7 krav til intern kontrol i et effektivt compliance program
Intern kontrol er langt mere end blot et sæt nedskrevne politikker – det er en integreret del af hverdagen i danske virksomheder. Effektiv intern kontrol kræver, at risikovurdering, ledelsesansvar, kontrolaktiviteter og opfølgning smelter sammen i praksis, så virksomheden både kan navigere sikkert og dokumentere sine processer.
Hos Peter Hejler Consulting ApS arbejder vi tæt sammen med virksomheder for at sikre, at intern kontrol ikke blot er teori, men en reel styrkelse af forretningen. Med fokus på hands-on juridisk og kommerciel sparring hjælper vi virksomheder med at omsætte komplekse krav til konkrete handlinger, der skaber værdi og tryghed i organisationen.
Hvad betyder intern kontrol i et compliance-program?
Intern kontrol er virksomhedens operative sikkerhedsnet. COSO og OECD beskriver det som et system af ansvar, processer, kontrolaktiviteter, information og monitorering, der skal forebygge, opdage og reagere på brud.
I et compliance-program handler intern kontrol om at sætte styr på de steder, hvor virksomheden kan gå galt. Det kan være kontraktgodkendelser, tredjepartsdue diligence, gaver og hospitality, GDPR-processer, sanktionsscreening, bogføringskontroller eller håndtering af whistleblower-rapporter. Kontrolmiljøet skal være synligt i hverdagen, ikke kun i compliance-manualen.
En udbredt misforståelse er, at intern kontrol er det samme som regler. Regler er kun udgangspunktet. Kontrollen opstår først, når en opgave er tildelt, en handling er defineret, en godkendelse bliver foretaget, og der findes sporbar dokumentation for, at det faktisk skete.
Det gør også intern kontrol relevant for ledelsen. Hvis ledelsen ikke kan se, hvilke højrisici virksomheden har, hvilke kontroller der findes, og om de bliver testet, så er compliance-programmet i praksis svagt, uanset hvor flot det er formuleret.
Hvorfor starter effektiv intern kontrol med en risikovurdering?
Ja, intern kontrol skal starte med risk assessment. OECD, DOJ og Peter Hejler Consulting ApS er relevante her, fordi de alle peger på samme logik: kontroller skal prioriteres efter risiko, ikke efter tradition eller skabeloner.
Risikovurderingen afgør, hvor virksomheden skal bruge sine ressourcer. Hvis virksomheden opererer i stærkt regulerede markeder, behandler persondata i stor skala eller bruger mange agenter og distributører, så skal kontroltrykket være højere. Hvis risikoen er lavere, kan enklere og mere automatiserede kontroller være nok.
DOJ’s Evaluation of Corporate Compliance Programs spørger direkte, om virksomheden tester højrisikoområder, bruger dataanalyse og følger op på action items tracked. Det er vigtigt, fordi intern kontrol uden prioritering ofte bliver dyr og ineffektiv. En manuel kontrol på et lavrisikoområde kan stjæle tid fra et område, hvor virksomheden faktisk har eksponering.
Praktisk råd: start ikke med at spørge, hvilke politikker I mangler. Start med at spørge, hvilke hændelser der kan skade forretningen mest, og hvad der skal ske for at forebygge eller opdage dem tidligt.
Hvad er de 7 krav til intern kontrol i et effektivt compliance-program?
De syv krav er ret klare. Et effektivt setup skal dække risikobaseret design, ledelsesansvar, dokumenterede kontroller, rapportering, test, afvigelser og løbende opdatering.
Når virksomheder vil styrke intern kontrol, giver det mening at bruge en enkel model med syv krav:
Risikobaseret design: Kontroller skal bygges på en konkret vurdering af juridiske, operationelle og kommercielle risici.
Tydeligt ejerskab: Ledelse, procesansvarlige og kontrolfunktioner skal kende deres roller.
Dokumenterede politikker og procedurer: Reglerne skal kunne omsættes til handlinger, godkendelser og spor.
Kontrolaktiviteter i driften: Forebyggende og detektive kontroller skal være placeret i de rigtige processer.
Rapporteringskanaler og eskalation: Medarbejdere skal kunne rapportere problemer, og virksomheden skal kunne reagere.
Kontroltest og monitorering: Højrisikoområder skal testes løbende, og resultaterne skal vurderes.
Håndtering af afvigelser og forbedringer: Fejl skal registreres, lukkes og bruges til at opdatere programmet.
Det er især punkt 6 og 7, mange overser. En kontrol, der aldrig bliver testet, er i bedste fald en antagelse. En afvigelse, der ikke bliver lukket med ansvar og deadline, bliver let en tilbagevendende risiko.
Hvordan kortlægger du risici og kontroller trin for trin?
Start med processer, fortsæt med risici, og slut med kontroller. COSO’s struktur og DOJ’s fokus på data og interviews peger på samme metode.
Trin 1 er at kortlægge de processer, hvor fejl eller brud kan opstå. Det gælder typisk salg, indkøb, onboarding af tredjepart, kontraktforhandling, databehandling, regnskab og ledelsesrapportering. Her bør du se på, hvor beslutninger træffes, hvem der godkender, og hvilke systemer der bruges.
Trin 2 er at knytte konkrete risici til hver proces. Hvis salgsorganisationen bruger eksterne agenter, kan risikoen være utilstrækkelig tredjepartskontrol. Hvis HR behandler følsomme personoplysninger, kan risikoen være utilstrækkelig adgangsstyring eller svag slettepraksis. Risikoen skal beskrives konkret nok til, at nogen kan handle på den.
Trin 3 er at identificere kontrollerne. Her skal du være præcis: Hvad er kontrollen, hvem udfører den, hvornår sker den, og hvilket bevis efterlader den? Hvis svaret er uklart, findes kontrollen sandsynligvis ikke i drift.
En typisk fejl er at registrere systemfunktioner som kontroller uden at vurdere, om de faktisk er aktiveret, overvåget og relevante for den konkrete risiko. Hvis kontrollen er automatisk, så test systemopsætningen. Hvis den er manuel, så test udførelsen.
Hvordan fordeler du ansvar mellem ledelse, forretning og kontrolfunktioner trin for trin?
Ansvar skal fordeles eksplicit. OECD fremhæver topledelsens synlige støtte, og uden klart ejerskab bliver intern kontrol hurtigt alles og ingens ansvar.
Trin 1 er at placere risikoejerskabet i forretningen. Den, der driver processen, skal eje den operationelle risiko. Det gælder den kommercielle leder, indkøbschefen, HR, finance eller den dataansvarlige funktion. Compliance kan støtte, men kan ikke eje alle driftsrisici.
Trin 2 er at fastlægge kontrolansvaret. Nogle kontroller udføres i første linje, altså i driften. Andre ligger i anden linje, hvor legal, compliance eller risk følger op. Intern audit, hvis virksomheden har funktionen, ligger normalt i tredje linje og skal teste uafhængigt. Denne tredeling gør rapportering mere præcis.
Trin 3 er at beslutte eskalation. Hvis en kontrol fejler, hvem skal vide det, hvor hurtigt, og med hvilket format? Her fejler mange virksomheder, fordi de kun har en generel eskalationsregel. Højrisikohændelser kræver ofte kortere frister, tydeligere ledelsesrapportering og en ansvarlig for afhjælpning.
Praktisk råd: Brug ikke kun jobtitler. Brug navngivne rollebeskrivelser eller RACI-logik, så det bliver tydeligt, hvem der er responsible, accountable, consulted og informed.
Hvordan tester du, om kontrollerne faktisk virker, trin for trin?
Kontroltest skal være systematisk og risikobaseret. DOJ nævner control testing, dataanalyse, interviews og intern audit som centrale metoder til at vurdere, om et compliance-program virker.
Trin 1 er at vælge testpopulation og frekvens. Højrisikoområder skal testes oftere end lavrisikoområder. Hvis en kontrol er manuel, ny eller sårbar over for menneskelige fejl, bør du normalt teste den oftere end en stabil, automatiseret kontrol.
Trin 2 er at teste design og udførelse hver for sig. En kontrol kan være godt designet og stadig fejle i praksis. Det klassiske eksempel er en godkendelsesregel, der findes i proceduren, men som rutinemæssigt omgås i driften. Her er interviews og stikprøver ofte mere værdifulde end dokumentgennemgang alene.
Trin 3 er at lukke fund med handling, ansvar og dato. Hvis testen viser afvigelser, skal de registreres, prioriteres og følges til dørs.
Prima Secure peger på samme disciplin i sin gennemgang af incident response-planer, hvor værdien netop ligger i, at fund og hændelser bliver oversat til klare roller, deadlines og dokumenteret opfølgning.
Hvis ikke, bliver monitorering kun rapportering uden effekt.
En almindelig misforståelse er, at test kun er en auditøvelse. I praksis kan driftsnære test være langt mere nyttige, fordi de viser, hvor processer bryder sammen under tidspres, systemskift eller personaleændringer.
Hvad er forskellen på forebyggende og detektive kontroller?
Forebyggende kontroller stopper fejl før de sker, mens detektive kontroller opdager dem bagefter. Begge typer er nødvendige, og virksomheder som SAP eller Microsoft bruges ofte som neutrale eksempler på, hvordan systemkontroller og logning kan spille sammen.
En forebyggende kontrol kan være krav om to godkendelser ved særlige betalinger, automatisk blokering af adgang til bestemte dataklasser eller due diligence før onboarding af en agent. En detektiv kontrol kan være stikprøver, logreview, afstemninger eller efterfølgende kontrol af usædvanlige transaktioner.
Hvis risikoen er høj og konsekvensen alvorlig, bør du som hovedregel prioritere forebyggende kontroller. Hvis processen skal være hurtig og fleksibel, kan flere detektive kontroller være mere realistiske. Trade-offet er klart: forebyggelse reducerer fejl tidligt, men kan sænke tempoet. Detektion giver mere fart, men kræver stærk opfølgning.
Den bedste model er ofte kombinationen. En adgangskontrol uden logreview kan overse misbrug. Et logreview uden adgangskontrol reagerer for sent.
Hvad er forskellen på intern kontrol og intern audit?
Intern kontrol er drift, mens intern audit er uafhængig vurdering. COSO og DOJ skelner tydeligt mellem de kontroller, virksomheden udfører, og den efterprøvning, der skal teste, om de virker.
Intern kontrol udføres dagligt eller løbende af ledere, medarbejdere, legal, compliance, finance og systemejere. Intern audit står typisk længere væk fra driften og vurderer design, effektivitet og modenhed på tværs af processer. Hvis virksomheden ikke har intern audit, kan ledelsen stadig arbejde med uafhængig test via andre funktioner eller ekstern bistand.
En typisk fejl er at tro, at intern audit kan erstatte driftskontroller. Det kan den ikke. Audit kan pege på huller, men kan ikke stå for den daglige udførelse af kontrollerne. Hvis første og anden linje ikke fungerer, bliver audit alene et bakspejl.
Hvis virksomheden er mindre, kan løsningen være proportionel. Du behøver ikke en stor auditfunktion for at have effektiv intern kontrol, men du behøver en metode til uafhængig test og ledelsesrapportering.
Hvordan håndterer du afvigelser, whistleblower-rapporter og remediation?
Afvigelser skal registreres, undersøges og lukkes med klare deadlines. OECD peger på whistleblower channels og beskyttelse af rapportører som en del af et sundt kontrolmiljø.
Når en afvigelse opstår, er første opgave at klassificere den. Er det en enkeltstående fejl, en procesfejl, et bevidst brud eller et symptom på utilstrækkelig styring? Den klassifikation styrer både undersøgelse og rapportering. Hvis sagen involverer høj risiko, ledelse eller mulig lovovertrædelse, skal eskalationen være hurtig og kontrolleret.
Whistleblower-kanaler er ikke kun et HR-værktøj. De er en detektiv kontrol, som kan fange forhold, andre kontroller ikke ser. Men kanalen virker kun, hvis medarbejderne stoler på processen, og hvis virksomheden beskytter fortrolighed og reagerer troværdigt.
Hvis en virksomhed gentagne gange ser de samme afvigelser, er problemet sjældent den enkelte medarbejder. Så er der ofte fejl i træning, incitamenter, systemopsætning eller ledelsesopfølgning.
Hvordan dokumenterer du intern kontrol uden unødigt bureaukrati?
Effektiv dokumentation er kort, sporbar og brugbar. COSO og Peter Hejler Consulting ApS peger i praksis på det samme: vis roller, kontroller, test og opfølgning, så ledelsen kan se, hvad der virker, og hvor risikoen stiger.
God dokumentation skal først og fremmest gøre det muligt at svare på fire spørgsmål: Hvilken risiko styrer vi? Hvilken kontrol bruger vi? Hvordan ved vi, at den blev udført? Hvad gør vi, hvis den fejler? Hvis dokumentationen ikke hjælper med det, er den formentlig for tung eller for løs.
Efter en kort procesbeskrivelse er det ofte nok med et kontrolregister og en enkel testlog. Det vigtige er ikke mængden af tekst, men sporbarheden mellem risiko, kontrol, test og afhjælpning.
En brugbar minimumsstruktur kan se sådan ud:
Risikoejer: Navn eller funktion med ansvar for proces og eskalation.
Kontrolbeskrivelse: Hvad der kontrolleres, hvordan, hvor ofte og med hvilket bevis.
Testmetode: Stikprøve, dataanalyse, interview, systemtest eller review.
Afvigelseslog: Fund, konsekvens, ansvarlig, deadline og lukningsstatus.
Praktisk råd: skriv dokumentation, som en ny leder kan overtage på en travl mandag morgen. Hvis kun forfatteren selv kan forstå kontrolsættet, er dokumentationen ikke robust nok.