Compliance er en arbeidsflyt
Mange virksomheter behandler compliance som en periodevis opprydding: dokumenter samles, avvik forklares og signaturer jages rett før revisjon, kontroll eller kundekrav. Det er tungt fordi dokumentasjonen da forsøker å rekonstruere drift som allerede har skjedd.
En mer robust modell er å la driften lage bevisene mens den skjer. Når en arbeidsordre utføres, bør den kunne knyttes til et kontrollpunkt. Når et avvik registreres, bør tiltak og ansvarlig person oppstå i samme kjede. Når et dokument krever bekreftelse, bør lesing eller signering lagres som sporbar hendelse.
God compliance management er ikke flest mulig skjemaer. Det er færrest mulig hull mellom krav, handling og bevis.
Hva må henge sammen?
- Krav: Hva må virksomheten dokumentere, og hvorfor?
- Ansvar: Hvem skal utføre, kontrollere, godkjenne eller følge opp?
- Bevis: Hvilke hendelser viser at arbeidet faktisk er gjort?
- Avvik: Hva skjer når arbeidet ikke kan godkjennes?
- Tiltak: Hvem eier oppfølgingen, og når skal den være lukket?
- Historikk: Kan endringer, signaturer og godkjenninger etterprøves?
Hvorfor enkeltverktøy ofte svikter
Et skjema kan dokumentere en hendelse, men det vet ofte ikke om vakten var lovlig planlagt, om personen hadde rett rolle, om dokumentet var signert, om tiltaket ble lukket, eller om rapporten havnet i riktig internkontrollmappe. Da oppstår det manuelle mellomrom. Det er i mellomrommene compliance vanligvis ryker.
Derfor bør compliance management ses som en sammenhengende driftsmodell: bemanning, oppgaver, HMS, dokumenter, signering, rapporter og tiltak må kunne peke på hverandre.
Praktisk sjekkliste
- Definer hvilke krav som gjelder for hver prosess.
- Knytt kravene til konkrete arbeidsflyter, ikke bare dokumenter.
- Lag bevis automatisk når arbeid utføres.
- Skill mellom utkast, godkjent, signert og historisk versjon.
- Gjør avvik og tiltak til førsteordens objekter, ikke fritekst i rapporter.
- Ha lesekvittering, signatur, audit-logg eller annen sporbar bekreftelse der risikoen krever det.
Denne artikkelen er informativ og ikke juridisk rådgivning. Konkrete plikter må vurderes mot virksomhetens bransje, roller og avtaler.