Systemförvaltningsplan – så bygger du IT-systemregister, ansvar och årshjul

En systemförvaltningsplan beskriver hur ett IT-system ska drivas, utvecklas, kontrolleras och till sist avvecklas. Ett IT-systemregister är den samlade förteckningen över företagets system, deras ägare, leverantörer, informationsinnehåll och viktiga beroenden. Tillsammans gör de det lättare att fördela ansvar, prioritera åtgärder och få kontroll över systemlandskapet.

Vad ska en systemförvaltningsplan innehålla?

En användbar förvaltningsplan knyter samman verksamhetens behov med den löpande IT-driften. Den ska gå att följa upp utan att förvandlas till en omfattande rapport som ingen använder. Innehållet kan skilja sig mellan ett litet företag med tio SaaS-tjänster och en verksamhet med egenutvecklade affärssystem.

Vem är systemägare – och vad är skillnaden mot systemförvaltare?

Systemägaren är normalt den roll som verksamheten utser för att besluta om mål, prioriteringar och resurser för systemet. Systemförvaltaren samordnar vanligtvis det praktiska arbetet, dokumentationen och uppföljningen. IT-driften hanterar tekniska uppgifter enligt den ansvarsfördelning som gäller hos organisationen eller leverantören.

Det här är organisatoriska roller, inte en universell juridisk indelning. Ett mindre företag kan kombinera flera uppgifter hos samma person, men beslut, praktiskt utförande och kontroll bör fortfarande vara tydliga. Vid behandling av personuppgifter är det dessutom viktigt att skilja en internt utsedd systemägare från den juridiska rollen personuppgiftsansvarig enligt GDPR.

Skapa ett IT-systemregister steg för steg

1. Inventera faktiskt använda system

Ta med affärssystem, ekonomisystem, HR-verktyg, SaaS-abonnemang, integrationsplattformar och system som används av enskilda team. Sök efter dubbletter och tjänster som saknar tydlig beställare. Registrera även system som håller på att fasas ut.

2. Dokumentera basuppgifter

För in systemnamn, syfte, huvudprocess, leverantör, systemägare, huvudsakliga användare, avtalsägare, kostnad, avtalstid och kontaktväg för incidenter. Ange gärna var tillhörande avtal och teknisk dokumentation förvaras, utan att lagra lösenord eller andra hemligheter i registret.

3. Identifiera information och beroenden

Anteckna vilka informationsmängder systemet hanterar, viktiga integrationer, dataflöden och kritiska verksamhetsprocesser. Följ upp konfidentialitet, riktighet och tillgänglighet. En inventering blir särskilt värdefull när samma uppgifter också kan användas i riskbedömningar och kontinuitetsplanering.

4. Fördela ansvar med en enkel RACI-matris

Definiera vem som är ansvarig för beslut, vem som utför en aktivitet, vem som ska rådfrågas och vem som ska informeras. Koppla roller till exempelvis ändringsgodkännande, behörighetskontroll, incidenthantering och förnyelse av leverantörsavtal.

5. Prioritera risker och förbättringar

Bedöm konsekvens och sannolikhet för relevanta störningar. Dokumentera riskägare, motåtgärd, beslut och uppföljningsdatum. Undvik att använda en enda poäng som automatisk ersättning för verksamhetens bedömning.

6. Skapa ett årshjul

Planera regelbundna kontroller av användarbehörigheter, återställningsförmåga, leverantörsutfall, kostnader, licenser, supportärenden och beslutade förbättringar. Anpassa frekvensen efter varje systems betydelse och riskprofil.

7. Granska livscykel och avveckling

När ett system ska bytas ut behövs tydliga beslut om dataexport, datamigrering, behörighetsstängning, gallring, arkivering och avtalets avslut. Kontrollera särskilt att personuppgifter och räkenskapsinformation hanteras enligt respektive tillämpliga regler.

Exempel: tre system i ett mindre företag

Anta att företaget använder ett ekonomisystem, ett personalsystem och en extern helpdesk. Ekonomichefen kan utses till systemägare för ekonomisystemet, HR-chefen för personalsystemet och IT-ansvarig för helpdesken. IT-funktionen kan samtidigt utföra gemensamma tekniska kontroller. För varje system registreras leverantör, avtalsförnyelse, informationsklassning, viktigaste risk och nästa kontroll.

Exemplet visar varför ett systemregister och en förvaltningsplan fyller olika uppgifter: registret visar vad som finns, medan planen beskriver vad som ska göras, av vem och när.

Är ett IT-systemregister samma sak som GDPR:s registerförteckning?

Nej. Ett IT-systemregister beskriver system och tekniska eller organisatoriska resurser. GDPR:s artikel 30-regler handlar i stället om ett register över behandlingar av personuppgifter och kräver särskilda uppgifter, bland annat ändamål, kategorier av registrerade och mottagare där kraven är tillämpliga. Ett IT-system kan stödja flera personuppgiftsbehandlingar, och en behandling kan omfatta flera system. Registret över behandlingar måste därför bedömas separat.

Läs vår befintliga guide om registerförteckning enligt GDPR artikel 30 för rätt innehåll i det dokumentet.

Checklista för systemförvaltning

• Alla viktiga IT-system är upptagna i registret.
• Systemägare, operativt ansvarig och leverantör är identifierade.
• Systemets ändamål, beroenden och informationsmängder är beskrivna.
• Risker, förändringar och beslut är dokumenterade.
• Behörighetsgranskning och incidentrutiner har utsedda ansvariga.
• Licens- och avtalsdatum går att bevaka.
• Årshjul och kontrollresultat följs upp.
• Avveckling och dataexport är planerade för system som ska ersättas.

Vanliga misstag att undvika

• System utan ägare: Ingen har mandat att prioritera förbättringar.
• Register utan uppdateringsrutin: Informationen blir snabbt inaktuell.
• Sammanblandning av roller: IT-support antas automatiskt bära allt verksamhets- och dataskyddsansvar.
• Glömda SaaS-tjänster: Kostnader, integrationer och externa lagringsplatser förbises.
• Ingen exit-plan: Det är oklart hur data flyttas eller raderas när avtal upphör.

Vanliga frågor om systemförvaltningsplan

Måste alla företag ha en systemförvaltningsplan?

Det finns inget generellt svenskt lagkrav på att varje företag måste ha just ett dokument med namnet systemförvaltningsplan. Särskilda verksamheter kan omfattas av andra bindande krav på styrning, säkerhet, dokumentation och kontroll. Planen är därför ett praktiskt styrverktyg som kan hjälpa organisationen att uppfylla relevanta skyldigheter.

Vad är skillnaden mellan ett IT-systemregister och ett licensregister?

Systemregistret beskriver systemets syfte, ägare, informationshantering och livscykel. Licensregistret fokuserar på abonnemang, antal licenser, kostnader och förnyelsedatum. Registren kan länkas ihop.

Hur ofta bör systemförvaltningsplanen uppdateras?

Bestäm en återkommande genomgång utifrån risk och förändringstakt. Uppdatera även efter större systembyten, incidenter, organisationsändringar och viktiga leverantörsförändringar.

Kan samma person vara systemägare och systemförvaltare?

Ja, i mindre organisationer kan roller kombineras. Dokumentera ändå tydligt vem som fattar beslut, utför kontroller och ansvarar för att brister åtgärdas.

Relaterade guider och mallar

Fördjupa arbetet genom våra guider om informationsklassning, behörighetsgranskning, incidenthanteringsplan och SaaS-exit och datamigrering. Se också mallar för IT-avtal och digitala tjänster.

Källor och fortsatt läsning

• IMY: Föra register över behandlingar av personuppgifter
• IMY: Företags hantering av personuppgifter
• Informationssäkerhet.se: Metodstöd för systematiskt informationssäkerhetsarbete

Senast faktakontrollerad: 13 oktober 2026. Artikeln ger generell verksamhetsvägledning och är inte juridisk rådgivning. Verifiera om din verksamhet omfattas av särskilda sektorskrav, avtal eller föreskrifter.