Hvad er compliance? Kort fortalt betyder compliance, at en virksomhed efterlever de krav, den er underlagt eller selv har forpligtet sig til at følge. Det kan være lovgivning, myndighedskrav, EU-regler, standarder, kundekrav, kontrakter og interne politikker.
Compliance handler derfor ikke kun om at kende reglerne. Virksomheden skal også omsætte relevante krav til ansvar, arbejdsgange og kontroller – og følge op på, om kravene faktisk bliver efterlevet.
For danske virksomheder kan compliance berøre alt fra persondata og arbejdsmiljø til informationssikkerhed, kvalitet, miljøforhold og branchekrav. Hvilke krav der er relevante, afhænger blandt andet af virksomhedens aktiviteter, størrelse, kunder, markeder og egne forpligtelser
Rådgivning & System
Har I brug for hjælp til at omsætte reglerne til praksis?
Læs mere om, hvordan vi hjælper virksomheder med struktureret compliance-rådgivning, eller prøv vores ledelsessystem gratis.
Hvad betyder compliance?
Den direkte betydning af compliance er efterlevelse eller overholdelse. I en virksomhedssammenhæng beskriver begrebet arbejdet med at identificere relevante krav og sikre, at virksomheden handler i overensstemmelse med dem.
Spørgsmålet “hvad er compliance?” kan derfor ikke besvares med én fast liste over krav, som gælder for alle virksomheder.
Krav kan komme fra forskellige kilder:
- Dansk lovgivning og myndighedskrav
- EU-regler
- Internationale og nationale standarder
- Branchekrav
- Krav knyttet til certificering
- Kontraktlige krav fra kunder og samarbejdspartnere
- Interne politikker og procedurer
- Etiske retningslinjer og adfærdskodeks
Det relevante kravsbillede afhænger af virksomhedens konkrete situation.
Et enkelt compliance-eksempel kan være et krav om regelmæssig kontrol af bestemt produktionsudstyr.
Kravet beskriver, hvad virksomheden skal sikre.
Den praktiske handling er, at en ansvarlig medarbejder gennemfører kontrollen efter den fastlagte fremgangsmåde.
Dokumentationen viser eksempelvis, hvornår kontrollen blev udført, hvem der udførte den, hvad resultatet var, og hvordan eventuelle problemer blev håndteret.
På den måde hænger krav, handling og dokumentation sammen.
Hvad betyder det at være compliant?
At være compliant betyder, at virksomheden efterlever et konkret krav eller et relevant sæt af krav på et bestemt tidspunkt.
Det er vigtigt at skelne mellem compliance som en løbende disciplin og det at være compliant med et bestemt krav.
En virksomhed kan eksempelvis dokumentere, at en bestemt proces lever op til et aktuelt krav. Det betyder imidlertid ikke, at compliance er sikret permanent.
Krav kan ændre sig. Det samme kan virksomhedens produkter, organisation, leverandører, IT-systemer, medarbejdere og risici. En arbejdsgang, der fungerer i dag, kan derfor kræve justering senere.
Compliance i virksomheder kræver løbende opmærksomhed. Virksomheden skal blandt andet holde øje med relevante ændringer, kontrollere om processerne fungerer som forventet og reagere, når der opstår fejl eller afvigelser.
Eksempler på compliance i danske virksomheder
Mange, der søger svar på spørgsmålet “hvad er compliance?”, har især brug for konkrete eksempler fra virksomhedernes hverdag. De følgende situationer viser, hvordan forskellige typer krav kan omsættes til praktiske handlinger og opfølgning.
GDPR og persondata
En virksomhed, der behandler personoplysninger, skal have et lovligt grundlag for behandlingen og overholde de relevante databeskyttelsesregler.
Samtykke er ikke det eneste mulige behandlingsgrundlag. Det relevante grundlag afhænger af den konkrete behandling og de gældende regler. Datatilsynet beskriver flere mulige retlige grundlag for behandling af personoplysninger.
Læs Datatilsynets officielle vejledning om behandling af personoplysninger.
- hvorfor personoplysninger behandles
- hvem der har adgang til bestemte oplysninger
- hvordan oplysninger beskyttes
- hvordan henvendelser fra registrerede håndteres
- hvem der har ansvar for de relevante processer.
Dokumentation og opfølgning kan blandt andet omfatte beskrivelser af behandlinger, adgangsprocesser, ansvarsområder og registrering af relevante handlinger.
Whistleblowerordning
Arbejdspladser med 50 ansatte eller flere skal som udgangspunkt have en intern whistleblowerordning. Den Nationale Whistleblowerordning beskriver denne tærskel og de overordnede muligheder for indberetning.
I praksis skal virksomheden organisere en proces, hvor relevante indberetninger kan modtages og behandles. Det kræver klare ansvarsforhold og en forståelig proces for de personer, der kan bruge ordningen.
Dokumentation og opfølgning afhænger af den konkrete ordning og de krav, virksomheden er omfattet af.
Læs mere om en whistleblowerordning fra MasterQMS.
Arbejdsmiljø og APV
Alle arbejdspladser med ansatte skal gennemføre en arbejdspladsvurdering, APV. Arbejdstilsynet beskriver APV som en proces til systematisk at afdække arbejdsmiljøforhold og arbejde videre med identificerede problemer.
Læs mere hos Arbejdstilsynet om krav til APV.
I praksis undersøger virksomheden relevante forhold i det fysiske og psykiske arbejdsmiljø. Herefter skal problemer håndteres, ansvar placeres og relevante indsatser følges op.
Dokumentationen kan eksempelvis omfatte kortlægning, handlingsplaner, ansvarsfordeling og opfølgning på identificerede arbejdsmiljøproblemer.
ISO 9001 og kvalitetsledelse
ISO 9001 er en international standard for kvalitetsledelsessystemer. ISO beskriver standarden som en ramme med krav til at etablere, implementere, vedligeholde og løbende forbedre et kvalitetsledelsessystem.
I praksis kan en virksomhed blandt andet arbejde med:
- kvalitetsmål
- definerede processer
- tydeligt ansvar
- håndtering af afvigelser
- opfølgning på resultater
- løbende forbedringer.
Dokumentation og opfølgning skal understøtte virksomhedens konkrete ledelsessystem. Det kan for eksempel være dokumenterede processer, registreringer, opfølgning på afvigelser og vurdering af gennemførte forbedringstiltag.
ISO 27001 og informationssikkerhed
ISO 27001 er en standard for ledelse af informationssikkerhed. ISO beskriver ISO/IEC 27001 som en standard, der fastlægger krav til et ledelsessystem for informationssikkerhed.
I praksis kan en virksomhed identificere informationssikkerhedsrisici, vurdere dem og planlægge relevant risikobehandling.
Det kan blandt andet føre til sikkerhedskontroller inden for områder som adgangsstyring. De relevante kontroller skal ses i sammenhæng med organisationens kontekst, risici og behov – ikke som isolerede aktiviteter.
Dokumentationen kan blandt andet vise risikovurderinger, beslutninger om risikobehandling, ansvarsområder, relevante kontroller og opfølgning på hændelser eller identificerede svagheder.
Hvem har ansvaret for compliance?
En vigtig del af svaret på spørgsmålet “hvad er compliance?” handler om ansvar. Hvem skal sikre, at relevante krav bliver identificeret, omsat til handling og fulgt op?
Svaret afhænger af virksomhedens størrelse, branche, risikoprofil og organisering.
I nogle virksomheder koordinerer en complianceansvarlig eller Chief Compliance Officer arbejdet. Andre steder har kvalitetsansvarlige, QHSE-/HSEQ-medarbejdere, informationssikkerhedsansvarlige eller en CISO centrale roller.
På databeskyttelsesområdet kan en DPO have en særlig rolle, når virksomheden er omfattet af krav om at udpege en databeskyttelsesrådgiver.
Den centrale pointe er, at compliance ikke er én persons administrative opgave.
Ledelsen sætter retning, prioriterer ressourcer og placerer ansvar.
Fagansvarlige omsætter krav til relevante processer og kontroller.
Ledere og procesejere følger op på deres områder.
Medarbejderne efterlever de relevante krav og arbejdsgange i det daglige arbejde.
Et tydeligt complianceansvar betyder derfor ikke, at alle har de samme opgaver. Det betyder, at roller, beslutningskompetence og ansvar for opfølgning er klart placeret.
Hvad er non-compliance?
Non-compliance betyder manglende efterlevelse af et relevant krav.
Det kan eksempelvis være, at:
- en fastlagt procedure ikke bliver fulgt
- dokumentation mangler eller er forældet
- en registreret afvigelse ikke bliver fulgt op
- et relevant krav ikke bliver implementeret
- en aftalt kontrol ikke bliver udført
- ansvar for en opgave er uklart
- en proces fungerer anderledes i praksis end beskrevet.
Konsekvenserne afhænger af kravets karakter og situationens alvor.
Non-compliance kan blandt andet føre til driftsmæssige problemer, gentagne fejl, tab af kundetillid eller kontraktmæssige konsekvenser. Ved audit kan manglende efterlevelse føre til registrerede afvigelser og behov for korrigerende handlinger. Hvor lovgivning er involveret, afhænger mulige myndighedsreaktioner af det konkrete regelsæt og den konkrete sag.
Målet med compliancearbejde er ikke at skabe en forestilling om, at fejl aldrig kan opstå. Et velfungerende arbejde med efterlevelse skal også hjælpe virksomheden med at opdage problemer, forstå deres årsager og følge op på dem.
Compliance, ledelse og risikostyring – hvad er forskellen?
Compliance, ledelse og risikostyring hænger tæt sammen, men begreberne beskriver forskellige dele af virksomhedens styring.
Ledelse
Ledelse handler om, hvordan virksomheden ledes og styres. Det omfatter blandt andet placering af ansvar, beslutningskompetence, tilsyn og kontrol.
Risikostyring
Risikostyring handler om, hvordan virksomheden identificerer, vurderer, prioriterer og håndterer risici og usikkerheder.
Compliance
Compliance handler om at identificere relevante krav og arbejde systematisk med at efterleve og dokumentere dem.
Eksempel
En virksomhed identificerer et nyt krav, som påvirker en central proces.
Ledelse-strukturen afgør, hvem der ejer ansvaret og har mandat til at træffe beslutninger.
Arbejdet med risikostyring bidrager til at vurdere konsekvenserne ved manglende efterlevelse og prioritere den nødvendige indsats.
Compliancearbejdet omsætter derefter kravet til konkrete handlinger, ansvar, kontroller, dokumentation og opfølgning.
De tre områder overlapper altså, men de betyder ikke det samme.
Hvorfor er dokumentation vigtig for compliance?
Compliance kræver mere end en politik eller en regel i et dokument.
Der er forskel på:
- at have en regel
- at have en dokumenteret procedure
- at følge proceduren i praksis
- at kunne dokumentere, at relevante aktiviteter er gennemført
- at følge op, når noget ikke fungerer.
God dokumentation skaber sporbarhed. Virksomheden kan se, hvad der er besluttet, hvem der har et ansvar, hvilken version af et dokument der gælder, og om nødvendige aktiviteter er gennemført.
Samtidig er dokumentation kun værdifuld, når den hænger sammen med den faktiske praksis. En procedure, som ingen følger, skaber ikke i sig selv compliance.
Derfor hænger dokumentation tæt sammen med opfølgning. Afvigelser bør vurderes, og relevante korrigerende handlinger skal have et tydeligt ansvar. Herefter bør virksomheden følge op på, om handlingerne har løst problemet.
En intern audit kan være en relevant metode til systematisk at undersøge, om processer og arbejdsgange fungerer som beskrevet og efter de kriterier, auditten gennemføres op imod.
7 organisatoriske principper
Compliance fungerer bedst, når arbejdet bliver koblet til den daglige drift. Følgende principper kan skabe et godt udgangspunkt.
1. Skab overblik over relevante krav
Identificér de krav, der gælder for jeres virksomhed, aktiviteter og processer. Vurder samtidig, hvilke dele af organisationen de enkelte krav vedrører.
Et kravsoverblik har begrænset værdi, hvis ingen ved, hvordan kravene påvirker arbejdet i praksis.
2. Placér tydeligt ansvar
Det skal være klart, hvem der ejer et krav eller et område, hvem der udfører de konkrete handlinger, og hvem der følger op.
Uklart ansvar øger risikoen for, at nødvendige opgaver falder mellem flere organisatoriske områder.
3. Omsæt krav til forståelige arbejdsgange
Medarbejderne skal kunne forstå, hvad kravene betyder for deres konkrete arbejde.
En lovtekst, kontrakt eller standardtekst er sjældent en praktisk arbejdsinstruktion i sig selv. Krav skal derfor omsættes til arbejdsgange, der passer til organisationens virkelighed.
4. Hold dokumentationen opdateret og tilgængelig
Procedurer og instruktioner bør afspejle den aktuelle praksis.
Medarbejderne skal samtidig kunne finde den information, der er relevant for deres opgaver, så forældede eller parallelle versioner ikke skaber uklarhed.
5. Gør medarbejderne bekendt med deres ansvar
Information, oplæring og løbende kommunikation bør passe til medarbejdernes roller.
Ikke alle behøver kende alle virksomhedens krav. De skal derimod forstå de krav og arbejdsgange, som er relevante for deres egne opgaver.
6. Følg op på fejl, afvigelser og risici
Registrering af et problem er kun første skridt.
Virksomheden skal vurdere årsager, ansvar og behovet for handling. Derefter skal den følge op på, om den valgte handling har haft den ønskede effekt.
7. Gennemgå ændringer løbende
Nye regler er ikke den eneste årsag til at genbesøge compliancearbejdet.
Nye produkter, markeder, leverandører, medarbejdere, teknologier og processer kan også påvirke virksomhedens krav og risici.
Fra krav til praktisk efterlevelse
Svaret på spørgsmålet “hvad er compliance?” handler i sidste ende om mere end at kende reglerne. Compliance skal skabe sammenhæng mellem krav, ansvar, arbejdsgange, dokumentation og opfølgning.
Det kræver ikke, at compliance bliver en isoleret aktivitet ved siden af driften. Tværtimod bør relevante krav tænkes ind i de processer og beslutninger, som virksomheden allerede arbejder med.
Når compliance skal fungere i hverdagen, kræver det sammenhæng mellem krav, ansvar og opfølgning. Få professionel rådgivning til compliance og hør, hvordan vi hjælper jer i mål.
Ofte stillede spørgsmål om compliance
Hvad betyder compliance på dansk?
Compliance oversættes typisk til efterlevelse eller overholdelse. I virksomheder bruges begrebet om arbejdet med at identificere og efterleve relevante krav. Kravene kan eksempelvis komme fra lovgivning, myndigheder, standarder, kunder, kontrakter eller virksomhedens egne politikker.
Hvad betyder compliant?
At være compliant betyder, at man efterlever et bestemt krav eller et relevant sæt af krav. Begrebet bør ikke forstås som en permanent status. Krav og virksomhedens aktiviteter kan ændre sig, og derfor kræver fortsat efterlevelse løbende opfølgning.
Hvem er ansvarlig for compliance i en virksomhed?
Ledelsen har en central rolle i at sætte retning, prioritere ressourcer og placere ansvar. Det konkrete arbejde kan være fordelt mellem complianceansvarlige, kvalitetsfunktioner, QHSE/HSEQ, IT-sikkerhed, procesejere og ledere. Medarbejderne skal samtidig efterleve de krav og arbejdsgange, der gælder for deres opgaver.
Er compliance kun relevant for store virksomheder?
Nej. Virksomheder kan være omfattet af relevante krav uanset størrelse. Det konkrete kravsbillede og behovet for formalisering varierer dog. En mindre virksomhed kan have færre specialiserede roller, men skal stadig identificere og efterleve de krav, der gælder for dens aktiviteter.
Hvad er forskellen på compliance og ledelse?
Ledelse handler om virksomhedens overordnede styring, ansvar, beslutningsprocesser og kontrol. Compliance fokuserer på identifikation og efterlevelse af relevante krav. Ledelse skaber dermed en del af rammerne for ansvar og beslutninger, mens compliancearbejdet fokuserer på den konkrete efterlevelse.
Hvad er non-compliance?
Non-compliance er manglende efterlevelse af et relevant krav. Det kan være en procedure, der ikke følges, en kontrol, som ikke udføres, manglende dokumentation eller et krav, der ikke er blevet omsat til praksis. Konsekvenserne afhænger af kravets karakter og omfanget af den manglende efterlevelse.
Kan en virksomhed være compliant uden dokumentation?
Det afhænger af det konkrete krav. Nogle krav indeholder specifikke dokumentationsforpligtelser. I praksis er relevant dokumentation dog ofte vigtig for at skabe sporbarhed, følge op på aktiviteter og kunne vise, hvordan virksomheden arbejder med efterlevelse.
Hvordan håndterer systemet fejl eller afvigelser i hverdagen?
Når der sker fejl, oprettes de i MasterQMS’ afvigelsessystem. Systemet hjælper jer med at overvåge risici, så I hurtigt kan reagere. I kan opsætte konkrete handleplaner, lave risiko- og mulighedsvurderinger samt forbedringsforslag direkte i platformen. Det forebygger gentagelser og sikrer løbende forbedring af jeres compliance.
