Anlita en interim compliance officer när ni har en akut vakans, ett pågående tillsynsärende eller ett regelprojekt som inte kan vänta. En erfaren interimkonsult levererar regelbevakning, riskkarta och en prioriterad handlingsplan redan under de första dagarna. Ha briefen klar: vilket regelverk gäller, vem är mottagare av rapporteringen och vilka tre risker måste hanteras först.
Kort sagt:
- Behövs en interim compliance officer om er ordinarie funktion saknas, vid akut tillsynsärende eller vid regeländringar som kräver snabb implementering.
- En interimkonsult levererar ofta regelbevakning, riskkartläggning och handlingsplan inom dagar till ett par månader, beroende på uppdragets omfattning.
- Tydliga mål, leverabler och mandat från början minskar risken för fördröjningar och otydligheter, särskilt vid avslut av uppdraget.
- Erfarenhet av branschspecifika regelverk, myndighetskontakt och snabb systemåtkomst är avgörande faktorer för att välja rätt kandidat.
- För att lyckas krävs förberedda systemåtkomst och tydlig dokumentation, samt att briefen noggrant definieras före rekrytering.
Innehållsförteckning
- Vad gör en interim compliance officer? Ansvar och typiska uppgifter
- När ska ni anlita interim? Vanliga scenarier
- Hur interimuppdrag organiseras: starttid, mandat och leverabler
- Hur ni väljer rätt interim compliance officer
- Evertrust i praktiken: roller, leverabler och snabb uppstart
- Hur man säkerställer lojalitet och konfidentialitet i interimuppdraget
- Referenskontroller och bakgrundskoll för interim compliance officers
- Regelverk interimpersonen bör kunna: GDPR, AML, DORA och fler
- Vanliga fallgropar när man anlitar interim compliance officer
- Vad avgör om ett interimuppdrag lyckas?
- Kom igång med interimstöd från Evertrust
- Källor
Vad gör en interim compliance officer? Ansvar och typiska uppgifter
En interim compliance officer täcker upp precis den funktion en ordinarie complianceansvarig annars har, men utan uppstartstiden en fast rekrytering kräver. Uppdraget landar ofta inom dagar till veckor snarare än månader, och tjänstebeskrivningar från interimleverantörer visar att policyer och riskkartläggningar kan vara på plats redan från dag ett.
Det praktiska arbetet skiljer sig inte dramatiskt från en fast anställds vardag, men prioriteringen är skarpare. Rollbeskrivningar från interimleverantörer pekar ut regelbevakning, operationalisering av complianceprogram, interna revisioner och utbildning som kärnuppgifter. I praktiken innebär det:
- Regelbevakning och tolkning av krav från myndigheter som Finansinspektionen, ESMA och EBA, samt bedömning av vad ändringarna betyder för er verksamhet.
- Riskbedömning och uppbyggnad av kontrollramar, ofta med KPI:er som antal öppna avvikelser, tid till åtgärd och andel genomförda utbildningar.
- Policy- och rutinarbete, inklusive interna utbildningar och löpande rapportering till ledning eller styrelse.
- Stöd vid produktlanseringar, due diligence-processer eller när en tillsynsmyndighet hör av sig.
Skillnaden mot en konsultrapport är att interimpersonen sitter i organisationen, äger frågorna och kan agera samma dag ett problem upptäcks.
När ska ni anlita interim? Vanliga scenarier
Behovet av en tillfällig regelefterlevnadsresurs uppstår sällan i god tid. Här är situationerna där interimstöd nästan alltid är rätt väg, ungefär i den ordning risken bör prioriteras:
- Akut vakans. Complianceansvarig slutar, blir sjukskriven eller går på föräldraledighet, och ni kan inte lämna funktionen obemannad ens en vecka.
- Tillsynsärende eller incident. En myndighet har öppnat ärende, eller ni har upptäckt en personuppgiftsincident som kräver omedelbar hantering och dokumentation.
- Regeländring eller implementeringsprojekt. Nya krav som DORA, CSRD eller skärpta AML-regler kräver ett tidsbegränsat men intensivt genomförandearbete.
- Tillväxt, förvärv eller marknadsexpansion. Ett företag som växer snabbt, gör förvärv eller går in på en reglerad marknad behöver ofta dubbel kapacitet under en övergångsperiod.
Den gemensamma nämnaren är tidspress kombinerad med hög risk om ingen agerar. En vakans i sex månader utan täckning är sällan ett alternativ när tillsynsmyndigheten redan har hört av sig.
Hur interimuppdrag organiseras: starttid, mandat och leverabler
Uppdragslängden varierar med syftet. Konsult- och interimleverantörer beskriver tre typiska spann: 1–3 månader för akut täckning, 3–9 månader för att bygga upp ett program från grunden, och 9–12 månader vid större transformationsprojekt som ofta kräver planerad överlämning mot slutet.
Onboardingen ska vara snabb. Ett bra startpaket innehåller en tydlig brief, en regelkarta över vilka lagar och föreskrifter som gäller er verksamhet, samt en plan för de första 30 och 90 dagarna. Leverantörer som Delta Consulting beskriver leverans redan från dag ett till fem som ett kvalitetsmått, vilket ställer krav på att ni har systemåtkomst och kontaktlistor redo vid start.
Standardleverabler bör specificeras i kontraktet, inte lämnas som en muntlig avsikt:
- En policybank med uppdaterade rutiner och mallar.
- DPIA:er för de behandlingar som kräver det.
- Utbildningsmaterial och genomförda utbildningstillfällen.
- Regelbunden KPI-rapportering till styrelse eller CFO.
Mandatet måste vara tydligt från start. Rapporterar interimpersonen till CFO, VD eller direkt till styrelsen? Utan ett klart mandat riskerar även en skicklig konsult att fastna i frågor som ingen egentligen äger.
Proffstips: Begär att leverabler och tidsramar för 30/60/90-dagarsplanen skrivs in i avtalet, inte bara nämns i intervjun. Det gör budgetuppföljningen enklare och minskar risken för en otydlig avslutning när uppdraget löper ut.
Hur ni väljer rätt interim compliance officer
Urvalet avgör om uppdraget blir en snabb lösning eller en ny huvudvärk. Prioritera i den här ordningen:
- Branschspecifik erfarenhet. En kandidat som redan arbetat med er typ av verksamhet, till exempel finans, sjukvård eller e-handel, förstår kontexten snabbare.
- Myndighetserfarenhet. Rekryteringsartiklar om rollen pekar ut erfarenhet från tillsynsärenden och kontakt med myndigheter som starkt meriterande, särskilt vid pågående tillsyn.
- Teknisk vana. Kandidaten ska kunna hantera GRC-verktyg, bygga DPIA-processer, sätta upp whistleblower-kanaler och genomföra bakgrundskontroller.
- Kommunikativ förmåga. Rollen kräver att kunna förklara juridiska krav för en säljchef utan att bromsa affären i onödan.
- Referenser som går att verifiera. Be om namngivna kontakter från tidigare uppdrag, inte bara ett allmänt omdöme.
- Prisbild i relation till leverans. Jämför inte bara timpris utan vad som faktiskt ingår i paketet.
Sex frågor värda att ställa i intervjun: Hur hanterade du en tillsynsdialog i ett tidigare uppdrag? Vilka KPI:er rapporterade du och till vem? Hur ser din process för en DPIA ut? Vilka GRC-verktyg har du arbetat i? Hur säkerställer du att policyer faktiskt efterlevs, inte bara skrivs? Vad lämnar du kvar när uppdraget avslutas? Ett bra svar är konkret och nämner verktyg, tidsramar och resultat, inte allmänna floskler om “helhetssyn”.
En varningsflagga är kandidater som inte kan ge ett konkret exempel på ett avslutat uppdrag med tydlig leverans. Prisformaten varierar mellan timpris, månadsarvode och fasta leveranspaket, och det som påverkar priset mest är uppdragets komplexitet och hur snabbt start krävs, inte bara antal timmar.
Evertrust i praktiken: roller, leverabler och snabb uppstart
Evertrust arbetar löpande i roller som externt dataskyddsombud, privacy counsel och interim compliance officer hos företag som behöver täcka en funktion snabbt. Uppdragen inleds med en brief, följs av en regelkarta över vilka krav som gäller just den verksamheten, och landar i en konkret leveransplan för de första veckorna.
Leverabler som återkommer i uppdragen är en policybank, DPIA-mallar anpassade till verksamheten, utbildningar för personal och en incidentrapport som fungerar som utgångspunkt för fortsatt arbete. Det är samma typ av dokumentation som ska finnas kvar i organisationen även efter att uppdraget avslutas.
En interim-lösning fungerar bäst när leverabler och mandat är definierade från start. Det som skiljer ett bra uppdrag från ett rörigt är inte kompetensen hos personen, utan hur tydligt uppdraget är ramat innan arbetet börjar.
Den erfarenheten bygger på upprepade uppdrag inom GDPR, informationssäkerhet och IT-juridik, där just de första dagarnas struktur avgör hur snabbt organisationen får kontroll över sina risker.
Hur man säkerställer lojalitet och konfidentialitet i interimuppdraget
En interim compliance officer får ofta tillgång till känslig information: pågående utredningar, personuppgifter, affärshemligheter och interna avvikelserapporter. Det gör konfidentialitet till en förutsättning, inte en bisak i avtalet.
Sekretessavtalet bör vara specifikt, inte ett standardformulär. Ange vilken typ av information som omfattas, hur länge sekretessen gäller efter uppdragets slut och vilka konsekvenser ett brott innebär. Om interimpersonen kommer arbeta i flera bolag eller har andra klienter samtidigt, klargör hur eventuella jävssituationer ska hanteras och rapporteras.
Lojaliteten testas oftast i gränsfall: när en styrelsemedlem vill ha information som egentligen ska gå via en annan kanal, eller när ett resultat är obekvämt men korrekt. En stabil interimkonsult flaggar sådana situationer öppet i stället för att undvika dem. Be om ett konkret exempel på hur kandidaten hanterat en liknande situation tidigare.
Praktiskt handlar konfidentialitet också om systemåtkomst. Ge bara tillgång till de system och dokument uppdraget faktiskt kräver, logga åtkomsten, och se till att behörigheter stängs av samma dag uppdraget avslutas. Det är lika mycket en fråga om informationssäkerhet som om avtalsjuridik, och den som anlitar interimstöd bör behandla den delen med samma noggrannhet som resten av kontraktet.
Referenskontroller och bakgrundskoll för interim compliance officers
Referenskontroller för en interim compliance officer skiljer sig från en vanlig rekrytering, eftersom personen ofta får mandat och systemåtkomst redan under första veckan. Det finns mindre tid att upptäcka problem i efterhand.
Kontrollera minst tre saker innan uppdraget startar. Först: konkreta referenser från tidigare uppdrag, gärna från en person som själv var beslutsfattare, inte bara en kollega på samma nivå. Fråga specifikt om hur kandidaten hanterade en svår situation, en tillsynsdialog eller en oenighet med ledningen. Vaga svar om “gott samarbete” säger lite.
Därefter: verifiera formella meriter som juridisk eller ekonomisk examen, certifieringar och eventuell erfarenhet från en tillsynsmyndighet. En bakgrund som visar faktisk myndighetskontakt väger tyngre än ett CV fullt av allmänna kompetensbeskrivningar.
Slutligen: en enkel bakgrundskontroll av eventuella tidigare arbetsgivarkonflikter, jävssituationer eller pågående uppdrag som kan krocka med ert. Det gäller särskilt om kandidaten arbetar i flera organisationer parallellt, vilket är vanligt inom interimbranschen. En strukturerad referenskontroll tar en eftermiddag men kan förhindra månader av problem längre fram.
Regelverk interimpersonen bör kunna: GDPR, AML, DORA och fler
Vilka regelverk som är relevanta beror på bransch, men vissa återkommer oavsett sektor. Interimleverantörer listar GDPR, AML, MiFID II, PSD2, CSRD och DORA som områden som ofta kräver snabb tillfällig expertis, särskilt när ett företag växer eller möter ny tillsyn.
För de flesta organisationer i Sverige är GDPR grundkravet, oavsett bransch. Finansiella aktörer behöver dessutom kunskap om AML-regelverket och, beroende på verksamhet, MiFID II eller PSD2. DORA gäller finansiella entiteter och deras kritiska IT-leverantörer, och kräver kunskap om digital operativ motståndskraft snarare än bara dataskydd. CSRD berör större företag med hållbarhetsrapporteringsplikt, ett område som ofta hamnar mellan compliance och ekonomifunktionen.
En interim compliance officer behöver inte vara expert på samtliga regelverk samtidigt. Det viktiga är att personen snabbt kan identifiera vilka krav som faktiskt gäller er verksamhet och bygga en riskkarta utifrån det, snarare än att applicera en generisk mall. En bank behöver inte samma fokus som ett e-handelsbolag, även om båda omfattas av GDPR.
Fråga alltid kandidaten konkret vilka regelverk de arbetat praktiskt med, inte bara läst om. Skillnaden mellan teoretisk kunskap och operativ erfarenhet av en tillsynsprocess är stor, och det är den operativa erfarenheten som gör skillnad när en myndighet faktiskt hör av sig.
Vanliga fallgropar när man anlitar interim compliance officer
Det vanligaste misstaget är att starta uppdraget utan en tydlig brief. Om ingen definierat vilka tre problem som ska lösas först, hamnar interimpersonen i att kartlägga allt samtidigt, vilket förlänger tiden till första resultat avsevärt.
En annan fallgrop är otydligt mandat. Om interimpersonen inte vet om beslut ska godkännas av CFO, VD eller styrelsen, blir varje policyändring en förhandling i sig. Det löser ni genom att skriva mandatnivån i avtalet, inte bara diskutera den muntligt vid uppstart.
Många organisationer underskattar också behovet av snabb systemåtkomst. Om det tar två veckor att få inloggning till compliance-systemet, är halva uppdraget redan förbrukat på väntetid. Förbered åtkomst innan personen börjar, inte efter.
Ett tredje problem är bristande dokumentation vid avslut. Erfarenhet från interimleverantörer visar att uppdrag som specificerar leverabler redan i kontraktet, som policybank och överlämningspaket, ger en betydligt smidigare övergång än de som förlitar sig på muntliga avstämningar.
Slutligen: att välja enbart efter pris. Den billigaste timkostnaden är sällan billigast i praktiken om personen saknar branschvana och behöver dubbelt så lång tid för att komma in i frågorna. Väg alltid pris mot faktisk leveranshastighet.
Vad avgör om ett interimuppdrag lyckas?
Det som skiljer ett lyckat interimuppdrag från ett som fastnar i friktion är sällan kandidatens CV. Det är hur tydligt uppdraget är ramat innan personen sätter foten innanför dörren. Många organisationer lägger all energi på att hitta rätt person och nästan ingen energi på att förbereda mandatet, systemåtkomsten och leverablerna i förväg.
Den vanliga uppfattningen är att interim handlar om att “låna en expert tillfälligt”. Det missar poängen. En interim compliance officer är i praktiken en förändringsledare med en tidsgräns, och den gränsen tvingar fram prioritering på ett sätt en fast anställd sällan behöver hantera. Det är en styrka, inte en begränsning, om uppdraget är rätt strukturerat från start.
Prioritera briefen före kandidatlistan. Ett företag som vet exakt vilka tre risker som ska hanteras och vilka leverabler som krävs vid avslut kommer få mer värde av en genomsnittlig interimkonsult än ett företag med en stjärnkandidat men ingen plan. Det är den enda garantin som faktiskt håller.
— Jesper
Kom igång med interimstöd från Evertrust
Det finns leverantörer som kan tillhandahålla compliance-resurser på plats inom dagar, inte veckor. Till skillnad från en traditionell rekryteringsprocess krävs ibland ingen lång upphandling när en extern konsult tar roller såsom dataskyddsombud, privacy counsel eller interim compliance officer och kan leverera policybank, DPIA och riskkarta tidigt i uppdraget.
En snabb intake börjar med tre saker från er sida: vilket regelverk som är mest kritiskt just nu, vem interimpersonen ska rapportera till, och vilka system som kräver åtkomst. Med den informationen kan vi lägga en konkret 30-dagarsplan direkt.
Läs mer om vilka kompetensområden vi täcker på sidan om Evertrusts expertis, eller fördjupa er i hur ett dataskyddsombud bör agera vid en DPIA-process. Behöver ni stärka den tekniska sidan av complianceprogrammet, till exempel whistleblower-kanaler, är Ashios lösningar för compliance officers värda att se på som komplement.
Boka ett inledande samtal med Evertrust för att gå igenom er brief och få en tidsplan för de första 30 dagarna.
This article is general information, not a substitute for advice from a qualified lawyer. Consult a qualified legal professional about your own circumstances before acting on anything here.
Källor
- Interim Compliance Officer | Delta Consulting
- Interim Compliance Specialist / Officer – Regelefterlevnad – SJR
- Interim Compliance – Apriori Advokatbyrå
- Compliance officer: rollbeskrivning, ansvar och rekrytering – Jurek
