Compliance

Compliance betyder, at virksomheden lever op til de krav, der stilles til den, og kan bevise det. Kravene kommer fra tre kanter: loven, fx GDPR og bogføringsloven, kunderne, fx krav i kontrakter og udbud, og certificeringer, som virksomheden selv har valgt at gå efter.

Ordet lyder som papirarbejde, men kernen er tillid. Kunder, myndigheder og revisorer skal kunne se, at I gør det, I siger. Compliance er beviset, ikke bare påstanden.

I en dansk virksomhed handler compliance typisk om persondata, it sikkerhed, bogføring, arbejdsmiljø og branchens egne regler. En fødevarevirksomhed skal kunne spore partier. En underleverandør til forsvaret skal styre, hvem der ser tegningerne. En it leverandør skal vise, at kundernes data er i sikre hænder.

Fælles for det hele er tre spørgsmål: Hvad er kravet? Hvordan opfylder vi det? Og hvor er beviset?

Kravene vælter ind ad døren i disse år. NIS2 stiller krav til cybersikkerhed i vigtige sektorer og hos deres leverandører. DORA gør det samme i finanssektoren. Store kunder sender spørgeskemaer og kræver certificeringer som ISO 27001, før de skriver under. Selv små virksomheder møder kravene, fordi de er led i større kunders kæder.

Compliance er derfor ikke længere kun et anliggende for jurister. Det er blevet en salgsbetingelse.

Problemet er sjældent viljen. Det er, at beviserne ligger spredt i mapper, mails og hoveder. Når revisoren eller kunden spørger, bruger virksomheden dage på at samle sammen, og der er altid tre versioner af den samme instruks.

God dokumentationsstyring vender det om. Hvert dokument har én gældende version, en ejer og et spor af godkendelser. Så er et eftersyn en formalitet, ikke en undtagelsestilstand. Det er præcis den opgave, systemer som InfoBridge er bygget til.

Start med at samle kravene ét sted: lovkrav, kundekrav og egne standarder. Oversæt hvert krav til en konkret rutine med en ansvarlig. Læg beviserne det samme sted, hver gang rutinen kører. Og lad systemet minde jer om det, der skal fornys: certifikater, aftaler, eftersyn og kurser.

Når compliance er bygget ind i arbejdsgangene, bliver den et biprodukt af arbejdet. Det er både billigere og mere troværdigt end et årligt oprydningsprojekt.

Compliance kan ikke uddelegeres væk. Med NIS2 er ledelsens ansvar skrevet direkte ind i loven, og ved bøder og brud er det ledelsen, der står på mål. Det betyder ikke, at direktionen skal læse paragraffer. Det betyder, at den skal sætte rammen: hvilke krav gælder for os, hvem ejer dem, og hvordan følger vi op.

Spørgsmålet til organisationen er enkelt: kan vi vise det, hvis nogen spørger i morgen? Kan I svare ja, er compliance ikke en byrde. Så er den en konkurrencefordel.

Vil I teste jeres egen modenhed, så stil tre spørgsmål. Hvilke krav gælder for os i dag, både fra lov, kunder og certificeringer? Hvor ligger beviserne, og kunne vi finde dem på en time? Og hvem ejer opfølgningen, med navn, ikke med afdeling?

Kan mødet ikke svare, er det ikke en katastrofe. Det er en prioriteret opgaveliste. Start med det krav, der har størst konsekvens ved brud, læg en årskalender for eftersyn og fornyelser, og gør status hvert kvartal. Compliance vindes ikke i spurter. Den vindes i rutiner, der kører, også når der er travlt.