En compliance-översikt är organisationens samlade och aktuella bild av regelefterlevnaden: vilka krav som gäller, hur väl de uppfylls, vilka risker som är öppna, vem som äger varje del och vad som ska göras härnäst. Rätt byggd svarar den på ledningens fråga “hur ligger vi till?” på några minuter, och den håller när en tillsynsmyndighet, en revisor eller en stor kund ber om underlag. Här går vi igenom vad översikten ska innehålla, hur du bygger den och hur du håller den levande året runt.
Kort sagt
- En compliance-översikt är inte ett dokument utan ett arbetsverktyg som kopplar ihop krav, risker, ansvar, åtgärder och bevis.
- Den ska täcka alla regelverk som faktiskt gäller din verksamhet, till exempel GDPR, NIS2, ISO 27001 och AI-förordningen, och vid behov sektorsregler från Finansinspektionen.
- Varje krav och varje risk behöver en namngiven ägare. Ansvaret för personuppgifter kan till exempel aldrig överlåtas.
- Översikten är bara så bra som dess senaste uppdatering. Bygg in en fast rytm med löpande, kvartalsvisa och årliga avstämningar.
- Det som avgör värdet är om den visar status och nästa steg, inte om den listar alla paragrafer.
Innehållsförteckning
- Vad en compliance-översikt är, och vad den inte är
- Regelverk som hör hemma i översikten
- Sju saker en användbar översikt visar
- Vem äger vad i översikten
- Så bygger du översikten steg för steg
- Så håller du översikten aktuell
- Exempel: från kalkylblad till styrbar översikt
- Tecken på dålig compliance
- Vår syn: översikten är ett styrverktyg, inte en rapport
- Så hjälper Trustview dig med översikten
- Vanliga frågor
- Källor
Vad en compliance-översikt är, och vad den inte är
Compliance betyder regelefterlevnad: de åtgärder och processer en organisation har för att följa de lagar, föreskrifter och standarder som gäller för verksamheten. En compliance-översikt är lagret ovanpå det arbetet. Den samlar resultatet av många separata processer och gör dem jämförbara.
Det är lätt att blanda ihop översikten med de underliggande dokumenten. Skillnaden är viktig:
- Registerförteckningen enligt GDPR beskriver vilka personuppgifter ni behandlar, varför och hur. Den är ett underlag, inte en översikt.
- Riskregistret listar identifierade risker och deras bedömning. Det visar inte i sig om kraven är uppfyllda.
- Policyer och rutiner beskriver hur arbetet ska gå till. De säger inget om huruvida det faktiskt görs.
- Compliance-översikten visar läget i alla delar samtidigt: vad som är klart, vad som brister, vad som är försenat och vem som ansvarar.
Grunden är densamma som i all regelefterlevnad: det som inte är dokumenterat är svårt att visa. Samma princip styr krav på dokumentation och arkivering inom ekonomi och redovisning, och den gäller fullt ut för dataskydd och informationssäkerhet. En bra översikt pekar därför alltid vidare till beviset, inte bara till en status.
Regelverk som hör hemma i översikten
Vilka krav som ska ingå beror på bransch, storlek och vilka tjänster du levererar. För de flesta svenska organisationer som arbetar med dataskydd och informationssäkerhet är det här de vanligaste byggstenarna:
- GDPR: registerförteckning, rättslig grund, konsekvensbedömningar (DPIA), personuppgiftsbiträdesavtal, tredjelandsöverföringar (TIA), registrerades rättigheter och incidenthantering.
- NIS2 och den svenska cybersäkerhetslagstiftningen: riskhantering, incidentrapportering, leverantörskedjans säkerhet och ledningens ansvar, för de verksamheter som omfattas.
- ISO 27001 och ISO 27002: frivilliga standarder, men ofta ett krav i upphandlingar och kundavtal. Läs mer om hur ISO 27001 i praktiken kan kopplas till övrigt säkerhetsarbete.
- AI-förordningen: inventering och klassning av AI-system som organisationen utvecklar eller använder.
- Sektorsregler: i finanssektorn ställer Finansinspektionen egna krav. FFFS 2014:1 om styrning, riskhantering och kontroll kräver till exempel en oberoende funktion för regelefterlevnad i kreditinstitut, och företag som omfattas av penningtvättslagen ska enligt Finansinspektionens föreskrifter FFFS 2017:11 ha rutiner för riskbedömning, kundkännedom, övervakning, rapportering och regelefterlevnad.
Börja med att kartlägga vilka regelverk som faktiskt gäller er. Vår lista över regulatoriska krav i Sverige 2026 är en bra startpunkt för den inventeringen.
Sju saker en användbar översikt visar
En översikt som bara listar regelverk ger ingen styrning. Den behöver visa sju saker för varje kravområde.
| Del | Vad översikten ska visa | Exempel |
|---|---|---|
| Krav | Vilket regelverk och vilken bestämmelse kravet kommer från | GDPR art. 30, registerförteckning |
| Status | Uppfyllt, delvis uppfyllt, ej uppfyllt eller ej bedömt | Delvis: HR-processerna saknas |
| Risk | Kopplade risker och deras nivå | Hög risk: okontrollerad export av kunddata |
| Ansvar | Kravägare, riskägare och åtgärdsansvarig | HR-chef äger HR-behandlingarna |
| Åtgärd | Planerad åtgärd, deadline och prioritet | Uppdatera förteckningen före kvartalsslut |
| Bevis | Länk till underlaget som visar efterlevnad | DPIA, avtal, utbildningslogg |
| Uppföljning | Senaste granskning och nästa kontroll | Granskad i mars, nästa kontroll i september |
Utöver tabellen per krav behöver ledningen en sammanfattande bild. MSB:s stöd om ledningens roll beskriver att ledningen bör hålla sig informerad om aktuella risker och status i säkerhetsarbetet, bland annat genom frågor om incidenter, revisioner, uppföljning och leverantörer. Det ger fyra naturliga rubriker för ledningsvyn:
- Incidenter: antal, allvarlighetsgrad, rapporteringar till myndighet och öppna utredningar.
- Revisioner och granskningar: interna och externa fynd och hur många som är åtgärdade.
- Uppföljning av åtgärder: försenade åtgärder och var de fastnat.
- Leverantörer: kritiska leverantörer, genomförda bedömningar och avtal som saknas. En modell för leverantörsriskklassning gör det lättare att se vilka leverantörer som kräver mest uppmärksamhet.
Två principer gör skillnaden mellan en snygg översikt och en som håller vid granskning. Den första är dokumentationen: IMY anger att dokumentation är viktig för att kunna visa att GDPR följs, och att riskhanteringen ska dokumentera identifierade risker, riskanalys och riskreducerande åtgärder. Den andra är att status ska spegla verkligheten. MSB framhåller att en säkerhetsåtgärd skyddar först när den är införd och fungerar väl. En åtgärd som är beslutad men inte införd ska alltså inte markeras som klar.
Inom operativa processer blir detta extra tydligt. Den som spelar in kundsamtal behöver till exempel kunna visa konkreta operativa kontroller för samtalsinspelning, inte bara en policy som säger att inspelningen sker lagligt.
Vem äger vad i översikten
En compliance-översikt utan namngivna ägare blir snabbt en lista över allt som ingen gör. Ansvaret behöver beskrivas på tre nivåer.
Ledningen. Ytterst ansvarar ledningen för att verksamheten följer lagen. I finanssektorn är det uttryckligt: enligt Finansinspektionens föreskrifter om värdepappersrörelse ska företagsledningen säkerställa att företaget fullgör sina skyldigheter, bedöma riktlinjerna och korrigera brister i regelefterlevnaden. För dataskydd gäller att den personuppgiftsansvarige kan överlåta själva behandlingen till ett biträde, men personuppgiftsansvaret kan aldrig överlåtas.
Linjen. I systematiskt informationssäkerhetsarbete enligt ISO/IEC 27000-serien ansvarar varje chef för säker hantering av informationen inom sitt område, och den som ansvarar för informationen är också riskägare, enligt MSB:s stöd om ledningens roll. Samtidigt beskriver MSB riskägare och ansvariga för säkerhetsåtgärder som separata roller. I översikten betyder det att varje rad behöver minst två namn: den som äger risken och den som genomför åtgärden. Samma logik återfinns i riskägarskap enligt ISO 31000, där riskhantering är en del av verksamhetsstyrningen snarare än en separat säkerhetsfråga.
Samordnaren. Någon behöver hålla ihop helheten. MSB:s exempel på en informationssäkerhetssamordnare i en region visar en roll som leder och samordnar arbetet, tar fram strategier för omvärldsanalys och hanterar riskförteckningar. I många organisationer delas uppgiften mellan dataskyddsombud, CISO och chefsjurist. Läs mer om dataskyddsombudets roll och var gränsen går mot personuppgiftsansvaret.
Så bygger du översikten steg för steg
- Inventera regelverken. Lista vilka lagar, föreskrifter och standarder som gäller. Ta med avtalskrav från kunder, som krav på ISO 27001-certifiering.
- Bryt ner varje regelverk i kontrollerbara krav. “Följa GDPR” går inte att följa upp. “Registerförteckningen är uppdaterad för alla avdelningar” går det.
- Koppla kraven till underlagen. Registerförteckning, DPIA, leverantörsbedömningar, policyer och incidentlogg. Vår praktiska guide till registerförteckningen visar hur grunden byggs.
- Gör en första statusbedömning. Var ärlig. “Ej bedömt” är bättre än ett grönt fält som inte stämmer.
- Riskbedöm bristerna. Alla brister är inte lika allvarliga. Vid en konsekvensbedömning beskriver man enligt IMY:s vägledning behandlingen, gör en rättslig analys och identifierar, analyserar och åtgärdar risker. Samma ordning fungerar för hela översikten. Med riskbaserad prioritering lägger du resurserna där risken är störst.
- Utse ägare och sätt deadlines. Varje öppen punkt får en ansvarig och ett datum.
- Bestäm rapporteringen. Vem får vilken vy, hur ofta och i vilket format? Ledningen behöver en sammanfattning, linjecheferna sina egna rader.
Så håller du översikten aktuell
Den vanligaste orsaken till att en compliance-översikt tappar värde är att den byggs som ett projekt och sedan lämnas orörd. Regelverk ändras, system byts ut, leverantörer tillkommer och personal slutar. Översikten behöver därför en fast rytm.
| Rytm | Vad som uppdateras | Vem |
|---|---|---|
| Löpande | Incidenter, nya behandlingar, nya leverantörer, avslutade åtgärder | Linjen och samordnaren |
| Månadsvis | Försenade åtgärder och nya risker | Samordnare, DPO, CISO |
| Kvartalsvis | Statusbedömning per regelverk och ledningsrapport | Samordnare och ledning |
| Årligen | Fullständig genomgång av regelverk, roller och riskbedömningar | Ledning, jurist, revision |
Den årliga rapporten till ledningen är i vissa sektorer ett direkt krav. Ett värdepappersföretag ska enligt FFFS 2007:16 säkerställa att företagsledningen regelbundet, och minst en gång per år, får skriftliga rapporter om regelefterlevnad, riskhantering och internrevision, inklusive åtgärder vid brister. Även där kravet inte gäller är det en rimlig miniminivå.
Rytmen blir lättare att hålla om arbetet är en del av vardagen. MSB betonar att säkerhetsfrågor som integreras i det dagliga arbetet ger bättre möjligheter till ett väl anpassat skydd som balanserar effekt och kostnad. I praktiken betyder det att en ny leverantör bedöms när den upphandlas, inte vid nästa årsgenomgång, och att en ny behandling registreras när den startar. Automatisering i compliance tar bort mycket av det manuella arbetet med påminnelser och uppföljning.
Exempel: från kalkylblad till styrbar översikt
Ett tänkt exempel: Ett svenskt teknikbolag med 250 anställda säljer en molntjänst till offentlig sektor. Dataskyddsombudet har en registerförteckning i ett kalkylblad, CISO:n en egen risklista och chefsjuristen en mapp med personuppgiftsbiträdesavtal. När en stor kund begär underlag inför en upphandling tar det tre veckor att sammanställa svaren.
Bolaget gör om arbetet i fyra steg:
- Alla krav från GDPR, ISO 27001 och kundavtalen samlas i en gemensam kravlista.
- Registerförteckningen, risklistan och avtalen kopplas till respektive krav som bevis.
- Varje avdelningschef blir ägare för sina behandlingar och risker, med CISO:n och DPO:n som stöd.
- Ledningen får en kvartalsvy med incidenter, försenade åtgärder och status för kritiska leverantörer.
Nästa gång en kund ställer frågor finns svaren redan, och ledningen ser själv var bristerna finns i stället för att få höra om dem efter en incident.
Tecken på dålig compliance
Dålig compliance innebär att organisationen inte följer de regler som gäller för verksamheten. Konsekvenserna kan bli sanktionsavgifter, ingripanden från tillsynsmyndigheter, tvister och skadat förtroende hos kunder. Bristerna syns ofta i översikten långt innan de blir ett problem, om du vet vad du ska leta efter:
- Gröna fält utan bevis. Status är “uppfyllt”, men det finns inget underlag att visa.
- Ägarlösa rader. Krav och risker som ligger på “IT” eller “juridik” i stället för en person.
- Gamla datum. Riskbedömningar och leverantörsgranskningar som inte rörts på flera år.
- Åtgärder som aldrig stängs. Samma punkter flyttas från kvartal till kvartal.
- Silos. Dataskydd, informationssäkerhet och avtalsfrågor följs upp i olika verktyg utan koppling.
Det handlar i grunden om att kunna visa att du följer GDPR, inte bara att du försöker.
Vår syn: översikten är ett styrverktyg, inte en rapport
Vi möter ofta organisationer som har gjort ett gediget arbete med GDPR, NIS2 eller ISO 27001, men där resultatet ligger utspritt i kalkylblad, mappar och mejltrådar. Kunskapen finns, men ingen kan på rak arm säga hur läget är. Då blir compliance en kostnad snarare än ett stöd för verksamheten.
Vår erfarenhet som jurister är att en översikt bara fungerar om den är byggd på samma struktur som det underliggande arbetet. Om registerförteckningen, konsekvensbedömningarna, incidentloggen och leverantörsbedömningarna lever i samma system blir översikten en följd av arbetet, inte ett extra moment. Det är också därför vi låter organisationer skapa egna ramverk och följa flera regelverk samtidigt: ett krav i ISO 27001 och ett krav i NIS2 handlar ofta om samma åtgärd, och den ska bara behöva göras och dokumenteras en gång.
Vårt råd är att börja smalt. Välj det regelverk där risken är störst, få ordning på ägarskap och bevis där, och bygg sedan vidare. En ärlig översikt med gula och röda fält är mer värd än en grön som ingen litar på.
— Jesper
Så hjälper Trustview dig med översikten
Trustview är en svenskutvecklad plattform byggd av jurister för arbete med compliance, dataskydd och informationssäkerhet. Du får registerförteckning, DPIA och TIA, risk- och incidentloggning, leverantörsbedömningar, delegering av ansvar och uppföljning av åtgärder på ett ställe, med realtidsöversikt över compliance-status och automatiserade rapporter. Plattformen stödjer bland annat GDPR, NIS2, ISO 27000 och AI-förordningen, och med stöd för flera ramverk kan du följa dem parallellt. Trustview kostar från 2 500 kr per månad, och vid behov kan du komplettera med juridisk rådgivning.
Vanliga frågor
Vad är dålig compliance?
Dålig compliance innebär att organisationen inte följer de lagar, föreskrifter och standarder som gäller för verksamheten. Det kan handla om saknade konsekvensbedömningar, ofullständig registerförteckning eller leverantörer som aldrig granskats. Konsekvenserna kan vara sanktionsavgifter, rättsliga åtgärder och skadat förtroende.
Vad heter compliance officer på svenska?
Den vanligaste svenska benämningen är regelefterlevnadsansvarig, och funktionen kallas ofta compliancefunktion eller funktion för regelefterlevnad. I finanssektorn är funktionen reglerad och ska i vissa fall vara oberoende. Inom dataskydd har dataskyddsombudet en närliggande men separat roll.
Hur ofta ska en compliance-översikt uppdateras?
Incidenter, nya behandlingar och nya leverantörer bör registreras löpande. En statusbedömning per regelverk passar de flesta kvartalsvis, och en fullständig genomgång med rapport till ledningen bör göras minst en gång per år. För värdepappersföretag är den årliga skriftliga rapporten ett krav.
Räcker det med ett kalkylblad?
För en liten organisation med ett regelverk kan ett kalkylblad fungera i början. När flera regelverk, ägare och bevis ska kopplas ihop blir det svårt att hålla versioner, påminnelser och historik i ordning. Då sparar en dedikerad plattform tid och minskar risken för att statusen inte stämmer.
Källor
- Finansinspektionen: FFFS 2017:11, konsoliderad version
- FAR Online: FFFS 2014:1 Styrning, riskhantering och kontroll i kreditinstitut
- Finansinspektionen: FFFS 2007:16 om värdepappersrörelse
- MSB: Ledningens roll inom informations- och cybersäkerhet
- MSB: Utforma organisationens säkerhetsåtgärder
- MSB: Informationssäkerhetssamordnare, region (exempel)
- IMY: Hur ska en konsekvensbedömning genomföras?
- IMY: Personuppgiftsansvariga och personuppgiftsbiträden
