Hvidvasksag og gennemgang af én million dokumenter hos Danske Bank
Da Marie Thyrgaard Jensen trådte ind i rollen som compliance officer i Danske Bank, blev hun kastet ud i krævende udfordringer: en international hvidvasksag og helt nyt GDPR-tilsyn. Nu vil hun give hendes erfaringer videre til andre.
Hvidvasksag og én million dokumenter
Der var ikke gået lang tid med håndteringen af GDPR, da Danske Banks hvidvaskssag, der var begyndt at rulle i 2017 og 2018, kastede en enorm opgave fra sig til det lille DPO-kontor.
Omkring en million dokumenter, som var afleveret til det daværende SØIK (nu Statsadvokaten for Særlig Kriminalitet (SSK)), skulle også sendes til de amerikanske myndigheder.
Da dokumenterne skulle sendes ud af EU og over Atlanten skulle de tjekkes igennem for følsomme personoplysninger i henhold til GDPR. Den opgave stod Marie Thyrgaard Jensen pludselig også med.
”Vi taler om cirka én million dokumenter – alt fra e-mails og rapporter til præsentationer og interne notater. Først blev materialet scannet automatisk, men derefter skulle det gennemgås manuelt , og alle ikke relevante personoplysninger blev maskeret. Det endelige ansvar lå hos os,” fortæller hun.
Det var ikke bare en teknisk øvelse, men også en svær strategisk balancegang, husker hun.
"Vi skulle sikre, at vi levede op til myndighedernes krav uden at kompromittere forretningshemmeligheder – og uden at bryde GDPR. Hvordan svarer man fyldestgørende og åbent samtidig med, at man sikre kun at udlevere de absolut nødvendige personoplysninger?” husker hun.
Netværk for compliance-ansatte
Du har nu mulighed for at skrive dig op til interesselisten for netværket "Compliance i København" og blive holdt ajour med opstart.
Finansforbundets netværksgruppe "Compliance i København" er for dig, som ønsker at blive en del af et fortroligt og fagligt forum, hvor du som medlem kan drøfte de udfordringer og muligheder du møder, når du arbejder med compliance i den finansielle sektor.
Vi er ved at samle en passende mængde interesserede netværksmedlemmer. Når vi har det rette antal, inviterer vi til et uforpligtende kickoffmøde, hvor vi bl.a. vil drøfte møderammer og emner.
Er du interesseret i at deltage i kickoffmødet?
Kæmpe GDPR-bøde
Mens hvidvasksagen kørte, barslede banken og Marie Thyrgaard Jensen samtidig med opgaven med at sikre, at GDPR-lovgivningen blev efterlevet i praksis. En opgave som mange danske virksomheder dengang havde store udfordringer med at finde hoved og hale i.
”På et tidspunkt meldte vi os selv til Datatilsynet, fordi vi fandt ud af, at vi havde noget data, der ikke var slettet,” fortæller hun. Årsagen var bl.a. gamle it-systemer, der gjorde det nærmest teknisk umuligt at slette visse data.
Sådan skete det, at et af de første store tilsyn i Danmark efter GDPR’s ikrafttræden blev Danske Bank.
"Datatilsynet vurderer, at Danske Bank ikke har kunnet dokumentere, at de har slettet personlysninger i overensstemmelse med databeskyttelsesreglerne, og tilsynet har derfor indstillet banken til en bøde på 10 mio. kr.," skrev Datatilsynet i d. 5. april 2022.
”Der var ingen fysiske tilsyn – alt foregik skriftligt. Men processen strakte sig over to år med gentagne runder af spørgsmål, dokumentation og uddybninger,” fortæller Marie Thyrgaard Jensen, der skiftede væk fra Danske Bank, inden afgørelsen faldt.
”Bøden blev senere frafaldet, men det viser, hvor meget der var på spil,” siger hun.
Tiden hos Danske Bank var hektisk og i dag meget definerende for både hende selv og Danske Banks investering i compliance.
"Det var en enormt spændende og lærerig periode, som jeg ikke ville have været for uden. Det lærte mig også, hvor vigtigt det er at have nogle at sparre med undervejs."
Fra regler til praksis – og hvorfor netværk er nøglen
I sine fire et halvt år hos Danske Bank oplevede Marie Thyrgaard, hvordan compliance-området gik fra at være et centralt og vigtigt område til at blive forretningskritisk og fylde stadigt mere.
"Da jeg startede, var vi omkring 100 i compliance i Danske Bank. I dag er der nok over 500, måske tættere på 1.000, hvis man tæller AML med," siger hun.
Selvom især de store banker i dag har store compliance-afdelinger og mange ansatte til at varetage områder, peger Marie Thyrgaard Jensen på, at compliance stadig er et ungt felt.
Derudover er mange afgørelser og fortolkninger først kommet til de seneste år, og ny lovgivning og regulering øget blot kompleksiteten og kravene til den enkelte ansat.
Derfor er det afgørende at søge viden og sparring hos andre, anbefaler hun.
”Man kan ikke læse sig til operationel compliance. Du kan læse reglerne, men hvordan man gør det i praksis, lærer du kun ved at tale med andre, der har prøvet det.”
Netværket, hun nu skal facilitere, er netop skabt til det: at omsætte teori til virkelighed, give tværorganisatorisk indsigt og skabe tryghed i et fortroligt rum.
”Vi skal turde tale om det svære – og om den svære rolle, det er at navigere i compliance,” siger hun.
AI ændrer compliance – men ikke ansvaret
Et emne, som bl.a. vil fylde i netværket, bliver den nye teknologi som også buldrer ind i compliance og er i gang med at ændre compliance-arbejdet markant.
”Der bliver mindre af at sidde og skrive politikker. Det kan AI gøre for os. Men vi skal stadig være dem, der fortolker, vurderer og tager ansvar,” siger hun og følger op:
”AI kan styrke vores teams og vores arbejdsgange – men AI kan ikke implementere og operationalisere compliance i en organisation."
Hun ser AI som et værktøj, der kan effektivisere processer, men samtidig også som en kilde til nye risici.
”AI kan hjælpe os med at analysere og strukturere, men det er stadig os, der skal forstå konteksten. Og vi skal sikre, at løsningerne ikke skaber bias eller bryder lovgivningen. Det tror jeg, vi kommer til at have gode snakke om,” siger hun.
Ifølge Marie Thyrgaard Jensen er compliance et fag i konstant udvikling, hvor reglerne sjældent er sort/hvide, og hvor praksis formes af erfaring, dialog og mod til at tage ansvar.
Men det er vigtigt, at compliance understøtter forretningen - og ikke agerer stopklodser, selvom det kan være svært i lyset af konstante nye lovkrav og regulativer.
Et vigtigt fokuspunkt for hende til netværksmøder bliver, at udgangspunkt for al rådgivning til forretningen er:
”Alt kan lade sig gøre – vi skal bare finde ud af hvordan.”