> For the complete documentation index, see [llms.txt](https://docs.cerrix.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.cerrix.com/cerrix-documentation-no/cerrix-funksjoner/module-overview/controls.md).
# Kontroll
Kontrollmodulen i CERRIX gjør det mulig for organisasjoner å definere, administrere og overvåke interne kontroller knyttet til prosesser, risikoer og rammeverk for etterlevelse. Denne veiledningen forklarer hvordan du oppretter og administrerer en kontroll, inkludert hvordan du kobler den til relevante elementer som risikoer og dokumentasjon.
### Formål med kontroller
Kontroller (også kalt beheersmaatregelen) reduserer risikoer i organisasjonen din. En kontroll kan være forebyggende, avdekkende eller korrigerende.
Sammen med risikoer og testing utgjør kontroller grunnlaget for GRC-prosessen din. De viser at organisasjonen din aktivt håndterer sine risikoer og opprettholder kontroll. CERRIX støtter ulike typer kontroller og muliggjør detaljert konfigurasjon, klassifisering og kobling til forretningselementer.
***
### Få tilgang til Kontroll-Workspace
Gå til Kontroll-Workspace fra hovedmenyen. Workspace inneholder:
* En fullstendig liste over alle kontroller på detaljnivå
* Sentral oversikt over kontrollkvalitet og dekning
* Muligheten til å opprette og lagre egendefinerte visninger med filtre og sortering
* Eksportfunksjonalitet til Excel eller andre formater
Kontroll-Workspace viser alle kontroller som tilhører organisasjoner du har tilgang til, sammen med typer, frekvenser, eiere og koblede risikoer.
***
Workspace åpnes med et sett forhåndsdefinerte forhåndsinnstillinger: **Alle kontroller**, **Alle overvåkede kontroller**, **Alle overvåkede nøkkelkontroller**, **Alle overvåkede støttekontroller** og **Alle overvåkede kontroller med forsinket test**. Du starter i Alle kontroller – alle kontroller du har tillatelse til å se; hvis du velger en annen forhåndsinnstilling, endres listen tilsvarende. Sorter en kolonne ved å klikke på overskriften, og bruk **Avansert konfigurasjon** til å filtrere på organisasjoner, forretningsdimensjoner, rammeverksdimensjoner eller kolonneverdier og til å ordne kolonnene – se [Workspaces, filtre og forhåndsinnstillinger](https://docs.cerrix.com/cerrix-functionalities/workspaces-filters-and-presets).
### Opprette en ny Kontroll
Slik oppretter du en ny kontroll i CERRIX:
1. Åpne Kontroll-Workspace.
2. Klikk **legg til ny kontroll** øverst til høyre.
Skjemaet «Opprett ny Kontroll» åpnes. Start med følgende felt:
**Kontrollkatalog** – Velg riktig kategori i kontrollkatalogen. I likhet med risikokataloger gir kontrollkataloger standardiserte kontrolldefinisjoner. Hvis undertyper er tilgjengelige, velger du det mest spesifikke alternativet.
**Organisasjon** – Velg organisasjonen som er Ansvarlig for denne kontrollen. Dette avgjør tilgangsrettigheter og hvilke risikoer som kan kobles til kontrollen.
#### Navn og beskrivelse
**Navn** – Gi kontrollen et tydelig og beskrivende navn som gjør formålet umiddelbart klart (f.eks. *Overvåking av opplæringssertifisering*).
**Beskrivelse** – Skriv en omfattende beskrivelse av kontrollen. Vi anbefaler å bruke **5W 1H-modellen**:
* **Hvem** utfører kontrollen?
* **Hva** gjøres?
* **Hvor** utføres den?
* **Med hva** verktøy eller systemer?
* **Når** når utføres den?
* **Hva hvis** noe går galt?
**Eksempel:** "**Hvem:** IT-sikkerhetsleder **Hva:** Gjennomgår alle aktive brukerkontoer og tilgangstillatelser mot gjeldende ansattliste **Hvor:** IT-avdelingen **Med hva:** Active Directory, ansatteksporering fra HR-system **Når:** Månedlig, første mandag i hver måned **Hva hvis:** Uautorisert tilgang oppdaget → umiddelbar suspensjon av konto og avviksrapport"
En fullstendig beskrivelse med denne strukturen fjerner tvetydighet og sikrer at alle forstår nøyaktig hva kontrollen innebærer.
> 💡 **Tips:** Bruk [KI-funksjonalitet i Kontroller](/cerrix-documentation-no/cerrix-funksjoner/module-overview/controls/ai-control-description-refinement.md) for retningslinjer for Kontrollbeskrivelsen.
***
#### Kontrollklassifisering
**Nøkkel Kontroll** – Kryss av i denne boksen hvis kontrollen er kritisk for risikostyringen din. Nøkkelkontroller må testes og overvåkes mer grundig.
> 💡 **Tips:** Ikke alle kontroller er en nøkkelkontroll. Reserver denne betegnelsen for kontroller som er avgjørende for å håndtere de mest vesentlige risikoene dine.
**Krever overvåking** – Velg dette hvis kontrollen trenger aktiv overvåking og periodisk testing. Ikke alle kontroller krever formell overvåking – bruk denne betegnelsen med omtanke.
**På plass** – Kryss av i denne boksen hvis kontrollen allerede er implementert og i drift. La den stå ukrysset for kontroller som fortsatt utformes eller rulles ut.
#### Koble dimensjoner
**Forretningsdimensjoner** – Koble kontrollen til spesifikke prosesser eller prosjekter. Dette forbedrer sporbarheten og bidrar til å generere målrettede rapporter. Klikk på feltet og velg blant tilgjengelige forretningsdimensjoner. Du kan velge flere.
**Rammeverksdimensjoner** – Koble kontrollen til eksterne standarder som ISAE 3402, ISO 27001 eller DORA. Dette er avgjørende for revisjons- og etterlevelsesrapportering.
#### Lagre Kontroll
Klikk **lagrer** for å opprette kontrollen. Kontrollen vises nå i Kontroll-Workspace og kan åpnes for å legge til detaljerte attributter.
***
### Ytterligere kontrolldetaljer
Etter at du har opprettet den grunnleggende kontrollen, kan du legge til mer detaljerte attributter som beskriver hvordan den fungerer.
#### Åpne Kontroll
1. Finn kontrollen din i Kontroll-Workspace.
2. Klikk på kontrollraden for å åpne detaljvisningen.
3. Hovedfanen for informasjon åpnes som standard.
#### Intern klassifisering
**Internt aspekt** – Kategoriser kontrollen i henhold til organisasjonens interne Kontrollrammeverk. Dette kan være på linje med rammeverk som COSO eller organisasjonens spesifikke risikotaksonomi.
**Type** – Velg om kontrollen er:
* **Forebyggende** – Hindrer at problemer oppstår (f.eks. regler for passordkompleksitet, oppgavefordeling, godkjenningsarbeidsflyter)
* **Avdekkende** – Identifiserer problemer etter at de har oppstått (f.eks. logggjennomganger, avstemminger, overvåkingsvarsler)
* **Korrigerende** – Korrigerer problemer som har oppstått (f.eks. prosedyrer for avvikshåndtering, gjenoppretting av sikkerhetskopier, utbedringstiltak)
De fleste kontroller er enten avdekkende eller forebyggende. Å forstå kontrolltypen hjelper deg med å vurdere om kontrollmiljøet ditt er balansert.
#### Eierskap
**Eier** – Angi hvem som er Ansvarlig for kontrollen. Denne personen sikrer at kontrollen utføres korrekt og håndterer eventuelle problemer som oppstår.
Velg noen med direkte operativ kunnskap om kontrollen og myndighet til å gjøre endringer ved behov.
#### Utførelsesmetode
**Kontrollutførelse** – Angi hvordan kontrollen utføres:
* **Manuell** – Aktiviteter utført av mennesker
* **Automatisert** – Systemhåndhevede kontroller
* **Halvautomatisert** – Kombinasjon av system- og menneskelige aktiviteter
Automatiserte kontroller er generelt mer pålitelige, men mindre fleksible. Manuelle kontroller krever mer oppfølging, men kan tilpasses unntak.
#### Utførelsesfrekvens
**Kontrollfrekvens** – Registrer hvor ofte kontrollen utføres:
* Kontinuerlig (automatiserte kontroller)
* Daglig
* Ukentlig
* Månedlig
* Kvartalsvis
* Årlig
* Ad hoc (hendelsesdrevet)
> ⚠️ **Viktig:** Vær realistisk når du angir frekvens. Å overdrive frekvensen skaper urealistiske forventninger til testing. Å undervurdere den kan utsette organisasjonen din for unødvendig risiko.
#### Valgfri informasjon
Du kan også registrere:
* **RACI** – Hvem som er Ansvarlig, ansvarlig for resultat, konsultert og informert
* **Kostnad** – Den økonomiske kostnaden eller ressurskostnaden ved å drifte kontrollen
* **Kommentarer** – Eventuell ytterligere kontekst eller spesielle omstendigheter
Klikk **lagrer** for å registrere disse detaljene.
***
To ytterligere felt beskriver kontrollens livssyklus:
* **Kilde** – Kilden til kontrollen.
* **Startdato / sluttdato** – Perioden kontrollen er i bruk.
Den **Kontrollanalyse** delen av kontrollen inneholder **Sammendrag av konklusjon**, åpnes **Innledende kostnader** (kostnadene ved å implementere kontrollen), **Årlige kostnader** (de tilbakevendende årlige kostnadene) og **Kommentarer**. Om delen for kontrollanalyse vises, bestemmes av en administratorinnstilling – se [Innstillinger for Kontrollmodul](https://docs.cerrix.com/cerrix-functionalities/admin-settings/control-module-settings).
### Kobling av en Kontroll
Etter at du har lagret en kontroll, blir ytterligere koblingsalternativer tilgjengelige i panelet til venstre.
#### Tilgjengelige koblinger
Du kan koble kontrollen til:
* **Risikoer** – Knytt kontrollen til én eller flere risikoer den bidrar til å redusere.
* **Prosesser** – Knytt den til én eller flere forretningsprosesser.
* **Rammeverk** – Koble kontrollen til rammeverk for etterlevelse eller lover (f.eks. ISO 27001, GDPR).
* **Dokumenter** – Last opp støttedokumentasjon som er relevant for kontrollen.
* **Hyperlenke(r)** – Legg til direkte koblinger (f.eks. til SharePoint eller eksterne systemer).
#### Koble risikoer til kontroller
Kontroller finnes for å redusere risikoer. Å koble dem sammen skaper et helhetlig bilde av hvordan organisasjonen din håndterer risiko.
1. Klikk **Koblingspanel** for å åpne grensesnittet for risikovalg.
2. Bla gjennom tilgjengelige risikoer eller bruk søk.
3. Dra risikoer til området for koblede risikoer, eller klikk for å velge.
4. Du kan koble flere risikoer til én kontroll.
5. Klikk **lagrer** når du har valgt de aktuelle risikoene.
> 💡 **Tips:** Koble bare de risikoene som denne kontrollen faktisk reduserer. For mange koblinger skaper falsk trygghet og gjør det vanskeligere å identifisere reelle kontrollmangler.
***
### Ytterligere funksjoner
* **Versjonshistorikk** – Hold oversikt over kontrollendringer over tid.
* **Revisjonsspor** – Se gjennom hvem som opprettet eller endret kontrollen, og når.
* **Filtrering og søk** – Finn raskt kontroller ved hjelp av filtre eller nøkkelord.
***
### Beste praksis
Kontroller er ryggraden i risikostyringen i CERRIX. Dårlig beskrevne eller feilklassifiserte kontroller fører til forvirring blant kolleger, ufullstendige eller unøyaktige rapporter og problemer under revisjoner eller testing. Følg disse praksisene for å sikre at kontrollene dine er konsekvente, tydelige og komplette.
#### Vær konkret og fullstendig
Bruk **5W 1H** struktur når du skriver kontrollbeskrivelser. En fullstendig beskrivelse fjerner tvetydighet og sikrer at kontrollen kan testes effektivt.
#### Bruk klassifisering korrekt
* **Nøkkel Kontroll** = Kritisk for risikostyring, må testes
* **Krever overvåking** = Trenger aktiv oppfølging og periodisk testing
* **Utførelsesmetode** = Manuell, automatisert eller halvautomatisert
Riktig klassifisering avgjør hvordan kontrollen vises i rapporter og testplaner.
#### Angi realistisk frekvens
Ikke overdriv kontrollfrekvensen unødvendig. Hvis en kontroll utføres månedlig, registrer den som månedlig – ikke ukentlig. Urealistiske frekvenser skaper umulige testbyrder. Samtidig må du ikke undervurdere frekvensen hvis kontrollen faktisk kjører oftere. Frekvensen skal gjenspeile virkeligheten.
#### Tildel tydelig eierskap
Hver kontroll må ha en angitt eier – en person eller avdeling som er Ansvarlig for utførelsen. Uten tydelig eierskap blir kontroller neglisjert og ineffektive.
#### Koble alltid til risikoer
En kontroll som ikke er koblet til noen risiko, har ikke noe tydelig formål. Koble kontroller til risikoene de reduserer for å skape sporbarhet og vise verdien av kontrollmiljøet ditt.
#### Bruk forretnings- og rammeverksdimensjoner
Disse koblingene gjør kontroller mer nyttige i instrumentbord og eksterne rapporter. Rammeverksdimensjoner er særlig viktige for revisjons- og etterlevelsesformål (f.eks. ISAE 3402, DORA, BIO).
***
### Roller, rettigheter og tillatelser for kontroller
Du finner en oversikt over de ulike rollene, rettighetene og tillatelsene for kontroller i denne praktiske oversikten:
[Roller, rettigheter og tillatelser](/cerrix-documentation-no/cerrix-funksjoner/roles-rights-and-permissions.md#controls-permission-matrix)
***
### Grunndata for kontroller
Valgfelt på en kontroll fylles fra Grunndata for Kontrollmodulen, som vedlikeholdes av administratoren med ubegrensede kontrollrettigheter under **Grunndata > Kontroller**:
* **Kontrollaspekt IC** — de interne kontrollkategoriene som en kontroll kan tilhøre.
* **Kontrollkatalog** — standardiserte kontrolldefinisjoner; se [Kontrollkatalog](https://docs.cerrix.com/cerrix-functionalities/module-overview/controls/control-catalogue).
* **Kontrollutførelse** — utførelsesmetodene (automatisert eller manuell).
* **Kontrollfrekvens** — frekvensene som kontroller brukes med.
* **Kontrollfunksjon** — funksjonene som brukes for RACI-tabellen for kontroller og i prosessredigeringsprogrammet.
* **Kontrollkilde** — kildene til kontroller.
* **Kontrolltype** — kontrolltypene (f.eks. avdekkende, forebyggende, korrigerende).
For overvåkede kontroller inneholder **Overvåkingskontroller** Grunndata i tillegg **Katalog for dokumentasjon og implementering** og **Effektivitetskatalog** (gjenbrukbare testplanmaler), **Koblede standarder** (rammeverk som CobIT eller ISAE 3402), **Kvalitetsaspekt** og **Skår**.
### Øvelser
#### Øvelse 1: Opprett en ny Kontroll
1. Åpne Kontroll-Workspace
2. Klikk **legg til ny kontroll**
3. Velg en oppføring i kontrollkatalogen
4. Velg organisasjonen din
5. Skriv en fullstendig beskrivelse ved hjelp av **5W 1H** konvensjonen:
* **Hvem:** Hvem utfører kontrollen?
* **Hva:** Hva gjøres under utførelsen?
* **Hvor:** Hvor utføres kontrollen?
* **Med hva:** Hvilke systemer eller dokumenter?
* **Når:** Hvor ofte (frekvens)?
* **Hva hvis:** Hva hvis kontrollen svikter?
6. Velg Forretningsdimensjoner
7. Velg rammeverksdimensjoner
8. Kryss av **på plass** hvis kontrollen er operativ
9. Klikk **lagrer**
#### Øvelse 2: Legg til kontrollattributter
1. Åpne den nylig opprettede kontrollen
2. Angi **internt aspekt** (hvis aktuelt)
3. Velg **type** (avdekkende, forebyggende eller korrigerende)
4. Tildel en **eier**
5. Angi **kontrollutførelse** metode (manuell, automatisert, halvautomatisert)
6. Angi **kontrollfrekvens** (daglig, ukentlig, månedlig osv.)
7. Legg til valgfri informasjon (RACI, kostnad, kommentarer) hvis ønskelig
8. Klikk **lagrer**
#### Øvelse 3: Koble risikoer
1. Bli værende i detaljvisningen for kontrollen
2. Naviger til **Koblede Risikoer** fane
3. Klikk **Koblingspanel**
4. Søk etter eller bla gjennom for å finne aktuelle risikoer
5. Velg risikoer som denne kontrollen reduserer
6. Klikk **lagrer**
7. Bekreft at risikoene vises i listen over koblede risikoer
#### Øvelse 4: Eksporter kontroller
1. Gå tilbake til Kontroll-Workspace
2. Bruk et filter for en spesifikk Rammeverksdimensjon
3. Klikk **avansert konfigurasjon**
4. Angi filterkriteriene dine
5. Klikk **bruk konfigurasjon**
6. Bruk eksportfunksjonen for å laste ned til Excel
7. Åpne Excel-filen for å verifisere de eksporterte dataene
***
### Slette en Kontroll
For å bevare sporbarheten kan en kontroll slettes når ingen andre objekter refererer til den. Hvis koblinger fortsatt finnes, viser CERRIX en melding som angir nøyaktig hvilke tilkoblinger som først må løses – for eksempel **Kontroll > Forbedringstiltak** eller **Revisjon > Kontroll**.
#### Løse «Kontroll > Forbedringstiltak»
Denne meldingen betyr at et Forbedringstiltak (MoI) fortsatt er koblet til kontrollen:
1. Åpne kontrollen og klikk **Tiltak for forbedring** under **Lenker** i panelet til venstre.
2. Fjern koblingen til MoI-en og lagre.
3. Slett kontrollen.
En MoI som ble opprettet **fra** selve kontrollen kan bare slettes, ikke frakobles. For å beholde informasjonen, oppretter du først en uavhengig MoI, kopierer innholdet og lagrer den – slett deretter kontrollen sammen med MoI-en.
#### Løse «Revisjon > Kontroll»
Denne meldingen betyr at kontrollen refereres til fra revisjonssiden, enten fordi den er innenfor omfanget av et revisjonsoppdrag (Revisjonsmodulen), eller fordi en vurdering i en funnrapport refererer til den. Fjern referansen på den siden:
* **Revisjon**: åpne revisjonen og fjern kontrollen fra de koblede kontrollene.
* **Funnrapport**: åpne rapporten og fjern kontrollreferansen fra den relevante vurderingen.
Prøv deretter slettingen på nytt. Hvis den refererende revisjonen eller funnrapporten allerede er ferdigstilt eller lukket, kontakter du CERRIX-støtte via servicedesken for å gjennomgå alternativene for situasjonen din.
Hvis slettingen fortsatt blokkeres etterpå, flagges en annen avhengighet (for eksempel testplaner, tredjepartskoblinger eller forretningsvurderinger) i en separat melding – løs den på samme måte.
#### Løse «Tredjepartsassuranse > Kontroll»
Denne meldingen betyr at kontrollen kan forespørres gjennom en ekstern tilkobling i oppsettet for tredjepartsassuranse. Fjern den først fra den tilkoblingen:
1. Åpne **Administrasjonskontroller** menyen og klikk **Eksterne tilkoblinger** for å se tilkoblingene for tredjepartsassuranse i miljøet ditt.
2. Åpne den aktuelle tilkoblingen og gå til trinnet der kontrollene som kan forespørres, velges. Fjern kontrollen fra de valgte kontrollene og lagre tilkoblingen. Se [Eksterne tilkoblinger](https://docs.cerrix.com/cerrix-functionalities/admin-settings/external-connections) for hvordan disse tilkoblingene bygges opp.
3. Prøv å slette kontrollen på nytt.
Hvis kontrollen ikke vises blant de valgte kontrollene i en tilkobling mens slettemeldingen fortsetter å vises, kontroller **Overvåking** avmerkingsboksen på selve kontrollen: En kontroll med Overvåking slått av utelates fra dette utvalget, mens koblingen til tilkoblingen forblir på plass. Slå Overvåking på igjen for kontrollen, fjern den fra tilkoblingen, og slett deretter kontrollen.
{% hint style="info" %}
Hvis slettingen fortsatt blokkeres, kontakt CERRIX-støtte via servicedesken med kontrollens Identifier. Støtte kan spore hvilken tilkobling som fortsatt refererer til kontrollen.
{% endhint %}
#### Slette en effektivitetskatalog
En effektivitetskatalog kan slettes når ingen testplaner bruker den. Bare **enkle** testplaner beholder en fast kobling til katalogen sin; **avanserte** testplaner bruker katalogen utelukkende som en mal ved opprettelse, slik at de aldri blokkerer sletting og den historiske testdokumentasjonen din forblir intakt.
For å se hvilke enkle testplaner som er koblet til en katalog, bruker du Direct Data API (`GET /directdata/v1/simpleeffectiveness` inneholder et `CatalogueId` felt), eller kontakt CERRIX-støtte via servicedesken for å få dem identifisert for deg.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.cerrix.com/cerrix-documentation-no/cerrix-funksjoner/module-overview/controls.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
