Uppföljning av medarbetares regelefterlevnad: vad den faktiskt omfattar och varför kalkylark inte hänger med

Fråga tre personer i samma organisation vad "uppföljning av medarbetares regelefterlevnad" betyder, så får du tre olika svar beroende på vilket system de sitter framför. För den som förvaltar LMS:et handlar det om genomförda kurser. För den som jagar licensförnyelser är det en inkorg full av PDF:er som väntar på ett påminnelsemejl. För den som förbereder en ISO-revision är det det kalkylark som råkade överleva den senaste omorganisationen.

Ingen av dem har fel. Det är just det som är problemet. Uppföljning av regelefterlevnad omfattar utbildning, certifikat, yrkeslicenser och belägg för kompetens, och de flesta organisationer hanterar varje del på ett eget ställe, med en egen ansvarig och utan någon gemensam överblick över helheten.

Luckan brukar visa sig när det passar som sämst: när någon utanför organisationen (en revisor, en kunds due diligence-team, en ny tillsynsmyndighet) begär ett komplett svar, inte ett halvt.

Vad uppföljning av medarbetares regelefterlevnad faktiskt omfattar

I grunden är uppföljning av regelefterlevnad en löpande dokumentation av om medarbetarna är kvalificerade, utbildade och har giltiga behörigheter för det arbete de utför. I praktiken delas den upp i tre nivåer: genomförda utbildningar (vilka kurser, vilka medarbetare, när), certifikat och licenser (vilka behörigheter, vem som har dem, när de går ut) samt belägg för kompetens, alltså bevis på att en person inte bara är utbildad utan faktiskt kapabel. Det är precis den skillnaden som ISO 9001 avsnitt 7.2 uttryckligen gör.

Det som står på spel skiljer sig dessutom mellan nivåerna, och det är värt att hålla isär. Vissa certifikat är revisionsunderlag, ett bevis på att en kvalitetsstandard uppfylls. Andra är ett lagkrav för att arbetet över huvud taget ska få utföras: en elektriker utan rätt behörighet, en truckförare utan giltigt certifikat eller en vårdmedarbetare utan nödvändig legitimation bryter inte bara mot en intern policy. I många länder bryter den organisation som ändå sätter dem på uppdraget mot lagen. Ett utgånget certifikat i den andra kategorin är inget pappersproblem. Det är ett problem av typen "den här personen får inte lagligen utföra det här arbetet just nu", och det förtjänar att hanteras med den graden av brådska.

Det är lika viktigt att vara tydlig med vad uppföljning av regelefterlevnad inte omfattar. Bekräftelser av policyer, underskrifter av avtal och uppföljning av korrigerande åtgärder hör hemma i ett bredare system för styrning, risk och regelefterlevnad (GRC) eller i ett kvalitetsledningssystem, alltså en annan typ av verktyg som löser ett annat problem. Det är också något annat än programvara för övervakning av medarbetares aktivitet eller enheter, det vill säga verktyg som spårar webbsurfning, programanvändning eller skärmaktivitet för att visa att en jobbdator inte använts till något utanför policyn. Det är en fråga om säkerhet och IT-efterlevnad som löses med verktyg för endpoint- och nätverkshantering, inte med register över certifikat eller utbildningar. Att behandla dessa som utbytbara är en vanlig källa till förvirring när team börjar utvärdera programvara, och det lönar sig att reda ut det innan du letar efter en lösning.

Varför det spänner över fler system än de flesta team räknar med

Att uppföljningen av regelefterlevnad sällan finns på ett och samma ställe beror inte på dålig planering. Det beror på att de tre nivåerna ovan oftast har byggts upp var för sig, av olika team och under olika år: ett LMS som köptes in för onboarding, ett kalkylark som startades av den som ansvarade för förra ISO-revisionen och en process för licensförnyelser som egentligen bara är en kalenderpåminnelse i en enda persons huvud.

Varje del fungerar på egen hand, ända tills någon behöver helhetsbilden. Det är där den verkliga risken finns, inte i att något enskilt system har fel, utan i att inget system vet vad de andra innehåller. Pålitlig överblick över medarbetarnas förmågor i hela organisationen är ovanligare än de flesta complianceansvariga tror: endast 8 % av organisationerna uppger att de har tillförlitliga data om vilka kompetenser deras medarbetare har i dag. Certifikat och utbildningshistorik är en del av samma överblicksproblem.

Varför certifikat innebär större risk än utbildningshistorik

Av de tre nivåerna är det certifikaten som innebär den mest omedelbara risken, och det av mer än ett skäl. Vissa är kopplade till en specifik kvalitetsstandard. ISO 9001 avsnitt 7.2 kräver till exempel att organisationen fastställer vilken kompetens en roll kräver, säkerställer att medarbetarna har den och sparar dokumenterade belägg för att de har det. Andra är kopplade direkt till lagen: en licens eller ett säkerhetscertifikat som måste vara giltigt innan någon över huvud taget får utföra arbetet, oavsett vad ett kvalitetsramverk kräver. "Kalkylarket stämde nog förra månaden" håller inte för något av kraven.

Det är också här verktygsfrågan blir skarpare, eftersom hantering av personalens certifikat ställer andra krav än uppföljning av utbildningar: påminnelser om utgångsdatum, revisionsspår och koppling av krav till roller. Om du vill veta mer om vad du bör utvärdera i ett dedikerat verktyg kan du läsa vår guide till programvara för hantering av personalens certifikat.

Så ser bra uppföljning av regelefterlevnad ut i praktiken

De organisationer som lyckas med det här har oftast fattat ett och samma beslut: i stället för att försöka få ihop compliancedata från tre eller fyra system som inte pratar med varandra samlar de certifikat, utbildningshistorik och kompetensbevis på ett ställe. Där får de en levande översikt som går att filtrera, så att de ser vem som är behörig, vems behörighet snart går ut och vems som redan har gått ut.

Ett dedikerat system löser inte heller det här av sig självt. Team som redan använder ett sådant rapporterar samma typ av misslyckande som team som fortfarande sitter med kalkylark, bara i en annan form: notiströtthet, där påminnelser om utgångsdatum skickas så ofta eller så överflödigt att folk slutar bry sig om dem. Lösningen är inte fler påminnelser, utan påminnelser som kan ställas in efter roll och framförhållning och som går till den som faktiskt kan agera, i stället för att skickas till alla som en formalitet.

Det är så MuchSkills arbetar. Certifikaten ligger i samma medarbetarprofil som kompetenser och utbildningshistorik, så att en chef eller complianceansvarig inte bara ser om någons behörigheter är giltiga, utan också om personens bredare kompetens motsvarar det rollen kräver. Varje ändring i ett register, oavsett om det är en förnyelse, en uppladdning eller en rättelse, får ett fullständigt revisionsspår. Det är det som förvandlar "vi tror att vi följer reglerna" till något en revisor faktiskt kan verifiera.

Men inget av det fungerar om det bara är den som förbereder revisionen som har nytta av systemet. Verktyg som behandlar uppföljningen av regelefterlevnad som en ren adminuppgift möter ofta ett tyst motstånd: folk tar omvägar runt dem eller uppdaterar dem bara när någon tjatar. De verktyg som faktiskt får fäste ger medarbetarna en egen anledning att använda dem. De kan se sin egen certifikatstatus, när de själva behöver förnya och var de har luckor mot kraven för en roll, i stället för att bara leverera underlag till någon annans rapport.

Hur du går vidare

Uppföljning av regelefterlevnad blir en verklig risk först när ingen kan se hela bilden på en gång, och det är oftast ett dataproblem innan det är ett policyproblem. Om det är certifikaten som är er mest sårbara punkt just nu kan du titta på den 18 minuter långa Compliance Demo och se hur MuchSkills hanterar certifikat, utbildning och kompetensbevis i ett och samma granskningsbara system.

‍