Vil bli «Toyotaen» i bredere compliance

Det norske teknologiselskapet Reggy, tidligere Fortifai, nylanserer nå sin plattform etter å ha jobbet med kunder siden 2024.

På den opprinnelige kundelisten står blant andre Telenor, Aker BioMarine, Ardoq og Mainstream Renewable Power. Ambisjonen er å samle arbeid med en rekke ulike regelverk i ett system – fra personvern og cybersikkerhet til antikorrupsjon, HMS, bærekraft og styring av kunstig intelligens.

Bak selskapet står Abbey Lin, som har to tiår bak seg i ledende compliance-roller i blant annet Microsoft, KPMG og Yara International, senest som Chief Compliance Officer i et børsnotert selskap. Hun mener compliance har blitt hengende etter i digitaliseringen av næringslivet.

– Da HR, finans og IT flyttet til skyen, ble compliance i stor grad stående igjen. Selv i dag jobber mange compliance-folk fortsatt fra regneark, e-post, skjemaer og forskjellige mapper, sier Lin.

Resultatet er ifølge henne at bedrifter mangler ett sted hvor de kan se hva som faktisk er gjort, hvem som har ansvaret og hvilken dokumentasjon som finnes.

– Det er veldig vanskelig å kvantifisere arbeidet. Du svarer på en e-post, gjør noe i et skjema, noe annet i Excel. Dataene blir aldri samlet.

Skiftet kurs fra bærekraft

Fortifai ble startet i 2023. Opprinnelig var selskapet i stor grad posisjonert mot bærekraft og ESG, som på det tidspunktet sto høyt på agendaen i europeisk næringsliv. Men kundene begynte å bruke programvaren til helt andre ting.

– Vi oppdaget at metodikken egentlig fungerer på tvers av compliance-områder. Enten det er antikorrupsjon, HMS, personvern eller miljø, er mye av arbeidet det samme: policyer, prosedyrer, opplæring, kontroller og dokumentasjon, sier Lin.

Samtidig kjølnet interessen for bærekraftsprogramvare. Det bidro til at selskapet skiftet retning. Fortifai ble til Reggy – kort form av «regulatory compliance» – og ambisjonen ble å dekke flere typer regelverk i samme plattform.

Lin mener kunstig intelligens har gjort en slik modell mer realistisk. Tidligere var programvaren typisk bygget svært dypt innenfor ett fagfelt. Én leverandør kunne være spesialist på cybersikkerhet, en annen på HMS og en tredje på bærekraft.

– Du får en Rolls-Royce innenfor hvert område. Men ingen bedrift ønsker å kjøpe en Rolls-Royce for hvert eneste regelverk de må forholde seg til.

Reggy vil i stedet være det Lin beskriver som «Toyotaen»: Godt nok til å dekke mange områder, uten at bedriften må kjøpe et tungt spesialistsystem for hvert av dem.

– Som budsjetteier vil jeg heller ha Toyotaen på tvers. Mange CFOer vet at de må være compliant, men de er også veldig kostnadsbevisste.

Lin mener implementeringstiden er en like stor del av regnestykket som lisensprisen.

– De tunge spesialistsystemene tar måneder å få opp. Vi snakker om dager. For en økonomidirektør er det ofte det som avgjør, sier hun.

Vil bort fra «Excel-filen til Steinar»

Lin mener behovet er særlig tydelig i små og mellomstore selskaper. De færreste har egne ansatte for miljø, sikkerhet, antikorrupsjon, personvern og alle andre regulatoriske områder.

– Ofte blir det mer sånn: «Steinar på kontoret liker bærekraft, så han kan gjøre rapporteringen». Men Fred har allerede en fulltidsjobb, og compliance kommer på toppen, sier hun.

Problemet oppstår når kunnskapen samtidig blir liggende hos enkeltpersoner.

– Hvis alt ligger i Steinars Excel-fil eller på SharePoint, og han drar på ferie eller slutter, har du et problem.

Reggy forsøker derfor å etablere det Lin kaller et «system of record» for compliance: Ett sted hvor oppgaver fordeles, dokumentasjon lagres og selskapet kan vise et revisjonsspor på det som er gjort. 

Hun mener dette også er en forutsetning for å få reell verdi ut av AI.

– Mange sier de skal bruke AI på compliance. Men hvor skal AI-en hente dataene fra? Dataene finnes ofte ikke samlet noe sted.

Hun sammenligner med finans og salg, hvor regnskapssystemer og CRM-løsninger allerede gir kunstig intelligens et strukturert datagrunnlag.

– I compliance ligger litt i e-post, litt i et skjema og litt i en mappe. Først må du bygge systemet som samler dataene. Deretter kan du legge AI oppå.

Flere regler samtidig

Reggy lanserer bredt samtidig som nye deler av EUs AI Act trer i kraft og europeiske selskaper må håndtere stadig flere parallelle regelverk. Lin mener utviklingen har endret selve compliance-jobben.

– For 20 år siden kom regelverkene mer sekvensielt. Først kom ett stort område, så bygget selskapet opp kompetanse rundt det. I dag kan et nytt selskap nærmest fra første dag måtte håndtere fem, sju eller ti forskjellige regulatoriske områder.

– Debatten i Europa framstiller regelverk som fienden, som om mindre av det ville løst problemet. Det kjøper jeg ikke. Et kappløp mot bunnen på beskyttelse har aldri vært svaret, og det er ikke det som har gjort Europa til et sted folk vil bo. Problemet er ikke reglene. Problemet er at vi har gjort compliance så komplisert at det undergraver vernet reglene var laget for å gi, sier hun.

Ifølge BusinessEurope fikk europeiske selskaper rundt 850 nye regulatoriske forpliktelser mellom 2017 og 2022. For Reggy er dette markedet selskapet nå vil vokse inn i. Selskapet er støttet av Startuplab, RunwayFBU og Impact Shakers, og satser i første omgang på Europa.

– Spørsmålet er hvordan du hjelper selskaper som ikke har en spesialist internt med å håndtere alt dette. Det er det vi prøver å løse, sier Lin.