-
M&A transaktioner
M&A transaktioner
-
Børsnoteringer & kapitalmarkeds-transaktioner
Børsnoteringer og andre kapitalmarkedstransaktioner
-
Private kapitaltilførsler
Private kapitaltilførsler
-
Hvad er IT-revisorerklæringer?
Der findes forskellige typer it-revisorerklæringer. Læs hvad forskellen på ISAE 3000 og ISAE 3402 er.
-
ISAE 3402 – IT-revisorerklæring
En revisorerklæring af typen ISAE 3402 dokumenterer it-forholdene hos en virksomhed og fungerer ofte som bevis for, at virksomheden lever op til lovkrav og god it-skik.
-
ISAE 3000 GDPR – IT-revisorerklæring
En ISAE 3000 revisorerklæring er resultatet af vores gennemgang, der beviser om jeres virksomhed overholder databeskyttelsesloven (GDPR) som databehandler.
-
ISAE 3000 Cyber – IT-revisorerklæring
ISAE 3000 Cyber er en it-revisorerklæring der er relevant, hvis man ønsker at vise hvilke sikringsniveau virksomheden har i forhold til cybersikkerhedsrisici.
-
Forberedelsesforløb inden ISAE erklæringsarbejdet
Vi assisterer virksomheder i forløbet frem mod ISAE erklæringsarbejdet.
-
GAP analyser
For it sikkerhed kan GAP bruges til at påvise hvor der bør lægges ressourcer ift. hvor man gerne ser sin organisation være fremadrettet.
-
IT-rådgivning
Vi rådgiver både store og små virksomheder om alt lige fra håndtering af governance, risk og compliance (GRC), til spørgsmål om GDPR, udarbejdelse af it-sikkerhedspolitikker (informationssikkerhedspolitikker), implementering af NSIS eller NIS2.
-
ISO 27001/2 og ISO 27701
Vi hjælper med udarbejdelse af certificering omkring informationssikkerhed, hvor ISO 27001 er den mest anerkendte internationale standard.
-
NIS2 – rådgivning om implementering
Virksomheder og offenlige organisationer kan være omfattet af NIS2, hvis man anses for at være en del af Danmarks kritiske infrastruktur. Vi assisterer i arbejdet hen mod at blive NIS2-compliant.
-
NSIS – MitID/NemLog-in3
Udbydere af MitID skal have tilladelse fra Digitaliseringsstyrelsen, for at udbyde løsningen. Vi hjælper med formkrav og indhold til hvad der skal til for at blive godkendt.
-
It due diligence
Som it-revisorer er vi den uvildige part i it due diligence gennemgang ved virksomhedskøb, -salg eller -overtagelse. Vores detaljerede fagviden, fra det tekniske og det organisatoriske, gør, at vi ikke kun vurderer værdiansættelsen af hardwaren i virksomheden, vi vurderer mest af alt den forretningsmæssige værdi af systemerne.
-
Praktisk IT-sikkerhedsvurdering
Vi udarbejder praktisk IT-sikkerhedsvurdering til brug i virksomhedens it-funktion, men mest af alt til brug af direktion og bestyrelse.
En revisorerklæring om overholdelse af databeskyttelsesforordningen (GDPR), en ISAE 3000 GDPR, er resultatet af den gennemgang, vi foretager, for at afgøre, om en virksomhed eller en konkret serviceleverance lever op til databeskyttelsesforordningen set i lyset af enten en konkret databehandleraftale eller en generel databehandleraftale.
Baggrunden for at få udarbejdet en ISAE 3000 GDPR ift. databeskyttelsesforordningen kan være et krav fra en eller flere kunder; alternativt at virksomheden selv vælger at få den udarbejdet for at signalere troværdighed og sikkerhed over for interessenter og potentielle kunder. Det er også derfor, at en erklæring typisk alene omhandler virksomhedens serviceleverance til sine kunder, dvs. sin databehandlerrolle.
I særlige tilfælde afgiver vi erklæring efter ISO 27701, når vores kunder har behov for dette.
Processen ved ISAE 3000 GDPR erklæring
Rent konkret reviderer vi op mod bestemmelserne i databeskyttelsesforordningen (GDPR), men mere specifikt benytter vi FSR – danske revisorer og Datatilsynets rammer. I løbet af vores arbejde gennemgår vi virksomhedens dokumentation, interviewer relevante medarbejdere, ser ind i det tekniske osv.
Men det handler ikke kun om afgivelse af revisorerklæringen. Dialogen i løbet af erklæringsprocessen vil ofte også værdiskabende, da den fungerer som faglig sparring i forhold til, hvordan I kan forholde jer som virksomhed til de forskellige elementer af databeskyttelsesforordningen. Her har vi mangeårig erfaring i denne proces, og vi kan facilitere en struktureret implementeringsproces. Alt sammen så pragmatisk som muligt, uden der er tale om overimplementering.
Resultatet af erklæringsarbejdet er derfor også, at I som virksomhed ved, hvor I lever op til databeskyttelsesforordningen, og også bliver bevidste om, hvilke områder der eventuelt skal arbejdes videre med.
Revisionen i forbindelse med udarbejdelsen af ISAE 3000 GDPR-erklæringen vurderer eksempelvis følgende områder:
- Logges al anvendelse af personoplysninger?
- Kan uvedkommende personer tilgå personoplysninger?
- Har medarbejderne modtaget den fornødne instruktion omkring håndtering og behandling af persondata?
- Er der fastsat instrukser, som fastlægger ansvaret for ind- og uddatamateriale?
- Er der udarbejdet privatlivspolitik, procedurer i tilfælde af databrud osv?
- Hvor er data fysisk placeret?
- Når der udføres service, reparation eller kassation af medier, der indeholder persondata, foregår det så på betryggende vis?
Erklæringen tager højde for brug af jeres underleverandører (cloud etc.), og disse kan enten inkluderes (helhedsmetode) eller ekskluderes (partiel-metode).
ISAE 3000 GDPR – høj eller begrænset sikkerhed
Selve revisorerklæringen kommer i to varianter; en fuldt dækkende samt en ‘light’. FSR -danske revisorer og Datatilsynet har åbnet muligheden for, at vi som revisorer primært ‘forespørger og interviewer’, i stedet for at gå i dybden ved at indhente et større antal stikprøver for at give vores konklusioner styrke. Hvad enten man som databehandler skal vælge den ene eller anden, er reelt op til kravene blandt jeres kunder. Det er indlysende, at det er mere enkelt at “komme igennem” en ISAE 3000 GDPR ‘light’ med begrænset sikkerhed, end en ISAE 3000 GDPR med høj grad af sikkerhed. Typisk vil det være relevant at skelne imellem hvorvidt behandlingen af personoplysninger inkluderer meget følsomme oplysninger (religion, sundhedsoplysninger mv.). Her vil der være meget der taler for, at vælge varianten af ISAE 3000 GDPR med høj grad af sikkerhed.
I det hele taget, kan vi deltage i den indledende overvejelse, inden arbejdet påbegyndes, for der er som nævnt herover en del der skal overvejes ift. partiel/helhedsmetode, høj/begrænset sikkerhed, generel eller kundespecifik, hvilket system skal GDPR dokumenteres i, er der formkrav til en privatlivspolitik osv.
Databeskyttelsesforordningen – kort fortalt
Alle virksomheder er omfattet af databeskyttelseslovgivningen, baseret på EU-GDPR. Denne lovgivning erstattede 25. maj 2018 persondataloven og tilhørende sikkerhedsbekendtgørelse, og medførte ændringer som skærpede sanktioner, krav om Data Protection Officer (databeskyttelsesrådgiver), retten til at blive glemt, og indberetningspligt.
Loven gælder for enhver form for håndtering af oplysninger om personer – også medarbejdere. Som de vigtigste former for behandling kan nævnes: Indsamling, registrering, dataklassificering, opbevaring, brug, videregivelse, samkøring og sletning. Bemærk, at selv det at opbevare persondata tæller som databehandling af persondata.
Forordningen foreskriver hvornår og hvordan personoplysninger kan behandles, og vedrører dermed databeskyttelse og korrekt håndtering af persondata.
Visse af forordningens regler gælder endvidere også for, hvordan I må behandle personoplysninger modtaget fra virksomheder, foreninger og lignende. Dette er navnlig relevant i relation til reglerne om kreditoplysningsbureauer, sundhedsudbydere, it-hosting-virksomheder, stillingsbesættende virksomheder m.fl.
