Hur ofta krävs compliance utbildning? Så sätter du ett försvarbart intervall

Hur ofta krävs compliance utbildning enligt lag? Det ärliga svaret är att ingen lag säger det på de flesta områden, och den som ger dig en säker siffra beskriver en praxis snarare än ett krav.

Det är värt att säga rakt ut, eftersom nätet är fullt av artiklar som påstår att compliance-utbildning måste vara årlig. Det måste den inte. Årlig utbildning är vad de flesta organisationer gör, främst för att HR-system och revisionscykler går i årsrytm, och det har upprepats så ofta att det låter som en regel.

Det som i stället spelar roll är att utbildningen är aktuell, står i proportion till risken och går att belägga. Det är de krav en tillsynsmyndighet faktiskt ställer, och de uppfylls med en försvarbar metod för att bestämma intervallet, inte med en post i kalendern.

Hur ofta krävs compliance utbildning enligt lag?

På de flesta områden anger lagen inget intervall alls. Lagstiftningen kräver i regel att utbildningen är anpassad till personens arbetsuppgifter och hålls aktuell. Dataskyddsförordningen (GDPR) räknar till exempel upp medvetandehöjande åtgärder och utbildning av personal bland dataskyddsombudets uppgifter, men anger ingen frekvens.

Årlig compliance-utbildning är en praxis, inte en lagregel. Det du bedöms mot är om utbildningen är aktuell, riskbaserad och dokumenterad.

Det betyder inte att vad som helst duger. Det betyder att intervallet är ditt att välja, och att du måste kunna förklara valet.

De fyra fall där en rytm i praktiken finns

Det finns undantag, och en nordisk organisation bör känna till dem exakt.

Cybersäkerhetsutbildning för ledningsorganet. Både Finlands kyberturvallisuuslaki (124/2025) och den svenska cybersäkerhetslagen (2025:1506) kräver att ledamöterna i ledningsorganet har tillräcklig utbildning för att identifiera och bedöma cyberrisker och övervaka de åtgärder de godkänner. Ingen av lagarna anger ett intervall, men skyldigheten är knuten till personer, vilket innebär att den utlöses av tillträdet. I praktiken skapar det en rytm: vid tillträde och därefter med ett bestämt intervall, eftersom en styrelseledamot som utbildades 2024 inte trovärdigt kan sägas ha aktuell kunskap om ett regelverk som ändrades 2025 och 2026.

Utbildning mot penningtvätt för verksamhetsutövare. Penningtvättslagstiftningen i båda länderna, den svenska penningtvättslagen (2017:630) och den finska rahanpesulaki (444/2017), kräver att verksamhetsutövare ser till att personalen får utbildning som är anpassad till deras uppgifter. Enligt 2 kap. 14 § penningtvättslagen ska anställda fortlöpande få relevant utbildning och information. Tillsynsmyndigheterna läser det som regelbunden, rollanpassad och aktuell utbildning, och branschnormen är årlig utbildning med differentierat djup. Att avvika från den kräver ett skäl du kan formulera.

Krav inom finanssektorn. När ett företag står under tillsyn av Finansinspektionen eller finska Finanssivalvonta tillkommer sektorsregler och tillsynsförväntningar om kompetens och utbildning utöver det allmänna läget, bland annat för vissa tillståndspliktiga roller.

Chefers kunskap om arbetsmiljö och bemötande i Sverige. Arbetsmiljöverkets föreskrifter (AFS 2023:2) kräver att arbetsgivaren ser till att chefer och arbetsledare har kunskaper om hur man förebygger och hanterar ohälsosam arbetsbelastning och kränkande särbehandling. Det finns inget intervall, men skyldigheten är fortlöpande och följer den som innehar rollen, så den utlöses av befordringar och organisationsförändringar snarare än av kalendern.

Lägg märke till mönstret. Tre av de fyra utlöses av händelser snarare än datum. Det är den modellen som är värd att generalisera.

En riskbaserad metod för att sätta intervallet

För allt annat ger fyra faktorer ett försvarbart intervall.

En grundnivå för alla. Ett kort återkommande lager om att känna igen situationer och eskalera dem. Det ska vara täta och korta tillfällen snarare än glesa och långa, eftersom målet är att minnas rätt agerande under press. Flera korta tillfällen under året ger mer än en lång modul, och det finns inget juridiskt skäl att föredra det senare.

Högre frekvens för exponerade roller. Där en roll innebär återkommande exponering, det vill säga kommersiella team som hanterar tredje parter, inköp, ekonomi, HR, IT och alla med kundkontakt hos en verksamhetsutövare, ökar både djup och frekvens. Motiveringen är er riskbedömning, och därför måste riskbedömningen finnas innan kalendern gör det.

Händelsestyrda utlösare, som gör det mesta av det verkliga arbetet. Det här är händelser som ska utlösa utbildning oavsett när det senaste tillfället var: en lagändring, ny vägledning från tillsynsmyndigheten, en incident i den egna organisationen, ett tillbud, en incident hos ett jämförbart företag i branschen, en ny produkt eller marknad, ett nytt system, ett förvärv eller en fusion, och varje person som går in i en exponerad roll.

En dokumenterad översyn. En gång per år prövar ni om programmet fortfarande motsvarar riskbilden och om innehållet fortfarande stämmer. Det är ett styrningssteg, inte ett leveranssteg, och det är det som gör att ni kan säga att intervallen valdes och inte bara ärvdes.

Varför årlig repetitionsutbildning inte räcker

Det finns två skäl, och båda har praktiska lösningar.

Kunskapen klingar av. Förmågan att känna igen en situation som man mötte en gång i en modul i oktober är mätbart svagare i juni året efter, och de situationer som compliance-utbildning handlar om är precis de som människor sällan möter men måste hantera rätt.

Nyanställda får vänta upp till elva månader. En årlig kampanj skapar en lucka på elva månader för dem som börjar efter den. I en organisation med 15 procents personalomsättning har en betydande del av personalen vid varje given tidpunkt aldrig fått utbildningen alls. Utbildning inom en bestämd tid i introduktionen löser detta, och den saknas ofta.

Lösningen är inte mer utbildning. Det är att fördela samma volym på nytt: väsentligt innehåll vid introduktionen, kort repetition utspridd över året och djup där risken finns.

Repetitionsutbildning eller fullständig kurs

De två är värda att skilja åt, eftersom de besvarar olika frågor.

En fullständig kurs bygger förståelse och passar vid introduktion, vid rollbyte och när ämnet har ändrats väsentligt. En repetitionsutbildning testar och förstärker att kunskapen är aktuell och kan vara mycket kort. Att behandla varje upprepning som en fullständig kurs är huvudskälet till att anställda upplever compliance-utbildning som en börda, och börda leder till att man klickar sig igenom, vilket inte bevisar någonting.

När lagen har ändrats räcker inte en repetition.

AI-förordningens skyldigheter, de nordiska cybersäkerhetslagarna och hållbarhetsdirektiven har alla förändrats de senaste två åren, och organisationer som spelar upp innehåll från 2024 utbildar människor i ett läge som inte längre gäller.

Hur länge gäller en compliance-utbildning?

Giltighetstid är på de flesta områden ett policybeslut snarare än ett juridiskt begrepp. Ni bestämmer att en kurs är aktuell under en viss period, och det beslutet är försvarbart om det är motiverat och dokumenterat.

Det tillsynsmyndigheten prövar är något annat. Den frågar om de personer som berördes av det som föranledde granskningen hade aktuell och relevant utbildning, och om organisationen kan visa det. En giltighetstid på tolv månader är lätt att administrera och lätt att försvara. Även tre år kan vara försvarbart för lågriskinnehåll inom ett stabilt område, förutsatt att ni kan förklara varför.

Compliance-utbildning för nyanställda och konsulter

Bestäm en tidsgräns räknat från anställningens start, och se till att den följs. Trettio dagar för grundnivån och nittio för rollspecifikt fördjupat innehåll är ett vanligt och försvarbart mönster.

Konsulter och inhyrd personal som utför arbete som innebär exponering behöver samma behandling, och det är den grupp som oftast missas helt.

Vad tillsynsmyndigheten faktiskt frågar efter

Inte bevis på att utbildningen är årlig. Myndigheten söker belägg för aktualitet och täckning: att rätt personer fick relevant utbildning, att den speglade lagen som den såg ut då, att den genomfördes när ni säger att den gjorde det och att intervallen valdes av ett skäl.

En organisation med en dokumenterad riskbaserad rytm och en niomånaderscykel står starkare än en med en odokumenterad årlig vana, eftersom den första kan förklara sig.

Vill du se hur det fungerar i praktiken? Läs mer om Datafishers utbildningar i regelefterlevnad.

Vanliga frågor