Tidning comp 1-2025 009 (1) - Flipbook - Page 28
KOMPASS ADVOKAT
Compliancefunktionens roll i
arbetet med DORA
Dora-förordningen (DORA) började att tillämpas den 17 januari i år och omfattar
nästan alla finansiella företag som står under Finansinspektionens tillsyn. DORA
ställer höga krav på att dessa företag har kontroll över sina IKT-risker. Det innebär
bland annat att företagen måste ha tillräckliga processer, system och styrdokument
på plats för att kunna hantera IKT-risker i verksamheten. Vid implementeringen
av nya och så omfattande regelverk som DORA har compliancefunktionen hos
finansiella företag ofta en stor roll i att kvalitetssäkra implementeringen. Utöver det
kan funktionen även ha en stöttande roll för verksamheten vid efterlevnaden av
DORA.
V
ad bör compliancefunktionen
hantera i förhållande till
DORA?
För många finansiella företag är det
en självklarhet att compliancefunktionen
ska arbeta med DORA på ett eller annat
sätt. Hur arbetet ska se ut är däremot inte
alltid lika självklart. Det finns därmed en
del frågor som företagen behöver ta ställning
till för att compliancefunktionen ska kunna
göra som mest nytta på det här området.
28 Compliance Nytt
DORA-regelverket är stort och omfattande
och det är inte rimligt att utgå från att en
av kontrollfunktionerna i företaget, till exempel compliance eller risk, ensamt ska ta
sig an det. En bra utgångpunkt är därför att
reda ut vilka avgränsningar som behöver göras mellan compliancefunktionen och övriga
kontrollfunktioner inom företaget på det
här området. Ett naturligt led i compliancefunktionens uppdrag kan vara att inkludera
de delar av DORA som rör företagsstyrning
inom IKT-området. Compliance kan då ansvara för regelefterlevnadsrisker kopplade till
exempelvis styrdokument, outsourcing och
hantering av IKT-tjänsteleverantörer, som
regleras i DORA. Vilka specifika delar av
DORA som compliancefunktionen ska ta
ansvar för kan naturligtvis hanteras på olika sätt, beroende på hur verksamheten är
organiserad och hur omfattande den är. En
utgångspunkt i det sammanhanget bör vara
att verksamheten åtminstone har en tydlig
