Trend: Bekendelser fra en compliance-synder

I 2018 så min GDPR-playbook sådan ud:

💵 Beregn 4 % af den globale omsætning. 

👮🏻‍♀️ True ledelsen med 4 % af den globale omsætning i bøder. 

📚 Læs GDPR igennem for minimumskrav. 

💻 Opret et massivt regneark til fortegnelser og risikovurderinger. 

✅ Hurtigt tjekke minimumskravene af. 

😇 Føl dig godt tilpas et øjeblik. 

🧑🏼‍💻 Gå tilbage til kerneforretningen.

Regulatorisk compliance var min religion... 

... jeg var en tjekliste discipel.

Lad os spole frem til nu - 2025. Den her tilgang virker ikke længere… 

... selvom fristelsen stadig er der:

⛔️ "Hey, direktør. Hvis du ikke overholder reglerne, kan du holdes personligt ansvarlig og blive udelukket fra ledelse, 

🏎️ Slut med Ferrari, 

🏖️🛥️ Ikke flere ferier i Caribien til dig."

{{factbox-dark}}

Det eneste problem er, at det ikke virkede med GDPR, og det vil heller ikke virke med NIS2 (eller noget andet data- og informationssikkerhedsrammeværk for den sags skyld).

💵 Det giver ikke længere mening at beregne bøder på 4 % af den globale omsætning.

For de fleste virksomheder er opdagelsesrisikoen lav, og bøderne har aldrig nået det niveau – og det vil sandsynligvis være det samme med NIS2. Jeg er ret sikker på, at for de fleste direktører vil frygten for at miste deres titel også føles ret fjern.

👮🏻‍♀️ Ledelsens opbakning bør ikke baseres på frygt for bøder (eller midlertidig udelukkelse fra ledelsesposter).

Da jeg i sin tid arbejdede med PR, sagde min chef nogle gange til vores kunder: "Det er et fantastisk budskab, det der – indtil journalisten stiller et opfølgende spørgsmål!" Det samme gælder her.

Hvis frygt er dit hovedargument, så vær forberedt på det uundgåelige modspørgsmål: "Hvor sandsynligt er det egentlig?" Compliance har brug for et stærkere fundament end hypotetiske trusler.

Jeg mener, at du bør kommunikere, hvordan et databeskyttelses-program bidrager positivt til organisationen.

📚 Juridiske krav er vigtige.

Jeg er nogle gange blevet beskyldt for at mene, at man ikke behøver overholde loven. Sådan er det ikke. Jeg mener, at juridiske krav er vigtige. Men kravene og ønskerne fra vores kunder, kolleger, lokalsamfund og andre interessenter, er også vigtige.

Vi bør erstatte regulatorisk compliance med bæredygtig compliance og tage disse krav og ønsker i betragtning - sammen med de lovgivningsmæssige.

✅ Tjekliste-compliance er ved at dø.

I stedet skal vi erstatte det med balancerede beslutninger om data-compliance, hvor vi tager lovgivningen, virksomhedens sikkerhed og interessenternes krav og ønsker i betragtning.

💻 Regneark er gode...

Regneark tjener mange formål, men som et langsigtet compliance-værktøj er de utilstrækkelige. Mange GDPR-fortegnelser er ikke blevet opdateret siden 2018 – vi har brug for mere dynamiske løsninger.

😇 Det er vigtigt at have det godt med sit arbejde.

Men hvis du kun har det godt, når du ER compliant, vil du nok have det dårligt det meste af tiden.

Lad os føle os godt tilpas med selve compliance-processen.

🧑🏼‍💻 Og til sidst. Compliance er rigtigt arbejde og giver fordele for organisationen.