En ISAE-erklæring fra IT-leverandøren er en revisors udtalelse om leverandørens kontroller. Den er kun nyttig for jer, hvis I læser, hvad den dækker. Ledelsen bør se efter fem ting: hvilke ydelser og systemer erklæringen omfatter, hvilken periode eller dato den gælder for, om revisor har udtalt sig efter type 1 eller type 2, om revisor har taget forbehold, og hvad beskrivelsen forudsætter, at I selv gør. Om jeres egen sikkerhed udtaler erklæringen sig ikke.
To standarder fra samme udsteder
Begge standarder er udgivet af International Auditing and Assurance Standards Board (IAASB), som er den uafhængige standardsætter under den internationale revisorsammenslutning IFAC.
ISAE 3402 handler ifølge IAASB om erklæringer om kontroller hos en serviceorganisation, som er relevante for kundernes interne kontrol med regnskabsaflæggelsen. Den er altså skrevet med økonomi og regnskab for øje. IAASB’s oversigt over standarden nævner, at den ikke dækker kontroller, der ikke vedrører regnskabet, og bruger produktion og kvalitetskontrol som eksempler.
ISAE 3000 er den generelle standard for erklæringsopgaver, der ikke er revision eller review af historiske regnskabsoplysninger. Den bruges, når emnet er et andet end regnskabet, fx informationssikkerhed eller et bestemt sæt af krav.
For jer som modtager betyder det, at standardens nummer fortæller noget om formålet. En ISAE 3402-erklæring til brug for jeres revisor kan være fin til regnskabet og stadig sige lidt om de sikkerhedskrav, I har stillet i kontrakten.
Omfang: hvad er med
Det første, I skal læse, er beskrivelsen af det system og de ydelser, erklæringen dækker. Leverandøren beskriver selv sit system og sine kontroller, og revisor udtaler sig om beskrivelsen og kontrollerne. Står jeres ydelse ikke i beskrivelsen, dækker erklæringen den ikke.
Spørg derfor:
- Er netop de ydelser, I køber, med i beskrivelsen?
- Er de lokationer og datacentre, jeres data ligger i, med?
- Er leverandørens egne underleverandører beskrevet, og er deres kontroller med eller holdt uden for?
- Svarer kontrolmålene til de krav, I har stillet i aftalen?
Hvordan kravene til leverandøren skrives ind fra starten, står i sikkerhedskrav til IT-leverandøren.
Type 1 eller type 2
Ifølge IAASB udtaler revisor i en type 1-erklæring sig om, hvorvidt beskrivelsen giver et retvisende billede af systemet, som det er designet og implementeret, og om kontrollerne er hensigtsmæssigt designet. I en type 2-erklæring udtaler revisor sig også om, hvorvidt kontrollerne har fungeret effektivt i en angivet periode.
Forskellen er vigtig. En type 1-erklæring viser, at kontrollerne er indrettet fornuftigt. En type 2-erklæring viser desuden, at de er blevet udført i perioden, og den indeholder en beskrivelse af revisors test. Læs, hvilken periode type 2-erklæringen dækker, og hvor længe der er gået, siden den sluttede. En periode, der sluttede for længe siden, siger mindre om i dag.
Spørg leverandøren, hvornår den næste erklæring kommer, og skriv datoen ind i jeres årshjul for sikkerhed. Så bliver den læst, når den kommer, og I opdager det, hvis den udebliver. Har leverandøren kun en type 1-erklæring, kan I spørge, om og hvornår der kommer en type 2.
Grad af sikkerhed under ISAE 3000
ISAE 3000 skelner mellem to grader af sikkerhed, som på engelsk hedder reasonable og limited assurance. Ved den høje grad udtrykker revisor konklusionen positivt. Ved den begrænsede grad er handlingerne færre, og standarden kræver, at erklæringen siger, at sikkerheden er væsentligt lavere. Konklusionen lyder da, at revisor ikke er blevet bekendt med forhold, der giver anledning til at mene, at oplysningerne ikke er i orden.
Læs derfor formuleringen i konklusionen. Den fortæller, hvor meget arbejde der ligger bag.
Forbehold og afvigelser
ISAE 3000 giver revisor mulighed for at tage forbehold, give en afkræftende konklusion eller afstå fra at konkludere. Står der et forbehold, er det det vigtigste afsnit i hele erklæringen. Læs også listen over test, hvor revisor har fundet afvigelser, selv om konklusionen er uden forbehold.
For hvert forbehold og hver afvigelse spørger ledelsen: Rammer det de ydelser, vi køber? Hvad har leverandøren gjort siden? Skal vi selv gøre noget? Har I ikke et svar, er det et punkt til næste møde med leverandøren. Hvordan den opfølgning tilrettelægges, står i opfølgning på leverandøren.
Det, I selv skal gøre
Erklæringen beskriver leverandørens del af arbejdet. Læs, om beskrivelsen forudsætter noget af jer som kunde, fx at I selv styrer, hvem af jeres medarbejdere der har adgang, at I melder fratrædelser, eller at I selv tager backup af bestemte data. Gør I ikke det, hjælper leverandørens kontroller kun delvist.
Skriv forudsætningerne ind i jeres egen plan med en ejer. Når erklæringen fornyes, tjekker I, om de har ændret sig. Leverandørens erklæring hører også med i jeres leverandøroverblik.
Erklæringen er et andet produkt end en test. Hvad en revisorerklæring og en penetrationstest hver kan bruges til over for kunder, er beskrevet hos nis2-pentest.dk om NIS2-erklæringen og testen.
Det skal I lade være med
- At lægge erklæringen i mappen uden at læse den. Den siger kun noget, hvis I ved, hvad den dækker.
- At sidestille type 1 og type 2. Kun type 2 udtaler sig om, hvorvidt kontrollerne har virket over tid.
- At springe forbehold og afvigelser over. De er erklæringens vigtigste oplysninger.
- At overse jeres egne forudsætninger. Leverandørens kontroller bygger på, at I gør jeres del.
- At tage en ISAE 3402-erklæring som svar på alle sikkerhedskrav. Den er skrevet med regnskabet for øje.
Det skal I kræve af den eksterne
- ☐ En gennemlæsning af erklæringen med et kort notat til ledelsen om omfang, type, periode og forbehold.
- ☐ En vurdering af, om erklæringen dækker de ydelser og krav, der står i jeres aftale.
- ☐ En liste over de forudsætninger, erklæringen lægger på jer, med forslag til ejer.
- ☐ Spørgsmål til leverandøren om afvigelser og forbehold, og opfølgning på svarene.
- ☐ En vurdering, der ikke er påvirket af salg, partnerskab eller provision fra leverandøren.
Kilder
- IAASB: Staff Overview, ISAE 3402: omfang, type 1 og type 2 og serviceorganisationens ansvar for beskrivelsen.
- IAASB: ISAE 3000 (Revised): erklæringer uden for regnskabsrevision, grader af sikkerhed og konklusioner med forbehold.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Leverandøroverblik · Økonomichefen og sikkerhedsansvaret
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
