Järjestelmänhallintasuunnitelma – näin rakennat IT-järjestelmärekisterin, vastuualueet ja vuosikellon

Järjestelmänhallintasuunnitelma kuvaa, miten IT-järjestelmää käytetään, kehitetään, valvotaan ja lopulta poistetaan käytöstä. IT-järjestelmärekisteri on koottu luettelo yrityksen järjestelmistä, niiden omistajista, toimittajista, tietosisällöstä ja tärkeistä riippuvuuksista. Yhdessä ne helpottavat vastuunjakoa, toimenpiteiden priorisointia ja järjestelmäkokonaisuuden hallintaa.

Mitä järjestelmänhallintasuunnitelman tulisi sisältää?

Käytännöllinen hallintasuunnitelma yhdistää liiketoiminnan tarpeet jatkuvaan IT-ylläpitoon. Sen tulee olla seurattavissa ilman, että siitä tulee laaja raportti, jota kukaan ei käytä. Sisältö voi vaihdella pienen, kymmentä SaaS-palvelua käyttävän yrityksen ja omia liiketoimintajärjestelmiä kehittävän organisaation välillä.

Kuka on järjestelmän omistaja – ja mikä ero on järjestelmän ylläpitäjään?

Järjestelmän omistaja on yleensä rooli, jonka liiketoiminta nimeää päättämään järjestelmän tavoitteista, priorisoinnista ja resursseista. Järjestelmän ylläpitäjä koordinoi yleensä käytännön työtä, dokumentaatiota ja seurantaa. IT-ylläpito hoitaa tekniset tehtävät organisaation tai toimittajan määrittelemän vastuunjaon mukaisesti.

Nämä ovat organisatorisia rooleja, eivät yleispäteviä juridisia jaotteluja. Pienempi yritys voi yhdistää useita tehtäviä samalle henkilölle, mutta päätöksenteon, käytännön toteutuksen ja valvonnan tulisi silti olla selkeitä. Henkilötietoja käsiteltäessä on lisäksi tärkeää erottaa sisäisesti nimetty järjestelmän omistaja GDPR:n mukaisesta juridisesta roolista eli rekisterinpitäjästä.

Luo IT-järjestelmärekisteri vaihe vaiheelta

1. Inventoi käytössä olevat järjestelmät

Ota mukaan liiketoimintajärjestelmät, talousjärjestelmät, HR-työkalut, SaaS-tilaukset, integraatioalustat ja yksittäisten tiimien käyttämät järjestelmät. Etsi päällekkäisyyksiä ja palveluita, joilla ei ole selkeää tilaajaa. Rekisteröi myös järjestelmät, jotka ovat poistumassa käytöstä.

2. Dokumentoi perustiedot

Kirjaa ylös järjestelmän nimi, tarkoitus, pääprosessi, toimittaja, järjestelmän omistaja, tärkeimmät käyttäjät, sopimuksen omistaja, kustannukset, sopimusaika ja yhteystiedot häiriötilanteita varten. Merkitse mielellään, missä sopimukset ja tekninen dokumentaatio säilytetään, tallentamatta kuitenkaan salasanoja tai muita salaisuuksia rekisteriin.

3. Tunnista tiedot ja riippuvuudet

Kirjaa ylös, mitä tietomääriä järjestelmä käsittelee, tärkeät integraatiot, tietovirrat ja kriittiset liiketoimintaprosessit. Seuraa luottamuksellisuutta, oikeellisuutta ja käytettävyyttä. Inventaariosta tulee erityisen arvokas, kun samoja tietoja voidaan käyttää myös riskien arvioinnissa ja jatkuvuussuunnittelussa.

4. Jaa vastuut selkeällä RACI-matriisilla

Määrittele, kuka vastaa päätöksistä, kuka suorittaa tehtävän, kenen kanssa neuvotellaan ja kenelle tiedotetaan. Liitä roolit esimerkiksi muutosten hyväksyntään, käyttöoikeuksien tarkistamiseen, häiriönhallintaan ja toimittajasopimusten uusimiseen.

5. Priorisoi riskit ja parannukset

Arvioi merkittävien häiriöiden seuraukset ja todennäköisyys. Dokumentoi riskin omistaja, vastatoimenpide, päätökset ja seurantapäivämäärät. Vältä käyttämästä pelkkää pisteytystä liiketoiminnan arvion automaattisena korvikkeena.

6. Luo vuosikello

Suunnittele säännölliset tarkastukset käyttöoikeuksille, palautuskyvylle, toimittajien tuloksille, kustannuksille, lisensseille, tukipyynnöille ja päätetyille parannuksille. Mukauta tiheys kunkin järjestelmän merkityksen ja riskiprofiilin mukaan.

7. Tarkastele elinkaarta ja käytöstä poistoa

Kun järjestelmä vaihdetaan, tarvitaan selkeitä päätöksiä tietojen viennistä, migraatiosta, käyttöoikeuksien sulkemisesta, karsimisesta, arkistoinnista ja sopimuksen päättämisestä. Varmista erityisesti, että henkilötiedot ja kirjanpitotiedot käsitellään sovellettavien sääntöjen mukaisesti.

Esimerkki: kolme järjestelmää pienessä yrityksessä

Oletetaan, että yritys käyttää talousjärjestelmää, henkilöstöjärjestelmää ja ulkoista helpdeskiä. Talousjohtaja voidaan nimetä talousjärjestelmän omistajaksi, HR-päällikkö henkilöstöjärjestelmän omistajaksi ja IT-vastaava helpdeskin omistajaksi. IT-toiminto voi samalla suorittaa yhteisiä teknisiä tarkistuksia. Kullekin järjestelmälle rekisteröidään toimittaja, sopimuksen uusiminen, tietoluokitus, tärkein riski ja seuraava tarkistusajankohta.

Esimerkki osoittaa, miksi järjestelmärekisteri ja hallintasuunnitelma täyttävät eri tehtäviä: rekisteri näyttää mitä on olemassa, kun taas suunnitelma kuvaa mitä on tehtävä, kenen toimesta ja milloin.

Onko IT-järjestelmärekisteri sama asia kuin GDPR:n käsittelytoimien seloste?

Ei. IT-järjestelmärekisteri kuvaa järjestelmiä sekä teknisiä tai organisatorisia resursseja. GDPR:n 30 artiklan säännöt käsittelevät puolestaan rekisteriä henkilötietojen käsittelytoimista ja edellyttävät erityisiä tietoja, kuten tarkoitusta, rekisteröityjen ryhmiä ja vastaanottajia silloin, kun vaatimukset soveltuvat. Yksi IT-järjestelmä voi tukea useita henkilötietojen käsittelytoimia, ja yksi käsittelytoimi voi kattaa useita järjestelmiä. Käsittelytoimien seloste on siksi arvioitava erikseen.

Lue olemassa oleva oppaamme aiheesta käsittelytoimien seloste GDPR artiklan 30 mukaisesti, jotta saat oikean sisällön kyseiseen asiakirjaan.

Tarkistuslista järjestelmänhallintaan

• Kaikki tärkeät IT-järjestelmät on kirjattu rekisteriin.
• Järjestelmän omistaja, operatiivinen vastuuhenkilö ja toimittaja on tunnistettu.
• Järjestelmän tarkoitus, riippuvuudet ja tietomäärät on kuvattu.
• Riskit, muutokset ja päätökset on dokumentoitu.
• Käyttöoikeuksien tarkistamiselle ja häiriörutiineille on nimetty vastuuhenkilöt.
• Lisenssi- ja sopimuspäivämääriä voidaan valvoa.
• Vuosikelloa ja tarkastustuloksia seurataan.
• Käytöstä poisto ja tietojen vienti on suunniteltu korvattaville järjestelmille.

Yleisiä virheitä vältettäväksi

• Järjestelmät ilman omistajaa: Kenelläkään ei ole mandaattia priorisoida parannuksia.
• Rekisteri ilman päivitysrutiinia: Tiedot vanhenevat nopeasti.
• Roolien sekoittaminen: Oletetaan automaattisesti, että IT-tuki kantaa kaiken liiketoiminta- ja tietoturvavastuun.
• Unohdetut SaaS-palvelut: Kustannukset, integraatiot ja ulkoiset tallennuspaikat jäävät huomioimatta.
• Ei exit-suunnitelmaa: On epäselvää, miten tiedot siirretään tai poistetaan, kun sopimus päättyy.

Usein kysyttyjä kysymyksiä järjestelmänhallintasuunnitelmasta

Pitääkö jokaisella yrityksellä olla järjestelmänhallintasuunnitelma?

Ei ole olemassa yleistä lakisääteistä vaatimusta, että jokaisella yrityksellä täytyy olla juuri "järjestelmänhallintasuunnitelma"-niminen asiakirja. Erityisalojen toimintaan voi kohdistua muita sitovia vaatimuksia ohjauksen, tietoturvan, dokumentaation ja valvonnan suhteen. Suunnitelma on siksi käytännön työkalu, joka voi auttaa organisaatiota täyttämään relevantit velvoitteet.

Mitä eroa on IT-järjestelmärekisterillä ja lisenssirekisterillä?

Järjestelmärekisteri kuvaa järjestelmän tarkoitusta, omistajaa, tiedonhallintaa ja elinkaarta. Lisenssirekisteri keskittyy tilauksiin, lisenssien määrään, kustannuksiin ja uusimispäivämääriin. Rekisterit voidaan linkittää toisiinsa.

Kuinka usein järjestelmänhallintasuunnitelma tulisi päivittää?

Määritä säännöllinen tarkistusriskiin ja muutostahtiin perustuen. Päivitä myös suurempien järjestelmävaihtojen, häiriöiden, organisaatiomuutosten ja tärkeiden toimittajamuutosten jälkeen.

Voiko sama henkilö olla järjestelmän omistaja ja järjestelmän ylläpitäjä?

Kyllä, pienemmissä organisaatioissa rooleja voidaan yhdistää. Dokumentoi kuitenkin selkeästi, kuka tekee päätökset, suorittaa tarkastukset ja vastaa puutteiden korjaamisesta.

Aiheeseen liittyvät oppaat ja mallit

Syvennä työtä oppaillamme, jotka käsittelevät tietoluokitusta, käyttöoikeuksien tarkistamista, häiriönhallintasuunnitelmaa ja SaaS-exit-toimintoja ja tietojen siirtoa. Katso myös mallit IT-sopimuksiin ja digitaalisiin palveluihin.

Lähteet ja jatkolukemista

• IMY: Käsittelytoimien selosteen laatiminen
• IMY: Yritysten henkilötietojen käsittely
• Informationssäkerhet.se: Menetelmätuki järjestelmälliseen tietoturvatyöhön

Viimeksi faktantarkistettu: 13. lokakuuta 2026. Artikkeli tarjoaa yleistä liiketoimintaohjeistusta, eikä se ole juridista neuvontaa. Tarkista, koskevatko toimintaasi erityiset alakohtaiset vaatimukset, sopimukset tai määräykset.