Chief Compliance Officer (CCO - Finans)

En chief compliance officer er øverste ansvarlig for compliancefunktionen i en finansiel virksomhed. Funktionen er anden forsvarslinje. Første linje er forretningen selv. Tredje linje er intern revision. CCO'en sælger ikke og reviderer ikke. Rollen kontrollerer, rådgiver og siger fra i tide.

Alt arbejde starter med en risikovurdering. Den kortlægger, hvor virksomheden har størst risiko for at bryde reglerne. Risikovurderingen bliver til en complianceplan, som bestyrelsen godkender. Planen styrer årets gennemgange og kontroller.

Typiske opgaver:

• Gennemføre compliancegennemgange af fx investeringsrådgivning, kreditgivning og kundekendskab (KYC)
• Tage stikprøver og efterprøve, om forretningsgangene bliver fulgt i praksis
• Skrive findings, aftale frister med forretningen og følge op på dem
• Rapportere compliancerisici til direktion og bestyrelse, typisk halvårligt og årligt
• Vurdere nye produkter, gebyrer og kampagner, før de går i luften
• Overvåge ny EU-regulering og oversætte den til konkrete krav i forretningsgange
• Være kontaktpunkt ved Finanstilsynets inspektioner, dataleverancer og redegørelser
• Ofte også ansvar for whistleblowerordningen og for uddannelse i hvidvask

En almindelig dag er sjældent lange juridiske notater. Formiddagen går måske med et produktgodkendelsesmøde om et nyt investeringsprodukt. Derefter en gennemgang af 30 kundesager for at se, om egnethedsvurderingen er dokumenteret. Om eftermiddagen skrives afsnittet til bestyrelsesrapporten. Sidst på dagen kommer et spørgsmål fra forretningen om en kunde i et højrisikoland.

Den svære del er ikke reglerne. Det er gennemslagskraften. Finanstilsynet har flere gange givet påbud, fordi forretningen svarede vagt på compliances anbefalinger. En CCO skal derfor kunne holde fast uden at blive en bremseklods.

Rollen findes i pengeinstitutter, realkreditinstitutter, forsikrings- og pensionsselskaber, fondsmæglerselskaber, betalings- og e-pengeinstitutter, kapitalforvaltere og kryptoudbydere. I større koncerner er CCO'en leder for et team. I mindre virksomheder er man ofte alene og deler rollen med hvidvaskansvar eller risikostyring.

Hvilken lovgivning dækker denne rolle?
Compliancefunktionen er et lovkrav, ikke en frivillig stabsfunktion. Ifølge Finanstilsynets ledelsesbekendtgørelse skal pengeinstitutter have en uafhængig compliancefunktion med en complianceansvarlig. Hvidvaskloven kræver desuden, at den daglige ledelse udpeger en complianceansvarlig og en hvidvaskansvarlig på ledelsesniveau. For forsikrings- og pensionsselskaber er compliance en nøglefunktion efter EU's Solvens II-direktiv. Dertil kommer MiFID II med ESMA's retningslinjer for compliancefunktionen, markedsmisbrugsforordningen (MAR), databeskyttelsesforordningen (GDPR) og EU's DORA-forordning om digital operationel modstandsdygtighed.

Der findes ingen enkelt uddannelse til chief compliance officer. Langt de fleste kommer fra en lang videregående uddannelse. De typiske er cand.jur., cand.merc.jur., cand.merc. og cand.oecon. En kandidatuddannelse tager fem år: tre års bachelor og to års kandidat. Adgangskravene til bacheloren er en gymnasial eksamen med matematik og engelsk på det krævede niveau, søgt gennem Den Koordinerede Tilmelding.

Du bliver ikke CCO direkte fra studiet. Titlen kræver typisk 8-15 års erfaring fra den finansielle sektor. Vejen går gennem stillinger som compliance officer, jurist, risk manager eller intern revisor.

Almindelige veje ind i faget:

• Fra forretningen: rådgiver, kreditmedarbejder eller back office, som skifter til anden forsvarslinje
• Fra advokatbranchen eller et af de store revisions- og rådgivningshuse
• Fra Finanstilsynet, hvor man har siddet på den anden side af bordet
• Fra intern revision eller risikostyring i samme virksomhed
• Fra hvidvaskområdet, hvor mange starter som analytiker i transaktionsovervågning

Den praktiske vej findes også. Finansøkonom eller HD i finansiel rådgivning kombineret med mange års banktjeneste kan føre til rollen i mindre institutter. Her vejer konkret kendskab til forretningen tungere end en juridisk kandidatgrad.

Efteruddannelse er normen. Mange tager kurser i compliance for den finansielle sektor hos private kursusudbydere og brancheorganisationer. Internationale certificeringer bruges også, især CAMS fra ACAMS på hvidvaskområdet og diplomer fra International Compliance Association. Arbejder du med persondata, er CIPP/E fra IAPP udbredt.

Selve titlen kræver ingen autorisation. Men i systemisk vigtige institutter (SIFI'er) og i forsikringsselskaber er den complianceansvarlige en nøgleperson. Finanstilsynet vurderer nøglepersoner efter reglerne om egnethed og hæderlighed, det såkaldte fit and proper. En dom for økonomisk kriminalitet kan derfor spærre vejen.

Skal du ansætte en CCO, så se efter tre ting. Har kandidaten selv stået for en risikovurdering og en complianceplan? Har kandidaten prøvet en inspektion fra Finanstilsynet fra indersiden? Og kan kandidaten give et konkret eksempel på at have sagt nej til forretningen og fået det til at holde?

Compliance i finanssektoren er dokumentationstungt. Værktøjerne handler om at overvåge, bevise og rapportere.

• GRC-platforme til complianceplan, kontroller, findings og opfølgning. Eksempler er Workiva, LogicGate, RSA Archer og OneTrust
• Transaktionsovervågning til at fange mistænkelige mønstre, ofte fra leverandører som NICE Actimize eller Nasdaq Verafin
• KYC- og onboardingsystemer til kundekendskab, reelle ejere og risikoklassificering af kunder
• Screeningværktøjer mod sanktionslister og lister over politisk eksponerede personer (PEP), fx Dow Jones Risk & Compliance eller LexisNexis
• Handelsovervågning og insiderlister efter markedsmisbrugsforordningen (MAR)
• Whistleblowersystem, som mange steder er forankret hos compliance

Hverdagens arbejdsheste er stadig enkle. Excel bruges til stikprøver og kontrolskemaer. Power BI eller Tableau bruges til ledelsesrapportering. SharePoint eller Confluence holder styr på forretningsgange og versionshistorik. Arbejdspapirer skal kunne fremvises år efter, så versionsstyring er ikke pynt.

En stor del af værktøjskassen er kilder, ikke systemer. En CCO følger med i Finanstilsynets afgørelser, redegørelser og risikooplysninger. Dertil kommer retningslinjer fra EBA, ESMA og EIOPA, lovtekster på retsinformation.dk og Finanstilsynets vejledning til hvidvaskloven. Mange abonnerer på en regulatorisk nyhedstjeneste for at fange nye krav tidligt.

Kunstig intelligens bruges i stigende grad til at reducere falske alarmer i transaktionsovervågningen. Det skaber en ny opgave: at kunne forklare modellens beslutninger over for Finanstilsynet.