När skapar en GRC-plattform faktiskt värde – och när gör den inte det?
De flesta organisationer saknar inte riskregister, kontroller eller säkerhetsverktyg. Problemet uppstår när delarna inte följer med varandra. En säkerhetsåtgärd kan vara genomförd samtidigt som risken fortfarande är röd, evidensen saknas och ledningsrapporten visar gårdagens läge.
En GRC-plattform kan stödja kopplingen mellan ramverk, kontroller, risker, ansvar, evidens, åtgärder och rapportering. Men den skapar varken ägarskap eller compliance åt organisationen.
I den här artikeln går jag igenom vad en GRC-plattform faktiskt bör lösa, vilka funktioner som kan skapa praktiskt värde och när det kan vara klokare att vänta.
Det korta svaret: En GRC-plattform skapar värde när den håller ihop ett beslutat arbetssätt. Den skapar inte värde om den bara blir ytterligare ett system där samma information måste registreras igen.
Funktioner som kan stödja ett sammanhängande arbetssätt
En GRC-plattform kan bland annat användas för att:
koppla krav och ramverk till kontroller;
återanvända kontrollarbete genom crosswalks där det är sakligt motiverat;
knyta status, ansvar och evidens till rätt kontroll;
koppla kontrollbrister till risker och åtgärder;
följa ansvar, prioritet, datum och arbetsstatus;
ge ledningen sammanhängande risk- och beslutsunderlag.
Det här är stöd för organisationens arbete. En crosswalk bevisar inte att olika
Säkerhetsåtgärden är klar – men risken är fortfarande röd
Tänk dig följande situation.
En tekniker genomför en viktig säkerhetsåtgärd. I säkerhetsverktyget syns förbättringen direkt. Men kontrollbedömningen ligger kvar på samma nivå, åtgärden står fortfarande som öppen och riskregistret visar samma exponering som tidigare. När ledningsrapporten tas fram ligger punkten därför kvar som röd.
Ingen av bilderna behöver vara uppenbart fel. De är bara uppdaterade vid olika tidpunkter, av olika personer och enligt olika logik.
Det här är ett sammansatt scenario, inte ett specifikt kundcase. Jag möter ofta organisationer som redan gör mycket rätt: de har policyer, riskregister, kontroller och tekniska verktyg. Ändå får någon manuellt föra över förändringar mellan systemen och försöka avgöra vilken bild som är den aktuella.
Problemet är alltså inte brist på information. Problemet är att informationen inte bildar ett styrsystem.
Värdet ligger i relationerna
För mig ska ett fungerande GRC-arbetssätt göra det möjligt att följa en tydlig kedja:
krav och behov → kontroll → bedömning och evidens → avvikelse och risk → åtgärd och ansvar → ny bedömning → ledningsbeslut
Om kedjan bryts behöver någon fylla luckan manuellt. Det är då information kopieras mellan register, status sammanställs inför varje rapportering och en genomförd förbättring inte syns i den samlade riskbilden.
En plattform kan göra relationerna tydligare och enklare att följa. Men organisationen måste fortfarande besluta:
vilka krav och verksamhetsdelar som ingår;
hur risker ska bedömas och accepteras;
vem som äger risker, kontroller och åtgärder;
vilken evidens som är tillräcklig;
när en ny bedömning ska göras;
vilket underlag ledningen behöver för att fatta beslut.
Verktyget måste därför spegla organisationens governance och arbetssätt. Organisationen ska inte byggas om för att passa en standarddemo.
Ett praktiskt arbetsflöde
Ett sammanhängande arbetssätt kan byggas i sex steg:
Avgränsa. Börja med en kritisk tjänst, en riskdomän eller ett prioriterat kravområde.
Bestäm ansvar. Definiera riskägare, kontrollägare, åtgärdsansvariga och beslutsnivåer.
Bygg kontrollstrukturen. Koppla relevanta krav och interna behov till en hanterbar uppsättning kontroller.
Bedöm och belägg. Koppla status, kommentarer, evidens och avvikelser till rätt kontroll och scope.
Behandla och följ upp. Koppla relevanta gap till risk, ansvarig åtgärd, prioritet och datum.
Bedöm på nytt. Uppdatera kontroll- och riskbilden efter genomförda åtgärder och använd den som grund för ledningsrapporteringen.
Det går att börja begränsat. En fungerande första etapp är ofta bättre än ett stort program som försöker modellera hela organisationen från dag ett.
Reglerna kräver inte en viss plattform
För verksamhetsutövare som omfattas av den svenska cybersäkerhetslagen (2025:1506) gäller sedan den 15 januari 2026 krav på proportionella säkerhetsåtgärder utifrån risk och på att bedöma åtgärdernas effektivitet.
För dem som omfattas av MCFFS 2026:11 blir styrkedjan tydligare. Föreskriften börjar gälla den 1 oktober 2026 och kopplar bland annat samman risker, valda säkerhetsåtgärder, ansvar, tidpunkt och ledningens uppföljning.
Reglerna kräver inte inköp av en GRC-plattform och scope måste avgöras för varje verksamhetsutövare. Behovet av spårbarhet växer däremot ofta när fler kravkällor, kontroller och verksamhetsdelar ska hanteras tillsammans.
När skapar plattformen värde?
En GRC-plattform är ofta relevant när:
samma information återkommer i flera risk-, kontroll- och rapporteringsflöden;
flera verksamhetsdelar behöver arbeta lokalt men rapportera jämförbart;
organisationen behöver hantera flera ramverk utan onödigt dubbelarbete;
ansvar, evidens, avvikelser och åtgärder behöver följas över tid;
ledningen behöver ett återkommande underlag som kan spåras till bakomliggande information;
organisationen vill ersätta eller förenkla befintliga parallella arbetssätt.
När gör den inte det?
En ny plattform är sannolikt inte rätt nästa steg när:
ingen kan beskriva vilket konkret arbetsflöde den ska förbättra eller ersätta;
ansvar, scope och riskkriterier är helt odefinierade;
införandet saknar intern ägare och kapacitet även för en begränsad första etapp;
verktyget främst köps för att signalera compliance;
den befintliga lösningen fungerar tillräckligt bra och ett nytt alternativ inte kan visa tydligt inkrementellt värde;
alla gamla parallella register ska behållas utan beslut om vilket arbetssätt som ska vara styrande.
Om ert nuvarande arbetssätt redan gör det möjligt att följa en risk från krav och kontroll till evidens, åtgärd och ledningsbeslut behöver ni sannolikt inte ytterligare en GRC-plattform. Då är uppgiften i stället att förvalta och förbättra det som redan fungerar.
”Inte redo” betyder inte ”aldrig”. Det betyder ofta att governance, scope eller förändringskapacitet behöver komma först.
Testa ert nuvarande arbetssätt
Välj en väsentlig cyberrisk och svara på följande frågor:
Kan ni se vilka krav och kontroller som berör risken?
Kan ni se aktuell bedömning och vilken evidens den bygger på?
Framgår det vem som äger risken, kontrollen och beslutade åtgärder?
Kan ni se vad som är försenat, accepterat eller undantaget?
Uppdateras kontroll- och riskbilden efter genomförda åtgärder?
Kan ledningen förstå vad som har förändrats och vilken risk som återstår?
Om ni kan svara ja på samtliga frågor har ni en stark grund, oavsett vilket verktyg ni använder.
Om kedjan bryts på flera ställen har ni identifierat det problem som ett mer sammanhängande GRC-arbetssätt behöver lösa.
CyberStrong som ett konkret exempel
CyberStrong är CyberSaints SaaS-plattform för cyberriskhantering och GRC. Den stödjer strukturerat arbete med ramverk och egna kontroller, bedömningar, crosswalks, ansvar, evidens, risker, riskrespons, åtgärder och rapporteringsvyer. Risker kan kopplas till kontroller och remediation kan följas med bland annat ansvar, datum, prioritet och arbetsstatus.
CyberStrong är ett exempel på hur styrkedjan kan stödjas i en sammanhållen plattform. Det avgörande är om lösningen passar organisationens governance, datakällor, ansvar och förvaltningskapacitet. Exakt funktionalitet beror på edition, licens, konfiguration, datakällor och scope. Plattformen stödjer arbetet men skapar eller garanterar inte compliance.
CyberSaint är produktleverantören. Infylgia hjälper organisationer att analysera behovet, utforma arbetssättet, implementera och konfigurera plattformen samt vid behov stödja den löpande förvaltningen.
När kan det vara dags att ta upp frågan igen?
Det kan vara relevant att ompröva arbetssättet när:
ledningsrapporteringen kräver återkommande manuell sammanställning;
samma information behöver registreras eller kontrolleras på flera ställen;
kontrollägare och åtgärdsansvariga arbetar i parallella flöden;
ytterligare ramverk eller verksamhetsdelar ska läggas till;
den befintliga lösningen blir personberoende;
genomförda åtgärder inte syns i den samlade riskbilden;
revision eller tillsyn kräver mer spårbarhet.
Det betyder inte automatiskt att en ny plattform är svaret. Men det är en signal om att nuvarande governance, process och systemstöd bör bedömas på nytt.
Börja med en kedja, inte en produktdemo
Välj en väsentlig cyberrisk och följ den genom ert nuvarande arbetssätt. Om kedjan håller ihop, fortsätt förbättra det ni redan har. Om den bryts, börja med att avgöra om problemet ligger i ansvar, process, data eller systemstöd.
Vill ni ha ett externt perspektiv kan Infylgia hjälpa er att göra den bedömningen. Nästa steg behöver inte vara ett plattformsinförande. Det kan lika gärna vara tydligare governance, ett mer avgränsat scope eller en förbättring av den lösning ni redan använder.
