vem inom vårt företag får ändra filen

Den som reglerar åtkomsten till dossieren

Vem som får uppdatera kedjedossieren bestäms av företaget själv: det är ett val i kontoinställningarna, ingen juridisk roll. I praktiken fungerar det som med alla delade företagssystem: du utser en eller flera administratörer, och dessa administratörer bestämmer vem som får redigera eller bara kan läsa. Det finns ingen fast funktion som "måste" göra det — på ena företaget är det kvalitetschefen, på ett annat controllern eller ägaren själv.

Där det blir praktiskt är när det gäller källdata. Vissa fält ligger nära den juridiska registreringen, såsom det lagfarma namnet och registreringsnumret: dessa ändras endast när registreringen i Handelsregistret ändras, och det är klokt att den som uppdaterar det — ofta samma person som även hanterar KVK-registreringen — också uppdaterar dessa fält i dossieren. Andra fält, såsom svaren om informationssäkerhet eller kontinuitet, hör snarare hemma hos den som har sakligt ansvar för det området. Dossieren själv föreskriver alltså ingen roll; det följer den rollfördelning som redan finns i företaget.

Varför detta inte är en juridisk roll

Ingen av de bestämmelserna som är relevanta för kedjedossieren — Handelsregisterwet 2007, EFRAG VSME-standarden, Direktiv (EU) 2022/2464 (CSRD), ISO/IEC 27001 eller artikel 21 punkt 2 i Direktiv (EU) 2022/2555 (NIS2) — föreskriver vilken tjänsteman inom ett företag som får mata in eller ändra uppgifter. Dessa bestämmelser beskriver vad ett företag måste registrera eller rapportera, inte vem som administrativt får göra det. Endast ISO/IEC 27001, Annex A, berör ämnet indirekt: dessa kontroller handlar om åtkomsthantering som sådan — alltså om principen att åtkomsten till system måste vara begränsad och tilldelad — men även där namnges ingen konkret funktion. Tilldelningen av rättigheter i dossieren är därför en intern överenskommelse, jämförbar med hur ett företag reglerar åtkomsten till sitt redovisningspaket eller CRM.