Hitta hjälp med it-revisioninom 24 timmar.

En IT-revision ska börja med en tydlig avgränsning: vilka system, verksamhetsprocesser, bolag, platser och externa leverantörer som ska omfattas. Därefter samlar IT-revisorn in underlag, intervjuar ansvariga och testar om utvalda kontroller både är rätt utformade och fungerar i praktiken.

Vanliga granskningsområden är ITGC, alltså generella IT-kontroller. Det kan omfatta användaradministration och privilegierade behörigheter, ändringar i system och kod, loggning, incidenthantering, säkerhetskopiering, återställning, driftövervakning och kontinuitetsplaner. Uppdraget kan också riktas mot ett specifikt affärssystem, en molntjänst, en datahall eller en process för inköp av IT-tjänster.

Leveransen bör vara användbar för beslutsfattare: en tydlig omfattning, beskrivning av metod och underlag, iakttagelser med risknivå, rekommenderade åtgärder samt ansvar och föreslagen uppföljning. Behöver ni en bredare kontrollfunktion kan internrevision vara ett närliggande alternativ.

IT-revision och säkerhetstestning kompletterar ofta varandra, men svarar på olika frågor. IT-revision granskar styrning, processer och kontroller: finns ansvar, regler och bevis för att arbetssättet fungerar? Ett penetrationstest eller annat säkerhetstest undersöker i stället om tekniska sårbarheter kan utnyttjas i en definierad miljö.

En riskanalys identifierar och värderar risker, medan IT-revisionen även kan pröva om befintliga kontrollåtgärder hanterar dem. En certifieringsrevision bedömer överensstämmelse mot ett särskilt standardkrav. Vid extern finansiell revision kan en IT-revision dessutom inriktas på kontroller som påverkar tillförlitligheten i den finansiella rapporteringen.

Välj därför tjänst utifrån beslutet ni behöver fatta. Behöver ni säkerställa att IT-kontrollerna fungerar och få en prioriterad åtgärdsplan är IT-revision relevant. Behöver ni dokumentera den övergripande organisationens oberoende kontrollarbete kan Revision eller internrevision vara lämpliga kompletteringar.

En oberoende IT-granskning är ofta motiverad när verksamheten byter affärssystem, flyttar till molnet, lägger ut drift eller hanterar fler externa IT-leverantörer. Den kan också användas efter incidenter, återkommande driftstörningar, intern kontroll-brister eller inför styrelse- och ägarrapportering.

För reglerade verksamheter behöver uppdraget kopplas till de krav som faktiskt gäller för organisationen. Riksdagens proposition om en ny cybersäkerhetslag beskriver att utpekade offentliga och enskilda verksamhetsutövare ska skydda sina nätverks- och informationssystem samt rapportera betydande incidenter. Propositionen angav ikraftträdande den 15 januari 2026. För finanssektorn anges att DORA omfattar bland annat IKT-riskhantering, incidentrapportering, hantering av utlagd verksamhet och testning av digital operativ motståndskraft, med tillämpning från den 17 januari 2025.

En IT-revision avgör inte själv om ni uppfyller varje regelkrav. Däremot kan en kompetent IT-revisor avgränsa granskningen mot relevanta kontrollområden och visa vilka underlag eller åtgärder som behöver prioriteras. För uppdrag med koppling till bolagets ordinarie räkenskapsrevision kan ni även jämföra revisorer och revisionskonsulter.