Så omvandlades IT-risker till styrka i en global tillverkningskoncern

En global industrikoncern med fabriker på flera kontinenter stod inför växande teknologirisker. Digitaliseringen av produktionen hade gått snabbt, men styrningen av IT-risker hade inte hängt med. Ledningen såg ökande driftstörningar, otydliga ansvarslinjer och växande kostnader för ad hoc-lösningar. I detta läge engagerades Radners team för att genomföra en strukturerad intern riskrevision och stärka regelefterlevnaden kring teknologirisker. Uppdraget omfattade både produktionsnära IT, centrala system och molntjänster.

Arbetet inleddes med en fördjupad förståelse för affärsmodellen och produktionsflödena. Radners team kartlade hur beroende verksamheten var av olika IT-plattformar, från styrsystem i fabrikerna till globala ERP-lösningar. Samtidigt analyserades hur befintliga kontroller fungerade i praktiken, inte bara hur de var dokumenterade. Genom intervjuer med fabrikschefer, IT-ansvariga och säkerhetsspecialister identifierades tidigt flera kritiska riskområden. Dessa rörde bland annat bristande segmentering mellan produktionsnät och kontorsnät, otydliga processer för ändringshantering och svag uppföljning av leverantörer.

För att skapa en robust bas genomförde Radners team en strukturerad intern riskrevision med fokus på styrning av IT-risk. Revisionen följde en riskbaserad metodik där de mest affärskritiska processerna prioriterades. I varje del av koncernen granskades hur risker identifierades, bedömdes, hanterades och följdes upp. Teamet analyserade också hur styrelse och ledning fick rapportering om teknologirisker och hur beslutsvägarna såg ut. Resultatet visade tydligt att styrningen var fragmenterad och att olika fabriker arbetade med helt olika nivåer av kontroll.

Nästa steg blev att fördjupa analysen av regelefterlevnad. Koncernen var föremål för flera branschspecifika krav, bland annat kring produktkvalitet, spårbarhet och informationssäkerhet. Radners team jämförde befintliga kontroller mot relevanta standarder och regulatoriska krav. Genom denna genomlysning blev det tydligt att vissa fabriker hade avancerade säkerhetslösningar, medan andra saknade grundläggande loggning och behörighetsstyrning. Denna ojämnhet skapade både operativa risker och risk för sanktioner.

För att göra bilden hanterbar utvecklade Radners team en koncernövergripande riskkarta. Denna visualiserade var de största IT-relaterade riskerna fanns, hur de påverkade produktion, leveranser och ekonomi, och vilka kontroller som redan fanns på plats. Riskkartan blev ett centralt verktyg för dialog med ledningen. Genom att koppla varje risk till konkreta affärskonsekvenser kunde prioriteringar göras på ett mer faktabaserat sätt. Ledningen fick därmed ett tydligt underlag för att besluta om investeringar i teknologiriskhantering.

En viktig del av uppdraget var att skapa en gemensam struktur för intern kontroll. Radners team tog fram ett ramverk för intern kontrollmiljö kopplat till IT och digitala processer. Ramverket definierade vilka kontroller som skulle vara obligatoriska i alla fabriker, vilka som kunde anpassas lokalt och hur uppföljning skulle ske. Detta inkluderade krav på behörighetsstyrning, logghantering, ändringshantering, backup-rutiner och incidentrapportering. Ramverket förankrades hos både centrala funktioner och lokala ledningar.

För att säkerställa att ramverket inte stannade på papperet genomfördes riktade tester i utvalda fabriker. Radners team designade testplaner som kombinerade tekniska kontroller med processgranskningar. I praktiken innebar det att både systeminställningar, loggar och användarbeteenden analyserades. Testerna visade var det fanns brister i efterlevnaden och vilka delar av organisationen som behövde mest stöd. Resultaten användes för att justera ramverket och göra det mer praktiskt tillämpbart.

En central utmaning var samspelet mellan IT och produktion. I flera fabriker ägdes kritiska system av produktionsorganisationen, medan IT-avdelningen hade begränsad insyn. Detta skapade gråzoner i ansvar och gjorde det svårt att hantera incidenter effektivt. Radners team faciliterade workshops där representanter från båda sidor deltog. Under dessa möten definierades tydligare ansvarsfördelning, gemensamma processer för incidenthantering och principer för förändringar i produktionsnära system. Detta minskade risken för konflikter och missförstånd.

Som en del av intern riskrevision och regelefterlevnad analyserades även leverantörsrelationer. Koncernen använde flera externa leverantörer för drift, underhåll och utveckling av IT-system. Radners team granskade avtal, SLA:er och praktisk uppföljning av leverantörernas prestationer. Det visade sig att vissa kritiska tjänster saknade tydliga krav på säkerhet, tillgänglighet och incidentrapportering. Rekommendationer togs fram för att stärka tredjepartsriskhantering och integrera den i koncernens övergripande riskstyrning.

För att skapa långsiktig effekt fokuserade Radners team på att bygga upp interna kompetenser. Utbildningsinsatser genomfördes för chefer, systemägare och nyckelpersoner i fabrikerna. Innehållet anpassades efter målgrupp, från strategiska genomgångar av riskaptit och styrmodeller till praktiska övningar i incidenthantering. Genom att koppla utbildningen till konkreta händelser i koncernen blev budskapen mer relevanta och lättare att omsätta i vardagen. Detta bidrog till att skapa en mer riskmedveten kultur.

En viktig milstolpe var etableringen av en central funktion för övervakning av teknologirisker. Radners team stödde utformningen av mandat, processer och rapporteringsstrukturer för denna funktion. Den fick ansvar för att samordna riskbedömningar, följa upp efterlevnad av ramverket och rapportera till ledning och styrelse. Genom regelbundna rapporter om status för IT-risker kunde ledningen fatta mer informerade beslut. Funktionen blev också en naturlig kontaktpunkt för fabrikerna i frågor om kontroller och regelefterlevnad.

Under uppdragets gång genomfördes flera tematiska revisioner. Dessa fokuserade på särskilt kritiska områden, till exempel cyberresiliens i produktionen, hantering av privilegierade behörigheter och skydd av immateriella tillgångar. Varje revision resulterade i konkreta åtgärdsplaner med tydliga ansvariga och tidsramar. Radners team följde upp genomförandet av åtgärderna och säkerställde att de integrerades i ordinarie styrning. På så sätt undveks att åtgärderna blev engångsinsatser.

Effekterna av arbetet började märkas relativt snabbt. Antalet oplanerade driftstopp kopplade till IT-relaterade incidenter minskade markant i flera fabriker. Ledningen fick bättre transparens kring var de största riskerna fanns och vilka investeringar som gav störst riskreduktion. Samtidigt ökade förtroendet från kunder som ställde krav på robusta och säkra leveranskedjor. Den förbättrade regelefterlevnaden minskade också risken för sanktioner och revisioner från myndigheter.

På längre sikt skapade den strukturerade intern riskrevisionen en mer förutsägbar miljö för digitalisering. Koncernen kunde genomföra nya IT-initiativ med större trygghet, eftersom risker identifierades och hanterades redan i planeringsfasen. Detta gällde både nya produktionssystem, molnplattformar och dataanalyslösningar. Genom att integrera riskbedömning i projektstyrningen blev teknologiinvesteringarna mer träffsäkra. Denna utveckling stärkte koncernens konkurrenskraft på en marknad med hård global konkurrens.

En annan viktig effekt var att dialogen mellan styrelse, ledning och tekniska funktioner förbättrades. Tack vare tydligare rapportering och gemensamma begrepp kunde diskussioner om IT-risker föras på en mer strategisk nivå. Styrelsen fick bättre underlag för att bedöma om risknivån låg inom den fastställda riskaptiten. Ledningen kunde i sin tur prioritera resurser utifrån en helhetsbild av risker och möjligheter. Detta skapade en mer sammanhållen styrning av teknologirisker.

Sammanfattningsvis innebar uppdraget att intern riskrevision och regelefterlevnad blev en integrerad del av koncernens styrmodell. Istället för att ses som en kontrollfunktion vid sidan av verksamheten blev den en katalysator för förbättringar. Genom strukturerad granskning, tydliga ramverk och praktiskt stöd kunde IT-riskerna stabiliseras på en nivå som motsvarade koncernens ambitioner. Den globala tillverkaren gick från reaktiv hantering av incidenter till proaktiv riskstyrning, vilket skapade både kostnadsbesparingar och ökad affärsflexibilitet.

Den långsiktiga värdetillväxten visade sig inte bara i minskade risker utan också i snabbare beslutsvägar och bättre utnyttjande av data. När teknologiriskerna blev mer kontrollerade vågade verksamheten ta tillvara nya digitala möjligheter. Detta gällde allt från prediktivt underhåll till avancerad analys av produktionsdata. Intern riskrevision och regelefterlevnad blev därmed en möjliggörare för innovation, snarare än ett hinder. För en global tillverkningskoncern med höga krav på stabilitet och kvalitet blev detta en avgörande konkurrensfördel.