Rapporter är det återkommande underlaget som visar hur identiteter, behörigheter och ansvar utvecklas över tid. De svarar inte bara på hur läget ser ut i dag, utan på om det rör sig i rätt riktning.
MönsterAvvikelserUppföljning
Rapport, revision och spårbarhet
Tre sidor i governance-klustret arbetar med samma data, och det är lätt att blanda dem samman. Skillnaden ligger i tidsperspektivet:
Frekvens
Syfte
Spårbarhet
Löpande, per händelse
Vad hände, vem gjorde det och när
Rapporter
Återkommande, per period
Hur ser mönstret ut och vad avviker
Revision
Vid granskningstillfället
Kan vi visa att kontrollerna fungerat
Spårbarheten är råmaterialet, rapporten är sammanställningen som någon faktiskt läser, och revisionen är tillfället då sammanställningen ska hålla. Se spårbarhet och revision.
En organisation som bara har spårbarhet kan svara på frågor, men bara om någon vet vilken fråga som ska ställas. Det är rapporternas uppgift: att visa vad som borde frågas.
Vad rapporterna behöver visa
Underlaget utgår från de avvikelser som är åtgärdbara:
resurser och grupper utan ägare
inaktiva konton, och hur länge de varit inaktiva
externa identiteter, deras sponsorer och uppdragens giltighet
behörigheter som beviljats utan att ha gått genom ordinarie flöde
privilegierad åtkomst som varit aktiv längre än avsett
genomförda och uteblivna granskningar, med resultat
Poängen är inte att producera fler rapporter, utan att varje rapport ska ha en mottagare som kan agera på den. En rapport utan utpekad mottagare blir en mätning ingen äger.
Återkommande i stället för på begäran
En rapport som tas fram när någon efterfrågar den visar läget vid just det tillfället. En återkommande rapport visar förändringen, och det är förändringen som säger om styrningen fungerar.
Två mönster är särskilt värda att följa över tid: om antalet avvikelser minskar mellan perioderna, och om de avvikelser som åtgärdas är samma som återkommer. Det senare är ett tecken på att processen bakom behöver ändras, inte bara posterna i listan.
Underlag för uppföljning och kravdialog
Rapporterna används i flera sammanhang: internt för uppföljning av åtgärder, i dialogen med verksamhetens ansvariga om deras egna identiteter och resurser, och som underlag när krav på efterlevnad ska besvaras.
De vilar på identitetsöversikten, eftersom en rapport aldrig kan omfatta mer än det som finns i bilden, och de kompletterar behörighetscertifieringen, som är den återkommande granskning rapporterna följer upp resultatet av.
Vanliga frågor
Vad är skillnaden mellan en rapport och spårbarhet?
Spårbarhet är den löpande loggen över enskilda händelser. En rapport är sammanställningen över en period, som visar mönster och avvikelser i stället för enskilda poster.
Vad är skillnaden mellan en rapport och en revision?
Rapporten är det återkommande underlaget organisationen använder själv. Revisionen är granskningstillfället då underlaget ska visa att kontrollerna har fungerat.
Vilka rapporter är mest värda att börja med?
De som pekar på åtgärdbara avvikelser: resurser utan ägare, inaktiva konton och externa identiteter vars uppdrag passerat slutdatum. De tre har konkreta mottagare och tydliga åtgärder.
Vem ska ta emot rapporterna?
Den som kan agera på innehållet. För resursnära avvikelser är det resursägaren, för externa identiteter sponsorn, och för mönster över tid den som ansvarar för styrningen som helhet.
Hur ofta ska rapporterna tas fram?
Tillräckligt ofta för att en förändring mellan två perioder ska vara meningsfull, och sällan nog att någon hinner åtgärda det som rapporterats sedan sist.
Vi vill gärna mäta hur webbplatsen används med Google Analytics. Det kräver kakor och ditt samtycke. Nödvändiga funktioner fungerar oavsett vad du väljer. Läs mer om kakor.
