Kuinka usein compliance-koulutus on järjestettävä? Näin perustelet koulutusvälin

Kuinka usein compliance-koulutus on lain mukaan järjestettävä? Rehellinen vastaus on, että useimmilla osa-alueilla mikään laki ei kerro sitä, ja jokainen, joka antaa varman luvun, kuvaa käytäntöä eikä vaatimusta.

Tämä kannattaa sanoa suoraan, koska verkko on täynnä artikkeleita, joiden mukaan compliance-koulutus on pakko järjestää vuosittain. Ei ole. Vuosittainen koulutus on se, mitä useimmat organisaatiot tekevät, lähinnä siksi, että HR-järjestelmät ja auditointisyklit kulkevat vuoden rytmissä, ja sitä on toistettu niin usein, että se kuulostaa säännöltä.

Olennaista on sen sijaan, että koulutus on ajantasaista, riskeihin suhteutettua ja todennettavaa. Näitä vaatimuksia valvoja todellisuudessa soveltaa, ja ne täyttyvät perustellulla menetelmällä koulutusvälin määrittämiseen, eivät kalenterimerkinnällä.

Kuinka usein compliance-koulutus vaaditaan laissa?

Useimmilla osa-alueilla laki ei määrää koulutusväliä lainkaan. Lainsäädäntö edellyttää yleensä, että koulutus vastaa henkilön tehtäviä ja pysyy ajan tasalla. Esimerkiksi tietosuoja-asetus (GDPR) mainitsee henkilöstön tietoisuuden lisäämisen ja koulutuksen tietosuojavastaavan tehtävissä, mutta ei aseta tiheyttä.

Vuosittainen compliance-koulutus on käytäntö, ei lakisääteinen sääntö. Sinua arvioidaan sen perusteella, onko koulutus ajantasaista, riskiperusteista ja todennettavaa.

Se ei tarkoita, että mikä tahansa kelpaa. Se tarkoittaa, että koulutusväli on sinun päätettävissäsi ja että sinun on pystyttävä perustelemaan valintasi.

Neljä tilannetta, joissa rytmi on käytännössä annettu

Poikkeuksia on, ja pohjoismaisen organisaation kannattaa tuntea ne tarkasti.

Johtoelimen kyberturvallisuuskoulutus. Sekä Suomen kyberturvallisuuslaki (124/2025) että Ruotsin cybersäkerhetslag (2025:1506) edellyttävät, että johtoelimen jäsenillä on riittävä koulutus kyberriskien tunnistamiseen ja arviointiin sekä hyväksymiensä toimenpiteiden valvontaan. Kumpikaan laki ei määrää koulutusväliä, mutta velvoite kohdistuu henkilöihin, joten se laukeaa nimityksestä. Käytännössä tästä syntyy rytmi: koulutus nimitettäessä ja sen jälkeen määritellyin välein, koska vuonna 2024 koulutetulla hallituksen jäsenellä ei uskottavasti voi olla ajantasaista tietoa sääntelystä, joka muuttui vuosina 2025 ja 2026.

Ilmoitusvelvollisten rahanpesukoulutus. Molempien maiden rahanpesulainsäädäntö, Suomen rahanpesulaki (laki rahanpesun ja terrorismin rahoittamisen estämisestä 444/2017) ja Ruotsin penningtvättslagen (2017:630), velvoittaa ilmoitusvelvolliset huolehtimaan siitä, että henkilöstö saa tehtäviinsä soveltuvaa koulutusta. Ruotsin laki (2 luku 14 §) edellyttää lisäksi, että koulutus on jatkuvaa. Valvojat tulkitsevat velvoitteen niin, että koulutuksen on oltava säännöllistä, roolin mukaista ja ajantasaista, ja alan normi on vuosittainen koulutus roolin mukaan porrastetulla syvyydellä. Siitä poikkeaminen edellyttää perustelua, jonka pystyt esittämään.

Finanssialan vaatimukset. Kun yritystä valvoo Finanssivalvonta tai Ruotsissa Finansinspektionen, alan säännöt ja valvojan odotukset tuovat yleisen tason lisäksi osaamis- ja koulutusvaatimuksia, myös tietyille luvanvaraisille tehtäville.

Esihenkilöiden osaaminen työpaikan käytöksestä Ruotsissa. Ruotsin työympäristömääräykset (AFS 2023:2) velvoittavat työnantajan varmistamaan, että esihenkilöt osaavat ehkäistä ja käsitellä epäterveellistä työkuormaa ja epäasiallista kohtelua (kränkande särbehandling). Koulutusväliä ei ole, mutta velvoite on jatkuva ja kohdistuu siihen, joka rooliin kulloinkin kuuluu, joten sen laukaisevat ylennykset ja organisaatiomuutokset eikä kalenteri.

Huomaa kuvio. Neljästä tapauksesta kolme laukeaa tapahtumasta eikä päivämäärästä. Juuri tätä mallia kannattaa yleistää.

Riskiperusteinen menetelmä koulutusvälin määrittämiseen

Kaikkialla muualla perusteltu koulutusväli syntyy neljästä tekijästä.

Perustaso kaikille. Lyhyt, toistuva kerros, joka kattaa tilanteiden tunnistamisen ja eteenpäin viemisen. Sen pitää olla tiheä ja lyhyt eikä harvoin toistuva ja pitkä, koska tavoitteena on muistaa oikea toimintatapa paineen alla. Useat lyhyet kosketukset vuoden mittaan toimivat paremmin kuin yksi pitkä moduuli, eikä laki anna mitään syytä suosia jälkimmäistä.

Tiheämpi koulutus riskialttiissa rooleissa. Kun rooliin liittyy toistuvaa riskiä, eli kolmansien osapuolten kanssa toimivat kaupalliset tiimit, hankinta, talous, HR, IT ja kaikki asiakasrajapinnassa ilmoitusvelvollisessa toimivat, sekä syvyys että tiheys kasvavat. Perusteena on riskiarviosi, minkä vuoksi riskiarvion on oltava olemassa ennen koulutuskalenteria.

Tapahtumalaukaisimet, jotka tekevät suurimman osan todellisesta työstä. Nämä tapahtumat edellyttävät koulutusta riippumatta siitä, milloin edellinen järjestettiin: lainmuutos, uusi valvojan ohjeistus, organisaation sisäinen poikkeama, läheltä piti -tilanne, vertailukelpoisessa alan yrityksessä sattunut tapaus, uusi tuote tai markkina, uusi järjestelmä, yrityskauppa tai fuusio sekä kenen tahansa siirtyminen riskialttiiseen rooliin.

Dokumentoitu katselmointi. Kerran vuodessa tarkistetaan, vastaako ohjelma yhä riskikuvaa ja onko sisältö edelleen oikeaa. Kyse on hallintotoimesta, ei koulutuksen toteutuksesta, ja juuri sen ansiosta voit sanoa, että koulutusvälit on valittu eikä vain peritty.

Miksi vuosittainen kertaus ei riitä

Syitä on kaksi, ja kumpaankin on käytännön ratkaisu.

Muisti heikkenee. Lokakuun moduulissa kerran kohdatun tilanteen tunnistaminen on seuraavaan kesäkuuhun mennessä mitattavasti heikompaa, ja compliance-koulutuksen käsittelemät tilanteet ovat juuri niitä, joita ihmiset kohtaavat harvoin mutta joissa on toimittava oikein.

Uudet työntekijät odottavat jopa yksitoista kuukautta. Vuosittainen kampanja jättää kampanjan jälkeen aloittaville yhdentoista kuukauden aukon. Organisaatiossa, jonka vaihtuvuus on 15 prosenttia, merkittävä osa henkilöstöstä ei ole millään hetkellä saanut koulutusta lainkaan. Perehdytyksen yhteydessä määräajassa annettava koulutus korjaa tämän, ja se puuttuu usein.

Ratkaisu ei ole lisätä koulutusta. Ratkaisu on jakaa sama määrä uudelleen: olennainen sisältö perehdytyksessä, lyhyt vahvistaminen pitkin vuotta ja syvyys siellä, missä riskit ovat.

Kertauskoulutus vai täysi kurssi

Nämä kannattaa erottaa toisistaan, koska ne vastaavat eri kysymyksiin.

Täysi kurssi rakentaa ymmärryksen, ja se sopii perehdytykseen, roolin vaihtumiseen ja tilanteisiin, joissa aihe on muuttunut olennaisesti. Kertauskoulutus testaa ja vahvistaa osaamisen ajantasaisuutta, ja se voi olla hyvin lyhyt. Jos jokainen toisto toteutetaan täytenä kurssina, työntekijät kokevat compliance-koulutuksen taakkana, ja taakka johtaa läpiklikkailuun, joka ei todista mitään.

Kun laki on muuttunut, kertauskoulutus ei riitä.

Tekoälysäädöksen velvoitteet, pohjoismaiset kyberturvallisuuslait ja kestävyysdirektiivit ovat kaikki muuttuneet kahden viime vuoden aikana, ja vuoden 2024 sisältöä toistavat organisaatiot kouluttavat ihmisiä vanhentuneen tilanteen mukaan.

Kuinka kauan compliance-koulutus on voimassa?

Voimassaolo on useimmilla osa-alueilla organisaation oma linjaus eikä oikeudellinen käsite. Päätät itse, että kurssi pysyy ajantasaisena tietyn ajan, ja päätös on puolustettavissa, kun se on perusteltu ja dokumentoitu.

Valvoja testaa eri asiaa. Se kysyy, oliko selvityksen aiheuttaneeseen tilanteeseen osallistuneilla ihmisillä ajantasainen ja olennainen koulutus ja pystyykö organisaatio osoittamaan sen. Kahdentoista kuukauden voimassaoloaika on helppo hallinnoida ja helppo perustella. Myös kolmen vuoden aika voi olla perusteltu matalan riskin sisällölle vakaalla osa-alueella, kunhan pystyt selittämään miksi.

Compliance-koulutus uusille työntekijöille ja alihankkijoille

Määritä aloituspäivästä laskettava määräaika ja valvo sitä. Kolmekymmentä päivää perustasolle ja yhdeksänkymmentä päivää roolikohtaiselle syventävälle sisällölle on yleinen ja perusteltu malli.

Riskiä aiheuttavaa työtä tekevät alihankkijat ja vuokratyöntekijät tarvitsevat saman käsittelyn, ja juuri he jäävät useimmiten kokonaan koulutuksen ulkopuolelle.

Mitä valvoja oikeasti kysyy

Ei todistetta vuosittaisuudesta. Valvoja etsii näyttöä ajantasaisuudesta ja kattavuudesta: että oikeat ihmiset saivat olennaisen koulutuksen, että se vastasi silloin voimassa ollutta lakia, että se toteutettiin silloin kuin sanot ja että koulutusvälit valittiin perustellusti.

Organisaatio, jolla on dokumentoitu riskiperusteinen rytmi ja yhdeksän kuukauden sykli, on vahvemmassa asemassa kuin organisaatio, jolla on dokumentoimaton vuosittainen tapa, koska ensimmäinen pystyy perustelemaan toimintansa.

Usein kysytyt kysymykset