Miten compliance-riski lasketaan ja mitataan: pohjoismainen menetelmä

Miten compliance-riski lasketaan ja mitataan: pohjoismainen menetelmä

Useimmat compliance-riskiarviot ovat kerran tuotettu, arkistoitu eikä koskaan uudelleen katsottu lämpökartta. Värit määritettiin työpajassa niiden ihmisten toimesta, jotka sattuivat olemaan huoneessa, pisteytyslogiikka ei asu kenenkään päässä, ja kun valvoja kysyy, miksi tietty ryhmä jätettiin koulutuksen ulkopuolelle, vastaus on olankohautus.

Tämä opas esittelee menetelmän, joka tuottaa luvun, jonka voi jäljittää, rekisterin, jonka voi puolustaa, ja luettelon asioista, jotka päätitte olla tekemättä. Se on Datafisherin compliance-riskilaskurin taustalla oleva menetelmä, ja se toimii paperilla aivan yhtä hyvin.

Mitä compliance-riski todella on

Compliance-riski on riski siitä, että organisaatio ei täytä siihen sovellettavaa oikeudellista tai sopimuksellista velvoitetta ja että kontrolli ei havaitse laiminlyöntiä ennen kuin se aiheuttaa vahinkoa.

Jokainen tuon lauseen osa tekee työtä. Velvoite, joka ei koske teitä, ei ole riski, olipa toimittaja siitä kuinka äänekkäästi toista mieltä. Laiminlyönti, jonka toimiva kontrolli havaitsee ennen vahinkoa, on läheltä piti -tilanne, ja järjestelmä, joka tuottaa läheltä piti -tilanteita, tekee tehtävänsä. Se, mitä mittaatte, on kuilu sen välillä, mitä teidän on tehtävä, ja sen, mitä voitte osoittaa todella tekevänne.

Tämä kehys kertoo myös, millainen tuotoksen tulisi olla. Ei väri. Lausuma, velvoitteittain ja yksiköittäin, siitä, kuinka todennäköinen laiminlyönti on, kuinka paha se olisi, kuinka suuri osa siitä on jo hallinnassa, ja soveltuuko velvoite lainkaan.

Kaava

Luontainen riski = Todennäköisyys × Vaikutus
Jäännösriski = Luontainen riski × (1 − Kontrollin tehokkuus)
Prioriteettipisteet = Jäännösriski × Soveltuvuuspaino
Todennäköisyys ja vaikutus pisteytetään 1–5. Kontrollin tehokkuus on 0–0,8. Soveltuvuus on 1,0, 0,7 tai 0. Tulos on pistemäärä 0–25.

Tämä on jäännösriskimalli, ja valinnalla on merkitystä. Luontainen riski yksin kertoo, missä velvoite purisi, jos ette olisi tehneet mitään. Jäännösriski kertoo, missä se puree edelleen ottaen huomioon, mitä olette tehneet. Ohjelmalla, joka on kouluttanut hankinnan perusteellisesti kilpailuoikeudesta eikä ole koskaan maininnut sitä myynnille, on hyvin erilainen jäännösprofiili kuin päinvastoin toimineella, vaikka luontainen riski on sama.

Hyvän pisteytysmallin testi ei ole hienostuneisuus. Se on, että jokainen sivun luku voidaan jäljittää johonkin vastaukseen, jonka joku antoi, ja että kaksi ihmistä, jotka pisteyttävät saman yksikön samoista tosiasioista, päätyvät suunnilleen samaan tulokseen.

Analyysiyksikkö on yksikkö, ei konserni

Pohjoismainen konserni ei ole compliance-tarkoituksissa yksi organisaatio. Se on useita, eri maissa, eri kynnysarvojen ja eri valvojien alaisina. Ilmoittamisen menettelytavat vaaditaan viidestä työntekijästä Norjassa ja viidestäkymmenestä Suomessa, Ruotsissa ja Tanskassa. NIS2:n johtoelimen koulutusvelvoite on nimenomaisesti lakisääteinen Ruotsissa ja asettuu eri tavoin Suomessa. Suomalaisilla yksiköillä on GDPR:n päällä laki yksityisyyden suojasta työelämässä. Ruotsalaisilla yksiköillä on AFS 2023:2:n mukainen nimenomainen velvoite, että esihenkilöt osaavat ehkäistä ja käsitellä kränkande särbehandlingia.

Arviointi tehdään siis velvoitealueittain ja yksiköittäin. Saman konsernin kolmenkymmenen hengen norjalainen ja kolmenkymmenen hengen suomalainen tytäryhtiö saavat eri ilmoittajansuojelupisteet, koska toisella on lakisääteinen velvoite ja toisella ei.

Kun kokoatte konsernitasolle, käyttäkää yksiköiden maksimia, ette keskiarvoa. Keskiarvo kätkee sen yksikön, joka todella tarkastetaan. Heikoin yksikkö määrittää konsernin riskin, koska siellä sääntelijä seisoo.

Todennäköisyys: pisteytä toiminnan, ei tehtävänimikkeen mukaan

Todennäköisyys on kohta, jossa useimmat arvioinnit menevät pieleen, koska ne kysyvät, kenellä on mikäkin nimike. Pohjoismaiset organisaatiot ovat matalia, toimenkuvat laajoja, ja yksi henkilö neljänkymmenen hengen tytäryhtiössä voi asettaa hintoja, jättää tarjouksia ja hyväksyä maksuja samalla viikolla. Nimike kertoo täällä paljon vähemmän riskistä kuin hierarkkisessa rakenteessa.

Kysykää sen sijaan, kuinka moni hoitaa kutakin riskialtista toimintoa, luokittain. Toiminnot, jotka ajavat suurinta osaa compliance-riskistä, ovat lyhyt lista.

Kilpailu. Hintojen asettaminen, toimialajärjestöjen foorumeihin osallistuminen, kilpailijoiden entisten työntekijöiden palkkaaminen, julkisten tarjousten valmistelu.

Lahjonnan torjunta. Julkisen sektorin myynti, agenttien tai välittäjien käyttö, maksujen hyväksyminen, vieraanvaraisuus.

Tietosuoja. Rekrytointi, terveystietojen käsittely, työntekijöiden valvonta, asiakkaiden tietopyyntöihin vastaaminen.

Tietoturva. Maksujen hyväksyminen tai toimittajien pankkitietojen muuttaminen, tuntemattomien lähettäjien liitteiden avaaminen osana työtä, ylläpito-oikeuksien hallussapito.

Tekoälylukutaito. Tekoälytyökalujen käyttö työssä, mukaan lukien olemassa olevien ohjelmistojen ominaisuudet, tekoälykomponentteja sisältävien järjestelmien valinta tai konfigurointi. Jos rehellinen vastaus on ”emme tiedä, kuka käyttää mitä”, pisteyttäkää se kaikkina.

Kestävyys. Ympäristöväittämien esittäminen markkinoinnissa, myynnissä tai tarjouksissa; kestävyys- tai talousraportteihin päätyvien lukujen tuottaminen.

Aloittakaa jokainen alue perustodennäköisyydestä 2. Lisätkää puoli pistettä jokaisesta toimintoluokasta nollan yläpuolella, enintään kaksi pistettä. Lisätkää piste maakohtaisista vahvistimista, toimialajärjestöjäsenyydestä kilpailualueella, julkisesta tarjoamisesta ja tekoälyn käytöstä ilman inventaariota. Lisätkää piste mistä tahansa poikkeamasta, valituksesta tai viranomaisyhteydestä viimeisten kahdenkymmenenneljän kuukauden aikana. Katto 5.

Tulos on todennäköisyyspistemäärä, joka nousee sen mukaan, mitä ihmiset todella tekevät, ja muuttuu, kun organisaatio muuttuu, mitä nimikepohjainen pistemäärä ei koskaan tee.

Vaikutus: kiinteä velvoitteittain, säädetty riskin mukaan

Vaikutus on todennäköisyyttä vakaampi, koska se on enimmäkseen lain eikä organisaationne ominaisuus. Kilpailu- ja lahjontarikkomukset ovat asteikon huipulla: sakot jopa kymmenen prosenttia liikevaihdosta, rikosoikeudellinen vastuu yksilöille joissakin järjestelmissä, jälkikäteiset vahingonkorvaukset, liiketoimintakiellot Ruotsissa. Tietosuoja ja NIS2 ovat aivan sen alapuolella, hallinnollisin seuraamusmaksuin ja NIS2:n osalta mahdollisella väliaikaisella kiellolla toimia johtotehtävissä. Ilmoittajansuojelu ja työpaikkakäyttäytyminen ovat keskivaiheilla. Tekoälylukutaito on alempana, koska 4 artiklan velvoitteella ei ole omaa seuraamustasoa, mutta nousee jyrkästi, jos organisaatio ottaa tekoälyä käyttöön missään rekrytoinnin, luoton, suorituksen tai palvelujen saatavuuden päätösten lähellä, koska se on liitteen III aluetta ja joulukuun 2027 päivämäärä on lähempänä kuin miltä näyttää.

Velvoitealue Perusvaikutus Nosta yhdellä, kun
Kilpailuoikeus 5 Jo maksimissa
Lahjonnan ja korruption torjunta 5 Jo maksimissa
GDPR ja työntekijätiedot 4 Erityisiä henkilötietoryhmiä laajasti; suomalainen yksikkö (työelämän yksityisyydensuojakerros)
Tietoturvatietoisuus / NIS2 4 Soveltamisalaan kuuluva keskeinen toimija; vähintään kuusi henkilöä hyväksyy maksuja
Ilmoittajansuojelu 3 Vähintään 250 työntekijää; poikkeama viimeisten 24 kuukauden aikana
Työpaikkakäyttäytyminen 3 Ruotsalainen yksikkö kouluttamattomilla esihenkilöillä
Kestävyys ja ympäristöväittämät 3 Kuluttajille suunnatut väittämät; toimittaja soveltamisalaan kuuluvalle konsernille
Tekoälylukutaito 2 Tekoälyä rekrytointi-, luotto-, suoritus- tai saatavuuspäätöksissä

Vastustakaa kiusausta mallintaa vaikutus euroissa. Sakkojen mallintaminen tuottaa näennäistarkkuutta, houkuttelee kiistelemään luvusta riskin sijaan ja vie huomion siitä, että maine- ja sopimusseuraukset saapuvat yleensä ennen mitään sakkoa. Luokat riittävät.

Kontrollit: kolme kysymystä, ja miksi ”en tiedä” pisteytetään ei-vastauksena

Kontrollin tehokkuus on se kohta, jossa arviointi kytkeytyy koulutusohjelmaan, ja se on arvioitava samalla tavalla jokaiselle velvoitealueelle, jotta tulokset ovat vertailukelpoisia. Kolme kysymystä riittää.

Onko se olemassa? Onko ohje, kanava, menettely? Kyllä antaa 0,3, osittain 0,15, ei antaa 0.

Onko ihmiset koulutettu? Onko asianomainen populaatio saanut koulutuksen viimeisten kahdentoista kuukauden aikana? Kaikki antaa 0,3, osa 0,15, ei kukaan tai en tiedä 0.

Onko se omistettu ja todennettu? Onko nimetty omistaja, ja voisitteko tuottaa tietueen tietystä henkilöstä pyydettäessä? Kyllä antaa 0,2, ei antaa 0.

Maksimi on 0,8, tarkoituksella. Kontrolli ei koskaan poista riskiä kokonaan, ja malli, joka antaa organisaation pisteyttää itsensä nollaan, tuottaa juuri sen omahyväisyyden, jonka estämiseksi arviointi on olemassa.

”En tiedä” pisteytetään ei-vastauksena kauttaaltaan. Kontrolli, jota ette voi todentaa, ei ole kontrolli, jonka valvoja tunnistaa. Jos ette tiedä, onko ruotsalaiset esihenkilönne koulutettu kränkande särbehandlingista, arvioinnin kannalta heitä ei ole koulutettu, ja sen selvittäminen on ensimmäinen tehtävänne.

Huomatkaa, mitä kolmas kysymys tekee. Se erottaa organisaatiot, jotka järjestivät kurssin, organisaatioista, jotka voivat todistaa, kuka sen suoritti. Ero on näkymätön suorituskojelaudassa ja ratkaiseva tarkastuksessa.

Soveltuvuus: pakollinen, sopimuksellinen tai ei sovellu

Viimeinen kerroin on se, koskeeko velvoite tätä yksikköä lainkaan, ja sillä on kolme arvoa kahden sijaan.

Pakollinen, paino 1,0. Lakisääteinen velvoite koskee tätä yksikköä: se on ilmoittajansuojelun kynnysarvon yläpuolella, se on NIS2-toimialalla asiaankuuluvassa koossa, se ottaa käyttöön tekoälyjärjestelmän, se on tarkistettujen CSRD-kynnysarvojen yläpuolella.

Sopimuksellinen, paino 0,7. Ei lakisääteistä velvoitetta, mutta velvoite saapuu silti: soveltamisalaan kuuluvien asiakkaiden toimitusketjuehtojen, tietoturvakyselyiden, rahoittajien kriteerien ja julkisten hankintojen vertailuperusteiden kautta. Useimmat pohjoismaiset keskisuuret yritykset ovat tässä NIS2:n ja kestävyyden osalta. Paino on alle 1,0, koska laiminlyönnin seuraus on kaupallinen eikä sääntelyllinen, ja yli 0,5, koska tarjouskilpailun häviäminen on silti tappio.

Ei sovellu, paino 0. Kynnysarvon alapuolella, toimialan ulkopuolella, ei tällaista toimintaa. Pistemäärä on nolla, mutta rivi jää rekisteriin perusteluineen, mikä on alla olevan osion aihe.

Pisteiden tulkinta

Luokka Pisteet Mitä se tarkoittaa
Kriittinen 15–25 Lakisääteinen velvoite, korkea riski, vähän tai ei lainkaan todennettua kontrollia. Toimi tällä vuosineljänneksellä.
Korkea 9–14,9 Olennainen aukko. Suunnittele vuoden sisällä.
Kohtalainen 4–8,9 Osittain katettu. Ylläpidä ja dokumentoi.
Matala 0,1–3,9 Oikeasuhtaista jättää ohueksi. Kirjaa päätös.
Ei sovellu 0 Kirjaa miksi.

Kahden järkevyyssäännön tulisi päteä syötteistä riippumatta. Yhdenkään yksikön, jolla on pakollinen velvoite ja jokainen kontrolli ”ei”-tilassa, ei tulisi jäädä Korkean alapuolelle. Yhdenkään yksikön, jolla jokainen kontrolli on ”kyllä”-tilassa, ei tulisi nousta Kohtalaisen yläpuolelle, ellei poikkeamaa ole ollut. Jos jompikumpi sääntö rikkoutuu, painoja on säädettävä, ei kaavaa.

Liittäkää koko arviointiin luottamusluokitus: ”en tiedä” -vastausten määrä. Matalalla luottamuksella Kriittiseksi pisteytetty yksikkö kertoo eri asiaa kuin korkealla luottamuksella Kriittiseksi pisteytetty. Ensimmäinen tarvitsee tosiasioita ennen kuin se tarvitsee koulutusta.

Käytännön esimerkki

Ruotsalainen valmistava tytäryhtiö, 300 työntekijää, kilpailuoikeus

Todennäköisyys. Perus 2. Kuudesta kahteenkymmeneen henkilöä asettaa hintoja ja osallistuu toimialafoorumeihin, lisäksi yhdestä viiteen valmistelee julkisia tarjouksia: kaksi toimintoluokkaa, +1. Johto istuu toimialajärjestön hallituksessa: +1. Säännöllinen julkinen tarjoaminen: +1. Katto tulee vastaan. Todennäköisyys 5.

Vaikutus. Kilpailuoikeus, perus 5.

Luontainen riski 5 × 5 = 25.

Kontrollit. Kilpailuohje on olemassa, 0,3. Myynti koulutettiin kolme vuotta sitten, ei mitään sen jälkeen: ei ketään kahdentoista kuukauden aikana, 0. Nimettyä omistajaa tai henkilökohtaisia tietueita ei ole: 0. Kontrollin tehokkuus 0,3.

Jäännösriski 25 × (1 − 0,3) = 17,5.

Soveltuvuus. Lakisääteinen, paino 1,0.

Prioriteettipisteet 17,5. Kriittinen. Raportin lause kirjoittaa itsensä: kilpailuoikeus on Kriittinen ruotsalaiselle yksikölle, koska kuudesta kahteenkymmeneen henkilöä asettaa hintoja ja osallistuu toimialajärjestöjen foorumeihin, yhtiö tarjoaa julkisesti, eikä ketään ole koulutettu viimeisten kahdentoista kuukauden aikana. Ensimmäinen toimenpide on skenaariopohjainen moduuli myynnille ja johdolle sekä nimetty omistaja, ei konserninlaajuinen tietoisuuskurssi.

Ajakaa sama yksikkö ilmoittajansuojelun läpi, ja vastaus on erilainen: 300 työntekijää, lakisääteinen velvoite, kanava olemassa, henkilöstö koulutettu viime vuonna, omistaja nimetty ja tietueet vietävissä. Todennäköisyys 3, vaikutus 4, kontrolli 0,8, soveltuvuus 1,0. Pisteet 2,4. Matala. Ylläpidä ja dokumentoi. Ohjelman vaivannäkö menee sinne, minne luku sanoo, ei sinne, mihin viimeisin toimittajakeskustelu osoitti.

Rekisteri siitä, mitä päätitte olla tekemättä

Tämä on tuotos, jolla on eniten merkitystä, ja se, jota lähes mikään arviointi ei tuota.

Riskiperusteiset ohjelmat ovat puolustettavissa, mutta vain silloin, kun kielteiset päätökset on dokumentoitu. Riski ei koskaan ole se koulutus, jonka toimititte; se on se ryhmä, jonka päätitte jättää pois ettekä pysty selittämään. Valvoja, joka huomaa, ettei tanskalainen myyntikonttorinne saanut ilmoittajansuojelukoulutusta, hyväksyy vastauksen ”kuusi työntekijää, kynnysarvon alapuolella, päätös kirjattu tänä päivänä” eikä hyväksy hiljaisuutta.

Joten jokainen rivi, jonka soveltuvuus on nolla, ja jokainen rivi, jonka tietoisesti jätätte Matalaksi, menee rekisteriin kolmella kentällä: velvoite, yksikkö ja päivätty perustelu. Kun perustelu on kynnysarvo, nimetkää se. Kun perustelu on oikeasuhtaisuus, kertokaa, mikä jäännösriski oli ja kuka sen hyväksyi.

Säilyttäkää rekisteri arvioinnin kanssa, versioikaa molemmat ja arvioikaa molemmat samalla syklillä. Vuonna 2025 tehty kielteinen päätös NIS2:n soveltamisalasta ei välttämättä kestä vuotta 2026, ja alkuperäisten kynnysarvojen mukaan tehty CSRD-päätös on tehtävä uudelleen omnibuksen kynnysarvoilla.

Laskeeko riski todella: mittaaminen

Pistemäärä on tilannekuva. Se, laskeeko riski, on trendi, ja se tarvitsee pienen joukon indikaattoreita, jotka liikkuvat, kun käyttäytyminen liikkuu.

Jäännöspisteet alueittain ja yksiköittäin, vuosineljännes vuosineljännekseltä. Suora mittari. Laskevien pisteiden tulisi selittyä lisätyillä kontrolleilla, ei optimistisemmiksi muuttuneilla vastauksilla.

Kontrollikattavuus. Riskialttiiden ihmisten osuus, toiminnoittain, koulutettuna kahdentoista kuukauden sisällä ja nimeltä todennettuna. Tämä on luku, joka yhdistää arvioinnin LMS-vientiin.

Luottamus. ”En tiedä” -vastausten määrä. Sen tulisi laskea nollaan ensimmäisen vuoden aikana ja pysyä siellä.

Käyttäytymisen välilliset mittarit. Ilmoitukset ilmoituskanavan kautta, ennakkohyväksyntäpyynnöt lakiosastolle, kysymykset compliance-sähköpostiin, ilmoitetut epäilyttävät viestit ja niiden ilmoitusaika. Nousevat luvut ovat yleensä hyviä uutisia, ja ne tulisi kehystää hallitukselle sellaisina ennen lukujen saapumista.

Aika todisteisiin. Kuinka kauan yhdeltä henkilöltä kestää tuottaa tarkastuspaketti yhdelle yksikölle yhdeltä vuodelta. Mitatkaa se kerran vuosineljänneksessä tekemällä se todella. Jos vastaus on enemmän kuin yksi iltapäivä, todistekontrolli ei ole 0,2:ssa, sanoipa kyselylomake mitä tahansa.

Arvioikaa koko arviointi vähintään vuosittain ja lisäksi, kun riskikuva muuttuu, poikkeama tapahtuu tai olennainen sääntelymuutos tulee voimaan. 2026 on tuonut kolme sellaista tekoälyssä, kyberissä ja kestävyydessä. Ennen mitään niistä päivätty arviointi kuvaa eri organisaatiota.

Usein kysytyt kysymykset

Miten compliance-riski lasketaan?

Todennäköisyys kertaa vaikutus antaa luontaisen riskin. Kerrotaan yhdellä miinus kontrollin tehokkuus jäännösriskiä varten, sitten soveltuvuuspainolla. Jokainen tekijä tulee vastauksista siitä, mitä organisaatio todella tekee, mitä kontrolleja on olemassa ja voidaan todentaa, ja soveltuuko velvoite kyseiseen yksikköön.

Mikä on luontaisen ja jäännösriskin ero compliancessa?

Luontainen riski on altistus, jos mitään ei olisi tehty. Jäännösriski on altistus, kun olemassa olevat kontrollit otetaan huomioon. Ohjelmat tulisi priorisoida jäännösriskin perusteella, koska siellä aukko on.

Miksi pisteyttää toiminnan eikä tehtävänimikkeen mukaan?

Pohjoismaiset organisaatiot ovat matalia ja roolit laajoja. Se, mitä henkilö tekee, ennustaa riskiä; se, miksi häntä kutsutaan, ei. Kysymällä, kuinka moni hoitaa kutakin riskialtista toimintoa, saadaan pistemäärä, joka muuttuu, kun organisaatio muuttuu.

Miksi ”en tiedä” pisteytetään ei-vastauksena?

Koska kontrolli, jota ei voi todentaa, ei ole sellainen, jonka valvoja tunnistaa. Tuntemattomista tulee ensimmäinen tehtävä eikä syy pehmeämpään pistemäärään.

Miksi konsernin pistemäärä käyttää korkeinta yksikköä eikä keskiarvoa?

Sääntelijät valvovat yksiköitä, eivät konserneja. Heikoin yksikkö määrittää konsernin riskin, ja keskiarvo kätkee sen.

Mikä on compliance-riskimatriisi?

Ruudukko todennäköisyydestä vaikutusta vastaan, yleensä viisi kertaa viisi. Se on hyödyllinen esitystapa ja huono menetelmä yksinään, koska se jättää pois kontrollit ja soveltuvuuden. Käyttäkää sitä jäännöspisteiden näyttämiseen, ei niiden tuottamiseen.

Kuinka usein compliance-riskiarvio tulisi toistaa?

Vähintään vuosittain, ja aina kun riskikuva muuttuu, poikkeama tapahtuu tai olennainen sääntelymuutos tulee voimaan. Versioikaa jokainen arviointi ja säilyttäkää aiemmat.

Onko riskipistemäärä oikeudellista neuvontaa?

Ei. Se on jäsennelty, päivätty arvio, joka perustuu julkaistuihin kynnysarvoihin ja velvoitteisiin ja on suunniteltu lakiasiantuntijan tarkistettavaksi ja antamaan puolustettava lähtökohta mielipiteen sijaan.