Vägar till förtroende

Vägen för vilket ramverk som helst

Använd den när en lag, en standard eller en kund kräver bevis. Samma nio steg leder genom var och en av dem, så varje ramverk blir en variant av den här vägen.

1. Namnge skyldigheten

   Vad som krävs, av vem, till när, och vem som avgör att det är uppfyllt: en lag, en standard, en kund.

2. Avgränsa omfattningen

   Vilka system, tjänster, personer och data som ingår. Skriv ner det först.

3. Mappa krav till kontroller

   En kontroll kan besvara många krav, så skriv den en gång.

4. Hitta luckorna

   Jämför det som faktiskt sker med det som kontrollerna förväntar sig, och spara beviset.

5. Ge varje kontroll en ägare

   En namngiven person, ett datum och en prioritet rangordnad efter risk. En plan som ingen äger är ett önskemål.

6. Bygg och driv

   Policyer som människor kan följa och kontroller som körs. Underlag ska uppstå ur arbetet.

7. Granska dig själv

   En intern granskning och en ledningens genomgång innan någon utomstående tittar.

8. Skaffa oberoende försäkran

   Där ramverket kräver det: en revisor, ett certifieringsorgan eller ett anmält organ. En lag kan i stället upprätthållas av en tillsynsmyndighet, utan något revisionssteg att klara.

9. Håll det levande

   Övervakning, ändringskontroll och en årlig rytm, så att nästa revision blir rutin.

Där AI och automatisering hjälper

• Hålla kopplingen mellan krav och kontroller, ägare och underlag länkad.
• Samla in underlag enligt schema och kontrollera det mot kontrollen.
• Hålla utkik efter avdrift: en kontroll som slutat köras, en försenad granskning, ett påstående utan artefakt bakom sig.

Fällor som kostar mest tid

• Att börja med dokument i stället för omfattning.
• En kontrollkarta kopierad från en mall som ingen kan förklara.
• Bevis som bara finns i en persons huvud.
• Att se revisionen som mållinjen.

Vägen till SOC 2

Använd den när kunder efterfrågar säkerställande. SOC 2 är en revisors rapport om hur organisationens kontroller uppfyller Trust Services Criteria. Rapporten är produkten: kunderna läser den i stället för att skicka ett frågeformulär.

1. Välj omfattning

   Vilka tjänster och system, och vilka kriterier. Säkerhet ingår alltid; tillgänglighet, konfidentialitet, behandlingsintegritet och integritetsskydd läggs till när kunder ber om det.

2. Beskriv systemet och bedöm risk

   Ledningens beskrivning av systemet och en riskbedömning som förklarar varför varje kontroll finns. Revisorerna läser båda innan de testar något.

3. Hitta luckorna

   Jämför det du gör i dag med vad kriterierna förväntar sig. En kort beredskapsbedömning sparar månader senare.

4. Skriv ner kontrollerna

   Policyer som människor kan följa, namngivna ägare och kontroller som passar hur teamet faktiskt arbetar.

5. Samla bevis från dag ett

   Ärenden, granskningar, åtkomstlistor och testresultat finns redan; fånga dem när de uppstår.

6. Typ I: kontroller enligt utformning

   Ett CPA-bolag rapporterar om huruvida kontrollerna är lämpligt utformade vid en given tidpunkt. Det är den snabbaste första rapporten. SOC 2 är en attestation, inte en certifiering, och rapporten delas normalt med kunder under begränsad användning.

7. Typ II: kontroller i drift

   Samma kontroller visas fungera under en observationsperiod, ofta tre till tolv månader. Kunderna värdesätter oftast den här rapporten mest.

Där AI och automatisering hjälper

• Hämta bevis från systemen enligt schema och kontrollera det mot kontrollen, i stället för skärmdumpar vid revisionstillfället.
• Utarbeta utkast till policyer och kontrollbeskrivningar utifrån din verkliga praxis, som en person granskar och godkänner.
• Hålla utkik efter avdrift: en kontroll som tyst slutat köras, en försenad åtkomstgranskning.

Fällor som kostar mest tid

• Att skriva policyer som ingen följer. Revisorn testar vad som sker, inte vad dokumentet säger.
• Omfattning som växer under revisionen. Bestäm den tidigt och skriv ner den.
• Bevis som ingen äger. Varje kontroll behöver en namngiven person som kontrollerar den.

SOC-sviten och kriterierna (AICPA) ↗↗ Fler referenser i biblioteket →

Vägen till ISO 27001

Använd den när ett oberoende, certifierat bevis på hur informationssäkerheten bedrivs behövs. ISO 27001 certifierar ett ledningssystem, inte en produkt: ett arbetssätt som fortsätter att förbättras och som ett oberoende organ kontrollerar.

1. Förstå sammanhanget

   Vem som är beroende av organisationen, vad lag och avtal kräver och vad som måste skyddas.

2. Fastställ omfattning och policy

   Vilka delar av organisationen och vilka tillgångar som ingår. Högsta ledningen äger policyn.

3. Bedöm och hantera risk

   En upprepbar riskmetod, ett register med ägare och beslut om att minska, acceptera, överföra eller undvika.

4. Välj kontrollerna

   Välj bland kontrollerna i Annex A (ISO/IEC 27001:2022) och dokumentera val och skäl i Statement of Applicability.

5. Driv systemet

   Använd kontrollerna, utbilda personalen, övervaka och för de register som visar det.

6. Revidera dig själv, sedan granska

   En intern revision, korrigerande åtgärder för dess iakttagelser och en ledningens genomgång innan certifieringsorganet kommer.

7. Certifiering och cykeln

   En tvåstegsrevision av ett ackrediterat certifieringsorgan, årliga övervakningsrevisioner och omcertifiering vid slutet av treårscykeln.

Där AI och automatisering hjälper

• Hålla riskregistret, kontrollförteckningen och underlaget länkade.
• Följa upp granskningsdatum, försenade uppgifter och korrigerande åtgärder, och påminna ägarna.
• Förbereda den interna revisionen: stickprov, bevisgranskning och en första lista över iakttagelser som revisorn kan bekräfta.

Fällor som kostar mest tid

• Att behandla det som ett dokumentprojekt. Revisorerna letar efter ett system som körs och förbättras.
• En Statement of Applicability kopierad från en mall, med skäl som ingen kan förklara.
• Att låta ledningens genomgång bli en formalitet. Det är där besluten dokumenteras.

ISO/IEC 27001 (ISO) ↗↗ Fler referenser i biblioteket →

Vägen till ISO/IEC 42001

Använd den när AI utvecklas, tillhandahålls eller används och ett sätt att styra den behövs som ett oberoende organ kan kontrollera. ISO/IEC 42001 är en ledningssystemstandard för AI, publicerad 2023. Om ISO 27001 redan tillämpas är strukturen gemensam och mycket kan återanvändas.

1. Förstå din roll

   Utvecklar du AI, tillhandahåller du den eller använder du den? Vem är beroende av den, och vad förväntar sig lagen och dina kunder?

2. Fastställ omfattning och en AI-policy

   Vilka AI-system och delar av organisationen som ingår, och en policy som högsta ledningen äger.

3. Inventera AI-systemen

   Varje system, dess ägare, de data det använder och leverantörerna bakom det. Det som inte syns går inte att hantera.

4. Bedöm risk och konsekvenser

   AI-risker för organisationen och en konsekvensbedömning av varje system för de människor det berör. Upprepa när ett system ändras.

5. Välj kontrollerna

   Välj de kontroller som passar, dokumentera skälen och täck AI-livscykeln: data, utveckling, testning, driftsättning och övervakning.

6. Driv med människor i loopen

   Mänsklig tillsyn där det spelar roll, övervakning av vad systemet faktiskt gör samt hantering av incidenter och klagomål.

7. Revision och granskning

   En intern revision och en ledningens genomgång, därefter en certifieringsrevision av ett ackrediterat organ, med övervakningsrevisioner efteråt.

Där AI och automatisering hjälper

• Hålla AI-inventeringen aktuell genom att läsa vad som faktiskt är driftsatt, och flagga användning som ingen har registrerat.
• Samla in övervakningsunderlag enligt schema: prestanda, avdrift, människors åsidosättanden.
• Utarbeta utkast till konsekvensbedömningar som en person granskar och godkänner.

Fällor som kostar mest tid

• Att skriva en enda policy och anse sig klar.
• Att missa den AI som kommer inbyggd i leverantörers produkter.
• Att behandla konsekvensbedömningen som ett formulär i stället för ett samtal med de berörda.

Certifiering enligt ISO/IEC 42001 visar inte i sig överensstämmelse med EU AI Act, som är en lag med egna krav.

ISO/IEC 42001 (ISO)↗ NIST AI Risk Management Framework↗ Mer i biblioteket

Vägen till EU AI Act

Använd den när AI-system byggs, tillhandahålls eller används och lagen kan gälla. EU AI Act är en lag, inte en standard: skyldigheterna beror på rollen och på hur riskfyllda AI-systemen är. Den första frågan är vilken kategori som gäller.

1. Hitta din roll

   Leverantör, driftsättare, importör, distributör eller auktoriserad representant. Skyldigheterna beror på vilken roll som gäller, och man kan ha flera.

2. Inventera dina AI-system

   Varje system och användning, även sådana som köps in och sådana som är inbyggda i andra verktyg.

3. Klassificera risken

   Förbjudna metoder (redan i kraft), högrisksystem, system med transparensskyldigheter och övriga. Kategorin avgör vad som följer.

4. Leverantörens skyldigheter för högrisksystem

   Riskhantering, datastyrning, teknisk dokumentation, loggning, transparens gentemot användare, mänsklig tillsyn, noggrannhet och robusthet samt ett kvalitetsledningssystem. Leverantörer av AI-modeller för allmänna ändamål har egna skyldigheter.

5. Användarens skyldigheter

   Använd systemet enligt instruktionerna, ge kompetenta personer i uppgift att utöva mänsklig tillsyn, övervaka det, för loggar och informera de berörda. Vissa användare måste också bedöma effekten på grundläggande rättigheter. System som samtalar med människor eller genererar syntetiskt innehåll medför transparensskyldigheter.

6. Bevisa den

   För de flesta högrisksystem bedömer leverantören överensstämmelsen själv; ett anmält organ medverkar bara för vissa. Registrera där det krävs och för dokumentation som en myndighet kan läsa.

7. Bygg AI-kunnighet

   Den här skyldigheten gäller redan: personer som arbetar med AI behöver tillräcklig förståelse för att göra det ansvarsfullt.

8. Övervaka efter lansering

   Följ systemet i användning, rapportera allvarliga incidenter och uppdatera underlaget när systemet eller lagen ändras.

Där AI och automatisering hjälper

• Hålla inventering och klassificering aktuella, med en person som bekräftar varje beslut.
• Samla in loggar och övervakningsunderlag så att den tekniska dokumentationen byggs upp av sig själv.
• Hålla reda på vilka skyldigheter som gäller från vilket datum, och för vilka system.

Fällor som kostar mest tid

• Att klassificera efter förhoppning i stället för efter texten.
• Att glömma att användning av någon annans AI ändå gör dig till användare med skyldigheter.
• Att behandla det som ett engångsprojekt när skyldigheterna fortsätter efter lansering.

Allmän vägledning, inte juridisk rådgivning. Akten trädde i kraft i augusti 2024. Så som jag förstår tidsplanen har förbuden och skyldigheten att främja AI-kunnighet gällt sedan februari 2025, reglerna för AI-modeller för allmänna ändamål sedan augusti 2025, och datumen för högriskreglerna beror på typen av system och kan ändras. Kontrollera den officiella texten och eventuella ändringar för de datum som gäller dig i dag.

EU AI Act, officiell text↗ Oberoende sökbar guide↗ Mer i biblioteket

Flera samtidigt utan att göra om arbetet

Vägarna delar det mesta av sin sträcka. Bygg kontroller och underlag en gång, koppla dem till varje ramverk som behövs och låt varje revision läsa samma register.

• En kontrollpost länkad till varje krav den besvarar, över SOC 2, ISO 27001, ISO/IEC 42001 och AI Act.
• Ett underlagsspår för varje revision.
• Ett enda riskregister som förklarar varför varje kontroll finns.

Vill du ha hjälp att välja eller starta en väg? Arbeta med mig → Läs: regelefterlevnad som graf → Tillbaka till AI World →