GRC-analys innebär att koppla regelefterlevnad och regler till styrning, riskbeslut och kontroller som fungerar i vardagen.
En GRC-analytiker arbetar i skärningspunkten mellan governance, risk and compliance: styrning, riskhantering och efterlevnad. Rollen har blivit mer praktiskt viktig i svenska organisationer eftersom EU-regler som NIS2 och DORA, tillsammans med GDPR och informationssäkerhetsstandarder som ISO/IEC 27001, kräver att verksamheten kan visa hur risker identifieras, hanteras och följas upp.
Senast uppdaterad: 2026-01-01. Den här texten är utbildande och ska inte ses som juridisk rådgivning. Regelverk bör alltid tolkas utifrån organisationens bransch, tillsynsmyndighet, avtal och interna riskaptit.
Vad en GRC-analytiker gör i praktiken
En GRC-analytiker översätter krav till arbetssätt. Det kan handla om att ta en regeltext, en intern policy eller en revisionsanmärkning och göra den begriplig för systemägare, processägare, inköp, juridik, IT-säkerhet och ledning. Resultatet blir ofta ett kontrollregister, en riskbedömning, en åtgärdsplan, ett bevispaket inför revision eller en rapport som visar status på risker och efterlevnad.
I svenska organisationer är rollen sällan isolerad. GRC-analytikern samarbetar med CISO, dataskyddsombud, internrevision, riskfunktion, jurister, IT-drift, produktägare och verksamhetschefer. Skillnaden mot en renodlad juristroll är att GRC-analytikern vanligtvis inte tolkar lagen ensam, utan omsätter tolkningen till kontroller och uppföljning. Skillnaden mot en teknisk säkerhetsroll är att fokus ligger mindre på konfiguration och mer på styrning, ansvar, riskacceptans och bevis.
En vanlig arbetsdag kan börja med att följa upp öppna risker från ett ledningsmöte, fortsätta med att granska bevis för åtkomstkontroller i ett affärssystem och avslutas med att förbereda en kontrollrapport inför en internrevision. I andra perioder kan arbetet domineras av leverantörsgranskningar, incidentrapportering, policyuppdateringar eller gap-analyser mot ISO/IEC 27001. Rollen kräver därför både struktur och förmåga att prioritera när flera regelverk pekar på samma underliggande risk.
Varför GRC förändras i Sverige och EU
The industry is changing from dokumentdriven compliance mot mer riskbaserad styrning. NIS2 lägger större vikt vid ledningens ansvar, riskhanteringsåtgärder och incidentrapportering för berörda sektorer. DORA riktar in sig på digital operativ motståndskraft inom finansiella tjänster, inklusive krav på IKT-riskhantering, incidenthantering, testning och tredjepartsrisk. GDPR, med Integritetsskyddsmyndigheten som svensk tillsynsmyndighet, gör att personuppgiftsbehandling måste kunna motiveras, dokumenteras och skyddas.
Det praktiska resultatet är att GRC-arbetet inte längre kan drivas som en central checklista som skickas ut en gång per år. Kontrollägarskap måste finnas i verksamheten. En processägare behöver förstå vilken kontroll som ska utföras, vilket bevis som krävs, hur ofta kontrollen ska testas och när en risk ska eskaleras. GRC-analytikern blir ofta den person som hjälper organisationen att skapa detta språk mellan regelkrav, tekniska kontroller och affärsrisk.
| Regelverk eller standard |
Praktisk betydelse för GRC-arbetet |
Typiska bevis |
| NIS2 |
Styrning, riskhantering och incidentrapportering för berörda samhällsviktiga och viktiga verksamheter. |
Riskregister, incidentprocess, ledningsrapportering och dokumenterade säkerhetsåtgärder. |
| DORA |
Operativ motståndskraft i finansiella tjänster, särskilt IKT-risk, testning och tredjepartsrisk. |
Leverantörsregister, kontinuitetstester, incidentloggar och kontrollrapporter. |
| GDPR |
Ansvarsskyldighet, rättslig grund, register över behandlingar och konsekvensbedömningar vid hög risk. |
Registerförteckning, DPIA, biträdesavtal, åtkomstgranskningar och gallringsrutiner. |
| ISO/IEC 27001 och ISO/IEC 27701 |
Ledningssystem för informationssäkerhet respektive integritetsinformation, med krav på riskbaserat arbetssätt. |
Ledningssystemsdokumentation, riskbehandling, kontrolltestning och revisionsunderlag. |
En viktig detalj är att standarder och lagkrav inte alltid säger exakt samma sak. ISO/IEC 27001 bygger på ett ledningssystem och riskbehandling, medan GDPR utgår från personuppgiftsansvar, rättigheter och ansvarsskyldighet. Ett vanligt misstag är att övertolka varje ISO-kontroll som ett hårt krav i alla sammanhang. En mer mogen GRC-funktion visar varför en kontroll är relevant, vem som äger den, vilket bevis som styrker den och hur avvikelser hanteras.
Färdigheter som väger tungt
Den tekniska nivån varierar mellan arbetsgivare, men en GRC-analytiker behöver förstå hur IT-miljöer, dataflöden och leverantörsberoenden påverkar risk. Det räcker sällan att känna till regelverkens rubriker. Rollen kräver också förmåga att läsa policyer, tolka kontrollkrav, ställa följdfrågor och dokumentera slutsatser så att andra kan agera på dem.
Kommunikation är ofta den färdighet som avgör om GRC-arbetet får effekt. En stark kandidat kan förklara varför en åtkomstgranskning inte bara är en administrativ uppgift, utan ett sätt att minska risken för obehörig åtkomst, felaktiga transaktioner och bristande spårbarhet. Samma person behöver kunna prata med ledningen om riskaptit och med systemägare om bevis, tidsfrister och undantag.
Datakvalitet är en annan underskattad del av rollen. Många svenska organisationer använder fortfarande Excel, SharePoint och e-post för riskregister, kontrolluppföljning och revisionsbevis. Det kan fungera i liten skala, men blir snabbt sårbart när antalet kontroller, system och ansvariga ökar. Ett GRC-verktyg löser däremot inte problemet på egen hand. Innan en plattform ger effekt behöver organisationen en gemensam kontrollstruktur, tydliga ägare, definierade beviskrav och en konsekvent riskmodell.
Första 90 dagar i en GRC-roll
Den första tiden i rollen handlar mindre om att skriva nya policyer och mer om att förstå hur organisationen faktiskt fungerar. En GRC-analytiker behöver se var kraven kommer ifrån, vilka risker som redan är kända, vilka kontroller som finns och var bevisningen brister. Det skapar förtroende och minskar risken att rollen uppfattas som byråkratisk.
- Kartlägg de viktigaste regelverken, avtalen och interna styrdokumenten som påverkar organisationen.
- Identifiera kontrollägare, riskägare och beslutsforum för informationssäkerhet, integritet och operativ risk.
- Skapa eller rensa ett kontrollregister med kontrollsyfte, frekvens, ägare, bevis och koppling till risk.
- Välj tre processer att pilottesta, exempelvis åtkomsthantering, leverantörsgranskning och incidentrapportering.
- Sammanfatta resultatet i en kort rapport med risker, brister, åtgärder och beslut som behöver tas.
En sådan 90-dagarsplan hjälper nya GRC-analytiker att visa konkret nytta tidigt. Den gör också diskussionen med chefer mer saklig: vilka kontroller fungerar, vilka saknar bevis, vilka risker är accepterade och vilka behöver åtgärdas. I praktiken är denna tydlighet ofta mer värdefull än en stor mängd dokument som ingen använder.
Karriärvägar in i GRC
GRC lockar personer från flera bakgrunder. Några kommer från IT-support, säkerhetsanalys eller systemförvaltning och vill arbeta mer med styrning och risk. Andra kommer från revision, juridik, dataskydd, finans eller intern kontroll och behöver bygga mer teknisk förståelse. Båda vägarna kan fungera, men utvecklingsbehoven skiljer sig.
Den som kommer från teknik behöver ofta stärka förståelsen för regler, policyarbete, revisionsmetodik och dokumentation. Den som kommer från juridik eller revision behöver ofta förstå identitets- och åtkomsthantering, molntjänster, loggning, sårbarhetshantering, kontinuitet och tredjepartsrisk. En praktisk väg in är att börja med kontrolltestning, leverantörsgranskningar, riskregister eller dataskyddsdokumentation och sedan ta större ansvar för ramverk och rapportering.
Vanliga svenska titlar är GRC Analyst, Information Security Analyst, Compliance Analyst, IT Risk Analyst, Security Governance Specialist, Internal Control Specialist och ibland Junior Information Security Officer. I mindre organisationer kan arbetsuppgifterna ligga under CISO, IT-chef, dataskyddsombud eller riskfunktion snarare än i en separat GRC-avdelning.
Certifieringar som kan stödja vägen
Certifieringar är inte en ersättning för praktisk förmåga, men de kan ge struktur åt lärandet och göra det lättare för arbetsgivare att förstå kandidatens inriktning. För GRC är valet viktigare än antalet certifieringar. CISA från ISACA passar bäst för den som vill arbeta med IT-revision, assurance och internkontroller. CRISC från ISACA är mer inriktad på IT- och affärsrisk samt kontrollriskbehandling. CISSP från (ISC)² passar personer som vill ha en bredare säkerhetsstyrningsprofil där policy, risk och efterlevnad ingår i ett större informationssäkerhetsramverk.
En svensk kandidat som siktar på bank, finans, energi, vård eller offentlig sektor har ofta nytta av att kombinera en certifiering med förståelse för EU-regler och ISO-baserade ledningssystem. Det är också vanligt att arbetsgivare värdesätter erfarenhet av ISO/IEC 27001-revisioner, riskworkshops, dataskyddsarbete och leverantörsuppföljning mer än en certifiering isolerat. Readynez kan vara relevant som utbildningspartner när en kandidat behöver en strukturerad väg mot exempelvis CISA, CRISC eller CISSP, men certifieringen bör väljas utifrån rollens faktiska mål.
Hur svenska arbetsgivare bedömer kandidater
Reglerade branscher tenderar att söka kandidater som kan översätta krav till risker, kontroller och KPI:er. Bank och finans påverkas tydligt av DORA, energi och andra samhällsviktiga sektorer av NIS2, och vård samt offentlig sektor har ofta starka krav kring informationssäkerhet, upphandling, sekretess och personuppgifter. Domänkunskap blir därför en konkurrensfördel, särskilt när kandidaten kan visa hur branschens risker påverkar kontrollmiljön.
Intervjuer fokuserar ofta på praktiska scenarier. En kandidat kan få beskriva hur en riskbedömning genomförs, hur en kontroll testas, hur bristande bevis hanteras inför revision eller hur en leverantör med hög risk bör följas upp. Starka svar visar balans: kandidaten eskalerar inte allt som kritiskt, men bagatelliserar inte heller brister som saknar kontrollägare, spårbarhet eller tidsatt åtgärdsplan.
En annan vanlig intervjufråga gäller samarbete med dataskyddsombud, CISO och juridik. Här är det viktigt att inte blanda ihop ansvar. Dataskyddsombudet har en särskild rådgivande och övervakande roll enligt GDPR, medan CISO ofta ansvarar för informationssäkerhetsstyrning. GRC-analytikern kan stödja båda genom att samordna register, riskbedömningar, kontroller och bevis, men bör inte låta GDPR-ansvaret falla mellan funktionerna.
Lön och jobbutblick i Sverige
Lönen för en GRC-analytiker i Sverige varierar med bransch, ansvarsnivå, geografi, teknisk tyngd, regulatorisk exponering och om rollen ligger nära ledning, revision eller operativ säkerhet. Ett juniorare uppdrag med fokus på dokumentation och kontrolluppföljning skiljer sig från en senior roll som äger riskrapportering, leder revisionsarbete och driver ramverk mot NIS2, DORA eller ISO/IEC 27001.
Metod för lönedata: eftersom lönenivåer förändras över tid bör aktuella SEK-intervall hämtas genom att jämföra flera källor samtidigt: svenska platsannonser med angiven lön, rekryteringsrapporter för IT-säkerhet och risk, fackliga lönestatistikverktyg, SCB:s yrkesstatistik när rollmatchning är möjlig samt branschspecifika rapporter för finans, energi och offentlig sektor. Uppskattningar bör delas upp i junior, medelnivå och senior nivå och kompletteras med information om bonus, beredskap, konsultform och pensionsvillkor.
Jobbutblicken påverkas framför allt av regeltryck och digitalisering. Organisationer som omfattas direkt eller indirekt av NIS2 och DORA behöver kunna visa styrning, riskhantering, incidentrutiner och tredjepartskontroll. Samtidigt ökar kraven från kunder, revisorer och koncernfunktioner även för företag som inte själva är primärt reglerade. Det gör GRC-kompetens relevant både i specialiserade säkerhetsteam och i bredare risk-, compliance- och revisionsfunktioner.
Vanliga misstag att undvika
Ett vanligt misstag är att samla krav utan att definiera bevis. En kontroll som säger att åtkomst ska granskas regelbundet är svag om ingen vet vem som granskar, hur urvalet görs, var godkännandet dokumenteras och hur avvikelser stängs. Kontrolltestning behöver därför vara inbyggd i arbetssättet, inte något som uppfinns först när revisorn frågar.
Ett annat misstag är att bygga ett ramverk som är för avancerat för organisationens mognad. En detaljerad kontrollkatalog kan se imponerande ut, men om ägarskap saknas blir den snabbt ett administrativt problem. Bättre GRC-arbete börjar ofta med färre kontroller som är tydligt kopplade till verkliga risker, har ansvariga ägare och kan testas med konsekvent bevisning.
Det tredje misstaget är att behandla GRC som ett separat projekt vid sidan av verksamheten. Risker uppstår i systemförändringar, upphandlingar, nya databehandlingar, outsourcade processer och incidenter. Därför behöver GRC-analytikern komma in i beslutsflödena tidigt, särskilt vid förändringar som påverkar personuppgifter, kritiska tjänster eller externa leverantörer.
Att bygga en hållbar GRC-karriär
En stark karriär inom GRC byggs genom att kombinera regelkunskap, verksamhetsförståelse och förmågan att skapa spårbarhet. Den som kan visa hur ett krav blir en risk, hur risken blir en kontroll och hur kontrollen kan bevisas får en praktisk roll i organisationens beslutsfattande.
Det mest effektiva nästa steget är att välja en konkret ingång: kontrolltestning, IT-risk, dataskydd, leverantörsrisk eller ISO-baserat ledningssystem. Därefter kan kandidaten bygga erfarenhet genom verkliga leverabler, relevanta certifieringar och arbete med de regelverk som påverkar svenska organisationer mest. När utbildning behövs för att strukturera nästa steg kan Readynez användas som en del av planen, men den långsiktiga utvecklingen avgörs av hur väl kunskapen omsätts i riskbeslut, tydliga kontroller och användbara bevis.
