Besökspolicy: så skriver du en [gratis mall]

Alla företag vill ta emot sina besökare på ett välkomnande och professionellt sätt. Men utan en tydlig besökspolicy utsätter du snabbt din organisation för onödiga risker. Besökare kan av misstag hamna i skyddade utrymmen, det uppstår oklarheter vid en nödsituation och känsliga uppgifter kan bli synliga utan att någon har tänkt sig det.

Därför är en genomarbetad besökspolicy nödvändig. Den styr hur din organisation hanterar varje besökare i lokalerna: vem som släpps in, vilka uppgifter du samlar in, vem som godkänner besöket, vilka dokument som ska signeras, vilka utrymmen som är tillgängliga och hur länge besöksuppgifterna sparas. Det höjer säkerheten, ger en likvärdig besöksupplevelse och gör ett professionellt intryck från första stund.

Den här guiden går igenom de åtta delar som varje besökspolicy behöver, en införandeplan i sex steg, en gratis mall och de vanligaste misstagen du bör undvika.

I den här artikeln:

• Vad är en besökspolicy?
• Därför behöver varje arbetsplats en besökspolicy
• 8 viktiga delar i en besökspolicy
• Så skapar du en besökspolicy i 6 steg
• Gratis mall för besökspolicy
• Vanliga misstag när du skriver en besökspolicy
• Så hjälper ett VMS dig att följa besökspolicyn
• Vanliga frågor om besökspolicy
• Slutsats

Vad är en besökspolicy?

En besökspolicy är ett skriftligt dokument som styr hur varje extern person (en kund, leverantör, entreprenör, jobbkandidat, revisor eller chaufför) registreras, identifieras, tas emot och följs upp från ankomst till avfärd.

Den översätter abstrakta mål (“vi vill veta vilka som finns i byggnaden”) till konkreta regler som receptionen, säkerhetsavdelningen, IT och medarbetarna kan tillämpa på samma sätt varje gång.

En besökspolicy är inte samma sak som ett besökshanteringssystem (VMS). Policyn är reglerna, systemet är verktyget som ser till att reglerna följs. Utan policy är även det bästa VMS knappt mer än en apparat som samlar namn. Utan system är den bästa policyn knappt mer än ett dokument i en mapp som ingen läser.

Vad täcker en besökspolicy?

En genomarbetad besökspolicy svarar på sju enkla frågor för varje besökare som dyker upp vid dörren:

• Vem släpps in, och vem ger tillstånd?
• Vilka uppgifter samlar vi in?
• Vad ska besökaren signera eller bekräfta innan hen kommer in?
• Vilka utrymmen får besökaren röra sig i, och vilken tillsyn krävs?
• Vad står på besöksbrickan, och vad ger den tillgång till?
• Vad händer vid en nödsituation eller utrymning?
• Hur länge sparas uppgifterna, och vem har tillgång till dem?

Om din nuvarande policy inte svarar på alla sju frågorna för varje besökstyp är det dags för en uppdatering.

Därför behöver varje arbetsplats en besökspolicy

En skriven besökspolicy är inte byråkrati för byråkratins skull. Det är ett nödvändigt dokument, av fyra skäl:

1. Revisorerna kommer att fråga efter den

“Vi vet vilka som kommer in, för Sarah i receptionen känner alla.” Du kan ha obegränsat förtroende för dina medarbetare, men för en revisor är det förstås ingen godtagbar kontroll. ISO 27001, SOC 2, NIS2 och en rad branschspecifika ramverk kräver en dokumenterad rutin för externa personers fysiska tillträde. En skriven policy och en revisionsklar besökslogg är därför nödvändiga.

2. Besöksuppgifter omfattas av GDPR

Så snart du registrerar en besökares uppgifter, till exempel namn, företag, registreringsnummer eller namnteckning, behandlar du personuppgifter och måste följa GDPR (dataskyddsförordningen).

Det betyder att du behöver ett tydligt definierat ändamål med behandlingen, en rättslig grund, en lagringstid och ett sätt att informera besökaren om det. I besökspolicyn skriver du ner detta en gång, så att varje receptionist tillämpar det på samma sätt varje gång. Du kan läsa mer om GDPR i vår praktiska guide.

3. Receptionen behöver riktlinjer

Receptionister fattar dussintals beslut varje dag. Ska den här entreprenören signera sekretessavtalet, eller räcker säkerhetsgenomgången? Ska den här kandidaten eskorteras? Får chauffören gå in i lagret utan besöksbricka? En skriven policy ger receptionen en checklista i stället för ett minnesprov, och förebygger förvirring, fel och skillnader mellan skift och anläggningar.

4. Nödsituationer kräver tydliga rutiner

Vid en utrymning, en brand eller ett säkerhetsincident hinner ingen hitta på en rutin på plats. En policy som i förväg slår fast vem som håller närvarolistan i realtid, vem som larmar räddningstjänsten och vilka åtgärder som gäller vid en nödsituation gör skillnaden mellan kontroll och kaos. Se vår guide till krisberedskap för mer detaljer.

Läs också: 7 vanliga misstag när du tar emot besökare

8 viktiga delar i en besökspolicy

Varje besökspolicy ska innehålla samma åtta byggstenar, oavsett bransch och storlek på din organisation. Använd listan som grund för ditt eget dokument.

1. Syfte och omfattning

Förklara varför policyn finns: att höja säkerheten, skydda medarbetare och besökare, stötta rutinerna vid nödsituationer, behandla besöksuppgifter korrekt och garantera ett professionellt mottagande.

Definiera sedan var och för vem policyn gäller: vilka anläggningar, platser, affärsområden och besöksgrupper omfattas? Notera också eventuella undantag, till exempel medarbetare, besökare på ett publikt evenemang eller chaufförer som inte går in i byggnaden. Hänvisa där det är relevant till tillämplig lagstiftning, standarder och revisionskrav, som GDPR, ISO 27001, SOC 2, NIS2 eller branschspecifika regler.

2. Besökskategorier

Alla besökare behöver inte samma tillträde, tillsyn eller kontroller. En kund som tittar förbi kontoret en timme innebär en annan risk än en entreprenör som arbetar i tekniska utrymmen i flera dagar. Därför är det viktigt att dela in besökarna i tydliga kategorier.

Bestäm för varje kategori vilka uppgifter du samlar in, vem som ska godkänna besöket, vilka dokument som krävs, om tillsyn är obligatorisk och vilka utrymmen besökaren får röra sig i.

Vanliga besökskategorier är:

3. Förregistrering och godkännande

Förregistrering ger ett smidigare mottagande. Besökarna väntar mindre, uppgifterna blir mer korrekta och känsliga besök eller besök med högre risk kan bedömas i förväg.

Slå tydligt fast:

• Vilka medarbetare som får bjuda in besökare: alla, eller bara vissa team eller utsedda chefer
• Vilka uppgifter besökaren ska lämna i förväg, till exempel namn, företag, syftet med besöket, ankomsttid och värd
• Vilka besök som kräver godkännande i förväg, till exempel besök i skyddade utrymmen, entreprenörer eller besökare som behöver extra kontroll
• Hur långt i förväg besökare ska registreras
• Vad som händer när en besökare inte har förregistrerats

4. Identifiering och besöksbrickor

Definiera hur besökare identifieras och hur besöksbrickor används. Bestäm också om brickan bara fungerar som visuell igenkänning eller om den även är kopplad till passerkontroll för vissa dörrar eller utrymmen.

Gör tydliga överenskommelser om:

• Vilken identifiering som krävs per besökstyp
• När en id-kontroll är motiverad, till exempel för entreprenörer eller vid tillträde till känsliga utrymmen
• Om fotoregistrering behövs på anläggningar med högre säkerhetskrav
• Vilken information som står på besöksbrickan, till exempel namn, företag, besökskategori, datum, värd och eventuellt en QR-kod
• När tillfälliga brickor slutar gälla, till exempel vid utcheckning eller automatiskt vid dagens slut
• Vad som händer med borttappade, glömda eller ej återlämnade brickor

Vill du ha mer bakgrund om säkerhetssidan kan du också läsa vår artikel om 9 grepp för en säker besökspolicy.

5. Dokument och avtal som krävs

Slå fast för varje besökskategori vilka dokument besökarna ska läsa, bekräfta eller signera innan de får tillträde. Alla besökare behöver inte samma dokument: ett bud behöver oftast inte signera säkerhetsinstruktioner, medan det kan vara helt avgörande för en entreprenör i ett produktionsutrymme.

Tänk till exempel på:

• Ordningsregler, som överenskommelser om tillsyn, fotografering, parkering eller användning av mötesrum
• Säkerhetsinstruktioner för besökare som går in i produktionsutrymmen, lager, labb eller tekniska rum
• Ett sekretessavtal (NDA) för entreprenörer, partner eller besökare som får tillgång till konfidentiell information
• En integritetspolicy eller information om personuppgiftsbehandlingen, så att besökarna vet vilka uppgifter som samlas in, varför och hur länge de sparas
• Branschspecifika dokument eller intyg, till exempel om säkerhet, regelefterlevnad, hygien eller tillträde till reglerade miljöer

Ett digitalt besökshanteringssystem kan visa de här dokumenten automatiskt utifrån besökstypen. Varje bekräftelse och signatur registreras med tidsstämpel, så att du i efterhand kan visa vilken besökare som läste eller signerade vilket dokument.

6. Tillträde och zonbegränsningar

Alla besökare får inte gå in i alla rum i din organisation. Slå därför fast för varje besökskategori vilka utrymmen någon får tillträde till, vid vilka tider och på vilka villkor. Bestäm också om besökare får röra sig fritt eller alltid ska eskorteras av en medarbetare.

Koppla där det går ihop de här reglerna med dina system för fysisk passerkontroll. Då öppnar besöksbrickan eller QR-koden bara de dörrar som besökaren är behörig till. Låt behörigheterna sluta gälla automatiskt vid utcheckning, vid dagens slut eller så snart den inbokade besökstiden är över.

7. Rutiner för nödsituationer och utrymning

Nödsituationer kommer sällan lägligt, men de måste ändå vara genomtänkta i förväg. En bra besökspolicy slår därför fast vad som händer med besökarna vid en utrymning, en incident eller ett tekniskt fel.

Svara åtminstone på de här frågorna:

• Vem hämtar närvarolistan i realtid?
• Var samlas besökarna vid en utrymning?
• Hur kontrollerar interna kontaktpersoner att deras besökare är i säkerhet?
• Vad gör receptionen om kiosken, surfplattan eller nätverket slutar fungera?
• Vem larmar räddningstjänsten och informerar externa entreprenörer och leverantörer?

Då vet alla vad de ska göra när varje minut räknas.

8. Lagringstid och integritet

Beskriv vilka besöksuppgifter du samlar in, varför du behöver dem och på vilken rättslig grund du behandlar dem. Slå också fast vem internt som har tillgång till uppgifterna och hur besökarna kan utöva sina rättigheter.

Sätt en lagringstid för varje kategori av uppgifter. Den kan skilja sig åt för vanliga besökare, entreprenörer, incidenter eller besök med särskilda krav på regelefterlevnad. Många organisationer använder tider mellan 30 dagar och 2 år, beroende på ändamål, risk och rättsliga eller avtalsmässiga krav. Se dessutom till att uppgifterna raderas automatiskt ur systemet när tiden har gått ut.

Så skapar du en besökspolicy i 6 steg

Du skriver inte en besökspolicy mellan två möten. Ändå behöver det inte bli ett projekt som drar ut i månader. Följer du de här sex stegen får du en tydlig och användbar besökspolicy på tre till sex veckor.

Steg 1: kartlägg dagens besökssituation

Innan du skriver regler behöver du veta vad som faktiskt händer i receptionen i dag. Observera, prata med receptionisterna, titta på incheckningen och begär ut besöksloggarna från den senaste månaden. Utgå från konkreta fakta:

• Antal besökare per månad, per anläggning och under topparna
• Besökstyper och deras andel av totalen
• Vilka dokument som signeras (och vilka som glöms bort)
• Hur uppgifterna samlas in och lagras: papper, Excel, e-post, ett registreringsverktyg

Steg 2: sätt ihop en arbetsgrupp och utse en ansvarig

En besökspolicy berör flera team. Sätt ihop en liten arbetsgrupp med representanter från följande funktioner:

• Fastighet eller office management (den dagliga driften, receptionspersonalen)
• Säkerhet (passerkontroll, incidenthantering)
• IT (integrationer, datasäkerhet)
• HR (utbildning, ansvarsfördelning)
• Juridik (efterlevnad av branschregler, GDPR, sekretessavtal)
• Sponsor: oftast COO, CISO eller fastighetschefen som godkänner policyn

Utse en enda ansvarig som utformar policyn i praktiken, samordnar arbetet, följer upp och håller dokumentet aktuellt.

Steg 3: definiera kategorier och regler

Håll en workshop med arbetsgruppen och gå igenom besökspolicyns åtta delar. Bestäm för varje besökskategori vem som ska godkänna, vilka uppgifter som efterfrågas, vilka dokument besökarna ska signera, vilka utrymmen de får gå in i och hur länge uppgifterna sparas.

Gör det inte onödigt komplicerat. Stå emot frestelsen att skapa tolv olika besökskategorier. För de flesta organisationer räcker fem till sju kategorier.

Steg 4: skriv en första version, testa och förbättra

Låt den ansvariga skriva en första version av besökspolicyn på ett tydligt och praktiskt språk. Undvik juridisk och teknisk jargong: policyn ska framför allt gå att använda för receptionspersonal, säkerhetsteam och medarbetare som tar emot besökare.

Dela utkastet med arbetsgruppen och räkna med en eller två återkopplingsrundor. Testa sedan policyn på en anläggning eller i ett team innan du fastställer den. Då märker du snabbt om reglerna är tydliga, kompletta och möjliga att följa i praktiken.

Steg 5: ställ in besökshanteringssystemet enligt policyn

En besökspolicy som bara finns på papper glöms snabbt bort eller tillämpas olika i praktiken. Översätt därför varje regel i policyn till en konkret inställning eller ett fast arbetsflöde i besökshanteringssystemet.

Tänk till exempel på besökskategorier, obligatoriska fält, dokument som ska signeras per besökstyp, mallar för besöksbrickor, behörigheter per utrymme, godkännandeflöden och lagringstider för besöksuppgifter. Står det i policyn att entreprenörer först ska signera en säkerhetsgenomgång? Då ska systemet hindra att en besöksbricka skrivs ut så länge signaturen saknas.

Steg 6: utbilda och utvärdera

Utbilda receptionspersonal, säkerhetspersonal och de medarbetare som ofta tar emot gäster i både policyn och systemet. Boka in en årlig genomgång och bestäm vilka händelser som utlöser en extra genomgång, till exempel en ny anläggning, nya regler, en incident eller en revision.

Gratis mall för besökspolicy

Använd dispositionen nedan som utgångspunkt för din egen besökspolicy. Du kan kopiera texten rakt av till ditt interna policyverktyg och anpassa platshållarna inom hakparentes efter din organisation.

Du kan använda dokumentet precis som det är för en mindre organisation, eller bygga ut varje del till den detaljnivå som storleken på din organisation kräver.

Vanliga misstag när du skriver en besökspolicy

Policyer havererar ofta på samma sätt. Undvik de här fallgroparna.

Att skriva en policy och sedan glömma den

En besökspolicy som försvinner ner i en SharePoint-mapp är inte värd mycket. Målet är inte att ha ett dokument, utan att tydliga överenskommelser faktiskt tillämpas i praktiken.

Se till att policyn syns i den dagliga driften: i inställningarna i besökshanteringssystemet, i utbildningen av receptionisterna, i värdens inbjudningsmejl och i besökarens incheckning.

En incheckning som är för krånglig

Besökspolicyn får gärna höja säkerheten, men den får inte bromsa mottagandet i onödan. Om besökarna måste gå igenom för många steg, fylla i långa formulär eller lämna samma uppgifter flera gånger skapar det irritation vid disken och extra arbete för personalen.

Begränsa därför incheckningen till det som verkligen behövs. Fråga bara efter den information du faktiskt använder, och automatisera där det går, till exempel med förregistrering, digitala dokument och automatisk avisering till värden.

Att behandla alla besökare lika

Alla besökare innebär inte samma risk och behöver inte samma tillsyn. Ett bud som lämnar ett paket är inte samma sak som en entreprenör som utför tre veckors underhållsarbete eller en konsult som får tillgång till kontorslokalerna.

En besökspolicy med en enda generell regel för alla fungerar därför sällan bra. Den blir snabbt antingen för strikt, vilket gör incheckningen långsam och krånglig, eller för släpphänt, vilket lämnar dig med för lite kontroll.

Arbeta därför med tydliga besökskategorier. Bestäm för varje kategori vilka uppgifter du behöver, vilka dokument som ska signeras, vem som ska godkänna och vilka utrymmen besökaren får gå in i.

Att samla in onödiga uppgifter

Att fråga varje besökare om personnummer, registreringsnummer och anhörigkontakt är att be om problem. I vissa situationer kan de uppgifterna vara relevanta, men de är definitivt inte motiverade för varje besökare.

Enligt GDPR ska du tydligt kunna förklara varför du samlar in vissa uppgifter och hur länge du sparar dem. Fråga alltså inte efter fler uppgifter än nödvändigt som standard. Begränsa incheckningsformuläret till den information du verkligen behöver för just den besökstypen.

Ingen enhetlig linje mellan anläggningarna

Har din organisation flera anläggningar? Då är det viktigt att besökarna tas emot och registreras efter samma grundregler överallt.

När varje anläggning tolkar policyn på sitt eget sätt uppstår skillnader i säkerhet, integritetsskydd och regelefterlevnad. Arbeta därför med en central besökspolicy och en enhetlig konfiguration i ditt VMS. Lämna bara utrymme för lokala undantag när de verkligen behövs, till exempel på grund av särskild lagstiftning, byggnadens utformning eller säkerhetskrav.

För tunn planering för nödsituationer

Det avsnitt som alla hoppas slippa använda är ofta precis det avsnitt som revisorerna tittar extra noga på. Rutiner för nödsituationer är därför en nödvändig del av varje bra besökspolicy.

Slå fast i förväg vad som händer vid en utrymning, hur du vet vilka besökare som fortfarande är i byggnaden och vem som ansvarar för uppföljningen. Tänk också igenom en reservrutin för när besökshanteringssystemet tillfälligt inte är tillgängligt. Så undviker du förvirring i det ögonblick då snabbhet och tydlighet betyder mest.

Ingen koppling till passerkontrollen

En besökspolicy fungerar bara om de tekniska inställningarna stämmer överens med den. Om en entreprenör enligt policyn bara får gå in i lagret får besöksbrickan inte av misstag också öppna kontorslokaler eller serverrum. Kontrollera därför noga att behörigheterna, inställningarna för besöksbrickor och zonerna i systemet stämmer med reglerna i policyn.

Du kan läsa mer om möjliga integrationer i vår artikel om besökshantering och passerkontroll.

Läs också: 9 viktiga tips för att säkra verksamheten.

Så hjälper ett VMS dig att följa besökspolicyn

En besökspolicy är bara värdefull om den också tillämpas konsekvent. Ett professionellt digitalt besökshanteringssystem som Vizito hjälper dig att göra överenskommelserna i policyn till tydliga processer, automatiska kontroller och en smidig incheckning.

Med Vizito kan du bland annat arbeta med:

• Besökskategorier med egna inmatningsfält, besöksbrickor, dokument och godkännanderegler per besökstyp
• Förregistrering av medarbetare, inklusive kalenderintegration och automatiska inbjudningar med QR-kod
• Digital signering av dokument, som sekretessavtal, säkerhetsinstruktioner, ordningsregler och integritetspolicyer
• Besöksbrickor som skrivs ut automatiskt och kan kopplas till passerkontrollen
• En närvarolista i realtid för daglig uppföljning, utrymningar och incidenthantering
• Automatiska, GDPR-anpassade lagringstider med inställbar gallring per besökskategori
• Hantering av flera anläggningar så att varje plats följer samma grundpolicy, med lokala undantag där det behövs
• Revisionsklara exporter med fullständig historik över åtgärder och signaturer, till exempel som underlag för ISO 27001, SOC 2 eller NIS2

Står det i policyn att entreprenörer först ska signera säkerhetsinstruktionerna innan de får en besöksbricka för zon 2? Då ser Vizito till att brickan inte kan skrivas ut så länge signaturen saknas. Det är skillnaden mellan en policy med ambitioner och en policy som fungerar.

Vanliga frågor om besökspolicy (FAQ)

Vad ska en besökspolicy innehålla?

En komplett besökspolicy beskriver 8 delar: policyns syfte och omfattning, de olika besökskategorierna, regler för förregistrering och godkännande, identifiering och besöksbrickor, dokument som besökare ska signera (sekretessavtal, säkerhetsinstruktioner, ordningsregler eller integritetspolicy), behörigheter och begränsningar per utrymme, rutiner för nödsituationer och utrymning, samt lagringstider för besöksuppgifter i linje med GDPR.

Behöver ett litet företag verkligen en besökspolicy?

Ja. Även små företag tar emot besökare, leverantörer, jobbkandidater, kunder och inhyrd personal. Så snart någon kommer in på kontoret eller i byggnaden är det viktigt att det är tydligt vem personen är, varför hen är där och vilket tillträde som behövs.

En besökspolicy behöver inte vara lång eller komplicerad för ett litet företag. Ofta räcker en enkel uppsättning överenskommelser om incheckning, registrering, tillsyn, tillträde till rum, rutiner vid nödsituationer och lagringstider för besöksuppgifter. Den gratis mallen i den här artikeln hjälper dig att snabbt lägga en stabil grund.

Vem ansvarar för besökspolicyn?

Oftast utses en fastighetschef, kontorschef eller säkerhetschef till ansvarig för besökspolicyn. Den personen förvaltar policyn, håller den aktuell och ser till att överenskommelserna tillämpas i praktiken.

Receptionen, säkerhetsavdelningen och de medarbetare som tar emot besökare tillämpar policyn dagligen. I större organisationer är IT, juridik, compliance eller CISO ofta också inblandade, särskilt när policyn rör integritet, passerkontroll eller revisionskrav som ISO 27001, SOC 2, NIS2 och GDPR.

Hur ofta ska en besökspolicy ses över och uppdateras?

Se över besökspolicyn minst en gång om året. Gör det också varje gång något ändras som påverkar besökare, tillträde eller säkerhet, till exempel en ny anläggning, ett nytt passersystem, en stor grupp nya entreprenörer eller nya regler.

Efter en incident, ett tillbud eller en revisionsanmärkning är det också klokt att gå igenom policyn utanför det ordinarie schemat. Då hålls policyn aktuell och i takt med riskerna och verksamheten i din organisation.

Slutsats

En bra besökspolicy hjälper din organisation att ta emot besökare på ett välkomnande sätt utan att tappa kontrollen över säkerhet, tillträde och personuppgifter. Den gör det tydligt vem som är välkommen, vilka steg besökarna ska följa, vilka dokument som behövs och vem som ansvarar för vad.

Det avgörande är att policyn inte bara finns på papper. Översätt överenskommelserna till den dagliga driften, till mottagandet i receptionen och till besökshanteringssystemet. Då tillämpas reglerna konsekvent och besöksupplevelsen förblir både professionell och smidig.

Vill du komma i gång snabbt? Använd den gratis mallen i den här artikeln som grund för din egen besökspolicy och anpassa den efter behoven, riskerna och anläggningarna i din organisation.

Vill du själv uppleva hur ett besökshanteringssystem kan stötta din policy kan du testa Vizito nu med en gratis provperiod på 14 dagar.