15 risici, enhver virksomhed bør styre – løsninger og anerkendte rammeværk

ESGenius RADAREN

Sådan arbejder ESGenius Lovkrav & Compliance Det operationelle årshjul Den uafhængige firewall Tjeklister & Værktøjer Pointsystemet & Certifikater Revisorer & partnere Apps Alt om CSR og ESG Cases

15 risici, enhver virksomhed bør styre – løsninger og anerkendte rammeværk

Risikostyring er at vide, hvad der kan gå galt – og have en plan

Risikostyring og compliance handler om at overholde reglerne og at opdage og begrænse det, der kan skade virksomheden: regelbrud, databrud, svindel, driftsstop og tab af omdømme. Mange mindre virksomheder har ikke en compliance-afdeling, men de samme risici gælder for dem.

Anerkendte rammeværk som COSO og ISO-standarderne giver en struktur for arbejdet. De er ikke teoretiske. De bruges af revisorer og myndigheder som målestok for god intern kontrol.

Oversigten viser 15 risici, de anerkendte løsninger og de relevante regler og rammeværk. Risikostyringen er jeres. ESGenius’ rolle er afgrænset til ESG-data: at indsamle, kontrollere og rapportere dem og at dokumentere, at politikker og procedurer findes.

Oversigt: 15 risici og anerkendte løsninger

Risiko	Anerkendt løsning	Regler og rammeværk	ESGenius’ rolle
1. Overtrædelse af lovgivning og branchekrav.	Et compliance-program med klare retningslinjer, en ansvarlig og løbende kontrol.	COSO og ISO 37301 (compliance-ledelse).	Følger reglerne for ESG-rapportering og opdaterer metoderne, når de ændres. Anden lovgivning er uden for ESGenius’ område.
2. Brud på GDPR.	Fortegnelse, adgangskontrol, kryptering, slettepolitik og procedure for databrud.	GDPR, herunder art. 28 (databehandleraftaler) og art. 33 (anmeldelse af brud).	ESGenius behandler kun de oplysninger, der er nødvendige for rapporteringen, og indgår databehandleraftale, hvor det kræves.
3. Cyberangreb.	Multifaktorgodkendelse, opdateringer, penetrationstest og beredskabsplan.	NIS2 for omfattede sektorer og ISO 27001.	Uden for ESGenius’ område – jeres it-sikkerhed er jeres.
4. Korruption og interessekonflikter.	Antikorruptionspolitik, erklæringer om interessekonflikter og en whistleblowerordning.	Straffeloven, whistleblowerloven (pligt ved 50 ansatte eller flere) og ISO 37001.	Dokumenterer, at politik og ordning findes. Domme og bøder rapporteres efter VS.
5. Mangelfuld risikovurdering.	Et risikoregister, en matrix for sandsynlighed og konsekvens og udpegede risikoejere.	ISO 31000 (risikoledelse).	ESG-risici kan indgå i jeres risikoregister ud fra de data, ESGenius leverer.
6. Svindel og økonomisk kriminalitet.	Funktionsadskillelse, to-personers godkendelse af betalinger og intern revision.	COSO og revisorlovgivningen.	Uden for ESGenius’ område – håndteres i jeres interne kontrol og af jeres revisor.
7. Manglende kontrol med leverandører.	Due diligence, compliance-krav i kontrakter og audits.	UNGP, OECD’s retningslinjer og forordningen om tvangsarbejde.	Indsamler og kontrollerer leverandørdokumentation inden for værdikæde-loftet.
8. Manglende overholdelse af ESG-krav.	ESG-risikovurdering, målbare nøgletal og intern kontrol.	VS, ECGT og markedsføringsloven.	ESGenius’ kerneområde: indsamling, kontrol og rapportering af ESG-data.
9. Svag intern kontrol og governance.	En governance-model med klare roller og et kontrolmiljø inspireret af COSO.	COSO.	Kontrollen af ESG-data følger et fast årshjul med Human in the Loop.
10. Svag compliance-kultur.	Compliance-kurser, en adfærdskodeks og dilemmaøvelser.	–	Uden for ESGenius’ område.
11. Manglende beskyttelse af whistleblowere.	En whistleblowerordning med klare procedurer og beskyttelse mod repressalier.	Whistleblowerloven.	Uden for ESGenius’ område – ordningen drives af jer eller en specialiseret leverandør.
12. Interessekonflikter i beslutninger.	En politik, oplysning om økonomiske interesser og uvildig godkendelse.	–	Uden for ESGenius’ område. ESGenius kan dokumentere, at en politik findes.
13. Driftsforstyrrelser.	Konsekvensanalyse (BIA), plan for driftskontinuitet (BCP) og plan for genetablering af it (DRP).	ISO 22301 (driftskontinuitet).	Uden for ESGenius’ område. ESG-data og historik opbevares hos ESGenius, så de ikke afhænger af én medarbejder.
14. Manglende kontrol med AI.	Overblik over AI-systemer, risikoklassificering og menneskeligt tilsyn.	AI-forordningen.	ESGenius bruger selv Human in the Loop. Jeres egne AI-systemer er uden for ESGenius’ område.
15. Omdømmerisiko og kriser.	En krisekommunikationsplan, kriseledelse og forebyggende handlingsplaner.	–	Dokumenterede ESG-data mindsker risikoen for udsagn, der ikke kan underbygges.

Sådan indgår ESGenius i jeres risikostyring

ESGenius indsamler kildebilagene via Kundeportalen eller jeres ERP-system. ESGenius’ sagsbehandlere kontrollerer og beregner tallene (Human in the Loop), og data passerer ESGenius’ uafhængige firewall, før de indgår i den månedlige ESG-rapport. Arbejdet følger et fast årshjul med kundebesøg.

Ønsker I dokumentationen verificeret, kan forløbet afsluttes med audit-certificering. En uafhængig tredjepart verificerer data – jeres egen revisor eller en uafhængig revisor formidlet af ESGenius – og ESGenius Apis™-certifikatet udstedes på niveau Larva™, Pupa™ eller Imago Apis™ efter ESGenius’ pointsystem på 1.000 point.

Kilder

COSO: Internal Control – Integrated Framework (2013) og Enterprise Risk Management (2017).
ISO 31000, ISO 37001, ISO 37301, ISO 27001 og ISO 22301.
GDPR, direktiv (EU) 2022/2555 (NIS2) og forordning (EU) 2024/1689 (AI-forordningen).
Whistleblowerloven og straffeloven.
Delegeret forordning (EU) 2026/1560 (VS) og direktiv (EU) 2024/825 (ECGT).