Compliance betyder, at en virksomhed følger de regler og krav, der gælder for dens aktiviteter, og kan vise, hvordan ansvaret bliver håndteret. Svaret på spørgsmålet hvad er compliance handler derfor både om regler, arbejdsgange og dokumentation. Det er ikke nok at gemme politikker i en mappe, hvis medarbejderne ikke ved, hvordan de skal følge dem i det daglige.
En virksomhed skal ofte kunne forklare, hvem der udfører en opgave, hvem der godkender den, og hvor oplysninger om forløbet bliver gemt. Når de forhold er tænkt ind i arbejdsprocessen, bliver det tydeligt, hvordan regler bliver omsat til handling. Det gør det også muligt at opdage mangler og rette dem.
Fra regler til ansvar i den daglige arbejdsproces
Regler bliver først brugbare, når de hænger sammen med opgaver, roller og kontrol. Gennemgå derfor en arbejdsproces fra begyndelse til afslutning: Hvem opretter sagen, hvem behandler den, og hvem kontrollerer resultatet? Skriv ansvaret ind dér, hvor arbejdet foregår, frem for kun i et overordnet dokument.
For hver proces kan virksomheden beskrive, hvilke oplysninger der skal registreres, hvilke handlinger der kræver godkendelse, og hvordan fejl eller afvigelser skal håndteres. Hold beskrivelsen tæt på den måde, opgaven udføres på. Hvis medarbejderne skal skifte mellem mange systemer for at finde instrukser og dokumentation, bør virksomheden gennemgå arbejdsgangen.
En brugbar procesbeskrivelse svarer på nogle enkle spørgsmål: Hvad udløser opgaven? Hvem har ansvaret undervejs? Hvilke kontroller skal udføres? Hvor bliver resultatet dokumenteret? Når svarene er tydelige, kan virksomheden se, om en kontrol mangler, eller om flere roller udfører det samme arbejde.
Dokumentationen skal vise, hvad der er sket, og hvem der har haft ansvaret. Den kan omfatte godkendelser, ændringer, instrukser og registrering af afvigelser. Knyt materialet til den relevante proces, og sørg for, at medarbejderne ved, hvor den gældende version findes. Forældede instrukser skaber usikkerhed, selv når de oprindeligt dækkede behovet.
Brugeradministration, adgang og dokumentation
Adgang til systemer bør følge medarbejdernes opgaver. Brugeradministration hjælper virksomheden med at styre, hvem der kan se oplysninger eller udføre bestemte handlinger. Gennemgå derfor rollerne løbende, og kontrollér, om adgangen stadig svarer til medarbejderens ansvar.
En praktisk gennemgang kan kortlægge de systemer, der indgår i processen, de handlinger hver rolle kan udføre, og hvem der godkender ændringer i adgangen. Registrér også, hvordan adgangen bliver ændret, når en medarbejder skifter funktion eller ikke længere skal bruge et system. Dermed kan I se, hvordan brugeradministrationen understøtter sikkerhed og ansvarlig drift.
Skeln mellem adgang til at læse, ændre og godkende oplysninger. Hvis den samme rolle kan udføre alle trin, bør virksomheden vurdere, om processen kræver en ekstra kontrol. Målet er ikke flest mulige godkendelser, men kontrol dér, hvor en fejl eller uautoriseret ændring kan få følger.
Digitale arbejdsprocesser kan samle instrukser, opgaver og registreringer i ét sammenhængende forløb. BizPerformer digitaliserer og understøtter virksomheders arbejdsprocesser, med og uden AI, og tilbyder brugeradministration. Virksomheden tilbyder også platform hosting, support og sparring. BizPerformer Cloud og InfoBridge er blandt virksomhedens platforme, og InfoBridge tilbyder dokumentation og compliance for virksomheder med høje krav.
Hvad er NIS2, og hvordan indgår det i arbejdet?
Hvad er NIS2? Det er EU-regler om cybersikkerhed, som stiller krav til berørte organisationers håndtering af sikkerhed og hændelser. Om reglerne gælder for en bestemt virksomhed, afhænger af dens forhold og aktiviteter. Virksomheden bør derfor undersøge, hvilke krav der gælder for den, frem for at antage, at alle virksomheder er omfattet på samme måde.
Uanset om NIS2 gælder direkte, er det nyttigt at kunne beskrive, hvordan virksomheden styrer adgang, håndterer hændelser og følger op på risici. Knyt opgaverne til tydelige roller, og sørg for, at instrukser og registreringer kan findes af de medarbejdere, der skal bruge dem. En proces bør også vise, hvem der modtager en melding, og hvem der beslutter næste skridt.
Gennemgå især de dele af driften, hvor systemer, leverandører eller følsomme oplysninger indgår. Notér, hvilke afhængigheder der findes, hvordan ændringer bliver godkendt, og hvor hændelser registreres. Hvis dokumentationen ikke viser, hvem der handler, eller hvornår en sag skal føres videre, bør arbejdsgangen beskrives tydeligere.
BizPerformer tilbyder digitalisering af arbejdsprocesser med og uden AI og bygger løsninger i faser, afstemt med virksomhedens forretning fra start. Virksomheden tilbyder også AI-workshop for ledelsen, AI-rådgivning og teknologirådgivning. Det giver mulighed for at gennemgå én proces ad gangen og se på, om ansvar, adgang og dokumentation fungerer i den daglige drift. InfoBridge tilbyder dokumentation og compliance for virksomheder med høje krav. Når ansvar, adgang og dokumentation skal gennemgås, beskriver bizperformer.com BizPerformers løsninger til arbejdsprocesser, AI og compliance.
Interne opgaver eller outsourcing?
Spørgsmålet hvad er outsourcing handler om at lade en ekstern leverandør udføre opgaver, som virksomheden ellers selv kunne håndtere. Det kan gælde teknisk drift, support eller dele af dokumentationsarbejdet. Outsourcing fjerner ikke virksomhedens ansvar for at kende sine processer og følge op på, hvordan opgaverne bliver løst.
Vurdér, hvilke opgaver kræver indgående kendskab til virksomhedens egne beslutninger, kunder eller risici. De opgaver kan kræve tæt intern styring, også selv om dele af arbejdet lægges ud. Beskriv derefter, hvilke leverancer virksomheden forventer fra leverandøren, hvem der kontrollerer dem, og hvordan fejl bliver meldt og håndteret.
Se også på adgangen til oplysninger, ejerskabet til dokumentation og mulighederne for at fortsætte driften, hvis samarbejdet ændres. Aftaler bør gøre det klart, hvem der vedligeholder instrukser, hvor registreringer opbevares, og hvordan virksomheden får adgang til dem. Uden de svar kan en ellers velfungerende service skabe huller i overblikket.
Internt arbejde giver virksomheden tættere kontrol over beslutninger og prioriteringer, mens ekstern hjælp kan tilføre tekniske kompetencer eller driftsstøtte. Gennemgå opgaverne enkeltvis: Hvilken viden kræver de? Hvem skal godkende resultatet? Hvilken dokumentation skal virksomheden selv kunne fremvise? Det synliggør ansvarsfordelingen, uanset hvem der udfører arbejdet.
En praktisk gennemgang af virksomhedens compliance
Brug den samme proces til at teste, om compliance er en del af driften. Følg et arbejdsforløb gennem instrukser, adgang, godkendelser og dokumentation. Kan medarbejderen finde de gældende anvisninger? Er det tydeligt, hvem der ejer opgaven? Bliver kontrollen registreret, så virksomheden kan følge op?
Se efter, om oplysninger bliver indsamlet flere steder, om ansvaret skifter uklart mellem roller, eller om godkendelser sker uden registrering. Tal med medarbejderne, der udfører opgaven, og sammenhold deres arbejdsgang med den skriftlige proces. Forskelle mellem de to viser, hvad virksomheden bør rette først.
Virksomheden bør fastlægge, hvem der ejer hver proces, hvordan ændringer bliver godkendt, og hvornår instrukser skal gennemgås. Knyt gennemgangen til ændringer i systemer, roller eller krav, så dokumentationen følger med, når arbejdet ændrer sig. En fast ansvarlig gør opfølgningen til en del af driften.
For en introduktion til begrebet kan virksomheden besøge BizPerformers ordbog om compliance. Brug siden som startpunkt, og undersøg derefter, hvordan regler og ansvar hænger sammen i virksomhedens egne processer. Spørgsmålet hvad er compliance får først et praktisk svar, når medarbejderne kan udføre opgaverne, og virksomheden kan vise, hvordan arbejdet bliver styret.
Som afsluttende kontrol bør ledelsen kunne pege på procesansvarlige, aktuelle instrukser, passende adgangsroller og en tydelig vej til at registrere afvigelser. Kontrollér, at dokumentationen kan findes uden at være afhængig af én bestemt medarbejder, og at leverandøropgaver har en intern ejer. Hvis et svar mangler, skal virksomheden rette arbejdsgangen og kontrollere, at ændringen fungerer i praksis.