Din bokföring är känsligare än du tror
Tänk efter en sekund. Ditt bokföringssystem innehåller allt. Kunders personnummer, leverantörers bankuppgifter, lönespecifikationer, skatteunderlag. Det är i princip en skattkista för den som vill åt känslig information. Och ändå ser jag företag efter företag som rusar in i automatisering utan att ägna en enda tanke åt säkerheten.
Jag förstår lockelsen. Automatiserade bokföringssystem sparar tid, minskar mänskliga fel och frigör resurser som kan läggas på det som faktiskt driver verksamheten framåt. Men om du inte har koll på säkerhetsaspekterna riskerar du att byta ett problem mot ett betydligt värre.
Faktum är att cyberattacker mot småföretag ökade med över 40 procent under 2023, enligt Svenskt Näringslivs egna undersökningar. Och gissa vilka system som angriparna ofta riktar in sig på? Just det. Ekonomisystem.
Vad händer egentligen med dina data?
När du implementerar ett automatiserat bokföringssystem – oavsett om det handlar om molnbaserad AI-bokföring eller en lokal installation med maskininlärning – så förflyttas dina data. De kopieras, bearbetas, lagras och ibland skickas mellan olika servrar. Varje sådant steg är en potentiell sårbarhet.
Frågan du bör ställa dig är inte ”om” något kan gå fel. Utan ”när”. Och framför allt: har du en plan för det?
Jag har sett företag som kopplade ihop sitt nya AI-system med bankkonton, leverantörsregister och lönesystem på en eftermiddag. Snyggt och smidigt. Men utan tvåfaktorsautentisering. Utan kryptering av data i transit. Utan ens en grundläggande loggning av vem som faktiskt hade åtkomst till vad. Det är som att installera ett toppmodernt larmsystem i huset men lämna ytterdörren vidöppen.
Kryptering är inte valfritt – det är ett minimikrav
Låt oss prata om kryptering. Det låter tekniskt och tråkigt, men det är egentligen ganska enkelt. Kryptering innebär att dina data omvandlas till oläslig kod under överföring och lagring. Utan rätt nyckel är informationen värdelös för en utomstående.
Du vill ha AES-256-kryptering som minimum för data i vila. Och TLS 1.3 för data som skickas mellan system. Det här är branschstandard 2024. Om din leverantör inte erbjuder det – spring därifrån.
Men kryptering ensamt räcker inte. Du behöver också kontrollera var dina data lagras fysiskt. Ligger servrarna inom EU? Omfattas de av GDPR? Eller finns det en risk att dina kunders personuppgifter plötsligt hamnar på en server i ett land med helt andra dataskyddslagar? Det är frågor som kan kännas abstrakta – tills Datainspektionen knackar på dörren med ett vitesföreläggande.
Behörighetsstyrning – vem ser vad?
Här gör de flesta fel. Stort fel.
I ett litet företag med fem anställda kanske alla har tillgång till allt. Det har ”alltid funkat”. Men i samma ögonblick som du automatiserar bokföringen förändras spelplanen dramatiskt. Plötsligt hanterar systemet tusentals transaktioner utan mänsklig överblick, och om någon obehörig får åtkomst kan skadan bli enorm innan du ens märker det.
Rollbaserad åtkomstkontroll – RBAC – är din bästa vän. Det innebär att varje användare bara ser och kan göra det som deras roll kräver. Ekonomichefen har en behörighetsnivå, den externa revisorn en annan, och den nyanställda assistenten en tredje. Inga undantag.
Och glöm inte att regelbundet granska behörigheterna. Människor byter roller, slutar, går på föräldraledighet. Gamla konton som ligger kvar med full åtkomst är en av de vanligaste ingångarna för dataintrång.
Dataintegritet handlar om förtroende
Dataintegritet är ett finare ord för att dina siffror stämmer. Att ingen har ändrat i en faktura i efterhand. Att systemet inte plötsligt dubblerar en transaktion eller tappar bort en verifikation. Det låter självklart, men automatiserade system kan introducera fel som är svåra att upptäcka just för att de är så konsekventa.
Ett manuellt fel sticker ut. Det ser konstigt ut. Men när en algoritm gör samma lilla misstag tusen gånger? Då kan det gå månader innan någon reagerar.
Därför behöver du revisionsspår – audit trails. Varje transaktion, varje ändring, varje inloggning ska loggas med tidsstämpel och användaridentifikation. Det ger dig möjlighet att spåra tillbaka exakt vad som hände, när det hände och vem som låg bakom. Det är inte paranoia. Det är professionalism.
Och testa systemet. Regelbundet. Kör parallella körningar där du jämför det automatiserade resultatet med manuell kontroll. Gör det varje månad det första halvåret. Sedan kvartalsvis. Det tar tid, men alternativet – att upptäcka ett systematiskt fel vid bokslutet – är oändligt mycket värre.
GDPR och bokföringslagen – en delikat balansakt
Här blir det riktigt intressant. Bokföringslagen kräver att du sparar räkenskapsinformation i sju år. GDPR säger att du inte ska lagra personuppgifter längre än nödvändigt. De två lagstiftningarna krockar ibland, och ett automatiserat system behöver vara konfigurerat för att hantera den konflikten.
Du behöver tydliga rutiner för dataradering. Vilka uppgifter omfattas av bokföringsplikten och måste bevaras? Vilka är ”bara” personuppgifter som bör rensas efter att ändamålet uppfyllts? Ditt system måste kunna skilja på dessa kategorier. Automatiskt.
Men vet du vad? De flesta standardlösningar klarar inte detta ur lådan. Det kräver konfiguration, anpassning och – framför allt – att någon faktiskt tänkt igenom det innan systemet rullas ut.
Gör det rätt från början
Automatiserad bokföring är fantastiskt. Jag menar det. Det frigör tid, minskar stress och ger dig bättre beslutsunderlag. Men det kräver att du behandlar implementeringen med samma allvar som du skulle behandla en ny medarbetare med tillgång till företagets bankkonton.
Kryptera allt. Begränsa åtkomst. Logga varje förändring. Testa regelbundet. Och ha en incidentplan för den dag – inte om, utan när – något faktiskt går snett.
Säkerhet är inte en kostnad. Det är en investering i att kunna sova gott om natten.