Compliance-koulutus työntekijöille: kattava pohjoismainen opas

Compliance-koulutus ei pohjoismaisessa yrityksessä ole lähes koskaan vaikeaa sisällön vuoksi. Lahjonnan torjunnan, tietosuojan ja tietoturvan kursseja saa kymmeneltä toimittajalta, ja ne ovat sisällöltään pitkälti keskenään vaihdettavissa.

Vaikeinta on toimintamalli. Mikä yhtiö omistaa ohjelman? Millä kielellä kullakin työntekijällä on oikeus saada koulutus? Miten henkilöstön edustajat otetaan mukaan ennen käynnistystä? Miten suoritukset dokumentoidaan maissa, joissa eri valvojat pyytävät eri näyttöä? Ja vastaako konsernin emoyhtiön kurssikatalogi oikeasti Suomen tai Ruotsin lainsäädäntöä?

Pohjoismaisessa konsernissa compliance-koulutusohjelma on ensin koordinointikysymys ja vasta sitten sisältökysymys. Organisaatiot, jotka käsittelevät sitä hankintapäätöksenä, huomaavat tämän viimeistään neljännellä kuukaudella. Tämä opas käy läpi, mihin koulutusta lain mukaan tarvitaan, mitä sen pitää kattaa, kuka tarvitsee minkä tason ja miten yhtä ohjelmaa johdetaan useassa maassa ja usealla kielellä.

Mihin compliance-koulutusta lain mukaan tarvitaan

Mitään yksittäistä ”compliance-koulutuslakia” ei ole. Velvoite koostuu monesta lähteestä, ja kun tiedät, mikä lähde edellyttää mitäkin kurssia, pystyt myöhemmin perustelemaan ohjelmasi.

Osa velvoitteista on nimenomaisia:

Kyberturvallisuus. Sekä Suomen kyberturvallisuuslaki (124/2025) että Ruotsin cybersäkerhetslag (2025:1506) edellyttävät johtoelimen kouluttamista.

Työpaikan käytös. Ruotsin työympäristömääräykset (AFS 2023:2) edellyttävät, että esihenkilöillä on tiedot siitä, miten kohtuutonta työkuormaa ja epäasiallista kohtelua (kränkande särbehandling) ehkäistään ja käsitellään.

Rahanpesun estäminen. Kansallinen rahanpesulainsäädäntö, kuten Suomen laki rahanpesun ja terrorismin rahoittamisen estämisestä (444/2017) ja Ruotsin penningtvättslagen (2017:630), velvoittaa ilmoitusvelvolliset kouluttamaan työntekijänsä tehtäviensä edellyttämällä tavalla.

Tekoälylukutaito. EU:n tekoälysäädös edellyttää, että tarjoajat ja käyttöönottajat tukevat henkilöstönsä tekoälylukutaitoa.

Useimmat velvoitteet ovat epäsuoria. Tietosuoja-asetus edellyttää asianmukaisia organisatorisia toimenpiteitä, ja koulutus on yksi niistä. Yhteisösakko ja yrityksen rikosoikeudellinen vastuu Suomessa ja Ruotsissa riippuvat siitä, onko yritys noudattanut rikoksen estämiseksi vaadittavaa huolellisuutta, ja koulutus on tämän huolellisuuden keskeinen näyttö. Työturvallisuuslainsäädäntö velvoittaa työnantajan puuttumaan häirintään saatuaan siitä tiedon, mikä edellyttää esihenkilöitä, jotka tunnistavat sen.

Compliance-koulutuksen katalogin pitää olla jäljitettävissä taaksepäin velvoitteisiin, ei eteenpäin toimittajan kurssilistasta. Jos et osaa sanoa, minkä velvoitteen kurssi täyttää, et pysty selittämään valvojalle, miksi järjestät sen, etkä perustelemaan, miksi jätit jonkin toisen pois.

Compliance-koulutus Pohjoismaissa: mitä sen pitää kattaa

Kun velvoitteet on kartoitettu, useimmille keskisuurille organisaatioille hahmottuu yhteinen pohjoismainen ydin:

Tietosuoja. Tietosuojakoulutus (GDPR-koulutus) kaikille, jotka käsittelevät henkilötietoja, eli lähes kaikille.

Tieto- ja kyberturvallisuus. Tietoturvakoulutus koko henkilöstölle, ja johtoelin omana, oikeudellisesti erillisenä kohderyhmänään.

Työpaikan käytös. Esihenkilöt ensisijaisena kohderyhmänä.

Väärinkäytösilmoitukset. Kolmella syvyystasolla, jotka vastaavat alla kuvattuja tasoja.

Lahjonnan torjunta ja eturistiriidat. Painotus vahvasti vientiin liittyvissä rooleissa.

Kilpailuoikeus. Myynti- ja tarjoustiimeille.

Tekoälyn käyttö. Nyt kun tekoälysäädöksen 4 artiklaa sovelletaan käyttöönottajiin.

Toimiala tuo lisää. Rahoituspalveluilla, terveydenhuollolla, rakentamisella, elintarvikealalla ja puolustusteollisuudella on kullakin omat valvotut vaatimuksensa.

Listalla ei pitäisi olla mitään, mitä et pysty yhdistämään organisaatiosi riskiin. Ohjelmat paisuvat, koska moduulin lisääminen tuntuu turvallisemmalta kuin sen pois jättäminen, ja lopputuloksena henkilöstö pitää kaikkea taustakohinana.

Kuka tarvitsee mitä: altistus ratkaisee, ei henkilöstömäärä

Kohdenna koulutus sen mukaan, mitä ihmiset oikeasti tekevät, ei tehtävänimikkeen mukaan. Pohjoismaiset organisaatiot ovat matalia, tehtävänkuvat laajoja, ja nimike kertoo täällä altistuksesta vähemmän kuin hierarkkisemmissa rakenteissa. Neljänkymmenen hengen tytäryhtiössä yksi ihminen hoitaa usein kolmea riskialtista tehtävää samanaikaisesti.

Useimmille organisaatioille toimii kolme tasoa:

Tietoisuus kaikille. Riittävästi, jotta tilanteen tunnistaa ja tietää, minne sen vie. Lyhyttä, toistuvaa ja keskittynyttä eteenpäin viemiseen eikä sääntöihin.

Työssä tarvittava osaaminen toistuvalle altistukselle. Myynti, hankinta, HR, talous, IT ja kaikki, jotka asioivat kolmansien osapuolten tai viranomaisten kanssa.

Syvyys päätöksentekijöille ja tapausten käsittelijöille. Esihenkilöt, tapausten käsittelijät, nimetty rahanpesun estämisestä vastaava henkilö, tietosuojavastaava ja johtoelin.

Kirjaa perustelut, myös silloin kun päätit, että jokin ryhmä tarvitsee vähemmän. Riskiperusteinen ohjelma on puolustettavissa vain, jos myös kielteiset päätökset on kirjattu.

Kielikysymys on oikeudellinen kysymys

Tässä pohjoismaisiin ohjelmiin liittyy useimmin piilevä riski, ja tässä konsernin emoyhtiön oletukset aiheuttavat eniten vahinkoa.

Englannin taito on Suomessa, Ruotsissa, Norjassa ja Tanskassa poikkeuksellisen hyvä, mikä houkuttelee konserneja pelkkään englanninkieliseen koulutukseen. Ratkaisevaa ei kuitenkaan ole keskustelutaito, vaan se, tunnistaako työntekijä tilanteen oikein kuukausia myöhemmin, kiireessä ja toisella kielellä.

Tällä on dokumentaatioseuraus. Jos esihenkilö myöhemmin irtisanotaan ohjeen rikkomisen vuoksi tai yritys väittää noudattaneensa huolellisuutta ennen häiriötä, väitteen vahvuus riippuu siitä, pystytäänkö osoittamaan, että henkilö ymmärsi, mitä häneltä vaadittiin. Koulutus kielellä, jolla hän ei ole koskaan työskennellyt, on heikompi perusta kuin koulutus kielellä, jolla hän ajattelee.

Suomessa asiaan liittyy lisäksi kotimainen ulottuvuus, jonka kansainväliset konsernit usein ohittavat. Suomessa on kaksi kansalliskieltä, ja kun suomalainen työnantaja harkitsee ruotsinkielistä koulutusta ruotsinkielisille työntekijöilleen, kyse ei ole vientipäätöksestä. Se palvelee omaa henkilöstöään.

Päätä koulutuskielet henkilöstön kielijakauman ja roolien altistuksen perusteella, älä maalistan mukaan. Tuotannon esihenkilöt, varastojen vuoropäälliköt ja kenttähuollon henkilöstö jäävät pelkästään englanninkielisessä ohjelmassa usein heikoimmin palvelluiksi, vaikka he ovat altteimpien joukossa.

Yhteistoiminta vaikuttaa aikatauluusi

Pakollisen compliance-koulutuksen käyttöönotto, joka luo työntekijöille uusia velvollisuuksia, ei ole kummassakaan maassa pelkästään johdon päätös.

Suomalaisia työnantajia koskee yhteistoimintalaki (1333/2021), joka edellyttää vuoropuhelua henkilöstön kanssa työntekijöiden asemaan vaikuttavista asioista. Ruotsalaisia työnantajia koskee medbestämmandelagen (MBL), jonka mukaan työnantajalla on ensisijainen neuvotteluvelvollisuus ennen merkittäviä muutoksia. Suoritusten seurannan käyttöönotto tai seuraamusten liittäminen suorittamatta jättämiseen kuuluu selvästi tähän alueeseen. Suomessa laki yksityisyyden suojasta työelämässä (759/2004) rajoittaa lisäksi sitä, miten työntekijöitä saa valvoa.

Konsernit, jotka hoitavat tämän muodollisuutena projektin lopussa, menettävät viikkoja. Henkilöstön edustajien ottaminen mukaan jo suunnitteluvaiheessa ei maksa käytännössä mitään, parantaa yleensä ohjelmaa ja poistaa yleisimmän syyn käynnistyksen viivästymiseen.

Rakenna vuosikello, älä vuosikampanjaa

Vallitseva malli on vuosikampanja: kaikki jaetaan lokakuussa, suorituksia jahdataan marraskuussa, joulukuussa raportoidaan 97 prosenttia, eikä sitten tehdä mitään ennen seuraavaa lokakuuta.

Malli tuottaa hyviä tilastoja ja huonoa muistamista. Tunnistamiskyky heikkenee, sääntely muuttuu, ja uudet työntekijät ovat jopa yksitoista kuukautta ilman koulutusta.

Parempi rytmi koostuu neljästä osasta:

Perehdytys. Keskeiset moduulit määräajassa aloittamisen jälkeen.

Vahvistaminen. Lyhyitä kertauksia pitkin vuotta.

Tapahtumaperusteinen sisältö. Julkaistaan, kun jokin olennainen muuttuu.

Vuosikatsaus. Yksi dokumentoitu arvio siitä, vastaako ohjelma yhä riskejä.

Pelkästään vuosi 2026 on tuonut olennaisia muutoksia tekoäly-, kyberturvallisuus- ja vastuullisuusvelvoitteisiin, ja vain joulukuussa tarkistettu ohjelma olisi sisältänyt vanhentunutta sisältöä suurimman osan vuodesta.

Compliance-koulutuksen mittaaminen: muutakin kuin suorituksia

Suoritus on läsnäolomerkintä. Se kertoo, että moduuli avattiin, ei sitä, että mikään muuttui.

Lisää ymmärryksen mittaaminen siellä, missä arviointi on mielekästä, sekä käyttäytymistä kuvaavat mittarit, jotka kertovat enemmän kuin kumpikaan edellisistä: ilmoituskanavaan tehdyt ilmoitukset, lahjojen ja vieraanvaraisuuden ennakkohyväksyntäpyynnöt, compliance-postilaatikkoon tulevat kysymykset ja ohjeiden lukukerrat.

Kasvavat luvut kertovat yleensä, että ohjelma toimii, ja hallitukset tulkitsevat ne usein päinvastoin. Kehystä tulkinta ennen kuin luvut esitellään, ei vasta jälkikäteen.

Compliance-koulutuksen dokumentointi eri maissa

Eri valvojat pyytävät eri näyttöä, eikä yksi suoritusraportti palvele hyvin ketään niistä.

Tietosuojaviranomainen. Näyttö siitä, että koulutus järjestettiin ja kattoi oikeat henkilöt.

Kyberturvallisuusvalvoja. Näyttö nimenomaan johtoelimen koulutuksesta, nimeltä dokumentoituna.

Rahanpesuvalvoja. Näyttö roolin mukaisesta, toistuvasta koulutuksesta, jonka sisältö on säilytetty.

Työsuojeluviranomainen. Näyttö siitä, että esihenkilöillä on vaadittavat tiedot.

Säilytä riskikartoitus, päivätyt sisältöversiot, toteutustiedot uudet työntekijät ja olennaiset alihankkijat mukaan lukien sekä katselmointisykli.

Kokoa auditointiaineisto jatkuvasti sen sijaan, että rakentaisit sen uudelleen pyydettäessä. Ohjelma, joka pystyy näyttämään velvoitekartoituksensa, sisältöversionsa ja sen, kuka sai mitäkin ja milloin, on ohjelma, jota voi puolustaa.

Konsernijärjestelmä, erillinen alusta vai LMS

Jos konsernilla on jo globaali järjestelmä, käytännön kysymys ei ole sen käyttäminen vaan se, pystyykö se sisältämään saman kurssin maakohtaiset versiot ja raportoimaan niistä erikseen. Moni ei pysty, ja tämä rajoite pakottaa huomaamatta joko oikeudellisesti epätarkkaan sisältöön tai paikallisiin kiertoteihin, joista ei saa raporttia.

Jos hankit verkkokoulutusalustaa tai LMS:ää compliance-koulutukseen, olennaiset kysymykset ovat:

Kieliversiot. Tukeeko alusta saman kurssin kieliversioita versioina eikä toisistaan irrallisina kursseina?

Yhtiökohtainen raportointi. Pystyykö se raportoimaan eri juridisista yksiköistä yhdessä näkymässä?

Datan siirrettävyys. Saatko omat tietosi ulos käyttökelpoisessa muodossa?

Versiohistoria. Voiko sisältöä päivittää menettämättä tietoa siitä, mitä aiemmat ryhmät todellisuudessa saivat?

Usein kysytyt kysymykset