Etterlevelsesrisikoer

Etterlevelsesrisikoer er risikoen for ikke å oppfylle gjeldende lover, regler, forskrifter eller interne policyer og forventninger fra interessenter. Slike brudd kan medføre bøter, rettslige sanksjoner, tap av lisenser, erstatningsansvar og betydelig omdømmerisiko. Risikoen gjelder alle virksomheter og oppstår ofte ved ny regulering, uklar kravtolkning eller svikt i interne prosesser.

Hovedkategorier inkluderer juridisk og regulatorisk risiko (skatt, finansiell rapportering, konkurranse- og arbeidsmiljølovgivning), personvern og databeskyttelse (GDPR), anti-korrupsjon (FCPA, UK Bribery Act), eksportkontroll og sanksjoner, miljø, helse og sikkerhet samt produktansvar og kontraktskrav. Risiko knyttet til tredjeparter og leverandører og til endrede regler er også viktig.

Håndtering skjer innenfor GRC (governance, risk, compliance). Tiltak inkluderer et complianceprogram med styringsområder, policyer og prosedyrer, risikovurdering, kontrolldesign og testing, opplæring, leverandørdue diligence, samt kontinuerlig overvåking og internrevisjon. Ved avvik kommer hendelsesrapportering, rotårsaksanalyse og korrigerende tiltak.

Måling av etterlevelse bruker KRIs, antall avvik og bøter, tid til utbedring og kontrollkvalitet. Regelverksendringer, databeskyttelse og tredjepartsrisiko krever kontinuerlig overvåking. Mange program bruker standarder som ISO 37301 eller COSO-rammeverk for å vurdere modenhet og samsvar.

Etterlevelsesrisiko overlapper ofte med operasjonell risiko og omdømmerisiko. God styring og kontinuerlig oppdatering av kontrollmiljøet er nødvendig i et dynamisk regelverk.