10 funktioner du skal kigge efter i GDPR compliance software i 2024

You can also read this article in English here 🇬🇧

Introduktion

I takt med at virksomheder møder stadig flere compliance krav, stiger dokumentationskravene løbende. I en verden, der digitaliseres mere, og hvor truslerne bliver mere seriøse, vil compliancekravene sandsynligvis kun blive strammere i fremtiden. Dette gælder både inden for GDPR og andre complianceområder såsom IT-sikkerhed og cybersikkerhed.

De tre bogstaver GRC er derfor yderst relevante at diskutere, både i mindre virksomheder og store koncerner. GRC står for Governance, Risiko og Compliance og sigter mod at sikre, at vi har disse tre begreber for øje i vores drift af virksomheder.

Med GRC følger en række dokumentationskrav. Dette omfatter at udarbejde dokumentation for din virksomheds nuværende tilstand samt at holde dokumentationen opdateret i forhold til ændringer i din virksomhed og lovgivningen.

Med de øgede krav oplever vi, at flere og flere vokser fra de dokumentationsværktøjer, de tidligere har brugt, typisk en blanding af Excel og Word-dokumenter. Da disse værktøjer ikke er designet til de specifikke opgaver under data compliance, skaber den øgede kompleksitet udfordringer. Her bliver GRC-software, der kan assistere med GDPR-compliance, et essentielt værktøj.

Læs også: Hvad er forskellen på en Compliance platform og Excel?

I denne artikel vil jeg fremhæve 10 funktioner, som jeg mener, du bør overveje, når du søger efter en GRC-platform.

Start med at bruge GRC platformen Privacy gratis i dag

Hvad er GDPR Compliance software?

Der findes forskellige typer af GDPR compliance-software på markedet. Der er platforme, der kan hjælpe med at scanne, om du og dine medarbejdere sletter e-mails. Der er også platforme, der kan hjælpe dig med at implementere en cookie-popup på din hjemmeside. Endelig findes der platforme, der assisterer med dine dokumentationsopgaver.

Den sidste kategori falder under begrebet GRC-software, som er i fokus i denne artikel.

Overordnet set kan en GRC-platform anvendes til et eller flere områder. Når du undersøger en GRC-platform, vil den oftest kunne assistere med flere compliance-områder. Det første skridt er derfor at finde en GRC-platform, der kan hjælpe med GDPR-compliance. Formålet med en GRC-platform er at tilbyde et produkt, der er skræddersyet til det arbejde, du har med compliance-dokumentation. Derfor vil platformen kunne støtte og vejlede dig og dine kolleger med de compliance-opgaver, I står overfor.

I høj grad varierer det, hvordan GRC-platforme hjælper. Nogle er meget automatiserede, brugervenlige og designet til enten store eller små virksomheder. Derfor bør du omhyggeligt overveje dine behov, før du vælger en platform til at assistere dig.

Og det er netop, hvad denne artikel vil hjælpe dig med. Hvad skal du egentlig kigge efter, når du har erkendt, at du er vokset fra de manuelle dokumenter og skal vælge et GDPR compliance-værktøj?

Skal du bruge GDPR Compliance software?

Det korte svar er ja, alle virksomheder kan have glæde af GDPR compliance-software. Det kan dog variere, hvor meget du har brug for det. Samtidig vil det også være en afvejning af pris, kompleksiteten i din dokumentation og dine specifikke behov, som bestemmer værdien for netop dig. Disse punkter vil denne artikel også adressere i de sidste afsnit.

Ser vi bort fra den afvejning et øjeblik, så vil det for alle være en fordel at have en GRC-platform. Her får du et struktureret værktøj, der hjælper dig med persondatabeskyttelse og de relaterede opgaver. En platform designet til at assistere dig kan tilbyde frameworks og standarder, så du ikke behøver at "opfinde" alt fra bunden.

Godt GRC-software er designet til at forenkle komplekse regler og præsentere dem i et format, som både du og dine kolleger kan forstå. Værktøjet kan hjælpe med at effektivisere opgaven, så du sparer unødvendig tid på dokumentationsarbejdet. Der er stor forskel på de platforme, du finder på markedet, og derfor vil valget af GDPR Compliance Software altid bero på en afvejning af, hvad de enkelte platforme tilbyder, hvor godt de er designet og selvfølgelig, hvad de koster for dig og din virksomhed.

Læs også: Hvad er Compliance software og har jeg brug for det?

10 funktioner, du skal kigge efter, når du overvejer GDPR Compliance Software

Se en kort gennemgang af listen i videoen eller læs videre for at tilgå den fulde liste.

En GRC-platform tilbyder en række funktioner, og afhængigt af dine behov, kan visse specifikke funktioner være særligt relevante. Det er vanskeligt at opstille en udtømmende liste over alle de funktioner, en platform kan tilbyde, som du bør vurdere.

Derfor har jeg i denne artikel valgt at fremhæve 10 overordnede funktioner, der er vigtige for alle, der er på udkig efter en GRC-platform, uanset virksomhedens størrelse og branche.

1: Data mapping funktioner

GDPR compliance starter med at have et overblik. Denne del behøver ikke at være fyldt med paragraffer og referencer til forordningen. Overblikket starter med, at du får kortlagt din forretning i forhold til processer, systemer og leverandører.

Dette kan gøres gennem data mapping, og derfor er det essentielt, at det GDPR compliance-værktøj, du vælger, har gode funktioner til netop at lave en data mapping. Dette gælder både oprettelse af processer og systemer samt at få overblik over din eksisterende dokumentation.

Når du laver en GDPR data mapping, fokuserer du på, i hvilke processer du behandler persondata og de nødvendige informationer, du skal have for at kunne vise lovpligtig dokumentation – som f.eks. en artikel 30 fortegnelse. Vurder derfor GDPR compliance softwaret ift. om selve data mapping-værktøjet virker intuitivt, og om det kan benyttes af dine kollegaer, som oftest er dem, der ved, hvad de rent faktisk gør, når de f.eks. udsender et nyhedsbrev. Herefter skal du vurdere, om mapping-værktøjet giver dig et overblik, bl.a. i forhold til de minimumskrav der er til dokumentation inden for GDPR. Til sidst skal du undersøge, om compliance-platformen kan give dig relevante udtræk fra datakortlægningen. Kan den lave en overskuelig og forståelig artikel 30 fortegnelse med de behandlingsaktiviteter, du og dine kolleger har mappet?

Læs også: Hvad er en artikel 30 fortegnelse i GDPR?

Meget af dit GDPR compliance-arbejde starter med kortlægningen af processer, systemer og leverandører. Herfra bygger du videre med yderligere dokumentationsopgaver. Derfor er det essentielt, at dette fundament fungerer på en måde, som du føler dig komfortabel med at arbejde inden for.

Læs også: Sådan laver du en GDPR data mapping med vores simple GDPR Compliance værktøj

2: Overblik fra flere vinkler

I forlængelse af punkt 1 er det vigtigt, at du finder en platform, der kan give dig et overblik fra forskellige vinkler.

Du kan have behov for at se din compliance-dokumentation fra en systemvinkel den ene dag og fra en procesvinkel en anden dag. Overvej derfor, hvordan datastrukturen i GRC-softwaren er skruet sammen. Er den logisk opbygget i forhold til din organisation? Og tilbyder den mulighed for at aktivere flere vinkler på samme dokumentation?

Jeg ville for eksempel gå efter en platform, som placerer virksomhedens processer i centrum. I forbindelse med GDPR-compliance kaldes disse for behandlingsaktiviteter, og det er blandt andet disse, du skal kunne lave en artikel 30 fortegnelse over. Processerne er et godt udgangspunkt, da enhver virksomhed eller organisation kan kortlægges ud fra en procestilgang. For eksempel lønudbetaling til medarbejdere, salgsprocesser over for kunder og opsætning af hjemmeside.

Men herefter er det vigtigt, at du også undersøger, om de andre vinkler kan kobles på. Kan du for eksempel registrere, hvilke systemer du benytter i en proces? Og kan du registrere en leverandør på det system? Og vigtigst af alt, hvis du registrerer en information ét sted, bliver den så også vist fra den anden vinkel? Altså at processen ved noget om leverandøren, som kommer fra det system, der er koblet på. Det er her, hvor en digital compliance-platform i høj grad kan være til hjælp. Og ikke mindst spare dig for en masse dobbeltregistreringer.

3: Mulighed for udvidelse af complianceområder

I denne artikel fokuserer vi på GDPR compliance software, men som nævnt tidligere, kan en GRC-platform ofte hjælpe dig med flere complianceområder. Derfor bør du overveje, hvilke områder du kunne forestille dig at benytte platformen til både nu og i fremtiden.

For eksempel, hvis du bruger platformen til GDPR, men samtidig arbejder med compliance ift. it-sikkerhed og cybersikkerhed, kunne det være fordelagtigt med en platform, der kan assistere med begge dele.

Læs også: Hvad er et informations sikkerheds styringssystem?

Overvej dog følgende:

1. Kan platformen gøre ”for meget”? Ulempen ved compliance software, der dækker mange forskellige vinkler og domæner, er, at platformen selv bliver kompleks at bruge. Du mister så nogle af de andre fordele ved GRC software, nemlig at det skal være let at benytte. Derfor er en meget bred GRC-platform, der kan håndtere alt compliance, ikke nødvendigvis i din interesse.

2. Er der snitflader mellem complianceområderne? For eksempel giver det god mening, at GDPR og informationssikkerhed håndteres i samme platform. Hvorfor? Fordi du registrerer mange af de samme informationer i de to kontekster. For eksempel kortlægger du alle dine it-systemer. Det ville være spild af tid at gøre det to forskellige steder for at dække to forskellige complianceområder.

3. Kan områderne aktiveres over tid? Antag at du har fundet en GRC-platform, der kan assistere med mange forskellige complianceområder. Men du vil i første omgang kun i gang med GDPR. Kan du så tage GDPR-funktionerne i brug og senere aktivere funktioner for de andre områder? Det kan være en fordel ift. kompleksitet, onboarding på platformen og din pris.

4: Organisationsstyring

Dette punkt er ikke nødvendigvis vigtigt for alle, men for dem, hvor det er relevant, er det meget afgørende og bør undersøges inden du vælger en platform.

Er du en del af en koncern med flere datterselskaber? Eller forventer du, at du i fremtiden kunne komme til at opkøbe andre selskaber og dermed blive en koncern? Så er det essentielt, at du undersøger en platforms evne til at håndtere komplekse organisationer.

Når du laver compliance-dokumentation, skal du oftest kunne fremvise det på selskabsniveau. Samtidig ønsker du ikke at skulle lave dokumentation for hvert enkelt selskab, hvis du for eksempel har koncernspecifikke processer eller systemer. Det er en stor fordel, hvis en platform kan hjælpe dig med at dokumentere og administrere brugeradgang på tværs af flere selskaber.

Og her bliver det lidt nørdet, men hvis en platform ikke er designet til at håndtere dette fra starten, kan det være meget svært for platformens udbyder at ændre dette senere. Det betyder, at du måske ikke får disse fordele fra starten, og du bør heller ikke forvente, at det nødvendigvis vil ændre sig.

Derfor bør du kigge efter GRC software, der er udviklet til at håndtere større koncerner fra begyndelsen.

5: Opgavestyring

En af de store fordele ved GRC-værktøjer er, at de gør det meget lettere at samarbejde om dokumentationsarbejdet. For eksempel kan du som DPO delegere opgaver til forskellige kollegaer, der kan bidrage med deres input. Med andre ord kan opgaverne fordeles, så ansvaret ikke kun ligger hos én person – som ofte er tilfældet uden GRC software.

Læs også: Hvad er en databeskyttelsesrådgiver (DPO)?

I denne sammenhæng er opgavestyring afgørende. Du vil kunne oprette et årshjul for dine GDPR compliance-opgaver. Her skal du kunne administrere, hvem der skal gøre hvad og hvornår. Derefter vil en god platform sikre, at du og dine kolleger bliver påmindet om jeres opgaver til rette tid.

På denne måde bliver det nemmere at sikre, at compliance-opgaverne bliver fordelt i organisationen, og flere bidrager til projektet.

Når du vurderer opgavestyring på en GRC-platform, kan du med fordel overveje, om platformen tilbyder standardopgaver. Om den kan anvendes til andre compliance-opgaver, såsom overblik over dine certificeringer. Og teknisk set, om opgavestyringen opfylder dine behov, for eksempel muligheden for at uploade dokumentation, revisionspor, kommentarer mv.

For at drive compliance i en organisation er dit årshjul og opgavestyring et centralt værktøj. Brug derfor god tid på at undersøge netop dette modul i den GRC-platform, du overvejer, og sørg for, at modulet opfylder dine behov og er intuitivt og effektivt at bruge.

Læs også: Få et gratis årshjul til dine complianceopgaver i Privacy

6: Risikomodul

Governance, Risiko og Compliance (GRC) – ud fra dette perspektiv er det naturligt, at du i et GRC-værktøj ønsker at se en solid tilgang til risikostyring.

Når du arbejder med GDPR compliance, er du interesseret i, at et risikomodul kan udføre risikovurderinger på behandlingsaktiviteter og leverandører. Risikovurderinger kan være svære at gå til – hvor skal man starte?

Derfor er det vigtigt, når du vurderer GDPR Compliance Software, at du forholder dig til to primære områder:

1. Er risikomodulet baseret på en metode, der svarer til best practices inden for området? Her kan du for eksempel vurdere det i forhold til vejledninger fra datatilsynet. Du er typisk interesseret i et modul, hvor du kan udføre en risikovurdering baseret på konsekvens og sandsynlighed. Dette er en almindelig tilgang for eksempelvis behandlingsaktiviteter eller systemer. Der kan dog være variationer i, hvordan du risikovurderer, for eksempel en databehandler.

2. Tilbyder værktøjet vejledning? Kommunikerer værktøjet denne risikomodel på en letforståelig måde? Gør det det nemt at udføre risikovurderinger? Endnu bedre, hvis du kan finde GRC software, der tilbyder et rammeværktøj til risikovurderinger, så du får et udgangspunkt at arbejde ud fra. Det kan være svært at lave en risikovurdering fra bunden.

Risikovurderinger er en af de vigtigste funktioner i din GRC-platform, så undersøg risikomodulet grundigt, før du vælger dit GDPR Compliance-værktøj.

Læs også: Vi har lavet en serie af artikler om netop risikovurderinger, du kan læse dem her: Rammeværktøj for GDPR-risikovurderinger, Hvad er en risikomatrix? og Hvad er informationssikkerheds risikostyring?

7: Brugervenlighed og tilgængelighed

Dette er ikke en konkret funktion, men mere et parameter, der bør være en central del af alle funktionerne i en GRC-platform. Dette bliver dermed en overordnet vurdering, du bør foretage af det GRC-software, du overvejer.

Som tidligere nævnt, bør en af fordelene ved at benytte en GRC-platform være at undgå den kompleksitet og mangel på overblik, som kan opstå ved brug af et Excel-ark. Det er afgørende, at platformen er designet på en måde, så den er brugervenlig, intuitiv og tilgængelig.

Dette gælder, uanset om du arbejder med data mapping, årshjulsopgaver eller risikovurderinger. Brugervenligheden bør afspejles i hele platformen.

Ikke alle GRC-platforme inkluderer dette som en naturlig del. Det kræver, at udbyderen har overvejet dette parameter fra starten. Der findes eksempler på platforme, hvor lange og avancerede formularer gør arbejdet på GRC-platformen endnu vanskeligere end i Excel. Som nævnt i punkt 3, kan der være GRC-software, der har taget munden for fuld og dækker for mange complianceområder, hvilket i sidste ende blot øger platformens kompleksitet.

Overvej din egen brug af platformen: Kan du forstå brugergrænsefladen, og er den intuitiv for dig? Vurder derefter, om dine kolleger ville kunne tilgå platformen. Det kan tænkes, at de ikke har lige så bred en GDPR compliance-viden som dig, men du er interesseret i, at de bliver en del af hele eller dele af platformen.

Hvis det GRC-software, du overvejer, ikke er brugervenligt nu, bliver det det heller ikke i fremtiden. Complianceområdet bliver kun bredere, hvilket betyder, at disse værktøjer også skal dække et bredere spektrum. Dette medfører flere funktioner i værktøjet, hvilket sandsynligvis kun vil gøre det mere komplekst at anvende.

8: Frameworks og standarder

Det er ingen hemmelighed, at dele af din GDPR compliance-dokumentation vil ligne det, andre virksomheder anvender. For eksempel er der ikke store forskelle på, hvordan du behandler persondata i forbindelse med lønudbetalinger til en medarbejder og hvordan nabovirksomheden gør det.

Samtidig kan du inden for forskellige complianceområder finde standarder, som du med fordel kan støtte dig til. Dette kunne være ISO 27001 og ISO 27002, som er bredt anvendt i forhold til løbende compliance-opgaver, implementering af sikkerhedsforanstaltninger og risikovurderinger – både inden for IT-sikkerhed, cybersikkerhed og GDPR.

Læs også: Hvad er ISO 27001 Compliance?

Når du vælger GDPR Compliance software, kan du med fordel vurdere, hvilke frameworks og standarder du får adgang til. Men også overveje, om du kan tilføje dine egne, i forhold til de steder, hvor du adskiller dig fra mængden. Ved at vælge et værktøj, der tilbyder et udvalg af standarder, som er lette at aktivere i platformen, kan du spare en masse indtastningsarbejde. Du kan måske også bruge sådan et katalog til inspiration for, hvilke compliance-tiltag du med fordel kan implementere i fremtiden.

9: Konfiguration til din organisation

I modsætning til standarder, kan det være en fordel for dig at kunne tilpasse dele af GRC-softwaren til din egen organisation. Det kan for eksempel være, at du ønsker at ændre i den stamdata, som platformen leverer. Forestil dig, at du registrerer nogle persondatakategorier i dit GDPR compliance-arbejde, som ikke er repræsenteret i værktøjet. I sådanne tilfælde er det naturligvis vigtigt, at du kan opdatere stamdataene, så de afspejler den kontekst og det "sprog", som du og dine kolleger bruger.

Dette er altid et spørgsmål om balance. Ved at tillade for mange tilpasninger på en platform, kan du i sidste ende risikere at kompromittere brugervenligheden som nævnt i punkt 7. Derfor bør du nøje overveje balancen mellem tilpasningsmuligheder og brugervenlighed, som du har behov for, og på den måde finde ud af, hvordan du bedst vægter forskellige GRC-platforme op imod hinanden.

10: Rollestyring

Hvis du arbejder i en større virksomhed eller koncern, kan det være fordelagtigt at ønske, at du og dine kolleger kan samarbejde om dokumentationsopgaverne. Organisationer har forskellige tilgange til compliance-dokumentation. Nogle holder det meget centralt, hvor kun få personer kan ændre i dokumentationen og må opsøge viden fra afdelingerne. Andre udpeger stakeholders i forskellige afdelinger, som kan bidrage med deres viden til et fælles compliance-overblik. Og endelig er der dem, der breder dokumentationsopgaven bredt ud, hvor mange kolleger bidrager.

Hvis du allerede har, eller ønsker at brede dokumentationsopgaven ud i organisationen, er det vigtigt for dig at vælge GRC-software med god bruger- og rollestyring.

Se efter en platform, hvor du kan styre på rolle-niveau, hvilke data enkelte brugere må se, oprette og redigere. Dette kan styres på bruger-, afdelings- eller koncernselskabsniveau.

Læs også: Gør det lettere at samarbejde om dokumentation med Privacy Pro

Det kan også være en fordel at finde et værktøj, hvor du kan modificere, hvad den enkelte bruger ser. For eksempel kan det være, at en bruger skal se data mapping modulerne i platformen, mens en anden skal se risikomodulet.

For at sikre den bedst mulige succes med at udbrede complianceopgaven og samarbejde i organisationen, kan du med fordel finde et GRC-værktøj, som er designet til netop dette. Et godt sted at starte er ved at undersøge bruger- og rollestyringen.

Du bør også overveje disse, når du vælger GRC software

Support, onboarding og hjælp

Hvem er udbyderen af værktøjet? Og hvordan vurderer du deres serviceniveau? Når du tager et GDPR Compliance værktøj i brug, vil du sandsynligvis have brug for teknisk assistance i starten. Derfor er det vigtigt, at du føler, at du kan få god service fra platformens udbyder.

Vurder, om de er lette at kontakte, er de samarbejdsvillige, og er kemien god? Disse er personerne, du skal samarbejde med både under onboardingforløbet og senere i forhold til løbende support og hjælp. Derfor er det vigtigt, at du har den rette mavefornemmelse med leverandøren.

Læs også: Sådan implementerer du GDPR i 10 nemme trin

Pris og bindingsperiode

Du er naturligvis interesseret i prisen for det værktøj, du vælger. Hvad er din månedlige abonnementspris på platformen? Og retfærdiggør prisen både det, du skal bruge platformen til, og de funktioner du får adgang til?

Der findes forskellige prismodeller, hvor nogle tilbyder en fast månedlig pris, mens andre har en pris, der varierer ift. dit forbrug.

Den sidste model er fair for de fleste, da der selvfølgelig er forskel på, om du er en stor organisation eller en lille virksomhed, og prisen bør differentiere i dette scenarie.

Du bør også forholde dig til bindingsperioden. Jo kortere bindingsperiode, jo bedre for dig, hvis du af en eller anden årsag skulle få brug for at skifte platform på et senere tidspunkt. Det siger også noget om en leverandør, hvis de ønsker at binde dig for en lang periode.

Prøveperiode

Tilbyder udbyderen af GRC værktøjet en gratis prøveperiode? Eller endnu bedre, har de en gratis version af deres værktøj? Det er rart at kunne prøve et værktøj af, før du beslutter dig. Det er netop i en prøveperiode, at du kan teste de 10 punkter, som denne artikel har listet op.

Brug prøveperioden aktivt til at stille spørgsmål til leverandøren, både for at få afdækket de vinkler, der betyder noget for dig, og for at teste serviceniveauet.

Transparens

Hvor transparent er leverandøren af compliance softwaren? På hvilken måde, og hvor meget information kan du finde på deres hjemmeside om deres produkt, vilkår, priser mv.? Jo mere en leverandør tør vise frem offentligt, jo bedre kvalitet kan du formode, at deres produkt har.

Nu er du klar til at vurdere GRC software – du kan starte med Privacy

Jeg håber, at denne artikel har givet dig inspiration til, hvordan du kan øge chancerne for at vælge den rigtige GRC-platform. Hos .legal udvikler vi vores egen GRC-software, som hedder Privacy, og som er designet til netop at assistere med compliance-arbejde.

Jeg er overbevist om, at du bør se på forskellige platforme for at sikre, at du vælger den rigtige. Men jeg mener også, at Privacy er et meget godt bud, og denne platform bør derfor indgå i din vurdering.

Derfor vil jeg meget gerne indlede en dialog, hvor vi kan afprøve Privacy i forhold til de ti punkter fra denne artikel – og hvad du ellers kunne have interesse i at vurdere. Hvis du er interesseret, er du altid velkommen til at kontakte mig her.

Men du kan også tage Privacy i brug helt gratis, da vi tilbyder en gratis plan af platformen. På den måde kan du komme i gang og selv afprøve nogle af funktionerne, før vi fortsætter dialogen.

Og til sidst, du kan bruge Privacy både til GDPR compliance, men også it-sikkerhed og cybersikkerhed. Læs mere om Privacy ISMS her.

Se alle funktioner, planer og priser her

Læs også: Hvad er de syv principper i GDPR compliance?