Hur man beräknar och mäter compliancerisk: en nordisk metod

Hur man beräknar och mäter compliancerisk: en nordisk metod

De flesta compliance-riskbedömningar är en heatmap som tas fram en gång, arkiveras och aldrig tittas på igen. Färgerna sattes i en workshop av de personer som råkade vara i rummet, poänglogiken finns inte i någons huvud, och när en tillsynsmyndighet frågar varför en viss grupp lämnades utanför utbildningen är svaret en axelryckning.

Den här guiden beskriver en metod som ger en siffra du kan spåra, ett register du kan försvara och en lista över det ni beslutade att inte göra. Det är metoden bakom Datafishers compliance-riskkalkylator, och den fungerar lika bra på papper.

Vad compliancerisk faktiskt är

Compliancerisk är risken att organisationen inte uppfyller en rättslig eller avtalsmässig skyldighet som gäller den, och att bristen inte fångas upp av en kontroll innan den orsakar skada.

Varje led i den meningen gör ett jobb. En skyldighet som inte gäller er är inte en risk, hur högljutt en leverantör än hävdar motsatsen. En brist som fångas av en fungerande kontroll innan skada uppstår är ett tillbud, och ett system som producerar tillbud gör sitt jobb. Det ni mäter är gapet mellan vad ni måste göra och vad ni kan visa att ni faktiskt gör.

Den inramningen säger också hur resultatet bör se ut. Inte en färg. Ett uttalande, per skyldighet och per enhet, om hur sannolik en brist är, hur illa den skulle vara, hur mycket av det som redan är under kontroll, och om skyldigheten över huvud taget gäller.

Formeln

Inneboende risk = Sannolikhet × Konsekvens
Kvarvarande risk = Inneboende risk × (1 − Kontrolleffektivitet)
Prioritetspoäng = Kvarvarande risk × Tillämplighetsvikt
Sannolikhet och konsekvens poängsätts 1 till 5. Kontrolleffektivitet går från 0 till 0,8. Tillämplighet är 1,0, 0,7 eller 0. Resultatet är en poäng från 0 till 25.

Det här är en modell för kvarvarande risk, och valet spelar roll. Inneboende risk på egen hand säger var en skyldighet skulle bita om ni inte gjort något. Kvarvarande risk säger var den fortfarande biter med hänsyn till vad ni har gjort. Ett program som utbildat inköp grundligt i konkurrensrätt och aldrig nämnt den för sälj har en helt annan kvarvarande profil än ett som gjort tvärtom, trots att den inneboende risken är densamma.

Testet på en bra poängmodell är inte sofistikering. Det är att varje siffra på sidan kan spåras tillbaka till ett svar någon gav, och att två personer som poängsätter samma enhet utifrån samma fakta hamnar på ungefär samma resultat.

Analysenheten är enheten, inte koncernen

En nordisk koncern är inte en organisation i compliancehänseende. Den är flera, i olika länder, under olika trösklar och olika tillsynsmyndigheter. Rutiner för visselblåsning krävs från fem anställda i Norge och från femtio i Finland, Sverige och Danmark. NIS2:s utbildningsskyldighet för ledningsorganet är uttryckligen lagstadgad i Sverige och ligger annorlunda i Finland. Finländska enheter har lagen om integritetsskydd i arbetslivet ovanpå GDPR. Svenska enheter har en uttrycklig skyldighet enligt AFS 2023:2 att chefer vet hur de förebygger och hanterar kränkande särbehandling.

Bedömningen görs alltså per skyldighetsområde per enhet. Ett norskt dotterbolag med trettio anställda och ett finländskt dotterbolag med trettio anställda i samma koncern får olika visselblåsarpoäng eftersom det ena har en lagstadgad skyldighet och det andra inte.

När ni aggregerar till koncernnivå, använd maximum över enheterna, inte genomsnittet. Genomsnitt döljer den enhet som faktiskt kommer att inspekteras. Den svagaste enheten definierar koncernens exponering, för det är där tillsynsmyndigheten kommer att stå.

Sannolikhet: poängsätt efter aktivitet, inte jobbtitel

Sannolikhet är där de flesta bedömningar går fel, eftersom de frågar vem som har vilken titel. Nordiska organisationer är platta, befattningarna breda, och en enda person i ett dotterbolag med fyrtio anställda kan sätta priser, lämna anbud och godkänna betalningar samma vecka. En titel säger mycket mindre om exponering här än i en hierarkisk struktur.

Fråga i stället hur många personer som utför varje exponerad aktivitet, i intervall. De aktiviteter som driver det mesta av compliancerisken är en kort lista.

Konkurrens. Prissättning, deltagande i branschorganisationers forum, anställning av konkurrenters tidigare medarbetare, förberedelse av offentliga anbud.

Antikorruption. Försäljning till offentlig sektor, användning av agenter eller mellanhänder, godkännande av betalningar, representation.

Dataskydd. Rekrytering, hantering av hälsouppgifter, övervakning av anställda, besvarande av kunders begäran om registerutdrag.

Säkerhet. Godkännande av betalningar eller ändring av leverantörers bankuppgifter, öppnande av bilagor från okända avsändare som del av jobbet, innehav av administrativ åtkomst.

AI-kunskap. Användning av AI-verktyg på jobbet inklusive funktioner inbyggda i befintlig programvara, val eller konfigurering av system med AI-komponenter. Om det ärliga svaret är ”vi vet inte vem som använder vad”, poängsätt det som alla.

Hållbarhet. Miljöpåståenden i marknadsföring, försäljning eller anbud; framtagning av siffror som hamnar i hållbarhets- eller finansiella rapporter.

Börja varje område på en grundsannolikhet på 2. Lägg till en halv poäng för varje aktivitetsintervall över noll, med tak på två poäng. Lägg till en poäng för landsspecifika förstärkare, för medlemskap i branschorganisation inom konkurrensområdet, för offentlig anbudsgivning och för AI i bruk utan inventering. Lägg till en poäng för varje incident, klagomål eller myndighetskontakt under de senaste tjugofyra månaderna. Tak på 5.

Resultatet är en sannolikhetspoäng som stiger med vad människor faktiskt gör, och som ändras när organisationen ändras, vilket en titelbaserad poäng aldrig gör.

Konsekvens: fast per skyldighet, justerad efter exponering

Konsekvens är stabilare än sannolikhet eftersom den mest är en egenskap hos lagen snarare än hos er organisation. Konkurrens- och korruptionsöverträdelser ligger i toppen av skalan: avgifter upp till tio procent av omsättningen, straffrättsligt ansvar för enskilda i vissa regimer, skadestånd i efterhand, näringsförbud i Sverige. Dataskydd och NIS2 ligger strax under, med administrativa sanktionsavgifter och, under NIS2, möjligheten till ett tillfälligt förbud att inneha ledningsfunktioner. Visselblåsning och uppträdande på arbetsplatsen ligger i mitten. AI-kunskap ligger lägre, eftersom skyldigheten i artikel 4 inte har någon egen påföljdsnivå, men stiger kraftigt om organisationen använder AI i närheten av beslut om rekrytering, kredit, prestation eller tillgång till tjänster, eftersom det är bilaga III-territorium och datumet i december 2027 är närmare än det ser ut.

Skyldighetsområde Grundkonsekvens Höj med ett där
Konkurrensrätt 5 Redan på max
Antikorruption 5 Redan på max
GDPR och anställdas uppgifter 4 Särskilda kategorier i stor skala; finländsk enhet (integritetsskydd i arbetslivet)
Säkerhetsmedvetenhet / NIS2 4 Omfattad väsentlig entitet; sex eller fler godkänner betalningar
Visselblåsning 3 250 eller fler anställda; incident senaste 24 månaderna
Uppträdande på arbetsplatsen 3 Svensk enhet med outbildade chefer
Hållbarhet och miljöpåståenden 3 Konsumentriktade påståenden; leverantör till omfattad koncern
AI-kunskap 2 AI i beslut om rekrytering, kredit, prestation eller tillgång

Stå emot frestelsen att modellera konsekvens i euro. Bötesmodellering ger falsk precision, inbjuder till diskussion om siffran i stället för exponeringen och avleder från att konsekvenserna för anseende och avtal vanligtvis kommer före några böter. Nivåer räcker.

Kontroller: tre frågor, och varför ”vet inte” räknas som nej

Kontrolleffektivitet är där bedömningen kopplas till utbildningsprogrammet, och den måste bedömas på samma sätt för varje skyldighetsområde så att resultaten blir jämförbara. Tre frågor räcker.

Finns den? Finns det en policy, en kanal, en rutin? Ja ger 0,3, delvis 0,15, nej ger 0.

Är folk utbildade? Har den relevanta populationen fått utbildning under de senaste tolv månaderna? Alla ger 0,3, några 0,15, ingen eller vet inte 0.

Är den ägd och belagd? Finns en namngiven ägare, och skulle ni kunna ta fram ett register för en specifik person på begäran? Ja ger 0,2, nej ger 0.

Maximum är 0,8, avsiktligt. En kontroll tar aldrig bort risken helt, och en modell som låter en organisation poängsätta sig själv till noll producerar exakt den självbelåtenhet bedömningen finns för att förhindra.

”Vet inte” räknas som nej rakt igenom. En kontroll ni inte kan belägga är inte en kontroll en tillsynsmyndighet kommer att erkänna. Om ni inte vet om era svenska chefer utbildats i kränkande särbehandling har de, för bedömningens syften, inte gjort det, och att ta reda på det är er första uppgift.

Lägg märke till vad den tredje frågan gör. Den skiljer organisationer som körde en kurs från organisationer som kan bevisa vem som gick den. Skillnaden är osynlig i en genomförandeinstrumentpanel och avgörande vid en inspektion.

Tillämplighet: obligatorisk, avtalsmässig eller ej tillämplig

Den sista multiplikatorn är om skyldigheten över huvud taget gäller den här enheten, och den har tre värden i stället för två.

Obligatorisk, vikt 1,0. En lagstadgad skyldighet gäller enheten: den ligger över visselblåsartröskeln, den är i en NIS2-sektor i relevant storlek, den använder ett AI-system, den ligger över de reviderade CSRD-trösklarna.

Avtalsmässig, vikt 0,7. Ingen lagstadgad skyldighet, men skyldigheten kommer ändå: via leveranskedjeklausuler från omfattade kunder, säkerhetsfrågeformulär, långivarkriterier, tilldelningskriterier i offentlig upphandling. De flesta nordiska medelstora företag ligger här för NIS2 och hållbarhet. Vikten är under 1,0 eftersom konsekvensen av brist är kommersiell snarare än regulatorisk, och över 0,5 eftersom en förlorad upphandling fortfarande är en förlust.

Ej tillämplig, vikt 0. Under tröskeln, utanför sektorn, ingen sådan aktivitet. Poängen är noll, men raden stannar i registret med skälet, vilket är ämnet för avsnittet nedan.

Att läsa poängen

Nivå Poäng Vad det betyder
Kritisk 15–25 Lagstadgad skyldighet, hög exponering, liten eller ingen belagd kontroll. Agera det här kvartalet.
Hög 9–14,9 Väsentlig lucka. Planera inom året.
Måttlig 4–8,9 Delvis täckt. Underhåll och dokumentera.
Låg 0,1–3,9 Proportionerligt att lämna tunt. Dokumentera beslutet.
Ej tillämplig 0 Dokumentera varför.

Två rimlighetsregler bör hålla oavsett indata. Ingen enhet med en obligatorisk skyldighet och varje kontroll på ”nej” bör hamna under Hög. Ingen enhet med varje kontroll på ”ja” bör hamna över Måttlig om det inte förekommit en incident. Om någon av reglerna bryts behöver vikterna justeras, inte formeln.

Sätt ett konfidensbetyg på hela bedömningen: antalet ”vet inte”-svar. En enhet som poängsatts Kritisk med låg konfidens säger något annat än en som poängsatts Kritisk med hög konfidens. Den första behöver fakta innan den behöver utbildning.

Ett genomarbetat exempel

Svenskt tillverkande dotterbolag, 300 anställda, konkurrensrätt

Sannolikhet. Grund 2. Sex till tjugo personer sätter priser och deltar i branschforum, plus en till fem förbereder offentliga anbud: två aktivitetsintervall, +1. Ledningen sitter i branschorganisationens styrelse: +1. Regelbunden offentlig anbudsgivning: +1. Taket slår in. Sannolikhet 5.

Konsekvens. Konkurrensrätt, grund 5.

Inneboende risk 5 × 5 = 25.

Kontroller. En konkurrenspolicy finns, 0,3. Sälj utbildades för tre år sedan, inget sedan dess: ingen inom tolv månader, 0. Ingen namngiven ägare och inga register per person: 0. Kontrolleffektivitet 0,3.

Kvarvarande risk 25 × (1 − 0,3) = 17,5.

Tillämplighet. Lagstadgad, vikt 1,0.

Prioritetspoäng 17,5. Kritisk. Rapportmeningen skriver sig själv: konkurrensrätt är Kritisk för den svenska enheten eftersom sex till tjugo personer sätter priser och deltar i branschorganisationers forum, bolaget lämnar offentliga anbud och ingen har utbildats de senaste tolv månaderna. Den första åtgärden är en scenariobaserad modul för sälj och ledning och en namngiven ägare, inte en koncernövergripande medvetenhetskurs.

Kör samma enhet genom visselblåsning och svaret blir ett annat: 300 anställda, lagstadgad skyldighet, kanal finns, personal utbildad förra året, ägare namngiven och register exporterbara. Sannolikhet 3, konsekvens 4, kontroll 0,8, tillämplighet 1,0. Poäng 2,4. Låg. Underhåll och dokumentera. Programmets insats går dit siffran pekar, inte dit den senaste leverantörskonversationen pekade.

Registret över det ni beslutade att inte göra

Det här är det resultat som betyder mest, och det som nästan ingen bedömning producerar.

Riskbaserade program är försvarbara, men bara där de negativa besluten är dokumenterade. Exponeringen är aldrig den utbildning ni levererade; den är gruppen ni beslutade att lämna utanför och inte kan förklara. En tillsynsmyndighet som upptäcker att ert danska säljkontor inte fick någon visselblåsarutbildning godtar ”sex anställda, under tröskeln, beslut dokumenterat detta datum” och godtar inte tystnad.

Varje rad som får noll i tillämplighet, och varje rad ni medvetet lämnar på Låg, går alltså in i ett register med tre fält: skyldigheten, enheten och skälet med datum. Där skälet är en tröskel, namnge den. Där skälet är proportionalitet, ange vad den kvarvarande risken var och vem som godtog den.

Förvara registret tillsammans med bedömningen, versionshantera båda och se över båda i samma cykel. Ett negativt beslut från 2025 om NIS2:s tillämpningsområde överlever kanske inte 2026, och ett CSRD-beslut fattat enligt de ursprungliga trösklarna behöver fattas om enligt omnibusens.

Att mäta om risken faktiskt sjunker

En poäng är en ögonblicksbild. Om risken sjunker är en trend, och den behöver en liten uppsättning indikatorer som rör sig när beteendet rör sig.

Kvarvarande poäng per område och enhet, kvartal för kvartal. Det direkta måttet. Sjunkande poäng bör kunna förklaras av kontroller som lagts till, inte av svar som blivit mer optimistiska.

Kontrolltäckning. Andelen exponerade personer, per aktivitet, utbildade inom tolv månader och belagda med namn. Det är siffran som kopplar bedömningen till LMS-exporten.

Konfidens. Antalet ”vet inte”-svar. Det bör sjunka till noll inom det första året och stanna där.

Beteendeindikatorer. Rapporter via visselblåsarkanalen, förhandsgodkännanden begärda hos juridik, frågor till compliance-brevlådan, misstänkta meddelanden rapporterade och tid till rapport. Stigande siffror är oftast goda nyheter och bör ramas in för styrelsen som sådana innan siffrorna kommer.

Tid till bevis. Hur lång tid det tar för en person att ta fram revisionspaketet för en enhet för ett år. Mät det en gång i kvartalet genom att faktiskt göra det. Om svaret är mer än en eftermiddag ligger beviskontrollen inte på 0,2 oavsett vad frågeformuläret säger.

Se över hela bedömningen årligen som minimum, och dessutom när riskbilden förändras, en incident inträffar eller en väsentlig regulatorisk förändring träder i kraft. 2026 har levererat tre sådana inom AI, cyber och hållbarhet. En bedömning daterad före någon av dem beskriver en annan organisation.

Vanliga frågor

Hur beräknas compliancerisk?

Sannolikhet gånger konsekvens ger inneboende risk. Multiplicera med ett minus kontrolleffektivitet för kvarvarande risk, sedan med en tillämplighetsvikt. Varje faktor kommer från svar om vad organisationen faktiskt gör, vilka kontroller som finns och kan beläggas, och om skyldigheten gäller den enheten.

Vad är skillnaden mellan inneboende och kvarvarande compliancerisk?

Inneboende risk är exponeringen om inget hade gjorts. Kvarvarande risk är exponeringen efter att befintliga kontroller beaktats. Program bör prioriteras utifrån kvarvarande risk, för det är där gapet finns.

Varför poängsätta efter aktivitet snarare än jobbtitel?

Nordiska organisationer är platta och rollerna breda. Vad en person gör förutsäger exponering; vad hen kallas gör det inte. Att fråga hur många som utför varje exponerad aktivitet ger en poäng som ändras när organisationen ändras.

Varför räknas ”vet inte” som nej?

För att en kontroll som inte kan beläggas inte är en som tillsynsmyndigheten erkänner. Okända blir den första uppgiften snarare än ett skäl till mildare poäng.

Varför använder koncernpoängen den högsta enheten snarare än genomsnittet?

Tillsynsmyndigheter övervakar enheter, inte koncerner. Den svagaste enheten definierar koncernens exponering, och genomsnitt döljer den.

Vad är en compliance-riskmatris?

Ett rutnät med sannolikhet mot konsekvens, vanligtvis fem gånger fem. Det är en användbar visning och en dålig metod på egen hand, eftersom det utelämnar kontroller och tillämplighet. Använd det för att visa kvarvarande poäng, inte för att generera dem.

Hur ofta bör en compliance-riskbedömning upprepas?

Årligen som minimum, och när riskbilden förändras, en incident inträffar eller en väsentlig regulatorisk förändring träder i kraft. Versionshantera varje bedömning och behåll de tidigare.

Är en riskpoäng juridisk rådgivning?

Nej. Det är en strukturerad, daterad bedömning byggd på publicerade trösklar och skyldigheter, utformad för att granskas av juridisk rådgivare och för att ge en försvarbar utgångspunkt snarare än ett utlåtande.