Hvilke dokumenter bør indgå i et leverandørtjek?

Start med formålet: Hvilke dokumenter giver mening for netop denne leverandør?

Der findes ikke én dokumentliste, der passer til alle leverandører. Kravene bør følge tre forhold: leverancens kritikalitet for jer, leverandørens adgang til data, systemer, lokaler og personoplysninger samt produktets vej gennem værdikæden fra råvare til genanvendelse. Dansk Standard beskriver sig som Danmarks nationale standardiseringsorganisation og arbejder for at fremme standarder »som strategisk fundament for fremtidens løsninger« og udvikler standarder, der »styrker sikkerhed, bæredygtighed og dansk konkurrenceevne«. Det er en brugbar ramme: dokumentation har først værdi, når den knytter sig til et formål, I faktisk skal bruge den til.

Skriv derfor ned, hvilke beslutninger dokumenterne skal understøtte: godkendelse af leverandøren, dokumentation over for kunder eller tilsyn, håndtering af reklamation eller tilbagekaldelse, eller skift af leverandør uden at miste viden. Dokumenter, der ikke understøtter en sådan beslutning, bør ikke efterspørges; de koster tid hos begge parter og bliver sjældent læst.

Læg et risikotrin fast pr. leverandør. Høj risiko: adgang til personoplysninger eller kritiske systemer, komponenter der er svære at erstatte, eller leverancer hvor en fejl stopper jeres egen produktion. Lav risiko: standardvarer uden dataadgang og med flere alternative leverandører. Antallet af dokumentkrav, godkendelsesniveau og opfølgningsfrekvens bør følge trinnet og aftales, før kontrakten underskrives, så det fremgår, hvornår dokumenterne skal leveres og fornys.

Dokumentation for standarder og ledelsessystemer

Arbejder leverandøren efter et anerkendt ledelsessystem, er certificeringen indgangen til dokumentationen. ISO 9001 er den internationale standard for kvalitetsledelse, og ifølge Dansk Standard anvender mere end én million organisationer verden over den. En ny udgave er udkommet for at sikre fortsat relevans i en verden præget af digitalisering, klimaudfordringer og stigende krav. Spørg derfor leverandøren: hvilken udgave er jeres certifikat opnået mod, og hvordan håndterer I overgangen til den nye udgave?

Bed om certifikatet, og læs efter: hvilke dele af virksomheden (scope) er omfattet, hvilket organ har udstedt det, og hvor længe det er gyldigt. Suppler med dokumenter, der viser systemet i praksis: procedurer for afvigelser, ansvarsfordeling, godkendelser og opfølgning på forbedringer samt rapporter eller referater fra de seneste revisioner. Standarder beskriver typisk processer og ansvar og giver grundlag for løbende forbedring; den type dokumenter bør I kunne få fremvist.

Informationssikkerhed kræver sin egen dokumentation, især hvis leverandøren behandler jeres data eller har adgang til jeres systemer. Dansk Standard sætter fokus på cyber- og informationssikkerhed, bl.a. med DS Cyberdag 2026, hvor deltagerne opdateres på europæisk lovgivning, relevante standarder og aktuelle udfordringer. Spørg, hvilke standarder for informationssikkerhed leverandøren arbejder efter, hvor langt implementeringen er, og hvordan hændelser rapporteres videre til jer.

Standarder revideres løbende. Deltagelse i et standardiseringsudvalg giver ifølge Dansk Standard tidlig indsigt i de standarder, der påvirker krav til produkter, produktion og processer. I et leverandørtjek betyder det, at certifikatets udgave og dato er en oplysning i sig selv: et certifikat mod en ældre udgave kan være gyldigt, men bør følges op af en plan og et tidspunkt for overgang til den nye udgave.

Statistiske fakta om standarder og dokumentation

Produktdata, sporbarhed og digitalt produktpas

Den 9. juni 2026 meldte Dansk Standard, at seks nye standarder fastlægger de grundlæggende tekniske rammer for det digitale produktpas: DS/EN 18216 om protokoller for dataudveksling, DS/EN 18219 om unikke identifikatorer, DS/EN 18220 om databærere, DS/EN 18221 om datalagring, arkivering og vedvarende datalagring, DS/EN 18222 om API'er til livscyklusledelse af og søgbarhed for produktpas og DS/EN 18223 om systeminteroperabilitet. Formålet er, at forbrugere, virksomheder og myndigheder kan stole på oplysninger om, hvad et produkt består af, hvor det kommer fra, og hvordan det kan bruges, repareres og genanvendes.

Brug standarderne som spørgeramme over for leverandøren: Hvilke protokoller bruger I til at udveksle produktdata, og hvordan kan vi modtage dem? Er hvert produkt knyttet til en unik identifikator? Hvilke databærere sætter I på produktet eller emballagen, og kan vi læse dem? Hvor længe opbevares data, hvordan sikres vedvarende datalagring, og hvad sker der, hvis I skifter system? Hvilke API'er er dokumenteret, og hvordan sikrer I, at jeres systemer kan tale sammen med vores og med tredjeparters? For hvert svar bør der ligge et dokument eller en teknisk beskrivelse — ikke kun en mundtlig bekræftelse.

Adgangen til data er ikke ens for alle aktører. Ifølge Dansk Standard er infrastrukturen opbygget, så ikke alle har adgang til alle data: fortrolige oplysninger kan fx være forbeholdt virksomheder, myndigheder og told, mens andre aktører får adgang til netop de data, der er nødvendige for deres rolle — en reparatør kan fx få indsigt i bestemte oplysninger. Leverandørtjekket bør derfor skriftligt afklare, hvilke data I som kunde får adgang til, i hvilket format, gennem hvilken kanal, og hvem der kan ændre adgangen.

To yderligere standarder om adgangsrettigheder og autentificering forventes offentliggjort senere på året; når alle otte er på plads, er fundamentet for det digitale produktpas i Europa fastlagt. Dansk Standard lancerede tidligere i 2026 en guide, der skal hjælpe virksomheder med at forberede sig på de kommende dokumentationskrav. Skal leverandøren levere produktpasdata til jer, bør de to sidste standarder og guiden indgå i opfølgningen.

Kronologi over digitale produktpas-standarder

Vælg dokumenter med betydning – ikke alt skal med

Ombudsmanden beskriver, at journaliseringspligten gælder dokumenter, der er modtaget eller afsendt som led i administrativ sagsbehandling, og kun omfatter dokumenter, der har betydning for en sag eller sagsbehandlingen i øvrigt. Også interne dokumenter i endelig form er omfattet, og reglerne findes i offentlighedslovens § 15. Formålet er bl.a. at understøtte aktindsigt, sikre dokumentation i den enkelte sag og give overblik, hvilket letter sagsbehandlingen og understøtter kvalitet og effektivitet.

Princippet om kun at medtage det betydningsfulde kan overføres til et privat leverandørtjek — ikke som lovkrav, for journaliseringspligten gælder myndigheder, men som udvælgelseskriterium. Vælg de dokumenter, der bærer beslutningen: aftalen med bilag og ændringer, jeres og leverandørens vurderinger, godkendelser, registrerede afvigelser og opfølgningen på dem. Saml dem ét sted pr. leverandør med dato, version og navn på den, der har godkendt.

Ombudsmanden illustrerer konsekvensen af mangelfuld dokumentation: En kommune kunne ikke dokumentere betalingsfrist og betalingsmåde for et rykkergebyr, og Ombudsmanden udtalte, at kommunen selv måtte bære risikoen for bevisusikkerheden (FOB 2010 20-5). Ombudsmanden peger desuden på, at mangelfuld journalisering kan tvinge myndigheden til at bruge ekstra ressourcer på at genskabe bortkomne eller slettede dokumenter. Den private parallel er ligetil: Kan I ikke fremfinde de aftalte vilkår, godkendelser eller afvigelser, bærer I selv risikoen, hvis leverancen svigter.

Håndtering og deling af modtagne standarder og dokumenter

Standarder og andre licensbelagte dokumenter må ikke deles frit. Ifølge Dansk Standard kan standarder købt som enkeltbrugerlicens som udgangspunkt ikke deles; en PDF med enkeltbrugerlicens giver licens til at åbne standarden på én enhed (pc, tablet, smartphone) pr. brugerlicens. Ved køb kan man tilkøbe flere brugerlicenser ved at købe mere end én af samme standard.

Har du ikke åbnet din nyindkøbte PDF endnu, kan du godt videresende mailen med download-linket til en kollega. Er standarden først åbnet på din pc, skal den nulstilles med Unlock Document License, inden en anden bruger kan åbne den — og derefter kan du ikke selv åbne den. Dansk Standard gør samtidig opmærksom på, at man ikke har krav på at få standarden tilbage, når den først er overdraget.

Skal flere kolleger bruge de samme standarder, kan virksomheden købe adgang til onlinesystemet Standard Distribute i stedet for at flytte licenser rundt. Lav en intern oversigt over, hvilke standarder I har købt, hvem der har licens, og hvem der reelt har behov for adgang. Skeln mellem standarder — omfattet af licensvilkår — og leverandørens egne dokumenter, som I efter aftale kan arkivere i leverandørmappen. Spørgsmål om licenser og nulstilling kan rettes til Dansk Standards salgsafdeling ([email protected], tlf. 39 96 61 31, mandag-torsdag 8.30-16.00, fredag 8.30-15.00).

Når dokumenterne skal bruges på tværs af lande

Skal dokumenterne bruges i udlandet, kan de skulle legaliseres. Udenrigsministeriets Legaliseringskontor legaliserer danske dokumenter udstedt af en offentlig dansk myndighed. Dokumentet skal være udfærdiget på en computer — håndskrevne dokumenter accepteres ikke. Der skal købes legalisering/Apostille i Udenrigsministeriets webshop forud for indlevering eller videresendelse, og det koster 250 DKK pr. dokument. Legaliserede dokumenter udstedes som fysiske dokumenter med fysisk Apostille, også når de er modtaget digitalt. Dokumenter, der ikke er afhentet, eller som ikke kan sendes på grund af manglende returporto, makuleres tre måneder efter modtagelse. Siden 1. januar 2026 har DAO overtaget postomdelingen i Danmark, så du skal selv stå for postforsendelse og/eller kurerafhentning.

Det er modtagerlandet og dokumenttypen, der afgør, om legalisering er nødvendig. Udenrigsministeriet kan efter en individuel vurdering afvise et dokument, hvis det ikke uden rimelig tvivl kan påvises at være et dansk dokument, eller hvis det er tvivl om, hvorvidt det falder inden for Apostille-konventionens anvendelsesområde. Bemærk også, at Legaliseringskontoret legaliserer dokumenter udstedt af en offentlig dansk myndighed — det er altså ikke vejen til at legalisere leverandørens egne virksomhedsdokumenter. Tag kun dette afsnit med i leverandørtjekket, hvis jeres situation indebærer dokumenter, der skal bruges på tværs af lande.

Tjekliste og løbende opfølgning

Formål og risiko: Skriv ned, hvilke beslutninger dokumenterne skal understøtte (godkendelse, reklamation, tilsyn, leverandørskift). Placér leverandøren på et risikotrin ud fra kritikalitet, adgang til data og systemer samt produktets vej gennem brug, reparation og genanvendelse. Lad dokumentkravene følge trinnet.

Standarder og ledelsessystemer: Certifikat med scope, udstedende organ og gyldighed — og hvilken udgave certifikatet er opnået mod, fx efter den nye udgave af ISO 9001. Dokumentation for informationssikkerhed, hvis leverandøren behandler jeres data. Procedurer for afvigelser og forbedring samt rapporter eller referater fra de seneste revisioner.

Produktdata og sporbarhed: Dokumenter og tekniske beskrivelser for dataudvekslingsprotokoller (DS/EN 18216), unikke identifikatorer (DS/EN 18219), databærere (DS/EN 18220), lagring, arkivering og vedvarende datalagring (DS/EN 18221), API'er til livscyklusledelse og søgbarhed (DS/EN 18222) og systeminteroperabilitet (DS/EN 18223). Hertil en skriftlig afklaring af, hvilke data I får adgang til, i hvilket format og gennem hvilken kanal.

Dokumenter med betydning: Aftale med bilag og ændringer, vurderinger, godkendelser, registrerede afvigelser og opfølgning. Samlet ét sted pr. leverandør med dato, version og ansvarlig.

Deling og adgang: Oversigt over hvilke standarder I har købt, og hvem der har licens — enkeltbrugerlicens kan ikke deles, og flere brugere kræver tilkøb eller adgang til Standard Distribute. Sikr samtidig, at de rette kolleger har adgang til leverandørmappen.

Legalisering, hvis relevant: Kravet afhænger af modtagerland og dokumenttype. Tjek, om dokumentet skal legaliseres via Udenrigsministeriets Legaliseringskontor, at det er computerudfærdiget, at købet i webshoppen er foretaget forud, og at forsendelse og returporto er på plads.

Opdatering: Genbesøg dokumenterne ved nye standardudgaver (ISO 9001 er netop udkommet i en ny udgave, og standarderne om adgangsrettigheder og autentificering for det digitale produktpas forventes offentliggjort senere på året), ved ændrede leverancer eller nyt scope, ved ændret adgang til data eller systemer og ved udløb af certifikater. Beslut samtidig, hvem der ejer opfølgningen, og hvor ofte den gentages.