---
title: "Sådan implementerer du en compliance-strategi"
description: "Fra beslutningen i bestyrelseslokalet til daglig drift — en praktisk drejebog med modeller og skabeloner."
type: "whitepaper"
url: "https://www.conphora.com/dk/white-papers/implementing-a-compliance-strategy/"
markdown: "https://www.conphora.com/dk/white-papers/implementing-a-compliance-strategy.md"
locale: "dk"
language: "da"
published: "2026-06-12"
updated: "2026-06-12"
author: "Conphora"
publisher: "Conphora"
tags: ["Ledelsesbeslutningen & governance", "Business case & prioritering", "Mennesker, ejerskab & RACI", "Compliance-datamodellen", "Drift & continuous compliance", "Modenhedsmodel, plan & KPI'er"]
license: "Free to quote with attribution and a link to the page"
---

# Sådan implementerer du en compliance-strategi

> Fra beslutningen i bestyrelseslokalet til daglig drift — en praktisk drejebog med modeller og skabeloner.

## Kort fortalt

Implementér en compliance-strategi i fem faser: et ledelsesmandat og en politik, en business case med prioritering, klart ansvar via en RACI-matrix, én samlet kilde til produktdata og en løbende Plan-Do-Check-Act-cyklus, forankret i ISO 37301 og Three Lines-modellen.

- ISO 37301:2021 definerer modellen for compliance-ledelsessystemer og bygger på Plan-Do-Check-Act.
- IIA's Three Lines-model (2020) placerer ansvaret i første linje, tilsynet i anden linje og den uafhængige sikring i tredje linje.
- Planen fører et mærke fra det reaktive trin til Compliance-status på cirka et kvartal (uge 0–12).
- Mål-KPI'erne omfatter under 2 dage til dokumentation og over 95 % beståede audits.
- Leverandører bør ved optagelsen levere overensstemmelseserklæring, akkrediterede testrapporter, REACH/RoHS-materialeerklæringer og oplysninger om den ansvarlige person.

## Compliance bygges, den købes ikke

De fleste organisationer opdager compliance på den hårde måde – som en brand, der skal slukkes, når en forhandler, en markedsplads eller en myndighed beder om bevis. At købe et værktøj løser ikke problemet; compliance bliver først holdbar, når den er bygget ind i, hvordan virksomheden træffer beslutninger, bemander, strukturerer sine data og driver hverdagen. Dette white paper er en praktisk drejebog til netop det.

Det følger det implementeringsforløb, som vellykkede programmer har til fælles – fra ledelsesbeslutningen over business casen, menneskerne og dataene til driften – og er forankret i de anerkendte standarder på området: ISO 37301-modellen for compliance-ledelsessystemer og IIA's Three Lines-model for governance. Undervejs finder du modeller, du kan kopiere, og skabeloner, du kan udfylde.

**Modeller og skabeloner i dette white paper**

- **Modeller:** implementeringsforløbet · governance-modellen Three Lines · compliance-datamodellen · cyklussen for løbende compliance (PDCA) · en modenhedsmodel · en prioriteringsmatrix.
- **Skabeloner:** compliance-politik · business case · RACI-matrix · produktdatafelter · compliance-forespørgsel til leverandører · implementeringsplan · KPI-scorecard · compliance-register.

## Implementeringsforløbet

Compliance-programmer, der holder, bevæger sig gennem fem forbundne faser. Springer du én over, vakler de andre: Et værktøj uden mandat bliver ignoreret; et mandat uden data har intet at handle på; data uden en fast driftsrytme bliver forældede.

*Implementeringsforløbet – fem forbundne faser, fra ledelsesmandat til daglig drift.*

Resten af dette white paper gennemgår faserne en ad gangen. En bemærkning om sprogbrugen: Vi bruger **compliance-ledelsessystem (CMS)** i ISO 37301-forstand – det sæt af politikker, roller, data og processer, hvormed en organisation opfylder sine forpligtelser – ikke et enkelt stykke software.

## Fase 1 – Ledelsesbeslutningen

Compliance begynder i toppen, ellers begynder den slet ikke. ISO 37301 placerer ledelse, governance og kultur i centrum af ledelsessystemet af en grund: Uden et klart mandat, en erklæret risikoappetit og synlig opbakning fra ledelsen er compliance-arbejdet altid den opgave, der taber til den næste deadline.

### Hvad ledelsen skal beslutte

- **Et mandat og en sponsor.** Udpeg en leder, der er ansvarlig for compliance, og giv programmet udtrykkelig myndighed og budget.
- **Risikoappetit.** Sig ligeud, hvor stor en risiko for manglende overholdelse virksomheden vil acceptere – efter marked, kanal og produktkategori.
- **En compliance-politik.** En kort, bestyrelsesgodkendt erklæring om forpligtelse, omfang, roller og rapportering – det fundament, alt andet hviler på.

### Governance-modellen

Brug IIA's Three Lines-model til at fordele, hvem der gør hvad. Første linje (produkt, indkøb og drift) har ansvaret for og styrer compliance i det daglige arbejde. Anden linje (en compliance- eller kvalitetsfunktion) fastlægger politik, rammer og overvågning. Tredje linje (intern revision) leverer uafhængig sikring. Det øverste ledelsesorgan står over alle tre og står til ansvar over for interessenterne; eksterne parter – myndigheder, forhandlere og bemyndigede organer – står uden for.

> **Skabelon – Compliance-politik (én side).** **Formål:** hvorfor organisationen har forpligtet sig til produktcompliance. **Omfang:** hvilke produkter, mærker, markeder og kanaler politikken dækker. **Forpligtelse:** en erklæring om, at organisationen vil opfylde alle gældende EU-produktkrav og reagere på overtrædelser. **Roller og ansvar:** sponsor, compliance-ansvarlig, pligter i første, anden og tredje linje (se RACI). **Risikoappetit:** det risikoniveau, der accepteres, efter kategori og marked. **Rapportering og eskalering:** hvordan problemer rejses, over for hvem og hvor hurtigt. **Gennemgang:** hvor ofte politikken gennemgås (f.eks. årligt), og hvilke hændelser der udløser en gennemgang. **Godkendelse:** godkendt af [ledelsesorgan] den [dato]; ansvarlig: [navn].

## Fase 2 – Forretningsbeslutningen

Når mandatet er på plads, bliver compliance en business case som enhver anden: Afgræns den, prioritér den, vælg, hvordan den skal bemandes, og definér, hvordan succes ser ud.

### Prioritér dér, hvor det betyder noget

Du kan ikke gøre alt på én gang. Rangér produkter og markeder efter eksponering – ved at kombinere risikoen for håndhævelse og tilbagekaldelse med den omsætning, der står på spil – og begynd dér, hvor begge er høje.

| | Høj omsætning | Lavere omsætning |
|---|---|---|
| **Høj risiko** | Prioritér først – mest at miste. Validér og dokumentér nu. | Planlæg som det næste – væsentlig risiko, beskyt proaktivt. |
| **Lavere risiko** | Hurtige gevinster – nem dækning, synlige fremskridt. | Overvåg – automatisér og gennemgå med jævne mellemrum. |

### Udvikle, købe eller outsource

Tre modeller for ressourcer, som regel kombineret: **Udvikl** en intern funktion (kontrol, men langsomt og dyrt at rekruttere); **køb** en platform, der automatiserer klassificering, validering og dokumentation (hurtigt og skalerbart); eller **outsource** til en Managed-service (kompetencerne uden flere ansatte). De fleste mærker køber platformen og supplerer med Managed-support, hvor der kræves faglig vurdering.

| Felt (compliance-business case) | Hvad der skal med |
|---|---|
| Mål | Resultatet (f.eks. Compliance-status nået på de 3 største markeder inden for 90 dage). |
| Omfang | De produkter, mærker, markeder og kanaler, der dækkes først. |
| Overvejede muligheder | Udvikle internt · købe en platform · outsource (Managed). |
| Anbefalet mulighed | Valget og begrundelsen. |
| Budget | Engangsomkostninger og løbende omkostninger (capex/opex). |
| Forventede fordele | Hurtigere optagelse hos forhandlere, færre fjernelser fra sortimentet og tilbagekaldelser, tillidspræmie. |
| Succeskriterier | Se KPI-scorecardet. |
| Risici og forudsætninger | De vigtigste risici, og hvordan de afbødes. |
| Beslutning og ansvarlig | Godkendt af [navn] den [dato]. |

## Fase 3 – Mennesker og ansvar

Compliance svigter i det stille, når alle går ud fra, at en anden har ansvaret. Gør ansvaret eksplicit, giv folk kompetencerne, og opbyg en kultur, hvor det bliver belønnet og ikke straffet at rejse et problem.

### Fordel ansvaret med en RACI-matrix

En RACI-matrix kobler hver aktivitet til, hvem der er Responsible (udfører), Accountable (har det endelige ansvar), Consulted (høres) og Informed (orienteres). Tilpas skabelonen nedenfor til jeres struktur – pointen er, at hver række har præcis ét A.

| Aktivitet | Sponsor | Compliance | Produktteam | Revision |
|---|---|---|---|---|
| Fastlæg politik og risikoappetit | A | R | I | I |
| Klassificér produkter efter regler | I | A | R | – |
| Validér mod kravene | I | A | R | – |
| Udbedr mangler | I | C | R | – |
| Udarbejd dokumentation | I | A | R | – |
| Udpeg ansvarlig person | A | R | C | I |
| Overvåg ændringer i reglerne | I | A | C | I |
| Uafhængig sikring | I | I | I | A/R |

*R = Responsible (udfører) · A = Accountable (har det endelige ansvar) · C = Consulted (høres) · I = Informed (orienteres). Mangler I intern kapacitet, kan en platform eller en Managed-service varetage R-rollen, mens jeres team bevarer A-rollen.*

### Kompetencer og kultur

- Uddan produkt- og indkøbsteams i det grundlæggende: hvad en overensstemmelseserklæring (DoC) er, hvad en ansvarlig person gør, og hvad der gør en regel gældende for et produkt.
- Gør compliance-status synlig i de værktøjer, folk allerede bruger, så det bliver en del af arbejdsgangen – ikke en separat pligt.
- Beløn, at mangler bliver meldt tidligt. En kultur, der skjuler problemer, er den største enkeltrisiko for ethvert compliance-system.

## Fase 4 – Data og systemer

Under overfladen er compliance en dataopgave. Du kan ikke bevise det, du ikke kan beskrive. Fundamentet er én fælles kilde til sandheden, der forbinder hvert produkt med de markeder, det sælges på, de regler, der gælder, de krav, der skal opfyldes, og dokumentationen bag.

*Compliance-datamodellen – ét produkt koblet til dets markeder, regler, krav, dokumentation, leverandør og ansvarlige person.*

### Få produktdataene på plads

Klassificeringen er dér, hvor de fleste programmer går i stå. Registrér et ensartet sæt felter pr. produkt, så systemet kan koble hvert varenummer til de forordninger og harmoniserede standarder, der gælder.

| Produktdatafelt | Eksempel/bemærkning |
|---|---|
| Produkt-id/SKU | Intern identifikator |
| Modelnavn og GTIN/EAN | Til sporbarhed og mærkning |
| Kategori og TARIC-kode | Afgør, hvilke regler der gælder |
| Målmarkeder | Hvilke af de 27 EU-lande |
| Komponenter og materialer | Stykliste |
| Stoffer | Til REACH/RoHS-screening |
| Leverandør | Kilde til dokumentation fra tidligere led |
| Ansvarlig person | Erhvervsdrivende i EU |
| Gældende forordninger | Koblet automatisk (GPSR, REACH, …) |
| Status og dokumentation | % gennemført; links til DoC og test |

Send en compliance-forespørgsel til leverandøren ved optagelsen, og foretræk dokumenter, der er verificeret af tredjepart, frem for egenerklæringer.

| Punkt, du skal bede leverandøren om | Påkrævet? |
|---|---|
| Overensstemmelseserklæring (DoC) | Ja |
| Testrapporter (akkrediteret laboratorium) | Ja, risikobaseret |
| Materialeerklæringer (REACH/RoHS) | Ja |
| Stykliste | Ja |
| Overensstemmelse med harmoniserede standarder | Ja |
| Oprindelsesland/EUDR-data | Hvis relevant |
| Oplysninger om ansvarlig person | Ja |
| Grafik til mærkning og markering | Ja |

## Fase 5 – Drift og løbende compliance

Compliance er ikke et projekt, der slutter; det er en driftsrytme. ISO 37301 bygger på Plan-Do-Check-Act-cyklussen, og et velfungerende program gennemløber den samme cyklus løbende for hvert produkt.

*Cyklussen for løbende compliance – fra registrering til overvågning, i tråd med Plan-Do-Check-Act i ISO 37301.*

### Kør cyklussen

- **Registrér og klassificér.** Hvert nyt eller ændret produkt registreres i systemet og kobles til de gældende regler.
- **Validér og udbedr.** Kontrollér mod kravene, se manglerne, og luk dem.
- **Dokumentér.** Udarbejd DoC, teknisk dokumentation og en compliance-status, der kan deles – klar, før en forhandler spørger.
- **Overvåg.** Følg ændringer i reglerne, og revalidér automatisk, så et nyt krav kommer som en advarsel og ikke som en nødsituation.

Vedligehold et levende **compliance-register**, så status til enhver tid kan auditeres.

| Produkt | Marked | Regulering | Status | Ansvarlig |
|---|---|---|---|---|
| Skrivebordslampe (SKU-1042) | DE | LVD/RoHS/GPSR | Overholder | Produkt |
| Natlampe (SKU-3391) | FR | GPSR/EN 71 | Mangel – mærkning | Produkt |

### Vær klar til den dårlige dag

Drift betyder også beredskab: en fastlagt proces for en tilbagekaldelse eller et Safety Gate-varsel, hvor den ansvarlige person, dokumentationen og de korrigerende foranstaltninger allerede er på plads. De mærker, der klarer sig gennem en hændelse, er dem, der forberedte sig, før den skete. (Se det tilhørende white paper, *[Sådan håndterer du produkttilbagekaldelser i EU](/dk/white-papers/how-to-handle-product-recalls-in-eu)*.)

## Find ud af, hvor du står

Før du planlægger, så find ud af, hvor du står. Det spring, der betyder mest, er fra „Overholder reglerne“ til „Compliance-status“ – dér, hvor compliance holder op med at være en flaskehals og bliver et salgsværktøj.

| Trin | Sådan ser det ud | Udfald |
|---|---|---|
| **1 · Reaktiv** | Håndteres, når krisen opstår; regneark og opkald i sidste øjeblik. | Optagelser, der går i stå, uventede omkostninger, risiko. |
| **2 · Overholder reglerne** | Produkterne overholder reglerne, men beviserne er manuelle og tager tid. | Klarer sig gennem audits; compliance er en flaskehals. |
| **3 · Compliance-status** | Komplet, aktuel dokumentation pr. produkt og marked. | Hurtigere optagelse, færre stop, et pålideligt omdømme. |
| **4 · Foran** | Løbende og datadrevet; gennemsigtighed brugt i markedsføringen. | Hurtig vej til hylden, tillidspræmie, først klar ved nye regler. |

## Køreplanen

Et pragmatisk forløb bringer et mærke fra det reaktive trin til Compliance-status på omkring et kvartal og derefter videre til løbende forbedring. Tilpas tidsplanen til jeres størrelse og produktkatalog.

| Fase | Tidsplan | Fokus | Resultat |
|---|---|---|---|
| **0 · Mobilisér** | Uge 0–2 | Mandat, sponsor, politik, omfang, risikoappetit. | Godkendt politik; navngiven ansvarlig. |
| **1 · Fundament** | Uge 2–6 | Datamodel, produktimport, RACI, forespørgsler til leverandører. | Én fælles kilde til sandheden; rollerne fordelt. |
| **2 · Omsæt til drift** | Uge 6–12 | Validér de prioriterede produkter, luk mangler, udarbejd dokumenter. | Det prioriterede katalog har nået Compliance-status. |
| **3 · Optimér** | Løbende | Overvåg ændringer, audit, udvid dækningen, brug det i salget. | Løbende compliance; KPI'erne følges. |

## Sådan måler du succes

Det, der bliver målt, bliver gjort. Følg et lille sæt KPI'er, der kobler compliance til forretningen.

| KPI | Definition | Mål |
|---|---|---|
| Dækning | Andel af kataloget, der er valideret mod de gældende regler. | 100 % → |
| Tid til dokumentation | Gns. antal dage til at fremskaffe en komplet compliance-pakke til en forhandler. | < 2 dage |
| Åbne mangler | Antal uløste mangler. | Mod 0 |
| Andel beståede audits | Andel af produkterne, der består intern/ekstern audit. | > 95 % |
| Vej til hylden | Gns. antal dage fra indkøberens forespørgsel til klar til optagelse. | Faldende |
| Håndterede ændringer | Ændringer i reglerne, der er vurderet inden for den aftalte svartid (SLA). | 100 % |

## Faldgruber og succesfaktorer

**Undgå**

- At købe et værktøj uden mandat, ansvarlig eller driftsrytme bag.
- At forsøge at dække hele kataloget på én gang i stedet for at prioritere efter risiko og omsætning.
- At behandle dokumentation som et engangsarbejde og ikke som et levende, overvåget register.

**Gør**

- Begynd i toppen, afgræns stramt, og få hurtigt en første produktlinje op på Compliance-status.
- Giv én person det endelige ansvar (A) for hver aktivitet, og gør status synlig.
- Automatisér det gentagne arbejde, så folk bruger deres tid på faglige vurderinger og ikke på administration.

## Fra forpligtelse til fast kompetence

At implementere en compliance-strategi er en ændring af driften, ikke et køb. Beslut det i toppen, lav business casen, fordel ansvaret klart, opbyg datafundamentet, og kør cyklussen. Gør du det, holder compliance op med at være det, der bremser dig – og bliver det, der får dig på hylden, holder dig dér og gør hver ny regulering til en funktion, du allerede har.

### Sådan hjælper Conphora

Conphora er platformen og Managed-servicen bag denne drejebog. Den giver dig compliance-datamodellen klar til brug, validerer dit katalog mod 49 EU-regulativer i 27 lande, kører cyklussen for løbende compliance og udarbejder den dokumentation og den status, der kan deles, som forhandlerne kræver. Brug den selv, eller lad vores team drive den for dig. Læs mere på [conphora.com](https://www.conphora.com).

## Kilder og referencer

1. ISO 37301:2021 – Compliance management systems: krav med vejledning til brug (PDCA; afløser ISO 19600:2014).
2. The Institute of Internal Auditors – The Three Lines Model (2020-opdatering af Three Lines of Defense).
3. Forordning (EU) 2023/988 om produktsikkerhed i almindelighed (GPSR). EUR-Lex.
4. Forordning (EU) 2024/1781 om økodesign for bæredygtige produkter (ESPR) og digitalt produktpas. EUR-Lex.
5. Europa-Kommissionen – Safety Gate Rapid Alert System (årsrapport).

<p class="disclaimer">Dette white paper er generel vejledning og udgør ikke juridisk rådgivning. Rammerne er sammenfattet; se de primære standarder og forordninger før implementering. © 2026 Conphora.</p>

PDF: https://www.conphora.com/compliance-information/Conphora_Whitepaper_Implementing_Compliance_DA.pdf