dokumentation om jeres ydelse · Erklæring, typisk ISAE 3000 eller ISAE 3402
- Jeres ydelse påvirker kundernes regnskab · ISAE 3402
- Ledelse eller bestyrelse vil kende svaghederne og rette dem · Auditrapport
- Én kunde vil se noget før en kontrakt · Et resumé af en auditrapport eller en erklæring, efter aftale
Mange virksomheder starter med en auditrapport og retter fundene, før de bestiller en erklæring. Så undgår de, at erklæringen kommer med forbehold. Hvordan jeres kunder læser en erklæring, når I er deres leverandør, er beskrevet på sitet om erklæringer læst af kunden.
Hvad det kræver, og hvad det koster at lade være
En erklæring kræver en erklæringsgiver, der arbejder efter standarden, og et kontrolmiljø, der er beskrevet så præcist, at det kan erklæres om. En auditrapport kræver et opdrag, adgang og tid hos de berørte medarbejdere.
Vælges den forkerte form, kan I enten stå med en dyr erklæring, som ledelsen ikke kan bruge til at rette noget, eller med en detaljeret rapport, som kunden ikke vil acceptere som dokumentation, eller som ikke bør forlade huset.
Det skal I lade være med
- At sende hele auditrapporten til en kunde · den beskriver jeres svagheder i detaljer.
- At kalde en auditrapport for en erklæring · den følger ikke en erklæringsstandard.
- At bestille ISAE 3402 uden regnskabsrelevans · standarden er skrevet til den situation.
Det skal auditten kunne vise
- ☐ Hvilken form resultatet har, og efter hvilken standard, hvis nogen.
- ☐ Hvem der er modtager, og om resultatet må gives videre.
- ☐ Hvilke kriterier og hvilken periode der er dækket.
- ☐ Fund med en plan for udbedring.
Kilder
- IAASB, ISAE 3000 (Revised), afsnit 1, 3 og 12, https://www.iaasb.org/system/files/publications/files/ISAE%203000%20Revised%20-%20for%20IAASB.pdf, læst 12. november 2026.
- IAASB, Staff Overview, ISAE 3402, Assurance Reports on Controls at a Service Organization (30. november 2009), https://www.iaasb.org/publications/staff-overview-international-standard-assurance-engagements-isae-3402-assurance-reports-controls, læst 12. november 2026.
- Retsinformation, Lovbekendtgørelse nr. 206 af 20. februar 2025 (revisorloven), § 1, https://www.retsinformation.dk/eli/lta/2025/206, læst 12. november 2026.
- Bestyrelsesforeningens Center for Cyberkompetencer, Cybersikkerhed for bestyrelser (marts 2021), s. 9-10, https://www.ds.dk/media/552b2gvc/cybersikkerhed-for-bestyrelser-anbefalinger-til-styrkelse-af-cyberkompetencer-v2-1-marts-2021.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Audit, revision, gennemgang og tjek · Kunden kræver dokumentation
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
