Riskbaserad revisionsplanering: så sätts riskpoäng och intervall
Senast uppdaterad: 2026-08-19 · Complyx Systems AB
Varje krav ges en riskpoäng utifrån ett fåtal viktade faktorer – säkerhetspåverkan, komplexitet, förändringstakt, avvikelsehistorik och nuvarande efterlevnadsstatus. Poängen översätts sedan till ett revisionsintervall, där högriskkrav revideras varje år och lågriskkrav mer sällan.
Faktorer som bör ingå
| Faktor | Frågan som besvaras | Typisk vikt |
|---|---|---|
| Säkerhetspåverkan | Vad händer om kravet inte uppfylls? | Hög |
| Komplexitet | Hur många funktioner och gränssnitt berörs? | Medel |
| Förändringstakt | Har kravet eller verksamheten ändrats nyligen? | Medel |
| Avvikelsehistorik | Finns tidigare fynd inom området? | Hög |
| Efterlevnadsstatus | Är kravet uppfyllt i kravchecklistan idag? | Hög |
Från poäng till intervall
Poängmodellen ska ge en tydlig och reproducerbar översättning till frekvens. Trösklarna bör sättas så att endast verkligt kritiska krav hamnar högt – annars förlorar klassificeringen sitt styrvärde.
| Riskpoäng | Nivå | Intervall |
|---|---|---|
| 60 och uppåt | Hög | 12 månader |
| 40–59 | Medel | 24 månader |
| Under 40 | Låg | 36 månader |
Transparens är ett krav, inte en extrafunktion
En riskpoäng som inte går att förklara är inte användbar vid tillsyn. Varje poäng bör kunna brytas ned i sina delfaktorer, med motivering per faktor, så att både revisorn och myndigheten kan följa resonemanget. Modellen ska dessutom vara deterministisk: samma indata ska ge samma poäng.
Manuell justering ska vara möjlig
Automatiskt beräknade poäng är ett förslag, inte ett beslut. Compliance-ansvarig ska kunna justera nivå och intervall, med dokumenterat skäl. Det är också det enda sättet att fånga lokal kunskap som modellen inte känner till.
Vanliga frågor
Kan AI sätta riskpoängen?
AI kan föreslå poäng och motivering utifrån kravtext och historik, men bedömningen ska granskas och beslutas av behörig person.
Hur ofta bör modellen räknas om?
Vid större regelverksändringar, efter avslutade revisioner med avvikelser, och minst årligen inför planeringen.
Vad händer med intervallet när en revision stängs?
Nästa planerade tillfälle bör flyttas fram automatiskt utifrån kravets intervall, så att planen speglar verkligheten.
Källor
Om ComplyxIQ
ComplyxIQ är ett AI-stött system från Complyx Systems AB för regelefterlevnad inom flygindustrin: kravnedbrytning mot EASA och ICAO, pedagogiska kravförklaringar, riskbaserad revisionsplanering och spårbar avvikelsehantering. All data lagras inom EU och besluten fattas alltid av era experter.