Compliance: hvad det er, hvem der kan det, og hvad de tjener

Compliance er som færdighed evnen til at omsætte love, regler, standarder og interne krav til noget, en organisation faktisk kan efterleve i hverdagen.

En person med stærke compliance-færdigheder kan først identificere, hvilke krav der gælder. Det kan være lovgivning, myndighedskrav, kontraktlige forpligtelser, branchekrav eller virksomhedens egne politikker. Vedkommende kan derefter vurdere, hvor kravene rammer organisationens produkter, processer, medarbejdere og leverandører.

Det centrale er ikke blot at kende reglerne. Vedkommende skal kunne omsætte dem til arbejdsgange, ansvar og kontroller. Et krav kan eksempelvis føre til en godkendelsesproces, dokumentationskrav, adgangskontrol, kontrol af en leverandør eller periodisk overvågning.

Compliance omfatter derfor ofte compliance-risikovurdering. Personen identificerer situationer, hvor virksomheden kan komme i konflikt med sine forpligtelser, vurderer hvor væsentlige risiciene er og hjælper med at prioritere de nødvendige kontroller.

En dygtig person med compliance-færdigheder kan også skrive politikker og procedurer, som medarbejdere faktisk kan bruge. Vedkommende kan forklare krav til ledere og fagpersoner uden at nøjes med juridiske formuleringer.

Overvågning er en anden vigtig del af færdigheden. Personen kan undersøge, om de aftalte kontroller bliver udført, om de virker efter hensigten, og om der findes dokumentation. Når noget ikke fungerer, kan vedkommende beskrive afvigelsen, finde årsagen og følge korrigerende handlinger til dørs.

Compliance kan også omfatte træning af medarbejdere, kontrol af tredjeparter, håndtering af rapporterede overtrædelser, støtte til undersøgelser og rapportering til ledelsen. Det konkrete ansvar afhænger af branche og organisation.

ISO 37301 beskriver compliance management som et systematisk arbejde med at etablere, udvikle, gennemføre, evaluere, vedligeholde og forbedre organisationens compliance management system.

I mange organisationer fungerer compliance som en kontrolfunktion, der rådgiver, udfordrer og overvåger forretningen. Compliance er derfor ikke det samme som intern revision. Intern revision skal typisk kunne foretage en mere uafhængig vurdering af, om governance, risikostyring og kontroller fungerer.

Den stærke person med compliance-færdigheder kan samtidig skelne mellem et egentligt krav, en myndighedsvejledning, en branchepraksis og virksomhedens eget risikovalg. Det er vigtigt, fordi løsningen ellers let bliver enten for svag eller unødigt tung.

Compliance er særlig vigtig i virksomheder, hvor fejl kan føre til myndighedssager, tab af tilladelser, kontraktbrud, økonomiske tab eller alvorlig skade på virksomhedens omdømme.

Færdigheden fylder derfor meget i blandt andet finans, forsikring, medicinalindustrien, energi, telekommunikation, teknologi og andre regulerede områder. Den er også relevant i almindelige virksomheder, når de arbejder med eksempelvis persondata, sanktioner, antikorruption, leverandører eller internationale aktiviteter.

Compliance bliver vigtig, når en ny lov eller regel skal implementeres. Her skal nogen kunne gå fra en juridisk tekst til konkrete ændringer i organisationen. Hvem ejer kravet? Hvilke processer påvirkes? Hvilke kontroller mangler? Hvordan dokumenterer virksomheden, at kravet efterleves?

Færdigheden gør også en forskel ved lancering af nye produkter, indtræden på nye markeder og større ændringer i teknologi eller forretningsmodel. En erfaren person med compliance-færdigheder kan identificere problemer tidligt, mens løsningen stadig kan ændres.

Ved leverandørvalg og samarbejde med tredjeparter kan compliance bruges til due diligence, kontraktkrav, risikovurdering og efterfølgende kontrol.

Når en myndighed, kunde eller revisor stiller spørgsmål, bliver dokumentationsdelen vigtig. Det er ikke altid tilstrækkeligt, at virksomheden siger, at en regel bliver fulgt. Den skal ofte kunne forklare processen og vise, hvilke kontroller der udføres.

Compliance er også vigtig efter en overtrædelse eller alvorlig afvigelse. Her skal organisationen forstå, hvad der skete, rette problemet og vurdere, om samme svaghed findes andre steder.

Typiske roller er Compliance Officer, Compliance Manager, Head of Compliance og forskellige personer med ansvar for bestemte regelsæt. Compliance-færdigheder findes også hos jurister, risk managers, informationssikkerhedsfolk, kvalitetsmedarbejdere og andre fagpersoner med ansvar for regulerede områder.

Compliance trænes bedst ved at arbejde med virkelige krav og virkelige forretningsprocesser. Teori er nødvendig, men færdigheden opstår først, når man lærer at omsætte regler til praktiske beslutninger og kontroller.

En god øvelse er at tage et konkret regelsæt og opbygge et register over virksomhedens forpligtelser. For hvert krav beskrives blandt andet den berørte proces, ansvarlig ejer, kontrol, nødvendig dokumentation og hvordan efterlevelsen skal overvåges.

Derefter kan man arbejde med compliance-risikovurderinger. Her lærer man at prioritere mellem krav og risici i stedet for at behandle alt som lige vigtigt.

Kontroldesign og kontroltest er også værdifuld træning. Man kan eksempelvis undersøge, om en kontrol faktisk forebygger eller opdager det problem, den er sat i verden for at håndtere. Det træner forskellen mellem at have en politik og at have en fungerende kontrol.

ISO 37301 er et anerkendt udgangspunkt for at forstå opbygningen af et compliance management system. The Institute of Internal Auditors' Three Lines Model er nyttig til at forstå fordelingen mellem forretningens eget ansvar, kontrolfunktioner som compliance og uafhængig intern revision.

International Compliance Association tilbyder blandt andet ICA Certificate in Compliance som introduktion til compliance-faget. For mere erfarne fagpersoner findes blandt andet ICA Diploma in Governance, Risk and Compliance. Kurserne kan give struktur, begreber og metoder, men de erstatter ikke erfaring med konkrete compliance-problemer.

Praktisk oplæring sammen med en erfaren person med compliance-færdigheder er derfor værdifuld. Det kan være arbejde med risikovurderinger, politikker, kontroller, overvågning, afvigelser, myndighedskrav og ledelsesrapportering.

Man skal desuden lære det fagområde, hvor compliance skal bruges. En person, der er stærk i finansiel regulering, er ikke automatisk ekspert i medicinalregler, databeskyttelse eller eksportkontrol.

Et kort kursus kan give et overblik over compliance. Det gør ikke alene en person til en erfaren med compliance-færdigheder. Dømmekraften udvikles gennem arbejde med uklare krav, reelle risici og situationer, hvor virksomheden både skal efterleve reglerne og kunne fungere i praksis.

Giv personen et konkret krav og spørg, hvordan det skulle implementeres i en virksomhed. En erfaren person med compliance-færdigheder begynder normalt ikke med at skrive en ny politik. Vedkommende vil først forstå kravet, omfanget, de berørte processer, risikoen og de kontroller, der allerede findes.

Spørg derefter, hvordan vedkommende vil dokumentere efterlevelsen. Et godt svar beskriver typisk ansvar, kontroller, evidens, overvågning og opfølgning. Personen bør kunne forklare, hvordan virksomheden opdager, hvis kontrollen ikke længere fungerer.

Du kan også bede om eksempler på tidligere arbejde. Relevante produkter kan være compliance-risikovurderinger, kravregistre, kontrolmatricer, politikker, overvågningsplaner, afvigelsesrapporter og rapportering til ledelsen.

Spørg om en situation, hvor forretningen ønskede én løsning, mens compliance så en væsentlig risiko. En stærk kandidat kan normalt forklare, hvordan risikoen blev konkretiseret, hvilke alternativer der blev undersøgt, og hvordan der blev fundet en praktisk løsning. Compliance handler ikke kun om at sige nej.

Spørg også, hvordan vedkommende skelner mellem lovkrav, myndighedsvejledning, standarder og intern politik. En erfaren fagperson bør kunne forklare forskellen og undgå at fremstille enhver anbefaling som et juridisk krav.

Ved mere senior compliance-roller bør personen kunne forklare, hvordan et samlet compliance-program prioriteres ud fra risiko. Se efter forståelse for ledelsesansvar, kultur, træning, rapporteringskanaler, tredjeparter, overvågning, undersøgelser og løbende forbedring.

Et godt tegn er, at vedkommende stiller spørgsmål til virksomhedens faktiske processer. Et svagt tegn er svar, der hovedsageligt består af navne på regler og standarder uden en forklaring på, hvordan kravene bliver omsat til arbejdsgange og kontroller.