DORA-efterlevnad för revisionsbyråer — metodik, gap-analys och en rapport ledningen kan agera på
Varför DORA-efterlevnad har blivit ett kärnuppdrag för revisionsbyråer
DORA (Digital Operational Resilience Act, förordning (EU) 2022/2554) tillämpas direkt sedan den 17 januari 2025 och omfattar finansiella entiteter i hela EU — däribland banker, försäkringsföretag, värdepappersföretag och betalningsinstitut.
För revisionsbyråer och rådgivningsfirmor som arbetar mot finanssektorn innebär detta en växande efterfrågan på DORA-uppdrag: gap-analyser, mognadsbedömningar, stöd till internrevisionen och dokumentation av efterlevnaden gentemot ledningen och den behöriga myndigheten. Byråer som kan leverera dessa uppdrag med en repeterbar metodik står starkt på marknaden.
Omfattningen av ett DORA-uppdrag hos kunden
En fullständig DORA-genomgång täcker förordningens fem pelare:
- IKT-riskhantering — ramverk, roller, policyer och kontroller,
- hantering, klassificering och rapportering av IKT-relaterade incidenter,
- tester av digital operativ motståndskraft (inklusive TLPT för utvalda entiteter),
- hantering av IKT-tredjepartsrisk — avtal, kritikalitet och informationsregistret,
- arrangemang för delning av information om cyberhot.
Metodik: från avgränsning till gap-analys
- klargör kundens klassificering och proportionalitet (storlek, riskprofil, kritiska funktioner),
- samla in policyer, rutiner och evidens för varje DORA-område,
- genomför en strukturerad gap-analys mot förordningens krav,
- dokumentera varje iakttagelse med hänvisning till evidens — spårbarheten är halva värdet,
- prioritera avvikelserna efter risk och kom överens med kunden om en åtgärdsplan.
Rapporten till ledningen
Slutprodukten är en rapport som ledningen kan agera på: en samlad efterlevnadsbild, prioriterade avvikelser, rekommendationer och hänvisningar till evidens. Enligt DORA bär ledningsorganet det yttersta ansvaret för IKT-riskhanteringen — rapporten måste därför vara läsbar för ledningen, inte bara för IT-avdelningen.
En återanvändbar rapportstruktur över kunduppdragen gör uppdragen lönsamma: samma metodik, samma evidenskrav, samma kvalitet — kund efter kund.
Den behöriga myndighetens roll
Den behöriga myndigheten utövar tillsyn över DORA på nationell nivå — i Sverige är det Finansinspektionen. Tillsynsmyndigheten övervakar de finansiella entiteternas digitala operativa motståndskraft, tar emot incidentrapporter och samlar in informationsregistret, som vidarebefordras till de europeiska tillsynsmyndigheterna (ESA-myndigheterna).
För revisionsbyråer betyder det att kundens dokumentation måste hålla för tillsynsmyndighetens granskning: en iakttagelse utan evidens är föga värd den dag myndigheten ställer frågor.
Val av verktyg för DORA-uppdrag — kriterier för revisionsbyråer
När en revisionsbyrå väljer verktyg för DORA-uppdrag bör fem frågor väga tyngst:
- Repeterbarhet — kan samma metodik återanvändas hos flera kunder med jämn kvalitet?
- Revisionsspår — bär varje iakttagelse källor, versioner och godkännanden, så att rapporten kan försvaras?
- Kontroll över kundens data — kan materialet stanna i kundens eller byråns egen infrastruktur (on-premise), utan utgående trafik?
- Mänskligt godkännande (human-in-the-loop) — godkänner en ansvarig person varje iakttagelse och slutrapporten?
- Mognad — är verktyget beprövat i verkliga revisioner, inte bara i demonstrationer?
Så stödjer Audnexa revisionsbyråer
Audnexa är en granskningsbar arbetsyta som stödjer DORA-uppdrag från evidensinsamling till ett granskningsklart rapportutkast — med hänvisningar till evidens och ett fullständigt revisionsspår. I offlineläge (Bank Mode) stannar kundens material i den egna infrastrukturen, och en människa godkänner varje rapport.
Verktyget har mognat genom flera års verklig revisionspraktik hos Virtline (ISO/IEC 27001) och ersätter varken ett revisorsutlåtande eller juridisk rådgivning.
Vanliga frågor
Vad innebär DORA-efterlevnad för revisionsbyråer?
Att byrån kan genomföra strukturerade DORA-uppdrag åt finansiella kunder: gap-analys av IKT-riskhantering, incidenthantering, tester och tredjepartsrisk — dokumenterat med evidens och avslutat med en rapport till ledningen.
Vilka kunder omfattas av DORA?
Finansiella entiteter i EU — däribland banker, försäkringsföretag, värdepappersföretag, betalningsinstitut och kapitalförvaltare — samt, indirekt, deras kritiska IKT-leverantörer. DORA tillämpas sedan den 17 januari 2025.
Måste en DORA-gap-analys godkännas av en människa?
Ja. God revisionssed kräver att en ansvarig person godkänner iakttagelserna och slutrapporten. Verktyg som Audnexa tar fram utkast — godkännandet ligger alltid hos människan.
Kan kundens data stanna i den egna infrastrukturen under ett DORA-uppdrag?
Ja. Med ett on-premise-verktyg i offlineläge (som Audnexas Bank Mode) stannar revisionsmaterialet i kundens infrastruktur, utan utgående trafik som standard.
Vilken roll har den behöriga myndigheten i DORA?
Den behöriga myndigheten (i Sverige Finansinspektionen) utövar tillsyn över efterlevnaden, tar emot incidentrapporter och samlar in informationsregistret från de finansiella entiteterna, som vidarebefordras till ESA-myndigheterna.
Källor
Innehållet är av informativ karaktär och utgör inte juridisk rådgivning, ett revisorsutlåtande eller ett formellt beslut om efterlevnad.