Risikostyring og etterlevelse

Risikostyring og etterlevelse henger sammen, fordi de fleste regelverk krever at virksomheten vurderer risikoene sine og kan vise hva den har gjort med dem. Det gjelder GDPR og digitalsikkerhetsloven, men også reglene om internkontroll i staten og i kommunene. Vil dere samle risikoer, tiltak og dokumentasjon for personvernet ett sted, kan dere bruke et internkontrollsystem for personvern.

Dette må du vite:

• Etterlevelse handler om å følge lover og regler, risikostyring om å forutse det som kan hindre virksomheten i å nå målene sine. Lovkravene gjør at de to ikke kan skilles fra hverandre
• Statlige virksomheter skal etter økonomiregelverket ha internkontroll som er tilpasset risiko og vesentlighet
• Kommuner og fylkeskommuner skal etter kommuneloven § 25-1 ha internkontroll for å sikre at lover og forskrifter følges
• Juridisk risikostyring betyr at dere vurderer risikoen for å bryte lover og avtaler, og hva det kan koste
• Tilsyn og revisjon ser sjelden bare på om dere følger reglene, men på om dere kan dokumentere det

Hvordan henger risikostyring og etterlevelse sammen?

Risikostyring og etterlevelse henger sammen fordi moderne regelverk er risikobaserte: de sier ikke nøyaktig hvilke tiltak dere skal gjennomføre, men krever at dere vurderer risikoene og velger tiltak ut fra dem.

Etterlevelse, ofte kalt compliance, betyr at virksomheten følger de lovene, forskriftene og interne reglene som gjelder for den. Se også hva er compliance. Risikostyring betyr at virksomheten systematisk identifiserer, vurderer og håndterer det som kan hindre den i å nå målene sine. Å bryte en lov er en slik risiko, og derfor er etterlevelse i praksis et av de viktigste områdene i risikostyringen.

Sammenhengen går også den andre veien. GDPR krever i artikkel 24 og artikkel 32 at tiltakene står i forhold til risikoen, og digitalsikkerhetsloven (LOV-2023-12-20-108) krever risikobaserte sikkerhetstiltak. Den som ikke har vurdert risikoene sine, kan altså ikke vise at den følger reglene. Det er kjernen i prinsippet om ansvarlighet: dere skal ikke bare følge reglene, dere skal kunne vise at dere gjør det.

Når etterlevelse og risikostyring drives i samme struktur, blir det lettere å se hvilke risikoer som henger sammen med hvilke lovkrav. Mange organisasjoner samler arbeidet under begrepet GRC, styring, risiko og etterlevelse (governance, risk and compliance). Hvordan GRC kan bygges inn i et verktøy for personvern og informasjonssikkerhet, er beskrevet i artikkelen om GRC i Draftits produkt.

Hva er juridisk risikostyring?

Juridisk risikostyring er å identifisere og håndtere risikoen for at virksomheten bryter lover, forskrifter eller avtaler, og de konsekvensene det kan få.

Juridiske risikoer skiller seg fra tekniske og operative risikoer ved at konsekvensen ofte bestemmes av noen andre, for eksempel en tilsynsmyndighet eller en domstol. Konsekvensene kan være:

• Overtredelsesgebyr: Etter GDPR opptil 20 millioner euro eller 4 % av global årlig omsetning, avhengig av overtredelsen. I Norge kan Datatilsynet også ilegge offentlige myndigheter og organer gebyr, etter personopplysningsloven § 26.
• Erstatning: De registrerte har rett til erstatning for skade etter artikkel 82 i personvernforordningen.
• Pålegg og forbud: Datatilsynet kan forby en behandling eller pålegge dere å endre den innen en frist.
• Avtalerisiko: Mangler i databehandleravtaler eller leverandøravtaler kan føre til krav fra kunder eller samarbeidspartnere.
• Omdømmetap: Offentlige vedtak fra Datatilsynet påvirker forholdet til kunder, innbyggere og ansatte.

Juridisk risikostyring følger samme prosess som annen risikostyring. Forskjellen er at identifiseringen tar utgangspunkt i regelverkene: hvilke krav gjelder for oss, hvor er hullene, og hva skjer hvis de blir oppdaget?

Eksempler på juridiske risikoer i personvernarbeidet

Juridiske risikoer oppstår ofte i det daglige arbeidet, ikke bare i store prosjekter:

• "Vi har tatt i bruk et nytt rekrutteringsverktøy, men ingen har sjekket om databehandleravtalen dekker overføring til USA."
• "Behandlingsprotokollen ble sist oppdatert for 3 år siden, og siden da har vi byttet 2 fagsystemer."
• "Vi lagrer opplysninger om tidligere kunder lenger enn slettereglene våre sier, fordi ingen eier spørsmålet."

Risikostyring og internkontroll

Internkontroll er virksomhetens system for å sikre at mål nås, regler følges og ressurser brukes riktig, og risikostyring er grunnlaget for internkontrollen.

Internkontrollen bygger på risikovurderingen. Dere vurderer hvilke risikoer som truer virksomheten, velger kontroller som reduserer dem, og følger opp at kontrollene virker. Kontrollene kan være manuelle, som attestasjon og gjennomgang av tilganger, eller automatiske, som sperrer i et system.

En vanlig modell for å fordele ansvaret er de 3 forsvarslinjene:

Modellen er ikke lovpålagt for de fleste virksomheter, men den gjør det tydelig hvem som gjør hva. Personvernombudet hører hjemme i andre linje, fordi rollen etter artikkel 39 i personvernforordningen er å gi råd og overvåke, ikke å eie risikoer.

Risikostyring i offentlig sektor

Statlige virksomheter, kommuner og fylkeskommuner har uttrykkelige lovkrav til risikostyring og internkontroll, i tillegg til kravene i GDPR og annet sektorregelverk.

Økonomiregelverket i staten

Økonomiregelverket i staten krever at alle statlige virksomheter har internkontroll som er tilpasset risiko og vesentlighet, og som er innebygd i virksomhetens interne styring.

Regelverket består av Reglement for økonomistyring i staten og Bestemmelser om økonomistyring i staten, fastsatt av Finansdepartementet. Etter § 14 i reglementet skal virksomhetene ha systemer og rutiner med innebygd internkontroll, blant annet for å sikre at mål nås, at ressursbruken er effektiv og at misligheter forebygges og avdekkes. Bestemmelsene punkt 2.4 legger ansvaret på ledelsen: den skal påse at internkontrollen er tilpasset risiko og vesentlighet, at den fungerer og at den kan dokumenteres. Direktoratet for forvaltning og økonomistyring (DFØ) har veiledere i både risikostyring og internkontroll som viser hvordan kravene kan omsettes i praksis.

For informasjonssikkerhet kommer eForvaltningsforskriften § 15 i tillegg. Den krever at forvaltningsorganer som bruker elektronisk kommunikasjon, har mål og strategi for informasjonssikkerhet, og at disse danner grunnlaget for internkontrollen på området. Sikkerhetsstrategien og internkontrollen skal også omfatte relevante krav i annen lov, forskrift eller instruks, og dermed også personvernkravene.

Internkontroll i kommunene 

Kommuneloven § 25-1 krever at kommuner og fylkeskommuner har internkontroll med administrasjonens virksomhet for å sikre at lover og forskrifter følges, og kommunedirektøren har ansvaret.

Internkontrollen skal være systematisk og tilpasset virksomhetens størrelse, egenart, aktiviteter og risikoforhold. Kommunedirektøren skal blant annet ha nødvendige rutiner og prosedyrer, avdekke og følge opp avvik og risiko for avvik, dokumentere internkontrollen i nødvendig omfang og evaluere og forbedre rutinene. Etter § 25-2 skal kommunedirektøren rapportere til kommunestyret om internkontroll minst 1 gang i året. Personvern er en del av dette, fordi personvernforordningen og personopplysningsloven er nettopp lover kommunen skal etterleve.

Kontrollutvalget og revisjonen etter kommuneloven kapittel 23 og 24 følger opp på vegne av kommunestyret, blant annet gjennom forvaltningsrevisjon. Hvordan personvern kombineres med innsynsrett etter offentleglova og kravene til åpenhet, er beskrevet i artikkelen om GDPR i offentlig sektor.

Hva bør dere kreve av tjenester for internkontroll og risikostyring?

God støtte for internkontroll og risikostyring skal gjøre det mulig å koble risikoer til regelkrav, beslutninger, tiltak og oppfølging, slik at sporbarheten holder ved tilsyn og revisjon.

Tjenester for internkontroll og risikostyring finnes som rådgivning, opplæring og systemstøtte, og mange virksomheter kombinerer dem. Uansett form bør dere stille disse kravene:

1. Koblinger mellom risikoer og regelkrav. Det skal gå an å se hvilket lovkrav en risiko eller kontroll henger sammen med.
2. Ansvar og beslutninger. Hver risiko og hvert tiltak skal ha en eier, og beslutninger om restrisiko skal dokumenteres med dato og navn.
3. Oppfølging med påminnelser. Tiltak og kontroller skal følges opp på faste datoer, slik at ingenting blir liggende.
4. Versjonshistorikk. Dere skal kunne vise hvordan risikobildet så ut på et bestemt tidspunkt, for eksempel ved tilsyn.
5. Rapportering til ledelsen. Grunnlaget skal kunne brukes i ledelsens årlige gjennomgang av internkontrollen og i rapporteringen til styret eller kommunestyret.
6. Juridisk kvalitet. Regelkravene skal være tolket av eksperter og oppdateres når regelverket endres.

For personvernet samler Draftit behandlingsprotokoll, konsekvensvurderinger, leverandørevaluering og avvik på ett sted, med juridisk støtte i tolkningen av regelverkene. Det er også her risikostyringen og etterlevelsen må møtes i ledelsen, noe som utdypes i artikkelen om hvorfor personvern er et ledelsesspørsmål. For spørsmål om deres egen virksomhet kan dere kontakte Draftit eller annen juridisk ekspertise for konkret rådgivning.

Vanlige spørsmål om risikostyring og etterlevelse (H2)

Hva er forskjellen på compliance og risikostyring?

Compliance handler om å følge regler, mens risikostyring handler om å håndtere alt som kan hindre virksomheten, inkludert risikoen for å bryte reglene.

Compliance er altså ett av områdene i risikostyringen. I mindre virksomheter tar ofte samme person seg av begge deler, mens større virksomheter har egne funksjoner som samarbeider.

Gjelder økonomiregelverket alle statlige virksomheter?

Som hovedregel gjelder det alle statlige forvaltningsorganer, men ikke statsforetak og statlige aksjeselskaper, som følger egen lovgivning.

Kommuner og fylkeskommuner er heller ikke omfattet. De har sine krav i kommuneloven. Kravet i eForvaltningsforskriften § 15 gjelder derimot alle forvaltningsorganer som bruker elektronisk kommunikasjon, også kommunale.

Må private virksomheter arbeide med internkontroll?

Ja, selv om kravene som regel er mindre detaljerte enn i offentlig sektor.

Etter aksjeloven § 6-12 skal styret sørge for forsvarlig organisering av virksomheten og påse at virksomhet, regnskap og formuesforvaltning er gjenstand for betryggende kontroll. Børsnoterte selskaper følger i tillegg Norsk anbefaling for eierstyring og selskapsledelse fra NUES, og finansforetak har egne krav, blant annet til risikostyring og internkontroll i finansforetaksloven § 13-5 og i DORA-loven.

Hvem har ansvaret for etterlevelsen i en kommune?

Kommunedirektøren har ansvaret for internkontrollen i administrasjonen, mens kommunestyret har det overordnede ansvaret og fører kontroll gjennom kontrollutvalget.

Kommunen er som hovedregel også behandlingsansvarlig for personopplysningene som behandles i virksomhetene, og derfor skal personvernrisikoene inngå i kommunens internkontroll på lik linje med andre lovkrav.

Hvor ofte skal risikoen for brudd på regelverket vurderes?

Risikoen bør vurderes minst 1 gang i året, gjerne i forbindelse med virksomhetsplanleggingen, og i tillegg når nye regelverk trer i kraft.

De siste årene har digitalsikkerhetsloven og digitalsikkerhetsforskriften (FOR-2025-06-20-1131) trådt i kraft 1. oktober 2025, og DORA ble norsk rett gjennom DORA-loven 1. juli 2025. NIS2 og KI-forordningen er ennå ikke innlemmet i EØS-avtalen, men vil endre kravene når det skjer. Det viser at regelbildet kan endre seg raskt, og derfor er overvåking av nytt regelverk en del av risikostyringen.