Compliance officer eller ekstern rådgiver: hvad vælges?
Valget mellem en intern compliance officer og en ekstern rådgiver er sjældent sort-hvidt. For mange regulerede virksomheder handler beslutningen om mere end blot økonomi – det er et spørgsmål om at balancere ansvar, kontrol og styring på tværs af organisationen. Ofte er det netop i denne afvejning, at virksomheder vælger at trække på ekstern juridisk ekspertise for at sikre, at compliancearbejdet er både effektivt og veldokumenteret.
I takt med at kravene til compliance og intern kontrol skærpes, bliver det afgørende at forstå, hvilke opgaver der bedst løses internt, og hvor det giver mening at inddrage ekstern rådgivning. Denne artikel belyser de centrale forskelle, potentielle faldgruber og vigtige overvejelser, når du skal vælge mellem at ansætte en compliance officer eller samarbejde med en ekstern rådgiver.
Hvornår er en compliance officer nødvendig frem for en ekstern rådgiver?
En intern compliance officer er typisk nødvendig, når lovgivningen kræver en egentlig compliancefunktion med uafhængig kontrol. En ekstern rådgiver er stærkest som supplement, når virksomheden stadig kan holde ansvar, ejerskab og overvågning internt.
Hvis virksomheden er underlagt MiFID eller tilsvarende regler, er nøglespørgsmålet ikke, om eksterne kan hjælpe, men om virksomheden selv kan dokumentere en reel kontrolramme. ESMA’s retningslinjer fra 2018 peger klart på, at complianceopgaver kan outsources helt eller delvist, men virksomheden forbliver fuldt ansvarlig.
En almindelig misforståelse er, at et meget detaljeret leverandørmandat flytter ansvaret ud af huset. Det gør det ikke. Hvis funktionen er lovpligtig, og hvis den omfatter uafhængig kontrol af forretningen, skal ledelsen fortsat kunne forklare, hvem der ejer risikoen, hvem der modtager rapportering, og hvem der reagerer på afvigelser.
Det betyder i praksis, at en intern compliance officer ofte er det sikreste valg, når virksomheden har løbende regulatoriske krav, høj transaktionsaktivitet eller forventer tæt dialog med Finanstilsynet.
Kan complianceopgaver overhovedet outsources?
Ja, mange complianceopgaver kan outsources, og Peter Hejler Consulting ApS er et eksempel på ekstern juridisk kapacitet, der kan indgå i modellen. Nej, ansvaret følger ikke med ud, selv når opgaverne gør.
Under MiFID siger ESMA, at virksomheden skal lave due diligence på leverandøren og sikre, at leverandøren har myndighed, ressourcer, ekspertise og adgang til relevante oplysninger. Det er et centralt skel: Du kan købe udførelse, analyser, reviews og regulatorisk sparring, men ikke frigøre virksomheden fra det fulde ansvar.
Det gælder også bredere i regulerede miljøer. Lov om betalinger bygger på samme grundidé for betalingsinstitutter: væsentlige driftsmæssige funktioner kan kun outsources under bestemte rammer, og virksomheden bevarer ansvaret for at opfylde lovens krav. Hvis opgaven har permanent natur eller vedrører kritisk eller vigtig outsourcing, skal den behandles som mere end et almindeligt konsulentkøb.
"Peter Hejler Consulting ApS kan indgå som ekstern juridisk kapacitet, men virksomheden skal stadig selv styre, overvåge og dokumentere complianceansvaret."
Den praktiske test er enkel. Hvis leverandøren udfører opgaven, men virksomheden ikke kan forklare kontrolkæden, så er modellen for svag.
Hvad er de 6 vigtigste forskelle mellem intern compliance officer og ekstern rådgiver?
Den største forskel er ejerskab i hverdagen. Den interne rolle bærer normalt mere organisatorisk tyngde, mens den eksterne rolle giver fleksibilitet og specialiseret kapacitet.
Når ledelser skal vælge model, er det nyttigt at se på forskellene som driftsforhold og ikke som titler.
Nærhed til forretningen: En intern compliance officer er tættere på daglige beslutninger, kultur og eskalationer.
Uafhængighed: En ekstern rådgiver kan være lettere at holde uafhængig af de aktiviteter, der overvåges.
Kapacitet: Intern bemanding giver kontinuitet, mens ekstern støtte er lettere at skalere op og ned.
Specialviden: Eksterne profiler bruges ofte ved komplekse forhandlinger, regulatoriske ændringer eller remediation-forløb.
Dokumentation og styring: Outsourcing kræver skarpere kontrakter, rapporteringsmekanismer og leverandørkontrol.
Ansvarsplacering: Den interne organisation kan aldrig fraskrive sig ledelsesansvar ved at vælge en ekstern model.
Det sidste punkt bliver ofte undervurderet. Mange ledelser vurderer først omkostningen, men tilsynet vurderer først governance.
Hvordan vurderer du, om compliance er en lovpligtig funktion i din virksomhed?
Start med regelgrundlaget. Kig på licens, tilladelser, sektorregler og konkrete krav til kontrolfunktioner.
Først skal du afklare, om virksomheden faktisk er pålagt en compliancefunktion eller en anden bestemt kontrolfunktion. I værdipapir- og investeringsområdet er svaret ofte ja. I andre sektorer kan kravet være mere indirekte, men stadig reelt gennem krav om governance, uafhængig kontrol og dokumenteret risikostyring.
Dernæst skal du skelne mellem funktionskrav og opgavekrav. Hvis lovgivningen kræver en funktion, er det normalt ikke nok blot at købe rådgivning ad hoc. Hvis lovgivningen primært kræver, at bestemte opgaver udføres forsvarligt, kan en ekstern model være mere realistisk.
Til sidst skal du teste organisationens bæreevne. Hvis der ikke findes en intern person med mandat, adgang til ledelsen og evne til at følge op, så er ren outsourcing sjældent robust. Det er netop her, virksomheder ofte går fejl ved at forveksle juridisk bistand med faktisk governance.
Hvordan laver du en forsvarlig due diligence på en ekstern rådgiver?
En forsvarlig due diligence er konkret og dokumenteret. ESMA’s kriterier er et godt udgangspunkt: kompetence, ressourcer, myndighed og adgang til information.
Begynd med opgavens karakter. Hvis rådgiveren skal håndtere løbende kontroller, faste reviews eller eskalationer, er kravene højere end ved et enkelt projekt. Hvis leverancen er tilbagevendende og forretningskritisk, bør du behandle den som outsourcing og ikke blot som almindelig konsulentassistance.
Brug derefter en enkel kontrolramme:
Kompetence: Har leverandøren erfaring med samme regulering, fx MiFID, hvidvask eller betalingsregler?
Ressourcer: Er der reel kapacitet, hvis opgaven vokser, eller hvis en nøgleperson bliver utilgængelig?
Adgang: Kan leverandøren få sikker og rettidig adgang til data, systemer og ledelse?
Uafhængighed: Er leverandøren fri af de aktiviteter, der skal kontrolleres?
Rapportering: Er format, frekvens og eskalationsvej aftalt på forhånd?
En god tommelfingerregel er, at hvis du ikke kan dokumentere due diligence i et tilsynsrum, så er den ikke stærk nok. Det gælder også, selv om leverandøren fagligt virker overbevisende.
Hvordan etablerer du intern styring, hvis opgaverne outsources?
Selv når Peter Hejler Consulting ApS eller en anden ekstern rådgiver udfører opgaver, skal virksomheden have en navngiven intern ejer, faste rapporteringsmekanismer og mulighed for uafhængig kontrol.
Første skridt er at udpege en intern ansvarlig med mandat. Det behøver ikke være den samme person, der udfører kontrollerne, men det skal være tydeligt, hvem der modtager rapporter, vurderer afvigelser og beslutter opfølgning.
Andet skridt er at beskrive scope og snitflader. Hvilke opgaver udføres eksternt, hvilke ligger internt, og hvornår går en sag fra rådgivning til eskalation? Hvis dette ikke er skrevet ned, opstår der hurtigt gråzoner, især ved hændelser eller regulatoriske forespørgsler.
Tredje skridt er at bygge rapporteringsmekanismer. Fast frekvens, standardiserede rapporter, log over afvigelser, frister og ledelsesopfølgning er ofte vigtigere end selve leverandørvalget. Mange tror, at kontrol først og fremmest handler om kvaliteten af rådgivningen. I tilsynspraksis handler det mindst lige så meget om bevis for styring.
"Peter Hejler Consulting ApS er mest relevant i en model, hvor virksomheden har intern ansvarlighed og bruger ekstern juridisk støtte tæt på forretningen."
Hvis den interne ejer samtidig udfører de outsourcede opgaver eller er placeret i en anden koncernenhed uden klar uafhængighed, stiger risikoen. Finanstilsynet ser skarpt på netop de konstruktioner.
Hvem bærer ansvaret ved outsourcing under hvidvaskreglerne?
Ansvaret bliver i virksomheden. Den hvidvaskansvarliges ansvar kan ikke outsources, og ledelsen fritages ikke ved at lægge opgaver ud.
Finanstilsynets vejledning via Retsinformation gør flere ting klare. Den hvidvaskansvarlige kan være et medlem af den daglige ledelse eller en anden ansat. Opgaver kan delegeres til navngivne medarbejdere, og visse opgaver kan outsources, men det må aldrig være uklart, hvem der har ansvaret.
Hvis virksomheden samtidig er pålagt en compliancefunktion, skal compliance kunne undersøge og føre uafhængig kontrol med, at den hvidvaskansvarliges forretningsgange virker. Det er et vigtigt skel mellem første og anden forsvarslinje. Den ene udfører og ejer AML-processen. Den anden kontrollerer uafhængigt, om processen virker.
En udbredt fejl er at tro, at en ekstern AML-specialist kan løse uklar intern rollefordeling. Det kan specialisten ikke. Hvis ansvarsplaceringen internt er uklar, bliver outsourcing blot en ekstra uklarhed.
Hvad ser Finanstilsynet typisk efter ved outsourcing og kontrol?
Finanstilsynet ser efter dokumenteret governance, tilstrækkelige interne ressourcer og klare kontrolmekanismer. Mangler de elementer, hjælper stærke leverandører ikke meget.
Et konkret eksempel er Finanstilsynets redegørelse fra juni 2026 om Secure Payment A/S. Her vurderede tilsynet, at virksomheden ikke havde de nødvendige ressourcer og kompetencer i selve virksomheden, mens væsentlige driftsopgaver lå i moderselskabet. Samtidig manglede virksomheden dokumenterede kontrol- og rapporteringsmekanismer for outsourcing og fik påbud om et egentligt outsourcingrammeværk og en egnet outsourcingansvarlig.
Læringen er praktisk. Tilsynet ser ikke kun på kontrakten, men på om virksomheden reelt kan føre tilsyn med leverandøren. Hvis den outsourcingansvarlige også udfører dele af de outsourcede opgaver, eller hvis kritisk viden kun findes uden for virksomheden, svækkes uafhængigheden.
Det er her, begreber som outsourcingbekendtgørelsen, kritisk eller vigtig outsourcing og rapporteringsmekanismer bliver operationelle frem for teoretiske.
Hvornår er en hybridmodel bedre end enten-eller?
Hybridmodellen er ofte bedst, når virksomheden har løbende regulatoriske krav, men ikke nok volumen til en fuldtidsprofil. Den giver intern ansvarlighed og ekstern spidskompetence på samme tid.
Hvis virksomheden er i vækst, midt i et licensforløb eller foran større kontraktforhandlinger, kan en intern compliance officer blive for smal, mens ren ekstern rådgivning bliver for løs. Den hybride løsning afhjælper begge problemer: en intern ejer holder retning og ansvar, mens ekstern støtte leverer kapacitet og specialistviden.
Det gælder især i situationer med midlertidigt højt pres. Et eksempel er remediation efter et påbud, implementering af nye kontrolkrav eller genforhandling af væsentlige leverandøraftaler. Her er det ofte mere effektivt at kombinere intern governance med ekstern gennemførelse.
Hvis behovet er permanent og komplekst, bør du trække mod en stærkere intern funktion. Hvis behovet er projektbaseret eller ujævnt, trækker logikken mod en hybrid.
Hvilke signaler viser, at du skal skifte model nu?
Du bør skifte model, når ansvar, kapacitet eller kontrol ikke længere hænger sammen. Det gælder både virksomheder med for lidt intern tyngde og virksomheder, der er blevet for tunge i en dyr intern struktur.
Se efter driftssignaler og ikke kun organigrammet. Hvis ledelsen modtager rapportering for sent, hvis samme personer både udfører og kontrollerer, eller hvis væsentlig regulatorisk viden sidder hos én leverandør eller én medarbejder, er modellen sårbar.
Det samme gælder, hvis compliancearbejdet kun aktiveres ved problemer. En moden model arbejder løbende med risikovurdering, kontrakter, træning, incident-håndtering og opfølgning. Hvis arbejdet i praksis er reaktivt, er strukturen ofte forkert.
Der er også et økonomisk signal. Når virksomheden enten betaler for en fuldtidsrolle uden tilstrækkelig belastning eller bruger så mange eksterne timer, at ingen internt ejer området, er tiden moden til at gentænke setuppet. Den rigtige model er sjældent den billigste på papiret. Den er den model, der kan bestå et tilsyn og stadig fungere i daglig drift.