Vejen til jeres agile succes i den finansielle sektor og samspillet med compliance-funktionen

Hos PwC erfarer vi, at finansielle virksomheders agile succes bl.a. afhænger af, hvor godt samspillet med compliance-funktionen fungerer. Vi oplever, at compliance-funktionen og den agile model i praksis bliver modsætninger, selvom der er grobund for et godt og dynamisk samspil i en hårdt reguleret sektor.

I transformationen til den agile model har ledelsen uddelegeret mere mandat ned i organisationen og givet mere frihed til selvorganiserende teams. Men der udestår måske en dybere etablering og implementering af de klart definerede roller, processer og tværgående styringslag, der er vigtige for at sikre et højt compliance-niveau. Compliance-funktionen skal i transformationen også vænne sig til at være med i produkters livscyklus og at arbejde mere produktorienteret og mindre hierarkisk, plandrevet og projektorienteret.

Modsætningsforholdet kan ramme virksomhedens kunder, der kan opleve forsinkelser, ringe service samt brister i forhold til forretningsstabilitet, sikkerhed og overholdelse af lovgivning. Men hvad er det, som kan gå galt? Hvad kan man gøre for at lykkes med både compliance og agilitet?

Compliance-funktionen og anden forsvarslinje

Efter den klassiske governance-model skal en finansiel virksomhed have en effektiv og stærk organisationsstruktur samt være organiseret med tre forsvarslinjer. Hver forsvarslinje spiller en klart defineret rolle. Forretningen er første forsvarslinje, hvor it-udviklingen er forankret, og tredje forsvarslinje er den interne revision.

Compliance-funktionen er i anden forsvarslinje. Her vejleder, overvåger og kontrollerer man første forsvarslinje. Compliance-funktionen skal fungere uafhængigt, og medarbejdere, der er involveret i compliance-funktionen, må ikke tage del i de aktiviteter, de kontrollerer.

Compliance-funktionen skal deltage, eller som minimum høres, i forbindelse med udvikling og godkendelse af nye tjenesteydelser og produkter. Den compliance-ansvarlige skal løbende være informeret om, hvordan forløbet af godkendelsesprocessen forløber og høres, i forbindelse med om en ændring af et eksisterende produkt har et omfang, der medfører, at ændringen skal være omfattet af kravene til udvikling af nye produkter. Den compliance-ansvarlige skal altid kunne kræve, at en ændring af et eksisterende produkt skal behandles som et nyt produkt.

De to forskellige udviklingsmodeller

Grundlæggende er der to meget forskellige udviklingsmodeller, som compliance-funktionen skal fungere med. Den klassiske projektmodel og den agile model.

Den klassiske projektmodel

Den klassiske projektmodel, også kaldet vandfaldsmodellen, er den model, som de fleste kender og har arbejdet med i mange år - også compliance-funktionen. Projektet planlægges fra start til slut i en afgrænset periode. Scope er fast undervejs, mens tid og økonomi er variable. Hver fase flyder over i næste fase, indtil løsningen er færdig og kan bruges.

Den klassiske projektmodel er kendt og ofte godt implementeret i de finansielle virksomheder. Den fungerer i samspillet med compliance-funktionen. Den agile model kræver derimod en omstilling til produkter og større decentral beslutningskraft, hvor compliance-funktionen måske ikke naturligt inddrages og indtænkes til en start.

Den agile model

Den agile model er en produktorienteret model med løbende udvikling og livscyklus som sigte. Den muliggør hurtigere ”time-to-market”, idet den arbejder med løbende at levere virksom funktionalitet gennem en række sprint. Gennem en iterativ tilgang sker der konstant tilpasning af løsningen til de gældende behov, baseret på feedback og læring. Ved større løsninger kan det være nødvendigt, at en række af de agile teams samarbejder, og at der derfor etableres tværgående governance, som sikrer samlet koordinering.

Hvad er udfordringerne?

Grundlæggende er der tale om to meget forskellige værdisæt. I den agile verden ønsker man hurtig produktskabelse, og via feedback, læring og løbende tilpasninger bevæger man sig mod maksimal værdiskabelse. I den traditionelle plandrevne og hierarkiske compliance-verden arbejder man ud fra en fastlagt baseline, hvor aktuelle og forventede ændringer til denne baseline er det ledelsesmæssige fokus. Omstillingen fra det ene til det andet er i sig selv en stor kulturrejse for hele organisationen.

Derudover stiller den finansielle lovgivning fx krav om, at beslutninger skal kunne dokumenteres, og at virksomheden skal være indrettet i organisatoriske enheder med klart definerede arbejdsopgaver. Det skal være klart for enheder og medarbejdere, hvilke opgaver der skal udføres, og hvordan opgaverne skal udføres.

Den agile model er måske ikke implementeret tilstrækkeligt, og det kan derfor være vanskeligt at opnå klarhed i forhold til mandater, roller og ansvar. Det kan også være uklart, hvem der på ledelsesniveau ejer en leverance, når der opstår problemer. Når der ikke er et klart ansvar, kan der opstå et sammenstød mellem den eksisterende linjeledelse og den agile ledelse.

Hvis compliance-funktionen kommer ind på bagkant kan det føre til, at leverancen møder kritiske spørgsmål fra compliance-funktionen. Det kan resultere i ressourcespild, da det er dyrt at rulle initiativerne tilbage og efterfølgende rette op på compliance-niveauet. Det skaber også støj og dårlig trivsel på de indre linjer, hvor der skal kæmpes, forklares og forsvares.

I sidste ende er det virksomhedens kunder, det går ud over.

Anbefalinger til et godt samspil

Der er flere ting, som ledelsen, forretningen og compliance-funktionen kan gøre for at styrke samspillet på den agile rejse.

Ledelsen

1. Få styr på politikker, forretningsgange og beslutningsmandater
2. Prioritér compliance-funktionen, og kommunikér væsentlighed
3. Tag ejerskab over den agile rejse
4. Sørg for at have de rette it-kompetencer

1. Få styr på politikker, forretningsgange og beslutningsmandater

Det er vores erfaring, at succes med den agile model kræver en høj grad af disciplin i forhold til roller, ansvar og processer for, at den kan lykkes i større skala. Når beslutningskompetencen er placeret længere nede i organisationen, bør der være klare rammer for råderummet og for, hvornår en beslutning skal eskaleres.

2. Prioritér compliance-funktionen, og kommunikér væsentlighed

Det er afgørende, at ledelsen prioriterer en sund compliance-kultur og god balancegang mellem forsvarslinjerne. Når ledelsen lægger sin agile transformationsplan, skal compliance-funktionen indtænkes som en naturlig del. Det kræver efterfølgende konstant fokus, indsats og kommunikation fra ledelsen.

3. Tag ejerskab over den agile rejse

Ledelsen bør gå forrest og tage ejerskabet over den agile rejse. Ledelsen bør italesætte, hvor vigtigt det er, at første og anden forsvarslinje taler sammen for at lykkes med den agile transformation.

4. Sørg for at have de rette it-kompetencer

Ledelsen bør sikre, at den har de rette it-kompetencer og -profiler. Hvis ledelsen ikke har det, kan den ikke udfordre tilstrækkeligt eller stille de rigtige spørgsmål i en agil it-udviklingsverden.

Vær tro mod udviklingsmodellerne

Vi ser, at der opstår en yderligere kompleksitet og forvirring, hvis forretningen laver egne mellemløsninger og blander udviklingsmodellerne sammen. Det skyldes, at involveringen af compliance-funktionen er forskellig i udviklingsmodellerne. Definér eventuelt en fælles standard for en hybridmodel, der blander projekt- og agil model, og gør rollen klar og tydelig.

Tag kontrollen tilbage ved nulfejlskultur

Det er vigtigt i et agilt setup,at teams og medarbejdere tager ansvar for innovation og kontinuerlig læring. Der bør være en accept af at begå fejl og lære. Det er grundlæggende for at innovere eksisterende produkter og systemer. Det er dog et fælles ansvar for hele organisationen, at sådanne fejl, feedback og læring sker i kontrollerede miljøer, der ikke bringer virksomhedens compliance i fare.

Planlæg inddragelsen af compliance-funktionen

Aftal en fælles model for, hvordan compliance-funktionen indgår i den agile udvikling, så rollen er klar for alle. På den måde bliver compliance-funktionen en mere naturlig del af den agile model. Husk også at invitere compliance-funktionen med til audits og reviews, og sæt eventuelt løbende erfa- og dialogmøder op med compliance-funktionen og andre interessenter.

Se compliance-funktionen som jeres medspiller og en væsentlig interessent

Der kan være en kultur i forretningen, hvor man ser compliance-funktionen som en modspiller frem for en medspiller. Sådan en kultur er det vigtigt at få nedbrudt. Compliance-funktionen er en del af virksomheden, og en moderne compliance-funktion spiller naturligvis med. De ønsker i lige så høj grad succes og bør inddrages som en væsentlig interessent.

Lav et setup med én eller flere standardskabeloner

Det kan være nyttigt at anvende standardskabeloner, som skal udfyldes som en del af opstartsfasen i den agile it-udvikling. På den måde sikres det, at de agile teams forholder sig til inddragelsen af compliance-funktionen på en nem og ensrettet måde. De indledende betragtninger kan genbesøges løbende igennem udviklingsfaserne og tilrettes, hvis det vurderes nødvendigt. Standardskabeloner med en eventuel “risikoscore” kan også give vejledning, i forhold til hvornår compliance-funktionen skal inddrages med henblik på yderligere dialog.

Compliance-funktionen

1. Vend kulturelle barrierer, og udpeg compliance-ambassadører
2. Kom ud på gulvet, og se tingene med egne øjne
3. Vær nysgerrig og tålmodig
4. Sørg for, at den løbende compliance-uddannelse tilfører praktisk it-indsigt
5. Hav de rigtige compliance-profiler på holdet
6. Uddan agile udviklingsjurister

1. Vend kulturelle barrierer, og udpeg compliance-ambassadører

Compliance-funktionen kan hjælpe til med at vende kulturelle barrierer til noget positivt ved at udpege compliance-ambassadører ude i forretningen. Ambassadørerne skal bære compliance-agendaen frem og skabe øget fokus på vigtigheden af at sikre et højt compliance-niveau i virksomhedens agile processer og leverancer.

2. Kom ud på gulvet, og se tingene med egne øjne

Compliance-funktionen bør komme ud i forretningen for at observere og lære af arbejdsmåden i forretningen. Compliance-funktionen må ikke deltage i leveringen af de ydelser eller udførelsen af de aktiviteter, de kontrollerer, men de kan udtale sig generelt om regulatoriske forhold – eksempelvis i forhold til privacy by design og andre GDPR-forhold, outsourcingproblematikker, god skik, markedsføring, ligebehandling og andre kundejuridiske krav.

3. Vær nysgerrig og tålmodig

Compliance-funktionen bør være nysgerrig, men samtidig tålmodig. Det er ikke sikkert, at compliance-funktionen ser eller forstår alt fra start. Måske får de heller ikke svar på alle deres spørgsmål. Det kan også være, at compliance-funktionen skal stille sine spørgsmål på en anden måde til dem ude i forretningen. Compliance-funktionen kan også have gavn af “storytelling” som et værktøj til at få forretningen til at agere på en bestemt måde for at sikre et højt compliance-niveau.

4. Sørg for, at den løbende compliance-uddannelse tilfører praktisk it-indsigt

Som compliance-funktion i en agil it-udvikling er det særligt vigtigt at have fokus på, at den løbende compliance-uddannelse tilfører praktisk it-indsigt, så compliance-funktionen får viden om og værktøjer til, hvad den skal kigge efter.

5. Hav de rigtige compliance-profiler på holdet

Compliance-funktionen bør sikre sig, at den har de rette kompetencer ombord. I en agil it-verden er der særligt stort behov for compliance-profiler, som kan navigere i spændet mellem it, det tekniske og det regulatoriske. Derudover bør alle i compliance-funktionen have god forretningsforståelse. Det er og bliver hovedingrediensen i alle succesfulde compliance-funktioner.

6. Uddan agile udviklingsjurister

Det kan være en fordel at uddanne agile udviklingsjurister, som er med i beslutningerne i første forsvarslinje. De sikrer, at der er regulatorisk viden til stede i beslutningerne, og de kan være et godt bindeled mellem den agile it-udvikling og compliance-funktionen.

Hvordan kan vi hjælpe dig?

Har I brug for hjælp, er I velkomne til at kontakte PwC’s "Governance, Risk & Compliance".

Vi tilbyder rådgivning i forbindelse med regulatoriske udfordringer og kan hjælpe jer med at agere compliant.