GRC vs compliance - vad är skillnaden?

GRC och compliance är två begrepp som ofta används inom riskhantering, informationssäkerhet och verksamhetsstyrning. De hänger nära samman och används ibland som om de betyder samma sak.

Men det finns en viktig skillnad.

Compliance handlar om att uppfylla relevanta lagar, regler och andra krav, medan GRC (Governance, Risk & Compliance) är ett bredare arbetssätt som även omfattar organisationens styrning och riskhantering.

Compliance är alltså en del av GRC, men GRC omfattar mer än enbart regelefterlevnad.

I den här artikeln förklarar vi skillnaden mellan begreppen, hur de samverkar och varför det är viktigt att förstå båda.

Vad är compliance?

Compliance betyder regelefterlevnad och handlar om att säkerställa att en organisation följer de krav som gäller för verksamheten.

Kraven kan exempelvis komma från lagar, förordningar, branschspecifika regelverk, avtal och interna policyer.

Ett compliancearbete kan omfatta att:

• Identifiera vilka krav som gäller för verksamheten.
• Översätta kraven till interna rutiner och kontroller.
• Säkerställa att medarbetare känner till relevanta regler.
• Följa upp att kraven efterlevs.
• Identifiera och hantera eventuella avvikelser.

För organisationer som arbetar med informationssäkerhet kan exempelvis GDPR, DORA och den svenska cybersäkerhetslagen vara relevanta, beroende på verksamhetens omfattning och sektor.

Compliance handlar dock inte enbart om att känna till vilka regler som gäller. Organisationen behöver också kunna visa hur kraven hanteras och följs upp i praktiken.

Vad är GRC?

GRC står för Governance, Risk & Compliance och omfattar tre nära sammankopplade områden:

Governance (styrning): Hur organisationen leds, hur beslut fattas och hur ansvar fördelas.

Risk (riskhantering): Hur organisationen identifierar, bedömer och hanterar risker som kan påverka verksamhetens mål.

Compliance (regelefterlevnad): Hur organisationen säkerställer att relevanta krav uppfylls.

Syftet med GRC är att skapa en gemensam struktur där styrning, riskhantering och regelefterlevnad fungerar tillsammans.

I stället för att hantera risker och regulatoriska krav som separata frågor kan organisationen koppla dem till verksamhetens mål, ansvar och beslutsprocesser.

Vill du läsa mer om grunderna? Se vår guide Vad är GRC? En guide till Governance, Risk & Compliance.

GRC vs compliance – de viktigaste skillnaderna

Skillnaden mellan GRC och compliance blir tydligare när man jämför deras syften och omfattning.

• Fokus: Compliance handlar om att uppfylla relevanta krav, medan GRC handlar om att samordna styrning, riskhantering och regelefterlevnad.
• Omfattning: Compliance fokuserar på lagar, regler, avtal och interna krav. GRC har ett bredare perspektiv som även omfattar verksamhetsstyrning, risker och kontroller.
• Huvudfråga: Inom compliance är den centrala frågan ”Följer vi de krav som gäller?”. Inom GRC är frågan snarare ”Styr vi verksamheten och hanterar risker och krav på ett samordnat sätt?”.
• Ansvar: Compliance hanteras ofta av en compliancefunktion tillsammans med verksamhetsansvariga. GRC involverar vanligtvis även ledningen samt risk- och andra relevanta funktioner.
• Uppföljning: Compliance fokuserar på efterlevnad, kontroller och avvikelser. GRC omfattar även uppföljning av risker, verksamhetsmål och ansvar.

Den viktigaste skillnaden är alltså perspektivet.

Compliance fokuserar på vilka krav organisationen behöver uppfylla och hur efterlevnaden säkerställs.

GRC sätter in dessa krav i ett större sammanhang där även risker, prioriteringar och verksamhetens styrning ingår.

Ett praktiskt exempel - när compliance blir en del av GRC

Tänk dig att ett företag behöver säkerställa att personuppgifter hanteras enligt GDPR.

Om organisationen fokuserar på compliance kan arbetet exempelvis handla om att identifiera tillämpliga dataskyddskrav, införa rutiner och följa upp efterlevnaden.

Med ett bredare GRC-perspektiv tillkommer fler frågor.

Governance - styrning

Vem ansvarar för behandlingen av personuppgifter? Hur fördelas ansvar mellan olika avdelningar och vem fattar beslut om prioriteringar och resurser?

Risk - riskhantering

Vilka risker finns för de registrerades rättigheter och friheter? Vilka risker finns kopplade till obehörig åtkomst, informationsförlust eller brister hos leverantörer?

Compliance - regelefterlevnad

Vilka krav enligt GDPR gäller för den aktuella behandlingen? Vilka rutiner och säkerhetsåtgärder behövs för att uppfylla dessa krav?

Genom att samordna dessa perspektiv får organisationen bättre förutsättningar att hantera både regulatoriska krav och verksamhetens risker.

Det betyder inte att compliancearbetet blir mindre viktigt. Tvärtom blir det en tydligare del av organisationens övergripande styrning.

Varför räcker det inte alltid att fokusera på compliance?

En organisation kan uppfylla många formella krav och ändå ha risker som inte hanteras tillräckligt väl.

Det kan exempelvis finnas risker som inte omfattas av ett specifikt regelverk, men som ändå kan få stora konsekvenser för verksamheten.

Ett företag kan ha dokumenterade rutiner för leverantörsgranskning, men samtidigt vara starkt beroende av en enskild leverantör utan att ha bedömt konsekvenserna av ett längre driftavbrott.

Här kan GRC bidra med ett bredare perspektiv.

Genom att koppla samman compliance och riskhantering kan organisationen identifiera både vilka krav som måste uppfyllas och vilka ytterligare risker som behöver hanteras.

Att uppfylla krav är viktigt, men det innebär inte automatiskt att alla verksamhetens risker är under kontroll.

Hur samverkar GRC och compliance i praktiken?

Ett fungerande samarbete mellan riskhantering och compliance behöver inte innebära att organisationen inför helt nya processer.

Ofta handlar det om att samordna befintliga arbetssätt.

Det kan exempelvis innebära att:

• Riskbedömningar och regulatoriska krav kopplas till samma verksamhetsprocesser.
• Roller och ansvar för kontroller tydliggörs.
• Överlappande krav identifieras och hanteras gemensamt där det är möjligt.
• Resultat från kontrollaktiviteter och granskningar delas mellan relevanta funktioner.
• Ledningen får en samlad bild av risker, avvikelser och förbättringsbehov.

Ett exempel är behörighetshantering.

En kontroll för regelbunden granskning av användarbehörigheter kan bidra till att minska informationssäkerhetsrisker och samtidigt stödja efterlevnaden av relevanta krav.

Genom att samordna kontrollen kan organisationen minska dubbelarbete och skapa tydligare ansvar för genomförande och uppföljning.

Läs mer om hur detta kan fungera i vår artikel GRC i praktiken – så får du styrning, riskhantering och compliance att samverka.

Vilken roll har informationssäkerhet inom GRC och compliance?

Informationssäkerhet är ett område där kopplingen mellan GRC och compliance blir särskilt tydlig.

Organisationer behöver skydda information mot exempelvis obehörig åtkomst, förlust och otillåten förändring.

Samtidigt kan de behöva uppfylla krav enligt olika regelverk och standarder.

ISO 27001 är exempelvis en internationell standard för ledningssystem för informationssäkerhet. Den ger en struktur för att arbeta med ansvar, riskbedömningar, säkerhetskontroller och kontinuerlig förbättring.

GRC hjälper organisationen att koppla samman informationssäkerhetsarbetet med den övergripande verksamhetsstyrningen.

Compliancefunktionen kan i sin tur bidra till att identifiera och följa upp relevanta regulatoriska och andra krav.

Det är viktigt att skilja mellan standarder och lagstiftning. ISO 27001 är inte en lag, och en certifiering enligt standarden innebär inte automatiskt att alla tillämpliga regulatoriska krav är uppfyllda.

Läs mer i vår artikel GRC och informationssäkerhet – hur hänger de ihop?.

Vanliga frågor om GRC och compliance

Är GRC och compliance samma sak?

Nej. Compliance handlar om att uppfylla relevanta krav. GRC är ett bredare arbetssätt som omfattar styrning, riskhantering och regelefterlevnad. Compliance är därför en del av GRC.

Kan en organisation ha compliance utan GRC?

Ja. En organisation kan arbeta med regelefterlevnad utan att ha ett uttalat eller samordnat GRC-arbete. Däremot kan ett GRC-perspektiv bidra till att koppla compliancearbetet tydligare till verksamhetens styrning och riskhantering.

Vad är skillnaden mellan riskhantering och compliance?

Riskhantering handlar om att identifiera, bedöma och hantera osäkerheter som kan påverka verksamhetens mål. Compliance handlar om att säkerställa att relevanta krav uppfylls. Områdena överlappar ofta och kan stödja varandra.

Är GRC ett lagkrav?

GRC är inte i sig en lag eller en obligatorisk certifiering. Däremot kan organisationer omfattas av regelverk som ställer krav på styrning, riskhantering, kontroller och regelefterlevnad.

Behöver alla företag en compliancefunktion?

Det beror på verksamhetens storlek, sektor och vilka krav som gäller. Vissa reglerade verksamheter omfattas av särskilda krav på compliancefunktioner, medan andra organisationer kan fördela arbetet på andra sätt.

Compliance är en del av GRC

Skillnaden mellan GRC och compliance handlar framför allt om omfattning och perspektiv.

Compliance fokuserar på att organisationen uppfyller relevanta lagar, regler och andra krav.

GRC omfattar även hur organisationen styr verksamheten och hanterar risker.

Genom att koppla samman dessa områden kan organisationer skapa tydligare ansvar, bättre beslutsunderlag och mer samordnade processer.

Compliance hjälper organisationen att uppfylla kraven. GRC hjälper organisationen att sätta kraven i ett större sammanhang tillsammans med styrning och riskhantering.

På Securance hjälper vi organisationer att utveckla sitt arbete med styrning, riskhantering och regelefterlevnad genom rådgivning, analyser och oberoende granskningar.

Vill ni få bättre struktur och överblick över ert GRC- och compliancearbete? Kontakta Securance för att diskutera hur vi kan hjälpa er.