Ret til revision i aftalen: hvad det kan betyde for test af jeres systemer

En klausul om kundens ret til revision kan se uskyldig ud. Den står mellem bestemmelser om fortrolighed og ophør og kan blive overset, når aftalen indgås. Men den kan blive brugt til meget forskelligt: et spørgeskema, et møde med gennemgang af dokumenter, et besøg hos jer eller en teknisk test af den løsning, kunden bruger.

Hvad klausulen betyder for jer, afhænger af ordlyden og af, hvad I aftaler om den. NIS2-reglerne nævner retten til revision eller til at modtage revisionsrapporter som noget, en kunde kan skrive ind i aftalen. De siger ikke, hvordan revisionen skal foregå. Det er derfor en god idé at få klausulens indhold præciseret, før den bliver brugt.

Hvor klausulen kommer fra

Gennemførelsesforordning 2024/2690 nævner i bilagets punkt 5.1.4, litra e, retten til revision eller retten til at modtage revisionsrapporter blandt de forhold, kontrakter med leverandører skal angive, hvor det er relevant. Forordningen gælder direkte for en række digitale udbydere. SAMSIK’s vejledning om foranstaltninger nævner i afsnit 4 den samme ret, formuleret som enhedens ret til revision og/eller ret til at modtage revisionsrapporter fra leverandøren, som et eksempel på, hvad aftaler med leverandører kan indeholde.

Vejledningen nævner i samme liste, at leverandører kan forpligtes til at samarbejde med kunden om at bistå myndighederne, hvis kunden er under tilsyn. Retten til revision kan derfor være tænkt som en del af kundens egen dokumentation over for sit tilsyn. → Tilsynets audits og scanninger hos kunden

Revision er ikke det samme som test

En revision undersøger, om I har de procedurer, politikker og kontroller, I siger, I har, og om de bliver fulgt. Den kan foregå ved gennemgang af dokumenter, interview og stikprøver. En penetrationstest afprøver, om en bestemt del af jeres systemer kan modstå et angreb.

De to kan mødes. En revisor kan bede om at se jeres seneste testrapport og status på rettelserne. En revisionsklausul kan også være formuleret så bredt, at den giver kunden ret til at lade teste. Læs derfor efter, om klausulen nævner teknisk afprøvning, sikkerhedstest eller adgang til systemer. Hvis den gør, så gælder de samme hensyn som ved kundens egen test. → Kunden vil selv teste

Revisionsrapporter som alternativ

Ordet “eller” i forordningens formulering betyder, at kundens behov kan dækkes ved, at I udleverer rapporter frem for at lade kunden revidere selv. For nogle leverandører er det den mest praktiske løsning for begge parter.

Det kan være en rapport fra jeres egen revisor eller en uafhængig gennemgang, men også dokumentation for en penetrationstest af den leverance, kunden bruger. Et resumé med omfang, tidspunkt, resultat og status på rettelser kan være nok til at besvare kundens spørgsmål om den tekniske del. → Dokumentationen til NIS2-kunden · → Resumé, erklæring eller hel rapport

Et tænkt eksempel: En leverandør af et lagerstyringssystem til en grossist i fødevarer får en anmodning om revision. Leverandøren tilbyder i stedet sin seneste testdokumentation for den del, grossisten bruger, og en gennemgang af status på fundene. Grossisten accepterer og beholder retten til at bede om mere, hvis testen bliver for gammel eller leverancen ændres væsentligt.

Spørgsmål, klausulen bør svare på

Står klausulen kort, så brug disse spørgsmål til at få den præciseret. Svarene kan stå i et bilag eller i en mail, som begge parter har bekræftet. Det vigtigste er, at de findes på skrift.

Indhold · om revisionen omfatter dokumenter, interview, besøg eller teknisk test.
Udførende · om kunden selv reviderer, eller om en tredjepart på kundens vegne kan gøre det.
Varsel · hvor lang tid I har til at forberede jer, før revisionen begynder.
Hyppighed · om retten kan bruges når som helst, eller kun med bestemte mellemrum og ved særlige anledninger.
Afgrænsning · at revisionen gælder den leverance, kunden bruger, og ikke jeres andre kunder.
Fortrolighed · hvem der må se materialet, og hvordan det opbevares.
Omkostninger · hvem der betaler for jeres tid og eventuelle test.

Når myndigheden står bag

Kundens tilsyn kan bede kunden om dokumentation for leverandørstyringen. NIS 2-loven giver i § 21 myndigheden mulighed for blandt andet sikkerhedsaudits og sikkerhedsscanninger hos væsentlige enheder. Det er kunden, der er under tilsyn, men kunden kan have brug for jeres hjælp til at svare.

Det betyder, at materiale fra jer kan ende hos en myndighed. Aftal på forhånd, i hvilken form det kan videregives, og om I skal orienteres. Et resumé, der er skrevet til at kunne læses af en sagkyndig tredjepart, er mere egnet til det formål end en fuld teknisk rapport. → Kundens opbevaring af jeres rapport

Vær klar, før anmodningen kommer

En anmodning om revision kommer ikke nødvendigvis på et belejligt tidspunkt. Det hjælper at have et sæt materiale klar, som kan sendes uden at skulle samles fra bunden. Det kan være en kort beskrivelse af leverancen og de systemer, den bygger på, den seneste testdokumentation for den del, kunden bruger, og en opdateret oversigt over åbne og lukkede fund.

Hold materialet adskilt pr. leverance, så det ikke indeholder oplysninger om andre kunder. Notér, hvornår det sidst er opdateret, og hvem der ejer det. Når den næste kunde beder om det samme, kan I genbruge det meste og kun tilføje det, der er særligt for den kunde.

Kommer anmodningen alligevel bredere end forventet, er det et godt tidspunkt at vende tilbage til spørgsmålene ovenfor og få afgrænsningen på plads.

Det skal I lade være med

At overse klausulen ved underskrift · den kan få betydning år senere.
At gå ud fra, at revision kun er papir · ordlyden kan give adgang til test.
At sige nej uden at tilbyde noget · revisionsrapporter og testdokumentation kan dække behovet.
At lade revisionen omfatte andre kunders data · afgræns til kundens egen leverance.
At udlevere materiale uden vilkår · aftal fortrolighed og videregivelse.

Hvad kan og ikke kan konkluderes

En revision eller en udleveret revisionsrapport kan give kunden et grundlag for at vurdere jer som leverandør. En penetrationstest kan indgå i det grundlag som dokumentation for den tekniske del.

Ingen af dem afgør, om kunden lever op til sine pligter, eller om I gør. Hvad klausulen konkret giver kunden ret til, afhænger af ordlyden. Teksten er ikke juridisk rådgivning, og fortolkningen af en bestemt aftale bør vurderes af den, der normalt varetager jeres kontrakter.