Udenlandske kunder forventer anden dokumentation

Når virksomheden begynder at sælge til kunder i andre lande, kan spørgsmålene om IT-sikkerhed skifte form. Kunden beder måske om en bestemt rapporttype, nævner en standard, ledelsen ikke kender, eller vil have dokumentationen på engelsk. Svaret hviler på en ledelsesbeslutning, ikke på en oversættelse: hvilke markeder vil virksomheden betjene, hvilken dokumentation kræver de, og hvad er virksomheden parat til at stå inde for. Uden den beslutning ender sikkerhedsarbejdet med at blive styret af den seneste kundes ønsker.

Hvorfor forventningerne kan være anderledes

Kunder i andre lande arbejder under andre regler, andre branchekrav og andre vaner for, hvordan leverandører dokumenterer sikkerhed. Det betyder ikke, at kravene er strengere eller mildere. De er bare formuleret på en anden måde.

Et par eksempler på, hvad en udenlandsk kunde kan spørge efter:

En bestemt erklæringstype · for eksempel en SOC 2-rapport, som AICPA beskriver som en rapport fra en revisor om kontroller hos en serviceorganisation, der er relevante for sikkerhed, tilgængelighed, behandlingsintegritet, fortrolighed eller privatliv.
En certificering · for eksempel ISO 27001, som også kendes uden for Danmark.
En testrapport · med bestemte krav til, hvem der har udført testen, og hvor nylig den er.
Svar i kundens eget skema · med spørgsmål, der er tilpasset kundens marked og branche.

Ledelsen behøver ikke kende alle rammerne i detaljer. Men den skal vide, hvilke af dem der rent faktisk bliver krævet af de kunder, virksomheden vil have. → Skal vi certificeres?

Første skridt: hvad kræves, og af hvem?

Det første skridt er at skille krav fra ønsker. En udenlandsk kunde kan nævne en erklæringstype i et spørgeskema uden at gøre den til en betingelse. Ledelsen kan bede salget om at stille kunden tre enkle spørgsmål:

Er det et krav eller et ønske? · og står det i kontrakten eller kun i spørgeskemaet?
Kan andet accepteres? · for eksempel en testrapport og en beskrivelse af sikkerhedsarbejdet i stedet for en bestemt erklæring.
Hvornår skal det foreligge? · før aftalen, ved opstart eller inden for en periode?

Svarene giver ledelsen et grundlag for at vurdere, hvad kravet vil koste i tid og opmærksomhed, og om det står mål med kundens betydning for forretningen. → Kundekrav eller egne behov

Sprog er en beslutning, ikke en detalje

En udenlandsk kunde kan ønske dokumentationen på et sprog, kundens egne folk kan læse. Det er et praktisk spørgsmål, men det har ledelsesmæssige følger.

En rapport eller en beskrivelse, der bliver oversat bagefter, kan få nuancer, der ikke var i originalen. Et forbehold kan falde ud, et fund kan lyde mindre alvorligt, eller en formulering kan komme til at love mere end den danske tekst. Ledelsen står inde for det, der sendes til kunden, uanset sproget.

Derfor bør ledelsen beslutte, hvilke dokumenter der skal findes på hvilket sprog, og hvem der godkender dem. Hvis en testrapport skal bruges over for udenlandske kunder, kan sproget aftales med testeren, før testen bestilles, så rapporten ikke skal oversættes efterfølgende. Sproget er en af de ting, der påvirker omfanget, ligesom antallet af systemer og modtagere. Hvordan opgaver prissættes, står under pris og tilbud.

Én dokumentation til flere markeder

Når virksomheden har kunder i flere lande, er fristelsen at lave særskilt dokumentation til hver. Det kan blive tungt at vedligeholde, og det øger risikoen for, at forskellige kunder får forskellige oplysninger om det samme.

Et bedre udgangspunkt er en fælles kerne: en beskrivelse af virksomhedens sikkerhedsarbejde og en testrapport, der kan bruges over for flere kunder. Kernen kan suppleres med tillæg, hvor et marked kræver noget særligt. Ledelsen kan beslutte, hvad kernen skal indeholde, og hvem der vedligeholder den. → Én test, flere modtagere

For softwarehuse, hvor kunderne beder om en pentestrapport til deres egen leverandørvurdering, er sælgerens side af sagen beskrevet på pentestrapport.dk.

Hvem i ledelsen ejer svaret?

Spørgsmål fra udenlandske kunder kan lande hos salget eller hos den, der kender kunden bedst. Det er forståeligt, men det er ikke dér, beslutningen hører hjemme. Når svaret binder virksomheden over for et nyt marked, er det et ledelsesanliggende.

Ledelsen kan placere ejerskabet sådan, at én person i ledelsen godkender, hvilken dokumentation virksomheden tilbyder udenlandske kunder, mens salget samler spørgsmålene og fagfolkene leverer indholdet. Så får kunden et ensartet svar, og ledelsen ved, hvad der er sagt. Ejeren kan også holde øje med, om flere kunder begynder at spørge efter det samme, så et ønske, der vokser til et krav, bliver opdaget i tide. → Hvem står inde for svarene?

Et tænkt eksempel

En producent af styresystemer til drivhuse får sin første store kunde i Holland og har en mulig kunde i Canada. Den hollandske kunde sender et spørgeskema på engelsk med spørgsmål om certificering og test. Den canadiske nævner en erklæringstype, ingen i ledelsen kender.

Direktøren beder salgschefen om at få afklaret, hvad der er krav, og hvad der er ønsker. Det viser sig, at den hollandske kunde vil acceptere en nylig testrapport og en beskrivelse af sikkerhedsarbejdet, mens den canadiske endnu ikke har stillet et egentligt krav. Ledelsen beslutter at bestille en test af styresystemets fjernadgang med rapport på engelsk og at skrive én beskrivelse af sikkerhedsarbejdet, som økonomidirektøren godkender. Spørgsmålet om en egentlig erklæring tages op igen, hvis den canadiske kunde gør den til en betingelse.

Det skal I lade være med

At love en erklæring, I ikke kender · find ud af, hvad den indebærer, før I svarer.
At oversætte uden godkendelse · den oversatte tekst er også ledelsens ansvar.
At lave ny dokumentation til hver kunde · byg en fælles kerne med tillæg.
At lade den største kunde styre alt · vurder kravet mod virksomhedens samlede behov.
At antage, at kravene er de samme som herhjemme · spørg, i stedet for at gætte.

Hvad kan og ikke kan konkluderes

En afklaring af udenlandske kunders krav giver ledelsen et grundlag for at vælge, hvilken dokumentation virksomheden vil have, og på hvilke sprog. Den giver ikke sikkerhed for, at alle kunder vil acceptere den samme dokumentation, og en sikkerhedstest kan ikke erstatte en erklæring, som en kunde stiller som betingelse. Hvad en bestemt erklæring kræver, afklares med den, der udsteder den. → En vigtig kunde stiller krav, I ikke kan opfylde endnu

Tjekliste til ledelsen

☐ Ved ledelsen, hvilke markeder og kunder dokumentationen skal dække?
☐ Er krav skilt fra ønsker for hver af de vigtigste kunder?
☐ Er det besluttet, hvilke dokumenter der skal findes på hvilket sprog?
☐ Er der en person, der godkender oversatte tekster?
☐ Findes der en fælles kerne af dokumentation, som tillæg kan bygge på?

Kilder

AICPA & CIMA, SOC 2: SOC-ydelser som erklæringer, revisorer kan afgive; SOC 2 om kontroller hos en serviceorganisation, der er relevante for sikkerhed, tilgængelighed, behandlingsintegritet, fortrolighed eller privatliv.

Senest gennemgået: oktober 2026.