Intern styring og compliance i etablerede virksomheder

Hvad intern styring og compliance dækker i en etableret virksomhed

Intern styring omfatter de processer, kontroller, roller og beslutningsgange, som ledelsen bruger til at føre virksomheden i den ønskede retning. Governance er den øverste ansvars- og beslutningsstruktur: hvem der beslutter hvad, hvordan ledelsen følger op, og hvordan rapporteringen går fra forretningen til bestyrelsen. Compliance angiver, i hvilket omfang virksomheden efterlever de regler, myndighedskrav, standarder og interne politikker, den er omfattet af.

De tre begreber overlapper, men besvarer forskellige spørgsmål: styring handler om at nå målene, governance om hvem der har ansvaret, og compliance om at gøre det inden for rammerne. I etablerede virksomheder er kompleksiteten ofte større end i en ny virksomhed. Der kan være flere forretningsenheder, ældre systemer, leverandørkæder, manuelle mellemregninger og processer, der hviler på enkelte nøglepersoner.

Et compliance-fokus alene – at kunne dokumentere overholdelse – efterlader blinde vinkler, hvis styringen ikke samtidig sikrer, at kontrollerne virker og ligger, hvor risiciene er. Intern styring uden et compliance-perspektiv giver omvendt ikke tilstrækkelig sikkerhed for, at eksterne og interne krav efterleves i praksis.

Databeskyttelsesforordningen (GDPR) og den danske databeskyttelseslov er relevante, når virksomheden behandler personoplysninger. Datatilsynet fører tilsyn med databeskyttelsesreglerne. For de fleste virksomheder er en fortegnelse over behandlingsaktiviteter et centralt dokument; virksomheden skal også kunne dokumentere behandlingsgrundlaget for sine behandlinger.

Når eksterne leverandører behandler personoplysninger, skal der være en skriftlig databehandleraftale. En privatlivspolitik informerer blandt andet kunder, medarbejdere og samarbejdspartnere om virksomhedens behandling af deres oplysninger. Disse dokumenter bør afspejle de systemer, leverandører og processer, virksomheden faktisk bruger.

NIS2-direktivet er et område, hvor virksomheder kan arbejde med compliance og dokumentation. ISO 27001 dokumenterer inden for det fastlagte område et informationssikkerhedsledelsessystem, mens ISAE 3000 og ISAE 3402 kan bruges til uafhængige erklæringer om kontroller. ISAE 3000 anvendes blandt andet til erklæringer om databeskyttelse, informationssikkerhed og compliance med NIS2; ISAE 3402 vedrører kontroller, der kan påvirke kunders finansielle rapportering.

Intern revision er den uafhængige vurdering af, om virksomhedens styring og compliance fungerer efter hensigten. Den supplerer de kontroller, som forretningen og kontrolfunktionerne selv udfører, men overtager ikke deres ansvar. Også virksomheder uden for den finansielle sektor kan bruge en uafhængig vurdering til at afprøve, om organiseringen virker.

Komitéen for god Selskabsledelses retningslinjer fungerer som best practice for ledelse af børsnoterede virksomheder i Danmark. De anbefaler, at revisionsudvalget vurderer behovet for intern revision på grundlag af virksomhedens kompleksitet.

Kontrolsystemet beskrives ofte med tre forsvarslinjer. Første forsvarslinje er procesejerne, der ejer processer og risici og udfører kontroller. Anden forsvarslinje overvåger og støtter med fortolkning af lovgivning. Tredje forsvarslinje er intern revision, der er uafhængig af den daglige ledelse og refererer til bestyrelsen.

Kritiske dokumenter til compliance i etablerede virksomheder

Governance og intern revision: ansvar, regler og frivillighed

Intern revision er en uafhængig funktion, der vurderer virksomhedens risici, kontroller og processer og rapporterer til det øverste ledelsesniveau. Den er ikke den eksterne revision, der afgiver erklæringer om regnskabet. Værdien ligger i at undersøge, om styringen virker i hverdagen, hvor kontrollerne svigter, og om tiltagene står mål med risikoen.

Intern revision kan bidrage til bedre risikostyring og kontrolprocedurer samt forbedre ledelses- og forretningsprocesser. Værdien afhænger af, om observationer bliver omsat til handling i virksomhedens ledelse.

Frivillig intern revision kræver et klart mandat, ressourcer og en ledelse, der er indstillet på at modtage og handle på kritiske observationer. Ellers bliver funktionen let endnu et kontrolniveau uden reel effekt.

Vurder behovet for intern revision systematisk ud fra virksomhedens størrelse og kompleksitet, antallet af forretningsenheder og systemer, risikoprofilen og graden af regulering. Inddrag også afhængigheden af manuelle kontroller og nøglepersoner samt eventuelle tidligere fejl eller svagheder.

Beslut, om funktionen skal varetages internt eller i samarbejde med eksterne aktører, hvem den rapporterer til, og hvilke kompetencer den skal have. Funktionen skal være uafhængig af de processer, den vurderer, og dens konklusioner skal indgå fast i ledelsens og bestyrelsens opfølgning.

For større finansielle virksomheder stiller Finanstilsynet krav om intern revision. Lov om finansiel virksomhed §§ 70 og 71 fastlægger krav til finansielle virksomheders ledelse og indretning: Efter § 70 skal der for de væsentligste aktivitetsområder udarbejdes retningslinjer, som fastlægger arbejdsdelingen mellem direktion og bestyrelse. § 71 stiller blandt andet krav om en klar organisatorisk struktur, god administrativ praksis, skriftlige forretningsgange og fyldestgørende interne kontrolprocedurer. For mindre finansielle virksomheder skal bestyrelsen årligt vurdere behovet for frivillig intern revision.

Finanstilsynet fører tilsyn med finansielle virksomheders regnskaber og med finansiel information. Der blev etableret en regnskabskontrol af finansiel information fra børsnoterede virksomheder i forbindelse med indførelsen af IFRS.

For virksomheder og personer, der er omfattet af hvidvaskloven, kræver § 8 tilstrækkelige skriftlige politikker, forretningsgange og kontroller. De skal blandt andet omfatte risikostyring, kundekendskab, undersøgelses-, noterings- og underretningspligt, opbevaring af oplysninger, screening af medarbejdere og intern kontrol.

Erhvervsstyrelsen fører tilsyn med hvidvasklovens overholdelse og vejleder om lovens anvendelsesområde og forpligtelser. Visse erhvervsaktiviteter har registreringspligt i Erhvervsstyrelsens register til bekæmpelse af hvidvask. Ved mistanke om hvidvask eller terrorfinansiering skal omfattede virksomheder underrette Hvidvasksekretariatet (NSK).

Finanstilsynets god praksis-papir om compliance og risikostyring i kreditinstitutter opsummerer god praksis i 10 konkrete underpunkter. Blandt de fremhævede punkter er klar ansvarsfordeling mellem forsvarslinjerne, kontroller på kreditområdet udført af både første og anden forsvarslinje samt mulighed for, at compliance- og risikoansvarlige kan udtale sig direkte til bestyrelsen.

Datakvalitet som fundament under den interne styring

Intern styring og compliance bygger på data – nøgletal, risikostyring, kundedata, kontroller og rapportering. Er data ikke retvisende, bliver beslutningsgrundlaget forkert, og kontroller kan se ud, som om de virker, uden at gøre det. Derfor bør kvaliteten af styringskritiske data vurderes løbende.

I etablerede virksomheder bør datakvalitet kobles til ansvar og ledelsesopfølgning. Afgræns vurderingen til de data, der påvirker beslutninger, risikostyring og rapportering, så arbejdet retter sig mod det, virksomheden faktisk bruger.

Bekendtgørelse om ledelse og styring af pengeinstitutter m.fl. fastslår, at direktionen mindst én gang om året skal vurdere kvaliteten af data, der er væsentlige for virksomhedens styring, og iværksætte nødvendige tiltag. Det krav gælder pengeinstitutter, der er omfattet af bekendtgørelsen.

Fastlæg kadencen, udpeg ejere af de væsentlige data, og afgør, hvem der skal rette og eskalere fejl. Dokumentér opfølgningen, så ledelsen kan se problemet, den valgte løsning og om den virker.

Vurder styringsdata ud fra fuldstændighed, nøjagtighed, rettidighed, sporbarhed og entydige definitioner. Beskriv, hvem der ejer hver datamængde og nøglerapport, hvordan data kommer ind i systemerne, og hvor manuelle mellemregninger eller eksterne kilder kan skabe afhængigheder.

Når data ikke er retvisende, bør virksomheden finde årsagen, beslutte en varig rettelse, eskalere forholdet til rette ledelsesniveau og dokumentere både fejlen og udbedringen. Følg op ved næste vurdering, så problemet ikke gentager sig, og tilliden til rapporteringen svækkes.

Fra kontrol til intern læring: at få compliance til at virke i praksis

Compliance kan bygges op som et system af instrukser, tjeklister og kontroller. Opgaverne deles op i mindre dele og udføres efter en fast opskrift. Det giver ensartethed, men ikke nødvendigvis forståelse.

Oplæring i compliance kan fokusere på faste opgaver og instrukser eller på, at medarbejderne forstår helheden og formålet med reglerne. Begge tilgange kan indgå i virksomhedens læring.

Hvis medarbejderne kun kender reglen og ikke formålet, svækkes efterlevelsen, når virkeligheden ikke passer til skemaet. Helhedsorienteret læring betyder, at den enkelte forstår, hvorfor kravet findes, hvad risikoen er, og hvornår man skal stoppe op og spørge.

Kobl oplæring til konkrete arbejdssituationer, og lad ledelsens adfærd vise, at afvigelser tages alvorligt. Brug fejl og næsten-hændelser som læring frem for udelukkende som grundlag for sanktioner. Når medarbejdere tør melde problemer i tide, får ledelsen bedre mulighed for at handle.

Kontroller er nødvendige, men bør suppleres med faste gennemgange af hændelser og opdatering af oplæring, når processer ændres. Ledelsen bør følge op på, om forståelsen er til stede – ikke kun på, om kontrollen er afkrydset.

ESG-data og compliance i virksomhedens rapportering

ESG- og samfundsansvarsrapportering kan indgå i virksomhedens interne styring og compliance. Oplysningerne skal kunne dokumenteres og hænge sammen med den øvrige rapportering. Afklar derfor ejerskab, datakilder, beregningsmetoder og godkendelse, før tallene indgår i rapporteringen.

Når virksomheden rapporterer ESG-oplysninger, bør den skelne mellem registrerede data, skøn og antagelser. Det hjælper ledelsen med at se, hvilke oplysninger der kan kontrolleres direkte, og hvor der er behov for forklaring og opfølgning.

Placér ansvaret tydeligt: hvem ejer det enkelte ESG-datapunkt, hvem godkender beregninger og skøn, hvordan dokumenteres metoder og forudsætninger, og hvordan sikres sporbarhed fra den oprindelige data til den rapporterede oplysning. Det er de samme spørgsmål, virksomheden bør stille til finansielle nøgletal.

Kobl ESG til det risikobaserede arbejde, så væsentlige bæredygtighedsforhold indgår i risikovurdering og ledelsesrapportering. Når data, processer og ansvar hænger sammen, bliver bæredygtighedsrapporteringen en del af den almindelige styring.

Praktisk organisering af intern styring og compliance

Begynd med risici og data, ikke med lovteksten. Kortlæg, hvilke risici virksomheden står over for, hvor de er størst, og hvilke data der er afgørende for at kunne følge dem.

Placér derefter ansvaret: hvem ejer risikoen i forretningen, hvem har ansvar for kontrollerne, hvem vurderer dem uafhængigt, og hvem modtager rapporteringen. En udbredt måde at beskrive det på er opdelingen mellem forretningens eget ansvar, en uafhængig kontrolfunktion og en uafhængig vurdering – ofte omtalt som forsvarslinjer.

COSO’s kontrolrammeværk er et anerkendt rammeværk for intern kontrol og risikostyring. Det beskriver komponenterne i virksomhedens kontrolsystem med henblik på operationelle, rapporteringsmæssige og compliancemæssige risici.

Gør grænsefladerne operationelle: beskriv, hvilke kontroller procesejerne udfører, hvordan anden linje følger op på kontrolmiljøet, og hvordan uafhængige observationer når bestyrelsen. Det skelner mellem at eje en risiko, overvåge den og vurdere styringen uafhængigt.

Gør kontrollerne risikobaserede, så indsatsen koncentreres, hvor konsekvenserne og sandsynligheden er størst. Dokumentér, hvorfor kontrollen findes, hvem der udfører den, og hvordan der følges op. Standardiserede kontroller overalt uden begrundelse giver arbejde uden tilsvarende sikkerhed.

Skriv mandatet ned, før en uafhængig funktion oprettes: beskriv formål, dækningsområde, adgang til relevante oplysninger og rapporteringsvej til bestyrelsen. Angiv også, hvem der følger op på anbefalinger, og hvordan funktionen holdes uafhængig af de processer, den vurderer.

For persondata kan virksomheden samle centrale oplysninger i en fortegnelse over behandlingsaktiviteter og dokumentere behandlingsgrundlag for hver behandling. Hold databehandleraftaler og privatlivspolitik ajour med de leverandører, systemer og behandlinger, virksomheden faktisk har.

Hvis virksomheden er omfattet af hvidvaskloven, bør den have skriftlige politikker, forretningsgange og kontroller, der bygger på risikovurderingen. Hvidvaskloven § 8 nævner blandt andet kundekendskab, undersøgelse, notering, underretning, opbevaring af oplysninger, screening af medarbejdere og intern kontrol.

Datakvalitet bør have en fast plads på dagsordenen. Udpeg de styringskritiske data, deres ejere og de kvalitetskriterier, virksomheden vil følge. Aftal, hvem der retter fejl, og hvordan ledelsen får besked om svagheder, der kan påvirke rapporteringen.

Tænk læring ind fra starten med oplæring knyttet til konkrete arbejdssituationer, hændelsesgennemgange og ledelsesopfølgning på forståelse – ikke kun afkrydsning. Det gør compliance til en del af den daglige praksis.

Saml til sidst rapporteringen, så bestyrelse og direktion får et sammenhængende billede af risici, kontroller, datakvalitet, compliance og ESG-oplysninger. Vis, hvad der er ændret siden sidst, og hvad der mangler at blive fulgt op på.