Misstagen som kostar miljoner – som ditt ERP kan förhindra

Det är sällan de avancerade cyberattackerna som orsakar de största skadorna. De dyraste it-säkerhetsmissarna är sällan tekniska – de är organisatoriska. Och med skärpta lagkrav är konsekvenserna av att inte ha koll kännbara på riktigt.

Att inte bara försvara sig mot hot utan proaktivt bygga, dokumentera och upprätthålla en stark digital motståndskraft är inte längre ett val – det är ett lagkrav. Den nya cybersäkerhetslagen, som trädde i kraft i januari 2026, markerar ett tydligt skifte. Antalet svenska företag som direkt omfattas har över en natt ökat åttafalt – från 900 till runt 8 000. Lägg därtill tiotusentals underleverantörer som påverkas indirekt.

Men den största förändringen ligger i de ekonomiska och juridiska konsekvenserna av att brista i sin interna kontroll.

De nya legala spelreglerna i korthet (länkar till kortfattad mer info sist i artikeln):

• Miljonböter som standard: Överträdelser av cybersäkerhetslagen (NIS2) kan leda till sanktionsavgifter på upp till tio miljoner euro eller två procent av den globala årsomsättningen (beroende på vad som är högst).
• Dubbel bötessmäll: Om bristerna dessutom rör åtkomst till personuppgifter kan GDPR tillämpas separat, vilket adderar ytterligare potentiella böter på upp till fyra procent av omsättningen.
• Personligt ansvar: VD och styrelse kan numera hållas direkt personligt ansvariga. Det krävs inte ens att en faktisk attack har skett – att ha brister i sina processer är i sig tillräckligt för att utlösa sanktioner.
• För verksamheter inom finanssektorn: DORA gäller framför cybersäkerhetslagen. Grundprinciperna är desamma, men sanktionerna skiljer sig och incidentrapportering sker till Finansinspektionen inom 24 timmar.

Det är lätt att luras av känslan att "inget händer" för att tidigare EU-direktiv saknat verklig slagkraft. Men nu råder inga tvivel. Felkonfigurerade behörigheter, bristande rutiner och processer med otydligt ägarskap blir snabbt en direkt affärsrisk.

Här är tre vanliga organisatoriska misstag som hänger ihop, förstärker varandra – och hur ditt affärssystem kan förhindra dem.

Fyra ögon-principen missas - intern kontroll hänger inte med när företaget växer

Att en och samma person kan kontrollera flera steg i ett känsligt ekonomiskt flöde sätter spårbarheten ur spel och öppnar för interna bedrägerier och kostsamma misstag.

Att en och samma person kontrollerar mer än ett steg i ett känsligt ekonomiskt flöde kan få förödande konsekvenser för verksamheten. Det ska inte vara möjligt för en person att exempelvis både registrera en leverantör och godkänna fakturor, eller skapa ordrar för att sedan attestera betalningarna – ändå är det vanligt förekommande även på större företag som är lagstadgat skyldiga att upprätthålla funktionsuppdelning, Segregation of Duties (SoD).

Riskerna med att samma person kontrollerar mer än ett steg i ett ekonomiskt flöde är flera. Det innebär en ökad risk för oavsiktliga fel, missbruk och bedrägerier som varken syns i en larmlogg eller upptäcks vid en ytlig granskning. En larmlogg registrerar avvikelser från systemets regler – men om en person har legitim behörighet att utföra båda stegen ser systemet inget konstigt. En ytlig granskning kontrollerar att stegen är utförda, inte att de utförts av rätt antal personer. Det som saknas är ett oberoende ögonpar någonstans i flödet – och det upptäcks inte förrän någon aktivt letar efter det.

När det är uppsåtligt kan det pågå i månader, ibland år, innan det upptäcks. Bedrägerier via bristande funktionsuppdelning upptäcks i genomsnitt först efter tolv till arton månader. Till den direkta ekonomiska förlusten tillkommer kostnader för utredning, revision och juridisk rådgivning.

Att brista i sin funktionsuppdelning är lätt hänt. En kollega täcker upp, och gamla vanor som "så har vi alltid gjort" hänger med när företaget växer. Riskerna försvinner inte förrän ni bygger bort dem strukturellt. Det krävs ett tydligt ägarskap som ser till att behörigheter och kontroller underhålls över tid.

Och viktigt att tillägga - funktionsuppdelning skyddar inte bara organisationen – det skyddar också den enskilde medarbetaren. En person med för stora befogenheter är oskyddad om något går fel. Om ett belopp försvinner eller en leverantör visar sig vara fiktiv hamnar misstanken lätt på den som haft tillgång till hela flödet – oavsett om denne är skyldig eller inte.

‍Så säger cybersäkerhetslagen (NIS2) om funktionsuppdelning (i korthet)
Segregation of Duties, SoD - är ett grundkrav i EUs regelverk och organisationer som omfattas av cybersäkerhetslagen ska kunna uppvisa strikt kontroll över behörigheter. Vid en granskning ska digitala loggar och systemspärrar som bevisar att funktionsuppdelningen upprätthålls kunna visas upp.

Ekonomisk förlust och kostnader för bristande funktionsuppdelning
Att brista i sin funktionsuppdelning kan innebära en hård ekonomisk smäll på flera plan utöver de legala sanktionerna, exempelvis: 

• Interna förluster: Pengarna ni förlorar på grund av interna bedrägerier och dyra, oupptäckta fel i hanteringen av fakturor, löner och lager.
• Dolda följdkostnader: Skenande revisionsarvoden, högre låneräntor på grund av ökad riskprofil, samt förlorade affärsmöjligheter när kunder väljer bort leverantörer som saknar pålitliga kontroller.

System och struktur för säker funktionsuppdelning
Ett modernt affärssystem bygger in funktionsuppdelningen direkt i arbetsflödena – inte som en regel någon måste komma ihåg att följa, utan som en struktur som aktivt förhindrar att fel kombinationer av behörigheter tilldelas samma person. Systemet blockerar kombinationer som skapar bedrägeriutrymme och flaggar avvikelser automatiskt, oavsett arbetsbelastning, semester eller personalomsättning.

Parallellt skapas djupa, digitala revisionsspår – audit trails – som loggar vem som har gjort vad, när det gjordes och från vilken enhet. Vid en granskning kan den informationen exporteras direkt som en färdig rapport.

Okontrollerade behörigheter – brist på styrning över vem som har tillgång till vad

Brister i er identitetshantering kan vara en tickande bomb för dolda och skenande kostnader – med miljonböter som risk.

Behörigheter i affärssystem har en tendens att växa organiskt. Och att medarbetare samlar på sig fler systemrättigheter än de behöver över tid riskerar att maximera skadan vid ett eventuellt intrång. Att inte ha kontroll över sina digitala identiteter riskerar att öppna dörren för kontokapningar som både kan leda till datastöld, manipulation av finansiella uppgifter eller att skadlig kod installeras i systemet.

Behörighetsglidning är vanligare än man kan tro. En kollega byter roll och får nya rättigheter men de gamla tas inte bort. En konsult med tillfällig åtkomst glöms bort. Utan en övergripande ansvarig för behörigheter och automatiserade kontroller kan detta snabbt bli som ett tyst skenande tåg, obemärkt tills det tar stopp…

Enligt bland annat säkerhetsföretaget Truesec börjar över 70 % av alla framgångsrika cyberattacker mot svenska organisationer med att angriparen tar över ett användarkonto eller utnyttjar svaga/felaktiga behörigheter.

Så säger cybersäkerhetslagen om identitetshantering och åtkomstkontroll (i korthet)
Identitetshantering och strikt åtkomstkontroll är ett grundkrav i EU:s regelverk, och organisationer som omfattas av cybersäkerhetslagen ska kunna uppvisa fullständig kontroll över digitala identiteter och vem som har tillgång till vad. Vid en granskning ska digitala loggar, säkra autentiseringsmetoder och systemspärrar som bevisar att obehörig åtkomst förhindras kunna visas upp.

Ekonomisk förlust och kostnader för bristande behörighets- och identitetshantering
Att brista i sin kontroll över digitala identiteter och behörigheter är en risk för dubbla böter och kan utöver de legala sanktionerna innebära bland annat: 

• Interna förluster: Kostnaderna som uppstår vid kontokapningar och dataintrång kan bli enorma – och de drabbar ofta verksamheten i ett redan utsatt läge.
• Dolda följdkostnader: Akuta kostnader för it-forensiska utredningar och återställning efter intrång, högre försäkringspremier. Dessutom riskerar ni förlorade affärsmöjligheter när kunder i allt högre utsträckning väljer bort leverantörer som saknar en säker identitetshantering.

System och struktur för säker behörighets- och identitetshantering
Ett modernt affärssystem ger full kontroll över digitala identiteter genom en strikt rollbaserad behörighetsstruktur som aktivt förhindrar behörighetsglidning. Åtkomst kopplas till specifika roller snarare än till enskilda personer – när någon slutar, byter roll eller avslutar ett uppdrag uppdateras behörigheterna automatiskt. Det innebär också att verksamheten lättare kan undvika riskfyllda lösningar som delade konton (shared accounts) - något som tyvärr är alltför vanligt, men en stor risk som gör uppföljning och granskning praktiskt taget omöjlig.

Tidsbegränsad åtkomst för konsulter och externa användare upphör automatiskt utan manuell uppföljning. Och med inbyggda revisionsspår som loggar vem som haft tillgång till vad, när ändringar gjorts och från vilken enhet finns alltid en aktuell bild av behörighetsläget – redo att exporteras vid en granskning.

‍

{{textbox-1}}

Sårbarhet vid förändring – när säkerhetskontrollen tappas i farten

De tillfällen när verksamheten förändras mest är ofta de tillfällen när säkerheten är som svagast. Det är sällan en slump.

Under omorganisationer, stark tillväxt, förvärv och systembyten riktas allas blickar naturligt framåt. Men mitt i språnget finns en stor risk att verksamheten abrupt kastas bakåt. Erfarenheten visar att många säkerhetsincidenter i affärssystem sker just i anslutning till stora förändringar.

Enligt globala sammanställningar av dataläckor orsakas 20–25 % av alla säkerhetsincidenter av anställda eller konsulter. Detta är särskilt vanligt vid omorganisationer – oftast inte av elak vilja, utan på grund av förvirring kring vem som faktiskt ansvarar för vad.

I temporära processer och när ansvarsfördelningen blir luddig hamnar de vardagliga säkerhetsrutinerna lätt i skymundan. Om det dessutom ständigt läggs till nya lager av behörigheter som sedan aldrig städas upp, skapas snabbt "svarta hål" i systemet – blinda fläckar som blir extremt kostsamma att utreda i efterhand. Resultatet blir det rakt motsatta till en framgångsrik expansion eller digitalisering.

Så säger cybersäkerhetslagen om riskhantering vid förändring (i korthet)
Cybersäkerhetslagen ställer explicita krav på att riskhantering och säkerhetsåtgärder upprätthålls kontinuerligt – inte bara i stabil drift utan även under organisatoriska förändringar. Bristande riskhantering i samband med omorganisationer, förvärv eller systembyten är en explicit överträdelse. Det krävs alltså inte att en attack inträffat för att ge sanktionsavgifter – bristen i sig är tillräcklig.

Ekonomisk förlust och kostnader för sårbarhet vid förändring
När säkerhetsrutiner hamnar i skymundan under omorganisationer, förvärv eller snabb tillväxt blir de ekonomiska konsekvenserna snabbt kännbara. Utöver legala sanktioner riskerar ni:

• Interna förluster: När nya lager av behörigheter läggs till utan att gamla städas upp har cyberkriminella ett guldläge. Om ett konto kapas under en rörig förändringsfas riskerar spridningen och de ekonomiska skadorna av dataintrånget att bli mångdubbelt större än de annars hade varit.
• Dolda följdkostnader: Kaotiska processer och att i efterhand ta reda på vem som gjorde vad kräver kostsamma utredningar. Bristande kontroll under tillväxtfaser kan leda till underkända revisioner, höjda försäkringspremier och förlorade affärer när kunder och samarbetspartner kräver tydliga behörighetsstrukturer.

System och struktur vid förändringar i organisation och it-miljö
Förändringar i organisationen är den vanligaste orsaken till att kontroll över behörighet tappas. Ett modernt affärssystem löser det strukturellt genom att koppla åtkomst till roller snarare än till enskilda personer. När någon slutar, byter roll eller avslutar ett uppdrag uppdateras behörigheterna automatiskt.

I stället för att städa upp efter varje omorganisation eller förvärv är strukturen inbyggd från början och följer med när organisationen förändras.

Det som avgör hur dyrt det blir, och vem som får ta den största smällen

Dessa risker hänger ofta ihop och förstärker varandra. Allt är hanterbart om det upptäcks i tid. Det som avgör om en incident stannar vid en mindre störning eller får katastrofala följder är om organisationen i efterhand kan visa vad som hände, när det hände och vem som bar ansvaret.

Ett företag som saknar de svaren har ett kritiskt svagt utgångsläge mot revisorer, tillsynsmyndigheter och försäkringsbolag. Under cybersäkerhetslagen är frånvaron av spårbarhet och intern kontroll inte bara en operativ brist – det är en direkt regelöverträdelse. Och den kommer med kännbara ekonomiska konsekvenser för verksamheten och ett personligt ansvar för ledningen.

Det finns inga genvägar förbi det grundläggande: ledningen måste äga frågorna, definiera ansvaret och ställa kraven. Ett affärssystem kan bygga in kontrollerna, automatisera granskningen och skapa den spårbarhet som krävs – men bara om organisationen har bestämt sig för att låta systemet göra jobbet.

‍

{{cta-1}}

‍

{{textbox-3}}

‍

Tillbaka till något av artikelns delar:

• Fyra ögon-principen missas - intern kontroll hänger inte med när företaget växer
• Okontrollerade behörigheter – brist på styrning över vem som har tillgång till vad
• Sårbarhet vid förändring – när säkerhetskontrollen tappas i farten