kuka saa muuttaa tiedostoa yrityksessämme

Kenen, joka sääntelee pääsyä dossieriin

Kenen saa päivittää ketjudossieria, päättää yritys itse: se on valinta tilin asetuksissa, ei lakisääteinen rooli. Käytännössä se toimii kuten missä tahansa jaetulla yritys­jär­jestel­mässä: nimeät yhden tai useamman järjestelmänvalvojan, ja nämä järjestelmänvalvojat määrittävät, ketkä saavat muokata tai vain tarkastella. Ei ole kiinteää funktiota, joka tämän "täytyy" tehdä — yrityksen yhdessä se on laadunpäällikkö, toisessa controller tai omistaja itse.

Missä tämä tulee käytännölliseksi, se on lähdetiedoissa. Jotkin kentät ovat lähellä lakisääteistä rekisteröintiä, kuten lakisääteinen nimi ja rekisteröintinumero": ne muuttuvat vain, kun kaupparekisterin rekisteröinti muuttuu, ja on järkevää, että henkilö, joka sitä ylläpitää — usein sama henkilö, joka hallinnoi KVK-rekisteröintiä — päivittää nämä kentät myös dossieriin. Muut kentät, kuten vastaukset tietoturvasta tai jatkuvuudesta, kuuluvat pikemminkin sille, joka on sisällöllisesti vastuussa kyseisestä aiheesta. Dossier itse ei siis aseta roolia; se seuraa roolijakoa, joka yrityksessä jo on.

Miksi tämä ei ole lakisääteinen rooli

Mikään ketjudossierin kannalta relevanteista säädöspaikoista — Handelsregisterwet 2007, EFRAG VSME -standardi, direktiivi (EU) 2022/2464 (CSRD), ISO/IEC 27001 tai direktiivin (EU) 2022/2555 (NIS2) 21 artiklan 2 kohta — ei määrää, millainen virkamies yrityksen sisällä saa syöttää tai muuttaa tietoja. Nämä säännöt kuvaavat, mitä yrityksen on dokumentoitava tai raportoitava, ei sitä, kuka se administratiivisesti saa tehdä. Ainoastaan ISO/IEC 27001, liite A, koskee aihetta välillisesti: nuo valvontatoimet käsittelevät pääsynhallintaa sinänsä — siis periaatetta, että pääsy järjestelmiin on oltava rajoitettua ja määritettyä — mutta silläkään ei mainita konkreettista funktiota. Oikeuksien jakaminen dossierissa on siis sisäinen sopimus, verrattavissa siihen, miten yritys sääntelee pääsyä kirjanpitojärjestelmäänsä tai CRM-järjestelmäänsä.