Perspektiv
IT-revision og ISAE-erklæringer
16. oktober 2026 · Forfatter: Lisbeth Loft
Oplever I, at jeres kunder i stigende grad stiller spørgsmål til informationssikkerhed og compliance? Det kan blandt andet være i forhold til NIS2, GDPR og cybersikkerhed eller temaer som AI eller digital suverænitet. Måske modtager I forskellige spørgeskemaer og dokumentationskrav fra hver enkelt kunde, selvom mange af spørgsmålene handler om de samme forhold.
Med en IT-erklæring kan I gøre det betydeligt lettere for både jer selv og jeres kunder. I stedet for at besvare de samme spørgsmål igen og igen kan I bruge erklæringen som fælles dokumentation for, hvordan I arbejder med sikkerhed, databeskyttelse og relevante kontroller. Det sparer tid, skaber gennemsigtighed og giver kunderne et mere ensartet grundlag for at vurdere jeres arbejde.
En IT-erklæring kan dermed være mere end et svar på et kundekrav. Den kan også styrke jeres samarbejde med eksisterende kunder, gøre det lettere at dokumentere jeres sikkerhedsarbejde over for nye og give jer et bedre overblik over jeres egne kontroller og arbejdsgange.
Men hvilken erklæring skal I vælge, hvordan kommer I i gang, og hvad gør I, hvis I allerede har en erklæring, men overvejer at skifte revisor?
Hvilke typer erklæringer findes der?
Der findes forskellige typer IT-erklæringer. Hvilken der er relevant for jer, afhænger blandt andet af, hvad I leverer, hvilke oplysninger I behandler, og hvad jeres kunder ønsker dokumentation for.
ISAE 3000 og ISAE 3402 er to forskellige erklæringsstandarder. ISAE 3000 kan bruges til at undersøge forskellige områder, eksempelvis GDPR, cybersikkerhed eller udvalgte krav fra NIS2. Der er altså ikke tale om forskellige standarder, men om forskellige anvendelser af ISAE 3000 med hvert sit fokus.
Forskellen mellem ISAE 3000 og ISAE 3402 ligger især i, hvad erklæringerne omfatter. ISAE 3000 kan anvendes til erklæringsopgaver om en række forskellige forhold, mens ISAE 3402 specifikt omhandler kontroller hos serviceleverandører, der er relevante for kundernes interne kontrol over finansiel rapportering.
Her er nogle af de mest relevante muligheder:
| Erklæring | Hvad handler den om? | Hvornår er den relevant for jer? |
|---|---|---|
| ISAE 3000 – GDPR | Beskyttelse af personoplysninger | Når I behandler personoplysninger på vegne af jeres kunder |
| ISAE 3000 – Cyber | Cybersikkerhed og beskyttelse af systemer og data | Når kunderne ønsker dokumentation for jeres sikkerhedsarbejde |
| ISAE 3000 – NIS2 | Udvalgte krav til sikkerhed og risikostyring | Når I skal dokumentere arbejdet med relevante NIS2-krav |
| ISAE 3000 – SKI | Sikkerhedskrav i en konkret SKI-rammeaftale | Når jeres rammeaftale stiller krav om en erklæring |
| ISAE 3402 | Kontroller med betydning for kundernes finansielle rapportering | Når I leverer IT- eller serviceydelser, der indgår i kundernes økonomiske processer |
Det konkrete indhold af en ISAE 3000-erklæring afhænger af de krav og kriterier, som I ønsker eller er forpligtede til at dokumentere. I nogle tilfælde kan I have behov for mere end én type erklæring.
Hvad er ISAE 3402?
Hvis I leverer IT-drift, outsourcing eller andre ydelser, som indgår i jeres kunders økonomiske processer, kan en ISAE 3402-erklæring være relevant.
Erklæringen giver kunderne indsigt i, hvordan I har indrettet og gennemført de kontroller, der skal sikre en betryggende levering af disse ydelser. Det kan eksempelvis være kontroller med adgang til systemer, ændringer i IT-miljøet, drift og håndtering af sikkerhedshændelser, når de har betydning for kundernes finansielle rapportering.
En ISAE 3402-erklæring kan dermed gøre det lettere for jeres kunder og deres revisorer at få den nødvendige dokumentation for de dele af deres IT-miljø og processer, som I har ansvaret for.
Type I eller Type II – hvad er forskellen?
En Type I-erklæring vurderer, om jeres kontroller er beskrevet og hensigtsmæssigt indrettet på et bestemt tidspunkt. Den giver jer et øjebliksbillede af, hvor I står, og kan samtidig bruges som dokumentation over for jeres kunder.
En Type II-erklæring går et skridt videre. Her undersøger revisor også, om kontrollerne rent faktisk har fungeret gennem en aftalt periode.
Hvis I ikke tidligere har fået udarbejdet en IT-erklæring, kan det være en god idé at begynde med en Type I og efterfølgende gå videre til en Type II. På den måde får I først et overblik over jeres nuværende kontroller og et grundlag for at arbejde videre med eventuelle forbedringer, inden kontrollerne skal dokumenteres over en længere periode.
Det afhænger dog af jeres kunders krav, da nogle allerede fra begyndelsen efterspørger en Type II-erklæring.
Hvordan kommer I i gang?
Det første skridt er at afklare, hvorfor I som virksomhed har brug for en erklæring, og hvilke forventninger kunderne har.
I behøver ikke have alle politikker, procedurer og kontroller på plads, før I tager kontakt til en IT-revisor. Mange virksomheder har allerede en række sikkerhedsforanstaltninger og arbejdsgange, men mangler måske at få dem beskrevet og samlet på en måde, der kan danne grundlag for en revision.
Vi hjælper jer med at skabe overblik over, hvad I allerede har på plads, hvad der eventuelt mangler, og hvordan I bedst forbereder jer til revisionsarbejdet.
Et typisk forløb kan se sådan ud:
- 01
Afklaring
Behov og erklæringstype
- 02
Forberedelse
Kontrolbeskrivelse
- 03
IT-revision
Gennemgang og test
- 04
Erklæring
Afslutning og rapportering
Når I først har fået udarbejdet en erklæring og etableret en god proces for dokumentation, bliver det lettere at forberede de efterfølgende års revisioner. Kontrolbeskrivelsen og den løbende dokumentation kan genbruges og vedligeholdes, så I ikke skal begynde forfra hvert år.
Kan I skifte revisor, hvis I allerede har en erklæring?
Ja. I er ikke bundet til at anvende den samme revisor år efter år.
Der kan være flere grunde til at overveje et skifte. Måske har jeres behov ændret sig, måske ønsker I en anden tilgang til samarbejdet, eller måske vil I undersøge, om revisionsprocessen kan tilrettelægges mere hensigtsmæssigt.
Et revisorskifte betyder ikke, at arbejdet skal begynde forfra. Eksisterende erklæringer, kontrolbeskrivelser og dokumentation kan indgå som grundlag for den nye revisors planlægning. En revisor skal altid foretage sin egen uafhængige vurdering og indhente den nødvendige dokumentation, hver gang der udføres revision.
Det er derfor en fordel at tage dialogen i god tid inden næste revisionsperiode.
IT-revision med erfarne specialister og en enkel samarbejdsmodel
Hos Loft Insight lægger vi vægt på, at IT-revision skal være både fagligt grundig og praktisk håndterbar for jer.
Vi arbejder med en enkel organisering, hvor erfarne IT-revisorer udfører opgaven fra start til slut. Det giver kontinuitet, korte kommunikationsveje og mulighed for at afklare spørgsmål direkte med de personer, der kender jeres kontrolmiljø.
Vi betragter revision som et samarbejde, ikke som en eksamen. I skal forstå, hvad vi undersøger, hvorfor vi efterspørger dokumentation, og hvordan processen skrider frem.
Vores samarbejdsmodel betyder samtidig, at vi kan tilrettelægge arbejdet med begrænsede administrative omkostninger. Det giver mulighed for en konkurrencedygtig pris uden at gå på kompromis med den faglige indsats.
Overvejer I en erklæring – eller en ny revisor?
Uanset om I skal have jeres første ISAE-erklæring eller allerede har et etableret revisionsforløb, tager vi gerne en uforpligtende samtale om jeres behov.
Vi kan hjælpe med at afklare, hvilken erklæring der er relevant, hvordan processen kan tilrettelægges, og hvad der skal til for at komme godt i gang.