Behörigheter och intern kontroll i ekonomisystem

Att etablera korrekta behörigheter och en stark intern kontroll i ekonomisystem är fundamentalt för att skydda företagets tillgångar, säkerställa finansiell korrekthet och förhindra oegentligheter. I korthet handlar det om att tilldela rätt åtkomstnivåer till rätt individer och att bygga in systematiska spärrar som förhindrar att en enskild person kan genomföra en fullständig, kritisk transaktion på egen hand. Genom att tillämpa principer som funktionsdelning (Segregation of Duties) och rollbaserad åtkomstkontroll (RBAC) kan organisationer effektivt lösa problem med obehörig åtkomst, minimera risken för bedrägerier och säkerställa att lagkrav som bokföringslagen efterlevs. Denna guide ger dig en djupgående och praktisk genomgång av hur du strukturerar, implementerar och underhåller behörigheter i ditt ekonomisystem för att skapa en trygg och effektiv ekonomifunktion.

Vad innebär behörigheter i ett ekonomisystem?

Behörigheter i ett ekonomisystem dikterar exakt vilka funktioner, moduler och data en specifik användare har rätt att se, skapa, redigera eller radera. I moderna, molnbaserade affärssystem är behörighetsstyrningen ofta mycket granulär, vilket innebär att administratörer kan styra åtkomst på detaljnivå. Det kan handla om allt från rätten att godkänna en leverantörsfaktura till möjligheten att ändra ett bankkontonummer i leverantörsregistret eller att boka manuella verifikationer i huvudboken.

Historiskt sett, när bokföring skedde manuellt eller i enklare lokala system, var den interna kontrollen ofta beroende av fysiska signaturer, låsta pärmar och personlig övervakning. I dagens digitaliserade landskap har dessa fysiska kontroller ersatts av digitala behörighetsstrukturer. Detta ställer avsevärt högre krav på systemförståelse och strategisk planering hos företagsledningen. Ett vanligt problem i många växande företag är att behörigheter delas ut ad-hoc i takt med att nyanställningar sker. Detta leder snabbt till en oöverskådlig situation där för många anställda har för breda befogenheter, ett fenomen som inom IT-säkerhet kallas för "behörighetskrypning" (privilege creep). Detta utgör en massiv säkerhetsrisk och försvårar all form av uppföljning.

En välfungerande behörighetsstruktur är därmed inte enbart en IT-fråga, utan i allra högsta grad en strategisk verksamhetsfråga. Det kräver att ekonomichefen (CFO) eller redovisningschefen arbetar tätt tillsammans med systemadministratörer för att översätta företagets ekonomiska processer, riskaptit och attestreglementen till tekniska inställningar i systemet.

Varför är intern kontroll avgörande för företagets säkerhet?

Intern kontroll är det ramverk av processer, rutiner och systeminställningar som ett företag använder för att säkerställa att verksamheten bedrivs effektivt, att den finansiella rapporteringen är tillförlitlig och att tillämpliga lagar och regler följs. I kontexten av ett ekonomisystem är den interna kontrollen den mekanism som fångar upp fel och förhindrar bedrägerier innan de orsakar ekonomisk eller varumärkesmässig skada.

Förebyggande av interna och externa bedrägerier

En av de primära anledningarna till att implementera strikt intern kontroll är att förhindra ekonomiska oegentligheter. Utan adekvata systemspärrar kan en anställd med breda behörigheter teoretiskt sett lägga upp en fiktiv leverantör, skapa en falsk faktura och därefter godkänna betalningen till sitt eget bankkonto. Genom att separera dessa moment i systemet elimineras möjligheten för en enskild aktör att genomföra ett sådant bedrägeri. Även externa bedrägeriförsök, såsom vd-bedrägerier (whaling) eller falska fakturor, motverkas effektivt när systemet tvingar fram granskning av flera oberoende parter.

Minimering av oavsiktliga fel och datakvalitet

Alla fel i en bokföring är inte resultatet av illvilja. Ofta handlar det om den mänskliga faktorn – en felaktig siffra vid registrering, en dubbelbetalning av en faktura, en felkontering eller ett missförstånd kring gällande skatteregler. Ett ekonomisystem med stark intern kontroll använder valideringsregler och behörighetsbegränsningar för att varna eller blockera orimliga transaktioner. Detta säkerställer en hög datakvalitet, vilket i sin tur är en förutsättning för att ledningen ska kunna fatta korrekta affärsbeslut baserade på systemets rapporter.

Regelefterlevnad och lagkrav

Svensk lagstiftning, i synnerhet Bokföringslagen (1999:1078) och Årsredovisningslagen (1995:1554), ställer strikta krav på spårbarhet, varaktighet och säkerhet i den finansiella informationen. Företaget måste kunna visa hur en affärshändelse har behandlats från grunddokument till årsredovisning. Dessutom ställer Dataskyddsförordningen (GDPR) tvingande krav på att personuppgifter (som ofta finns i löne- och kundreskontramoduler) endast ska vara tillgängliga för de anställda som absolut behöver dem för att utföra sina arbetsuppgifter. Bristande behörighetsstyrning kan därmed leda till allvarliga brott mot dataskyddslagstiftningen.

Vanliga problem och risker vid bristande behörighetsstyrning

När företag växer snabbt är det vanligt att administrativa processer och systeminställningar hamnar på efterkälken. Detta leder ofta till allvarliga brister i hanteringen av behörigheter i ekonomisystemet. Här är några av de mest kritiska problemen som uppstår i verksamheter med svag intern kontroll:

Superanvändar-syndromet: För att spara tid och undvika administrativa flaskhalsar ges många användare fullständiga administratörsrättigheter (super user access). Detta innebär att de kan kringgå alla inbyggda kontroller, ändra systeminställningar, manipulera data och till och med radera loggar. Detta är en av de största riskfaktorerna i alla IT-miljöer.
Delade inloggningsuppgifter: Ett av de mest grundläggande säkerhetsfelen är när flera anställda delar på samma användarkonto (exempelvis en gemensam inloggning för "ekonomi@foretaget.se"). Detta omöjliggör all form av spårbarhet (audit trail) eftersom det inte går att bevisa vem som utfört en specifik åtgärd i systemet.
Bristande rutiner vid avslutad anställning (Offboarding): När en medarbetare slutar är det kritiskt att deras åtkomst till ekonomisystemet omedelbart återkallas. Ofta glöms detta bort, vilket lämnar dörren öppen för obehörig åtkomst i månader eller till och med år efter att anställningen upphört. Detta gäller även anställda som byter roll internt och därmed inte längre ska ha kvar sina gamla behörigheter.
Avsaknad av funktionsdelning: Om samma person som registrerar inkommande betalningar också har behörighet att skriva av kundfordringar som kundförluster, finns det en uppenbar risk för förskingring (så kallad "lapping"). Personen kan stjäla en inkommande betalning och dölja stölden genom att boka bort fordran.

Principer för en säker behörighetsstruktur

För att bygga en robust och säker miljö i ekonomisystemet bör företag utgå från tre grundläggande säkerhetsprinciper. Dessa principer utgör fundamentet för all modern systemarkitektur och informationssäkerhet, och utgör gränsdragningen mellan rekommendationer och absoluta krav för en godkänd IT-revision.

1. Principen om minsta möjliga privilegium (PoLP)

Principle of Least Privilege (PoLP) är en strikt regel som innebär att en användare endast ska tilldelas de behörigheter som är absolut nödvändiga för att utföra sina specifika arbetsuppgifter, och inget mer. Om en ekonomiassistent enbart arbetar med kundreskontra, ska denne inte ha läs- eller skrivrättigheter i leverantörsreskontran, lönesystemet eller huvudboken. Denna princip minimerar skadeverkningarna om ett konto skulle bli kapat av en extern angripare eller om en anställd agerar illojalt.

2. Funktionsdelning (Segregation of Duties - SoD)

Funktionsdelning är kärnan i all intern kontroll. Det innebär att kritiska processer delas upp på flera personer så att ingen enskild individ har fullständig kontroll över en hel transaktionskedja. I ett ekonomisystem innebär detta att systemet måste konfigureras så att det är tekniskt omöjligt för en och samma användare att utföra motstridiga uppgifter.

Exempel på kritiska SoD-konflikter som systemet måste blockera:

Att skapa eller ändra en leverantör i masterdata och att godkänna en betalning till samma leverantör.
Att registrera en kundorder och att kreditera en kundfaktura.
Att hantera löneutbetalningar och att ändra anställdas bankkontonummer.
Att genomföra en inventering och att godkänna lagersaldokorrigeringar.

3. Rollbaserad åtkomstkontroll (RBAC)

Istället för att tilldela behörigheter till specifika individer (vilket snabbt blir ohanterligt), bör behörigheter knytas till definierade roller i systemet (Role-Based Access Control). När en ny anställd börjar, tilldelas denne en roll (exempelvis "Junior Redovisningsekonom"), och ärver automatiskt alla behörigheter som är kopplade till den rollen. Detta gör administrationen oerhört mycket mer effektiv, säkerställer enhetlighet och minskar risken för felaktiga behörighetstilldelningar.

Tabell: Exempel på rollbaserad åtkomst (RBAC) i ett ekonomisystem

Roll i systemet	Kundreskontra	Leverantörsreskontra	Huvudbok	Bank & Betalningar	Systeminställningar
Ekonomiassistent (Kund)	Skapa/Redigera	Ingen åtkomst	Läsbehörighet	Ingen åtkomst	Ingen åtkomst
Ekonomiassistent (Lev)	Ingen åtkomst	Skapa/Redigera	Läsbehörighet	Förbereda betalning	Ingen åtkomst
Redovisningsekonom	Läsbehörighet	Läsbehörighet	Skapa/Redigera	Läsbehörighet	Ingen åtkomst
Ekonomichef (CFO)	Läsbehörighet	Läsbehörighet	Godkänna	Godkänna betalning	Läsbehörighet
Systemadministratör	Ingen åtkomst*	Ingen åtkomst*	Ingen åtkomst*	Ingen åtkomst*	Full åtkomst

*En systemadministratör ska hantera tekniska inställningar, integrationer och användarkonton, men ska enligt god intern kontroll aldrig ha behörighet att utföra eller ens se finansiella transaktioner i produktionsmiljön.

Så implementerar du effektiv intern kontroll i ditt ekonomisystem

Att gå från en ostrukturerad miljö till en strikt kontrollerad behörighetsstruktur är ett projekt som kräver noggrann planering och förankring i ledningen. Här är en beprövad metodik i fyra steg för att lösa problem med behörigheter i ekonomisystem.

Steg 1: Kartläggning av processer och risker

Börja med att kartlägga företagets samtliga ekonomiska flöden, såsom Order-to-Cash (från kundorder till inbetalning), Procure-to-Pay (från inköp till leverantörsbetalning) och Record-to-Report (från löpande bokföring till finansiell rapportering). Identifiera var de största riskerna finns. Vilka transaktioner involverar störst belopp? Var är risken för bedrägeri eller dataläckage högst? Denna riskanalys ligger till grund för hur strikt kontrollen behöver vara i olika delar av systemet.

Steg 2: Definiera roller och behörighetsmatriser

Utifrån kartläggningen skapar du en detaljerad behörighetsmatris (likt tabellen ovan, men nedbruten på transaktionsnivå). Definiera vilka roller som behövs i organisationen och exakt vilka systemfunktioner varje roll ska ha tillgång till. Säkerställ att matrisen är designad för att undvika SoD-konflikter. Det är ett absolut krav att denna matris dokumenteras, underhålls och formellt godkänns av företagsledningen eller styrelsen.

Steg 3: Tekniska spärrar och systemstöd

Nästa steg är att översätta den teoretiska behörighetsmatrisen till faktiska inställningar i ekonomisystemet. Detta innebär att konfigurera användargrupper, sätta upp automatiserade attestflöden och aktivera systemets inbyggda valideringsregler. Många moderna affärssystem har färdiga mallar för "Best Practice"-roller som kan användas som utgångspunkt, men dessa måste alltid anpassas efter företagets specifika behov och storlek.

Steg 4: Löpande uppföljning och revision

Ett ekonomisystem är inte statiskt. Anställda byter roller, nya moduler implementeras, lagstiftning ändras och företagets processer utvecklas. Därför måste den interna kontrollen utvärderas löpande. Genomför regelbundna behörighetsgranskningar (User Access Reviews) minst en gång per år, eller oftare i verksamheter med hög personalomsättning. Vid dessa granskningar ska varje chefsansvarig verifiera att deras underställda personal har korrekta och aktuella behörigheter.

Attesteringsrutiner och beloppsgränser

En central del av den interna kontrollen är hanteringen av attestflöden för leverantörsfakturor, inköpsordrar och utlägg. Ett välkonfigurerat ekonomisystem automatiserar denna process baserat på fördefinierade regler, kostnadsställen och beloppsgränser.

För att skapa en effektiv men säker process bör attestreglementet vara differentierat. Mindre belopp kan hanteras med enklare flöden för att inte skapa administrativa flaskhalsar, medan större investeringar kräver godkännande från flera instanser (fyraögonprincipen).

Praktisk tillämpning med 2026 års belopp: Ett rekommenderat sätt att strukturera beloppsgränser är att knyta dem till fastställda basbelopp, vilket gör att reglerna automatiskt justeras för inflation utan att attestreglementet behöver skrivas om varje år.

Prisbasbelopp 2026: 59 200 kr.
Regel 1: Fakturor under 0,5 prisbasbelopp (29 600 kr) attesteras av närmaste chef med budgetansvar.
Regel 2: Fakturor mellan 0,5 och 2 prisbasbelopp (29 600 kr – 118 400 kr) kräver attest av både närmaste chef och avdelningschef.
Regel 3: Fakturor över 2 prisbasbelopp (över 118 400 kr) kräver dessutom slutgodkännande av CFO eller VD innan betalningsfilen kan skapas.

Genom att bygga in dessa regler direkt i ekonomisystemets workflow-motor säkerställer man att ingen faktura kan betalas utan korrekt auktorisation. Systemet dirigerar automatiskt fakturan till rätt person baserat på belopp och kontering.

Hantering av specifika skatteregler och förmåner i systemet

Ett ekonomisystem måste vara exakt konfigurerat för att hantera gällande skatteregler och förmåner. Behörigheten att ändra dessa systemparametrar måste vara extremt restriktiv och normalt endast tilldelas systemadministratören i samråd med lönechef eller CFO. Felaktiga inställningar här leder ofelbart till felaktig skatteberäkning, vilket kan resultera i allvarliga skattetillägg och straffavgifter från Skatteverket.

För inkomståret 2026 gäller bland annat följande kritiska värden som systemet måste hantera korrekt, och där systemets interna kontroll måste förhindra manuella överskridanden:

Arbetsgivaravgift: 31,42 %. Systemet måste dock vara konfigurerat för att hantera lagstadgade undantag för specifika åldersgrupper (unga/äldre) baserat på födelseår.
Skiktgräns och Brytpunkt: Skiktgränsen för 2026 är 643 000 kr och brytpunkten för statlig skatt (för personer som ej fyllt 66 år) är 660 400 kr (ca 55 033 kr/mån). Lönesystemet måste automatiskt applicera statlig inkomstskatt när dessa nivåer passeras.
Traktamente (heldag): 300 kr. Reseräkningsmodulen måste ha detta som ett låst standardvärde för inrikes tjänsteresor. Användare ska inte kunna skriva in ett högre skattefritt belopp.
Milersättning egen bil: 25 kr/mil. Även detta måste vara en låst parameter i utläggshanteringen.
Förmånsbil: Skattefri milersättning för tjänstekörning med förmånsbil är 12 kr/mil (ej helt el) och 9,50 kr/mil (helt el). Systemet måste kunna differentiera dessa baserat på biltyp.
Friskvårdsbidrag: Max 5 000 kr per år. Systemet måste ha inbyggda spärrar som automatiskt blockerar eller förmånsbeskattar utbetalningar som överstiger denna gräns per individ och kalenderår.
Skattefri julgåva: 600 kr inkl moms. Om en faktura för julgåvor överstiger detta belopp per anställd, måste systemet eller attestanten flagga för att hela beloppet ska förmånsbeskattas.
3:12 Förenklingsregeln 2026: 322 400 kr. Detta är ett kritiskt gränsvärde för ägarledda bolag vid beräkning av lågbeskattad utdelning.
Bolagsskatt: 20,6 %.

Att säkerställa att dessa parametrar är uppdaterade och låsta för obehörig redigering är en fundamental del av den interna kontrollen och regelefterlevnaden.

Spårbarhet och loggning (Audit Trail)

För att intern kontroll ska vara meningsfull måste det finnas en oföränderlig historik över allt som sker i systemet. Detta kallas för ett Audit Trail (revisionsspår). Ett fullgott ekonomisystem loggar automatiskt vem som gjorde vad, när det gjordes, och från vilken IP-adress.

Kritiska händelser som alltid måste loggas och övervakas:

Inloggningar och framförallt upprepade misslyckade inloggningsförsök.
Skapande, ändring och radering av användarkonton och behörighetsroller.
Ändringar i masterdata (exempelvis leverantörers bankkontonummer, kunders kreditlimiter eller anställdas löneuppgifter).
Manuella bokföringsordrar och korrigeringar i huvudboken.
Godkännande och export av betalningsfiler till banken.

Loggarna får under inga omständigheter kunna raderas, inaktiveras eller manipuleras av användarna, inte ens av systemadministratörer. Vid en eventuell oegentlighet, ett dataintrång eller vid den årliga revisionen är dessa loggar det absolut viktigaste bevis- och analysmaterialet.

Integrationer och API-behörigheter

I dagens digitala ekosystem är ekonomisystemet sällan isolerat. Det är ofta integrerat med en rad försystem som CRM, e-handelsplattformar, kassasystem, tidrapporteringssystem och lagerhantering via API:er (Application Programming Interfaces).

Ett vanligt och mycket farligt misstag är att ge dessa integrationer fullständiga administratörsrättigheter i ekonomisystemet för att "säkerställa att integrationen fungerar". Även system-till-system-kommunikation måste strikt följa principen om minsta möjliga privilegium. Om ett externt CRM-system endast behöver kunna läsa kunddata och skapa kundfakturor, ska API-nyckeln eller integrationsanvändaren begränsas till exakt dessa funktioner. Om CRM-systemet skulle bli komprometterat av en hacker, begränsas skadan i ekonomisystemet avsevärt eftersom API-nyckeln saknar behörighet att exempelvis exportera leverantörsregister eller ändra finansiell data.

Revisorns krav på IT-miljön och ekonomisystemet

När företagets externa revisor genomför sin årliga granskning, utvärderas inte bara siffrorna i årsredovisningen, utan även de IT-system och processer som genererat siffrorna. Detta kallas för IT-revision (IT General Controls - ITGC).

Revisorn kommer att kräva dokumentation på hur behörigheter tilldelas, hur funktionsdelning upprätthålls och hur systemändringar hanteras. Om revisorn finner allvarliga brister i den interna kontrollen – exempelvis att för många har administratörsrättigheter eller att det saknas spårbarhet – kan detta leda till en anmärkning i revisionsberättelsen. En sådan anmärkning kan skada företagets rykte, försvåra banklån och påverka företagets värdering negativt. En stark behörighetsstruktur är därmed en direkt förutsättning för en ren revisionsberättelse.

Ekonomiska konsekvenser av bedrägerier och fel (Räkneexempel)

Att investera tid och resurser i att sätta upp korrekta behörigheter kan ibland möta motstånd internt, då det upplevs som byråkratiskt eller kostsamt. Det är dock viktigt att förstå de potentiella ekonomiska konsekvenserna av att inte ha en fungerande intern kontroll.

Enligt internationella studier från Association of Certified Fraud Examiners (ACFE) förlorar en genomsnittlig organisation upp till 5 % av sin årliga omsättning till följd av bedrägerier och svinn, varav en stor del sker internt på grund av bristande systemkontroller.

Räkneexempel: Den dolda kostnaden för bristande kontroll Låt oss anta ett medelstort företag med en omsättning på 100 miljoner kronor och en vinstmarginal på 10 %.

Potentiell förlust vid 5 % svinn/bedrägeri: 5 000 000 kr per år.
För att täcka en ren förlust på 5 miljoner kronor, med en vinstmarginal på 10 %, måste företaget öka sin försäljning med hela 50 miljoner kronor.

Att implementera ett robust system för behörigheter och intern kontroll, vilket kanske kostar 100 000 kr i konsulttid och systemanpassningar, är därmed en av de mest lönsamma och riskminimerande investeringar ett företag kan göra för att skydda sin sista rad.

Checklista för årlig granskning av intern kontroll

För att säkerställa att behörigheter i ekonomisystemet förblir korrekta över tid, bör företaget genomföra en formell årlig revision. Använd denna checklista som utgångspunkt för ert arbete:

Granska aktiva användare: Finns det konton som tillhör personer som slutat, är tjänstlediga eller har bytt avdelning? Inaktivera obehöriga konton omedelbart.
Kontrollera superanvändare: Hur många har fullständiga administratörsrättigheter? Reducera detta till ett absolut minimum (helst max två personer, varav ingen arbetar operativt med bokföringen).
Verifiera SoD-konflikter: Finns det någon användare som kan både skapa en leverantör och godkänna en betalning? Justera behörigheterna omedelbart.
Testa attestflöden: Fungerar beloppsgränserna som de ska? Går fakturor över gränsvärdena (t.ex. över 1 prisbasbelopp) till rätt beslutsfattare enligt gällande attestreglemente?
Granska API-användare: Har integrationer från andra system mer behörighet än de faktiskt behöver för sin funktion?
Kontrollera MFA: Är Multi-Factor Authentication (tvåstegsinloggning) aktiverat och tvingande för samtliga användare, utan undantag?
Läs loggarna: Gör ett stickprov i systemets Audit Trail för att säkerställa att kritiska ändringar loggas korrekt och att inga oförklarliga ändringar i masterdata har skett under året.

Vanliga frågor och svar (FAQ)

Vad är skillnaden mellan behörigheter och intern kontroll?

Behörigheter är de specifika tekniska rättigheterna en användare har i ett IT-system (t.ex. rätt att läsa, skriva, godkänna eller radera data). Intern kontroll är det övergripande ramverket av processer, policyer och systeminställningar (där behörigheter ingår som en mycket viktig teknisk del) som syftar till att skydda företagets tillgångar, säkerställa regelefterlevnad och garantera en korrekt finansiell rapportering.

Hur ofta bör vi se över behörigheterna i vårt ekonomisystem?

En fullständig och dokumenterad granskning (User Access Review) bör genomföras minst en gång per år. I större organisationer, i noterade bolag, eller i företag med hög personalomsättning, rekommenderas kvartalsvisa granskningar. Dessutom är det en absolut regel att behörigheter alltid måste uppdateras eller inaktiveras omedelbart samma dag som en anställd slutar eller byter roll.

Vad är Segregation of Duties (SoD) och varför är det viktigt?

Segregation of Duties, eller funktionsdelning, är en fundamental säkerhetsprincip som innebär att ingen enskild person ska ha befogenhet att genomföra en hel kritisk process på egen hand. Syftet är att förhindra bedrägerier och upptäcka oavsiktliga fel. Ett klassiskt exempel är att personen som godkänner en faktura aldrig får vara samma person som genomför själva betalningen i banken eller ändrar leverantörens bankkontonummer.

Kan vi låta vår externa redovisningsbyrå ha administratörsrättigheter?

Det är vanligt att redovisningsbyråer har breda behörigheter för att kunna utföra sitt arbete effektivt. De bör dock under inga omständigheter ha systemadministratörsrättigheter (möjlighet att lägga till/ta bort användare, radera loggar eller ändra grundläggande systemarkitektur) om det inte är strikt reglerat i avtal och övervakas noga. Det är också kritiskt att byråns arbete granskas och att de inte har ensamrätt att både bokföra och godkänna utbetalningar utan intern attest från företaget.

Vad gör vi om vårt nuvarande system inte stödjer rollbaserad åtkomst (RBAC)?

Om ert ekonomisystem saknar stöd för granulär behörighetsstyrning och RBAC, är systemet sannolikt föråldrat och utgör en betydande säkerhetsrisk för verksamheten. I ett sådant läge bör ni starkt överväga att byta till ett modernt, molnbaserat affärssystem som är byggt med säkerhet, spårbarhet och intern kontroll som grundpelare.

Hur skyddar vi oss mot att någon ändrar ett bankkontonummer till en leverantör?

Detta är ett av de vanligaste sätten som interna bedrägerier genomförs på. För att skydda er måste systemet konfigureras så att ändringar i leverantörsregistret (masterdata) loggas oföränderligt och genererar en automatisk notis till ekonomichefen eller en oberoende kontrollant. Dessutom måste rätten att ändra masterdata vara strikt separerad från rätten att hantera och godkänna leverantörsfakturor.

Är det ett lagkrav att ha spårbarhet (Audit Trail) i ekonomisystemet?

Ja. Enligt Bokföringslagen måste det finnas ett betryggande säkerhetssystem som skyddar bokföringsinformationen mot förstörelse, förlust och obehörig ändring. Att kunna spåra vem som gjort en specifik bokföringspost och när den gjordes är ett grundläggande krav för att bokföringen ska anses vara tillförlitlig och uppfylla lagens krav på varaktighet och överskådlighet.

Hur hanterar vi behörigheter för tillfälliga konsulter?

Tillfälliga konsulter ska hanteras med samma strikta principer som anställda, men med tillägget att deras konton bör tidsbegränsas redan vid uppläggningen. Om en konsult är anlitad för ett projekt som pågår i tre månader, ska systemkontot automatiskt inaktiveras efter detta datum. Konsulter ska aldrig ges bredare behörighet än vad det specifika uppdraget kräver.

Sammanfattning och nästa steg

Att hantera behörigheter och upprätthålla en stark intern kontroll i ekonomisystemet är inte en engångsinsats, utan en kontinuerlig process som kräver engagemang från både ledning, IT och operativ personal. Genom att implementera rollbaserad åtkomst (RBAC), säkerställa strikt funktionsdelning (SoD) och utnyttja systemets inbyggda automatiserade kontroller, kan ni drastiskt minska risken för fel, dataläckage och bedrägerier. En säker ekonomifunktion skapar trygghet, säkerställer regelefterlevnad och bygger ett starkt förtroende hos ägare, revisorer och externa partners.

Är du osäker på om ert nuvarande ekonomisystem lever upp till dagens stränga säkerhetskrav, eller behöver ni professionell hjälp med att strukturera upp era behörigheter och attestflöden på ett säkert och effektivt sätt? Att bygga en skalbar och trygg ekonomifunktion kräver rätt systemstöd och djupgående expertis inom både redovisning och IT-säkerhet.

Läs mer om hur vi kan hjälpa er med säker och effektiv Digital redovisning här.

Källförteckning

Bokföringslagen (1999:1078), Sveriges Riksdag.
Årsredovisningslagen (1995:1554), Sveriges Riksdag.
Skatteverket (2026). Belopp och procent för 2026 (Prisbasbelopp, skiktgräns, traktamente, milersättning, arbetsgivaravgifter, bolagsskatt).
Association of Certified Fraud Examiners (ACFE). Report to the Nations on Occupational Fraud and Abuse.
Datainspektionen / Integritetsskyddsmyndigheten (IMY). Vägledning kring Dataskyddsförordningen (GDPR) och behörighetsstyrning.
FAR (Branschorganisationen för revisorer och rådgivare). Riktlinjer för god intern kontroll och IT-säkerhet i ekonomisystem.
ISACA (Information Systems Audit and Control Association). COBIT Framework for IT Governance and Control.