Kunden kræver revisionsret: hvad betyder det for test?

En revisionsret i kundekontrakten giver kunden adgang til at undersøge, om I lever op til aftalen, men den er ikke automatisk en ret til at teste jeres produkt. Svaret på, hvad den betyder for test, hviler på ordlyden: en revision ser på dokumentation, processer og kontroller, mens en penetrationstest forsøger at finde svagheder i det kørende system. Hvis klausulen ikke skelner, skal I have den præciseret, før kunden bruger den. Teksten er ikke juridisk rådgivning.

For et softwarehus med flere kunder på samme platform er forskellen vigtig. En revision kan gennemføres uden at påvirke andre kunder. En test af den delte platform kan ikke altid.

Revision og test er to forskellige ting

En revision spørger, om det, I har lovet, også sker. Revisor eller kundens udpegede tredjepart beder om politikker, beskrivelser, logs, ændringshistorik og eventuelt jeres seneste pentestrapport og status på fundene. Det er en gennemgang af beviser.

En penetrationstest er en aktiv afprøvning. Testeren logger ind, sender forespørgsler og forsøger at komme ud over de grænser, produktet sætter. Den kræver tilladelse, et aftalt omfang og forholdsregler for driften. → Kunden vil selv teste jeres produkt: hvad svarer I?

En revisionsret, der ikke nævner test, kan derfor læses som en ret til at se jeres testdokumentation, ikke som en ret til at teste. Men læsningen er usikker, hvis ordlyden er bred. Afklar det med kunden, mens kontrakten forhandles, ikke den dag revisionen er varslet.

Hvad revisoren vil se om test

Når kundens revisor spørger til sikkerhedstest, er det dokumentationen, der efterspørges. Hav den klar, så revisionen ikke udvikler sig til et krav om en ny test.

Den seneste rapport · i den version, I udleverer til kunder, med omfang og testperiode.
Status på fund · hvad der er rettet, hvad der er efterprøvet, og hvad der er åbent med begrundelse.
Rytmen · hvornår I tester, og hvad der udløser en ekstra test.
Sammenhæng til udviklingen · hvordan fund bliver til opgaver, og hvordan rettelser kommer ud.
Testerens uafhængighed · hvem der testede, og hvilken rolle testeren har hos jer.

Er dokumentationen ordentlig, har revisoren et grundlag at vurdere ud fra, og behovet for nye krav bliver mindre. → Pentesten som bevis i revisionen

Finansielle kunder og DORA

For kunder i den finansielle sektor er revisionsretten ikke kun kundens ønske. DORA, forordning (EU) 2022/2554, kræver i artikel 30, stk. 3, at kontrakter om IKT-tjenester, der understøtter kritiske eller vigtige funktioner, giver den finansielle enhed, en udpeget tredjepart og den kompetente myndighed en uindskrænket ret til adgang, inspektion og revision. Samme bestemmelse giver ret til at nå til enighed om alternative sikkerhedsniveauer, hvis andre kunders rettigheder påvirkes, og pålægger leverandøren at oplyse om omfang, procedurer og hyppighed af inspektioner og revisioner.

Det er værd at bemærke formuleringen om andre kunder. Forordningen tager selv højde for, at en leverandør med flere kunder ikke kan give én kunde en adgang, der går ud over de andre. Om jeres produkt understøtter en kritisk eller vigtig funktion hos kunden, er kundens vurdering. Spørg kunden, hvordan den har vurderet det, for svaret afgør, hvilke krav i artikel 30 kunden skal have med. Samme stykke nævner også leverandørens pligt til at deltage i kundens trusselsbaserede penetrationstest, TLPT, som er en særlig ordning for visse finansielle virksomheder og noget andet end jeres egen test. → Kunden er en finansiel virksomhed: krav til jer som IT-leverandør

Aftal, hvordan revisionen foregår

Selv en bred revisionsret kan udøves på en måde, der passer til jeres produkt. Det kræver, at I har tænkt den igennem.

Varsel · hvor lang tid I får, fra revisionen varsles, til den begynder.
Form · om revisionen sker ved udlevering af dokumenter, ved møder eller ved besøg.
Fælles revision · om flere kunder kan dele én revision eller én revisorerklæring.
Fortrolighed · hvordan revisor behandler oplysninger om jer og om andre kunder.
Test · om en eventuel test sker efter jeres testpolitik, i et aftalt miljø.

En revisorerklæring, som dækker flere kunder, kan gøre den enkelte revision kortere, men den erstatter ikke kundens ret, hvis kontrakten giver den. → ISAE 3402 og ISAE 3000: revisorerklæringen og testen

Når revisionen ender med et krav om test

En revision kan føre til, at revisor anbefaler en ny test eller en test af et bestemt område. Det er ikke det samme, som at kunden selv skal teste. Spørg, hvad anbefalingen bygger på: en manglende test, et område uden for jeres seneste omfang eller fund, der ikke er efterprøvet.

Svaret afgør, hvad der er rimeligt at tilbyde. Mangler et område, kan det komme med i jeres næste test, og kunden kan få resultatet derfra. Er fund ikke efterprøvet, er en retest det naturlige svar. Først når kunden har en selvstændig grund til at teste, er det kundens egen test, der skal aftales, og så gælder jeres betingelser for kundetest. → Testklausulen i jeres kundekontrakt: hvad kan I acceptere?

Et tænkt eksempel

Et softwarehus leverer et system til kreditvurdering til en mindre finansiel virksomhed. Kundens kontraktudkast giver kunden og dens revisor fri adgang til at revidere og teste leverandørens systemer.

Softwarehuset accepterer revisionsretten, men foreslår, at test sker efter softwarehusets testpolitik i et separat miljø, så andre kunders data ikke berøres, og at revisionen i første omgang sker ved udlevering af rapport, fundstatus og politikker. Kunden henviser til DORA og vil have adgangen stående. Parterne skriver begge dele ind: den fulde adgangsret og en beskrevet fremgangsmåde for, hvordan den udøves.

Det skal I lade være med

Gå ud fra, at revision og test er det samme · læs, hvad klausulen faktisk giver adgang til.
Afvise revisionsretten over for en finansiel kunde · kunden kan være forpligtet til at kræve den.
Lade fremgangsmåden være uaftalt · så bestemmes den den dag, revisionen varsles.
Give én kunde adgang til den delte platform uden betingelser · de andre kunder bærer risikoen.
Vente med at samle dokumentationen · revisoren spørger efter den, der findes.

Hvad kan og ikke kan konkluderes

En revision kan vise, at I tester, håndterer fund og overholder det, I har lovet. Den kan ikke vise, at produktet er uden svagheder, og den er ikke en penetrationstest. Hvad kundens revisionsret giver adgang til i jeres konkrete kontrakt, afhænger af ordlyden og af den lovgivning, kunden er underlagt.

Tjekliste til revisionsklausulen

☐ Skelner klausulen mellem revision og test?
☐ Ved I, om kunden er omfattet af DORA eller andre regler om revision?
☐ Er varsel, form og fortrolighed aftalt?
☐ Er test i revisionen knyttet til jeres testpolitik?
☐ Ligger rapport, fundstatus og rytme klar til en revisor?
☐ Er hensynet til de andre kunder beskrevet?

Kilder

DORA, forordning (EU) 2022/2554: artikel 30, stk. 3, litra d, om deltagelse i kundens TLPT, og litra e, nr. i, ii og iv, om ret til adgang, inspektion og revision, om alternative sikkerhedsniveauer, når andre kunders rettigheder påvirkes, og om oplysning om omfang, procedurer og hyppighed.

Senest gennemgået: oktober 2026.