Krav til digitale bogføringssystemer: hvad reglerne faktisk siger

Hvad er forskellen på transaktionsspor og kontrolspor?

Begreb	Hvad det dækker
Transaktionsspor	Sammenhængen mellem de enkelte bogførte registreringer og virksomhedens årsregnskab.
Kontrolspor	De oplysninger, der dokumenterer registreringernes rigtighed.

Sondringen er ikke akademisk. Transaktionssporet besvarer «hvor i årsregnskabet endte denne postering». Kontrolsporet besvarer «hvorfor er posteringen korrekt». Et system kan opfylde det første fuldt ud og det andet slet ikke — hvilket typisk er, hvad der sker, når integrationen skriver en postering med en reference til et kildesystem, men uden noget der dokumenterer, hvad der udløste den.

Engelsksproget materiale bruger «audit trail» om begge dele. Når leverandørdokumentation lover et revisionsspor, er det værd at afklare, hvilket af de to krav den dækker.

Kan en bogført postering ændres eller slettes?

Kravene til digitale bogføringssystemer indebærer, at:

• bogførte transaktioner ikke kan ændres, tilbagedateres eller slettes;
• hver postering får et fortløbende transaktionsnummer;
• hver postering får en registreringsdato;
• hver postering bærer initialer for bruger eller program;
• rettelser sker ved nye posteringer.

Feltet «initialer for bruger eller program» er det, der bliver interessant ved automatisering. Ved manuel bogføring identificerer det en person. Ved automatiseret bogføring identificerer det typisk et servicebruger-ID, som fem forskellige processer deler. Det opfylder bogstavet i kravet og besvarer ikke spørgsmålet, nogen faktisk stiller ved en kontrol: hvad udløste denne postering.

Den praktiske konsekvens er, at identifikationen skal være finere end kontoen. Ikke «integration_srv», men den konkrete proces, det konkrete kørselsid og — hvis en AI-agent er involveret — hvilken model og konfiguration der var i kraft.

Opbevaring

Fem år fra udgangen af det regnskabsår, materialet vedrører. Det er et helt andet tidsperspektiv end applikationslogs, som typisk roterer efter dage eller uger. Et automatiseret system, hvis eneste dokumentation for et posteringsforløb ligger i applikationslogs, opfylder ikke kravet — uanset hvor grundig logningen er, mens den findes.

Skal danske virksomheder bruge e-faktura i B2B?

Dette misforstås konsekvent, også i leverandørmateriale, og det er værd at få rigtigt.

Reglerne kræver, at bogføringssystemet kan sende og modtage e-fakturaer via Nemhandel (OIOUBL) og Peppol BIS. De kræver ikke, at virksomheder faktisk udveksler e-fakturaer indbyrdes.

Danmark har intet B2B-krav om e-fakturering. Kun fakturering til det offentlige er obligatorisk. Kravet retter sig mod systemets kapacitet, ikke mod virksomhedens adfærd — en distinktion, der adskiller Danmark fra Polen, Slovakiet, Belgien og Norge, hvor der er egentlige udvekslingskrav med datoer og bøder.

Et relateret punkt værd at kende: OIOUBL 3 blev opgivet. Danmark går direkte videre til Peppol BIS 4. Materiale, der beskriver en OIOUBL 3-migration som forestående, er forældet.

Hvor det møder persondatareglerne

Bogføringskravet står ikke alene. Hvor posteringer og bilag indeholder personoplysninger, gælder Datatilsynets krav parallelt: der skal logges alle anvendelser af personoplysninger foretaget af brugere, herunder læsning, tilføjelse, søgning, ændring, udtræk og sletning, og logningen skal aktiveres senest ved idriftsættelsen af it-systemet. Opbevaringstiden fastsættes efter formålet og afvejes mod dataminimeringsprincippet.

De to regelsæt trækker i hver sin retning: bogføringsloven kræver fem års opbevaring, dataminimering kræver, at man ikke gemmer længere end nødvendigt. Løsningen er sjældent én opbevaringspolitik for hele systemet, men adskilte politikker for bogføringsmaterialet og for adgangslogningen.

Hvad automatisering ændrer

Tre konsekvenser, som er værd at designe for fra begyndelsen.

Rettelser bliver hyppigere, ikke sjældnere

Fordi posteringer ikke må ændres, bliver enhver fejl i en automatiseret proces til en modpostering. En integration, der posterer forkert i tre uger, efterlader ikke tre ugers fejl — den efterlader tre ugers fejl plus tre ugers rettelser, alle synlige. Det er præcis hensigten med reglen, men det gør tidlig fejlopdagelse langt mere værdifuld end i et system, hvor man kunne rette stille.

Idempotens bliver et bogføringskrav

Et gentaget kald efter timeout, der skaber en dubletpostering, kan ikke ryddes op ved sletning. Den skal modposteres, og begge dele står i regnskabet. Kontrol af idempotens — et varigt operations-id tildelt før første forsøg — er derfor ikke kun en teknisk finesse her; det er det, der afgør, hvor rodet årsregnskabet ser ud.

Kontrolsporet skal skrives før handlingen

Hvis dokumentationen for, hvad der udløste en postering, først skrives efter et vellykket kald, findes der intet spor af de forsøg, der aldrig kom retur — og det er netop dem, spørgsmålene handler om, når noget er gået galt.

Tjekliste

1. Afklar, om jeres system dokumenterer både transaktionsspor og kontrolspor, eller kun det første.
2. Kontrollér, at «initialer for bruger eller program» identificerer den konkrete proces, ikke en delt servicebruger.
3. Kontrollér, at kontrolsporet kan fremfindes efter fem år — ikke kun så længe applikationslogs findes.
4. Indfør idempotenskontrol: gentaget forsøg efter timeout må ikke skabe en dubletpostering.
5. Skriv sporet før handlingen, ikke efter svaret.
6. Adskil opbevaringspolitik for bogføringsmateriale og for adgangslogning af personoplysninger.
7. Hvis AI-agenter indgår, registrér model- og konfigurationsversion sammen med posteringen.

Ofte stillede spørgsmål

Hvad er forskellen på transaktionsspor og kontrolspor?

Transaktionsspor er sammenhængen mellem registreringer og årsregnskabet. Kontrolspor er de oplysninger, der dokumenterer registreringernes rigtighed.

Må bogførte posteringer rettes?

Ikke ved ændring. Rettelser sker ved nye posteringer; det oprindelige forløb forbliver synligt.

Hvor længe skal materialet opbevares?

Fem år fra udgangen af det regnskabsår, materialet vedrører.

Er e-fakturering obligatorisk mellem danske virksomheder?

Nej. Systemet skal kunne sende og modtage via Nemhandel og Peppol BIS. Der er intet B2B-krav om at bruge det.

Opfylder applikationslogs kravet?

Sjældent. De roterer, kan ændres, og deres fuldstændighed afhænger af et logniveau, der justeres i drift.

Relaterede artikler

• Danmark — oversigt
• NIS 2-loven: ledelsens ansvar for automatiserede processer
• Revisionsspor for AI-agenter (engelsk)
• AI governance — den samlede guide (engelsk)

BarzelVault skriver sporet før handlingen udføres, håndhæver idempotens på operationsniveau og registrerer den konkrete proces — eller agent, med model- og politikversion — bag hver postering.

I praksis

Kontrollen skal ske, før fakturaen bliver uigenkaldelig.

En accepteret struktureret faktura kan rettes, men aldrig slettes, og fra sanktionsdatoen har hver fejl en pris. Barzel placerer godkendelsestærsklen, dubletkontrollen og den signerede registrering før indsendelsen, så processen kan forsvares den dag, en revisor eller skattemyndigheden spørger.

I kraftKravet om digitale bogføringssystemer er indfaset siden 1. juli 2024

BarzelVault

Firewallen for AI-handlinger: afgør, hvad en agent må gøre, før den gør det.

• Godkendelsestærskler og politikkontroller håndhævet før udførelse; menneskelige godkendelser med udløb og eskalering.
• Kryptografisk signerede revisionskvitteringer: udløser, input, politikversion, godkender, resultat.
• Isolerede legitimationsoplysninger, forbrugs- og handlingsgrænser samt nødstop.

Gratis: 10.000 kald om månedenBetalte planer fra 199 USD om månedenTilgængelig på MCPize

Start gratis →Spørg pr. e-mailProduktsideDokumentation

BarzelOps

Styret workflowautomatisering på tværs af de systemer, virksomheden kører på.

• Varig, idempotent udførelse: en timeout gentages én gang, indsendes aldrig to gange.
• Menneskelige godkendelsespunkter, der sætter workflowet på pause og genoptager det.
• Adskillelse pr. enhed eller kunde, signerede beviskvitteringer og flytbart manifest; HubSpot, Xero, Gmail, Google Drive og Slack.

Gratis: 100 kald om dagenBetalte planer fra 19 USD om månedenTilgængelig på MCPize

Start gratis →Spørg pr. e-mailProduktsideDokumentation

Enterprise: skriftligt tilbud pr. e-mail inden for to hverdage. Intet salgsopkald.

Kilder

1. Lov om bogføring, LOV nr 700 af 24/05/2022 — retsinformation.dk.
2. Erhvervsstyrelsen, Vejledning om bogføringsloven og krav til digitale bogføringssystemer.
3. Datatilsynet, Katalog over foranstaltninger: logning af brugernes anvendelser af personoplysninger.

Artiklen er til orientering og udgør ikke juridisk eller revisionsmæssig rådgivning.