Är ditt ekonomisystem säkert? Fem frågor att ställa

För att bedöma hur väl ett system tar hand om och skyddar dina uppgifter finns det några områden som du bör titta närmare på. Här är fem frågor att ställa till din systemleverantör:

1. Hur hanteras personuppgifter – och vem ansvarar för vad?

En grundläggande punkt är hur systemleverantören arbetar med personuppgifter enligt GDPR.

Det behöver vara tydligt:

• om leverantören är personuppgiftsbiträde eller personuppgiftsansvarig i olika delar
• att det finns ett personuppgiftsbiträdesavta
• hur personuppgifter behandlas inom tjänsten

Som redovisningskonsult ansvarar du för att de uppgifter som förs in i systemet är korrekt insamlade och får behandlas. Det gäller inte minst i arbetet med kundkännedom, där dokumentation ofta innehåller personuppgifter.

Det är också viktigt att förstå hur känsliga personuppgifter hanteras. I många fall krävs särskilt rättsligt stöd för att lagra eller behandla sådana uppgifter över huvud taget.

2. Hur stödjer systemet arbetet med kundkännedom (KYC)?

KYC är i grunden en process, men den är beroende av att systemet fungerar.

Frågor att ställa är till exempel:

• går det att samla och lagra kundinformation på ett strukturerat sätt?
• går det att uppdatera och följa upp information över tid?
• går det att visa hur och när uppgifter har registrerats eller ändrats?

Eftersom kraven på kundkännedom omfattar både insamling och löpande uppföljning, behöver systemet stödja att arbetet faktiskt går att genomföra – och visas upp vid behov.

3. Var lagras datan – och hur skyddas den?

Bakom varje tjänst finns en teknisk infrastruktur som påverkar säkerheten.

Här är det relevant att förstå:

• var datan lagras geografiskt och dess motståndskraft mot geopolitisk påverkan
• hur datacenter driftas och övervakas och dess motståndskraft mot avbrott på el eller dataförsörjning
• om det finns bemanning och övervakning dygnet runt
• hur leverantören arbetar med tekniska och organisatoriska säkerhetsåtgärder

Den här typen av information är inte synlig i det dagliga arbetet, men avgörande om något skulle inträffa.

4. Hur hanteras incidenter och avvikelser?

Ingen miljö är helt fri från risk. Därför är det avgörande hur leverantören hanterar incidenter.

Det bör vara tydligt:

• hur incidenter upptäcks och hanteras, men kanske framförallt hur företaget jobbar med sitt förbättringsarbete
• vilka processer som finns dokumenterade
• hur och när du som kund informeras

Vid incidenter ska leverantören, utan onödigt dröjsmål, underrätta den personuppgiftsansvariga.

För byrån handlar det om att kunna agera snabbt – och ha tillgång till rätt information när det behövs.

5. Hur säkras åtkomst, inloggning och datakommunikation?

En stor del av säkerheten ligger i hur användare får tillgång till systemet – och hur data skyddas i användningen.

Det är värt att kontrollera:

• att all datakommunikation är krypterad enligt etablerade standarder
• att inloggningsförfarandet är säkrat med multifaktor
• att lösenord hanteras på ett sätt som inte gör dem åtkomliga i klartext
• att användarlistan är korrekt och uppdaterad med rätt behörigheter

Det minskar risken för obehörig åtkomst, särskilt i miljöer där flera arbetar parallellt.

 

• Upptäck ett säkrare och mer effektivt sätt att arbeta – , och kan samtidigt möta både lagkrav och kundförväntningar.