Simovits

”Om det inte är dokumenterat har det inte hänt” – en inblick i revisorsrollen

Revision är ett vanligt förekommande uppdrag för konsulter på Simovits Consulting, och utgör en viktig del av verksamheters arbete med styrning och förbättring. Att bli granskad är sällan någons favoritaktivitet. När en revisor börjar ställa frågor om hur verksamheten arbetar, ber om underlag, och vill förstå hur saker faktiskt fungerar kan det lätt kännas som ett prov och att examinatorn vill hitta fel. För många förknippas revision med nervositet över att vilja ”svara rätt” och en oro att något ska gå fel just under revisionen, eller kanske en rädsla för att sådant man vet inte fungerar ska upptäckas. Det finns såklart också en verklig risk att verksamheten inte klarar revisionen och exempelvis förlorar sin certifiering. 

Men hur är det egentligen att vara den som granskar? Vad innebär det att kliva in i en verksamhet som utomstående och på en kort tid förstå hur saker fungerar i praktiken? 

Jag kommer i detta blogginlägg att utgå från min erfarenhet av revision inom informationssäkerhet för att beskriva några av de verktyg, metoder, principer och förhållningssätt som revisorn använder för att skapa en oberoende bild av verksamheten och bedöma dess efterlevnad av relevanta krav.

Olika typer av revisioner, vem är det som granskar?

Revision kan vara riktad mot olika områden och en revisor kan granska verksamheten mot olika typer av kriterier. Syftet kan vara att bedöma efterlevnaden av interna krav, externa standarder, certifieringskrav, regulatoriska krav eller lagstiftning. Det kan även omfatta olika verksamhetsområden, såsom ekonomi, kvalitet, miljö, arbetsmiljö och informationssäkerhet. I denna text kommer jag som sagt att utgå ifrån revision inom informationssäkerhet (främst ISO 27001). 

Vi kan dela in revisioner i första-, andra- och tredjepartsrevisioner. Skillnaden mellan dessa handlar om vem som genomför revisionen och vilket förhållande revisorn har till den verksamhet som granskas. 

Oavsett vilken typ av revision som genomförs har revisorn en central uppgift: att samla in tillräckligt med relevant och tillförlitlig information för att kunna göra en objektiv bedömning. Det är här revisionsbevis kommer in.

Revisionsbevis: revisorns viktigaste verktyg

För att kunna bedöma om organisationen uppfyller ett krav behöver revisorn samla in och utvärdera revisionsbevis. Revisionsbevis kan vara både kvantitativa och kvalitativa och kan bestå av dokumentation, uttalanden, observationer, tekniska resultat, mätvärden eller annan verifierbar information. Vilken typ av bevis som är mest relevant beror på vad revisorn granskar och vilken typ av slutsats de behöver kunna dra. Revisorn behöver söka rätt bevis och förstå vad bevisen faktiskt säger.

Det är också viktigt att förstå att revisionsbevis sällan står helt för sig själva. En intervju kan ge en bild av hur en process fungerar, medan dokumentationen visar hur processen är tänkt att fungera. Tekniska stickprov eller observation kan sedan visa hur processen faktiskt fungerar. När dessa olika informationskällor stämmer överens kan revisor dra en välgrundad slutsats. Om de däremot motsäger varandra finns det anledning att undersöka saken närmare.

Bästa praxis för vilka revisionsbevis som är relevanta att samla in kan se lite olika ut, särskilt mellan olika industrier. Exempelvis så föreslår PECB:s ISO/IEC 27001 Lead Auditor-kurs en unik strukturering av revisionsbevis som resulterar i sju bevistyper. Dessa är fysiska bevis, extern bekräftelse, dokumenterade bevis, tekniska bevis, muntliga bevis, matematiska bevis, och analytiska bevis. De olika bevistyperna behöver inte utesluta varandra. Ett bevis kan exempelvis vara fysiskt, tekniskt, och analytiskt. En viktig del av revisorns arbete är att förstå vilket bevis som bäst kan styrka en viss kontroll och när det behövs flera olika typer av bevis som kompletterar varandra.

Fysiska bevis består av sådant som revisorn kan räkna, inspektera eller observera. Det är bevis som revisorn på något sätt kan se eller verifiera på plats. Inom informationssäkerhet kan ett exempel vara fysisk åtkomst till ett serverrum. Om organisationen exempelvis har ett krav på att viss utrustning ska vara placerad i ett låst utrymme med en viss klassning kan revisorn kontrollera detta på plats. Besöksrutiner eller andra fysiska säkerhetsåtgärder är ytterligare exempel på kontroller som revisorn kan observera under revision.

Matematiska bevis handlar om att validera siffror, beräkningar och kvantitativa resultat. Inom ett ledningssystem för informationssäkerhet finns ofta många olika mätetal som används för att följa upp säkerhetsarbetet. Det kan exempelvis handla om hur många utbildningstimmar personalen har genomfört, hur stor andel av medarbetarna som genomfört en obligatorisk utbildning eller hur lång tid det i genomsnitt tar att hantera en incident. Det kan också handla om hur många avvikelser som verksamheten har identifierat vid en internrevision och hur många av de planerade åtgärderna som verksamheten faktiskt har genomfört.

Extern bekräftelse bygger på information från en annan part. Det kan exempelvis vara resultat från ett penetrationstest som en extern part har genomfört eller ett certifikat som ett erkänt certifieringsorgan har utfärdat. Den här typen av bevis kan vara värdefull eftersom informationen kommer från någon annan än den organisation som revisorn granskar. Ett externt bevis innebär dock inte automatiskt att informationen är tillräcklig. Revisorn behöver fortfarande förstå vad beviset visar och om det är relevant för det krav som de granskar.

Tekniska bevis handlar om information som kräver en teknisk förståelse av organisationen, en aktivitet, en process eller en produkt. Inom informationssäkerhet är tekniska bevis viktiga eftersom många säkerhetskontroller bygger på tekniska lösningar. Det kan exempelvis handla om analys av en brandvägg, ett identitets- och åtkomstsystem, eller konfigurationen av ett informationssystem.

En policy kan exempelvis säga att endast behöriga användare ska ha tillgång till ett visst system. För att bedöma om kontrollen fungerar kan det då vara nödvändigt att titta på den faktiska systemkonfigurationen och undersöka hur verksamheten tilldelar och följer upp behörigheter. I vissa situationer behöver revisorn ta hjälp av en teknisk expert. Det är inte rimligt att förvänta sig att en revisor ska vara specialist på alla tekniska områden som kan omfattas av en revision. Däremot behöver revisorn kunna förstå vilken typ av bevis som krävs och bedöma om den tekniska informationen är relevant för revisionens syfte. Revisorn behöver kunna identifiera när ett påstående kräver en djupare teknisk verifiering.

Analytiska bevis innebär att revisorn analyserar data för att identifiera mönster, avvikelser eller andra förhållanden som kan vara relevanta för revisionen. Ett exempel är analys av incidentrapporter eller resultat av kunskapstest som personal har genomfört. Genom att titta på data över en längre period kan revisorn identifiera återkommande problem eller ovanliga mönster som inte nödvändigtvis framkommer i en intervju. Analys kan också användas för att identifiera områden där det finns anledning att gå djupare. Om data exempelvis visar att en viss typ av incidenter återkommer betydligt oftare än andra kan revisorn undersöka de bakomliggande orsakerna.

Dokumenterade bevis handlar om att verifiera dokumenterad information som organisationen använder för att styra och kontrollera sin verksamhet. Inom ett LIS kan det exempelvis handla om informationssäkerhetspolicy, Statement of Applicability, processbeskrivningar, riskanalyser, rutiner, resultat från interna revisioner samt dokumentation från ledningens genomgång. Dokumentationen är viktig eftersom den visar hur organisationen har valt att styra sitt informationssäkerhetsarbete och att organisationen har dokumenterat roller och ansvar. Det är även här blogginläggets rubrik kommer in. En verksamhet kan mycket väl ha gjort rätt och genomfört det som krävs, men om verksamheten inte har dokumenterat det blir det svårt att bevisa i en revision. Det gäller inte bara att kunna visa att verksamheten har genomfört en åtgärd, utan också att kunna visa att verksamheten har dokumenterat och kommunicerat relevant information till de parter som behöver känna till den.

Samtidigt är dokumentation är inte samma sak som efterlevnad. Det går att ha en mycket välskriven informationssäkerhetspolicy utan att den efterlevs i praktiken. Det går även att ha en detaljerad processbeskrivning som inte motsvarar hur verksamheten faktiskt arbetar. Det är därför vanligt att revisorn behöver komplettera dokumenterade bevis med andra typer av bevis. Om en organisation exempelvis har en dokumenterad rutin som säger att användarbehörigheter ska granskas varje kvartal kan revisorn först granska rutinen, och därefter undersöka om om organisationen faktiskt har genomfört granskningen genom att granska relevanta underlag. På så sätt kan revisorn jämföra vad organisationen säger att den gör med vad organisationen faktiskt kan visa att den gör.

Muntliga bevis kommer vanligtvis från intervjuer och samtal med personer som har ansvar för eller lämplig kunskap om det område som revisorn granskar. Intervjun är ett av revisorns viktigaste verktyg för att förstå verksamheten. Genom att prata med exempelvis processägare, systemägare, chefer och medarbetare kan revisorn få en bild av hur arbetet fungerar i praktiken. Muntliga bevis är dock generellt mindre tillförlitliga än många andra typer av bevis. En person kan ha en korrekt uppfattning om hur arbetet ska fungera, men det betyder inte automatiskt att arbetet faktiskt genomförs på det sättet. Därför behöver revisorn ofta validera muntliga bevis.

Om en CISO exempelvis säger att all känslig dokumentation ska vara markerad med en viss informationsklassning kan revisorn göra stickprov på olika dokument för att se om det stämmer. Om det uppstår en diskrepans mellan bevistyperna kan revisorn, om det är relevant, undersöka orsaken till detta. På så sätt fungerar intervjun som en startpunkt för att hitta ytterligare revisionsbevis.

Måttet på ett bra bevis

För att kunna dra korrekta slutsatser av bevisen behöver revisorn säkerställa att bevisen är ändamålsenliga. Det innebär bland annat att bevisen behöver vara relevanta, tillförlitliga, och tillräckliga.

Generellt kan man säga att desto mer objektivt ett bevis är, desto mer tillförlitligt är det. I PECB:s ISO/IEC 27001 Lead Auditor-kurs presenterar man en förenklad skala för att bedöma tillförlitligheten hos de bevistyper som kursen föreslår och som vi har beskrivit i detta blogginlägg. Skalan går från lägst till högst tillförlitlighet, så ju längre till höger en bevistyp är placerad, desto högre grad av tillförlitlighet har den:

Verbal → Dokumenterad → Analytisk → Teknisk → Extern bekräftelse → Fysisk/Matematisk

Det är dock viktigt att inte se denna ordning som en absolut regel. Tillförlitligheten beror på situationen och på hur revisorn har samlat in beviset. Ett verbalt bevis vara mycket värdefullt när det kommer från rätt person och används för att förstå ett komplext sammanhang. Men det kan ändå behöva kompletteras med andra bevis innan revisorn kan dra en slutsats. En revisor behöver inte bara veta vilka frågor som ska ställas, utan även vilka följdfrågor som är relevanta och när det finns anledning att söka ytterligare bevis. Det är också här som olika typer av revisionsbevis kompletterar varandra. Ett dokument kan visa hur organisationen har bestämt att något ska fungera. En intervju kan visa hur processen uppfattas av de personer som arbetar med den. Ett tekniskt underlag kan slutligen visa vad som faktiskt har hänt. När alla tre delar överensstämmer har revisorn ett betydligt bättre underlag för sin slutsats.

Professionell skeptisk inställning

Professionell skepticism är en attityd som är viktig för en revisor att kunna tillämpa. Det kan låta negativt, som att revisorns utgångspunkt är att verksamheten försöker lura henom. Men det är inte vad det innebär, professionell skepticism innebär att ha en ifrågasättande inställning till den information som presenteras och att vara uppmärksam på förhållanden som kan tyda på felaktigheter (Sevenius, 2026).

Detta är ett viktigt verktyg för att nå en objektiv bedömning. Ibland försöker verksamheter medvetet dölja sanningen, men att ha en professionellt skeptisk inställning är minst lika viktigt i de fall som ingen försöker dölja något. En verksamhet kan ha all vilja i världen att göra rätt och vara helt övertygade om att deras säkerhetsåtgärder fungerar, men ha en felaktig bild av hur åtgärderna faktiskt fungerar. Verksamheten kan ha uppdaterat en process utan att uppdatera dokumentationen, en teknisk lösning kan ha en annan konfiguration än verksamheten tror, en kontroll kan ha fungerat tidigare men gradvis slutat fungera. Ingen behöver ha gjort någonting medvetet fel, men det är först när verksamheten granskas som skillnaden mellan den förväntade och faktiska verkligheten blir synlig. Det är därför det är viktigt att validera revisionsbevisen.

Professionell skepticism handlar alltså inte om att misstänkliggöra människor, utan att säkerställa att revisorns slutsatser bygger på verifierbar information snarare än antaganden.

Revisorn ska hitta problemet, inte lösa det

En av de viktigaste gränsdragningarna i revisionsrollen vid en tredjepartsrevision handlar om skillnaden mellan att identifiera ett problem och att bestämma hur problemet ska lösas. Revisorn ska rapportera de brister och avvikelser som hen har identifierat, men får inte själv utforma eller föreslå lösningar till avvikelserna. Detta är särskilt viktigt vid en certifiering där opartiskhet och oberoende är centrala principer. 

Detta kan vara frustrerande, både för verksamheten och revisorn. Speciellt om verksamheten redan har försökt lösa avvikelsen med en ny åtgärd som revisorn fortfarande bedömer vara otillräcklig. En avvikelse kanske kan framstå som relativt enkel att lösa, och revisorn kanske vet exakt vilken lösning som hade räckt i just detta fall. Så varför inte bara säga det? Det finns en viktig principiell gräns till varför. Om revisorn lägger sig i hur verksamheten ska utforma sina säkerhetsåtgärder lämnar revisorn sin oberoende roll och tar på sig en del av ansvaret för verksamhetens säkerhet. Revisorn får enbart agera som revisor, inte som beslutsfattare eller rådgivare. Ansvaret för en verksamhets informationssäkerhet måste ligga hos verksamheten själv. Verksamheten äger problemet och måste därmed äga lösningen. Detta är viktigt av flera skäl. 

För det första behöver verksamheten själv förstå alla val de gör i förhållande till sin informationssäkerhet. För det andra så har revisorn begränsad förståelse för hela verksamheten, den föreslagna åtgärden kanske löser avvikelsen men är kanske inte den bästa lösningen för verksamhetens säkerhet. Då riskerar verksamheten att implementera lösningar i syfte att klara revisioner, snarare än för att uppnå hög informationssäkerhet. Verksamheten behöver självständigt kunna ta fram en lösning som passar just den. Om verksamheten inte själva förstår sina åtgärder, eller kan argumentera för varför de har implementerat just dessa åtgärder, kan det även skapa ett ohållbart beroende till revisorn. Verksamheten måste förstå, stå för, och äga sina risker och säkerhetsåtgärder. För det tredje, föreställ er om revisorn föreslår en lösning som verksamheten implementerar, och att samma revisor året därpå ska utvärdera verksamheten igen. Revisorn kan då inte oberoende granska sin egen lösning. 

Revisorn kan dock förklara varför en avvikelse har uppstått, förklara potentiella konsekvenser och risker med bristen, och förklara vad som behöver uppnås. Revisorn får bara inte berätta hur verksamheten ska uppnå det.

Slutsats

Jag hoppas att detta blogginlägg har gett en bättre inblick i revisorns roll och deras arbete under en revision. Även om det kan vara obekvämt att få sitt arbete granskat så vill jag lyfta ett annat sätt att se på revision. Det oberoende perspektivet är revisionens största styrka. Revisorn kan se sådant som verksamheten själv har blivit hemmablind inför, synliggöra skillnader mellan hur man tror att arbetet fungerar och hur det faktiskt fungerar, och ge underlag för förändringar som annars hade varit svåra att få igenom. En avvikelse är ett effektivt argument för att få organisationen att prioritera åtgärder och skjuta till resurser inom ett visst område. En bra revision handlar inte om att sätta dit verksamheten, utan är ett verktyg för att förbättra den.

Referenser

Publicerat 2026-09-18 Skrivet av Clara Gower