Compliance: digitaliseringens sista utpost

1. Digitaliseringens sista utpost

Under de senaste två decennierna har digitaliseringen förändrat nästan varje del av ett försäkringsbolag. Prissättningen bygger på modeller och data. Skador anmäls digitalt, sorteras och regleras allt oftare automatiskt. Kunderna köper och ändrar sina försäkringar i digitala kanaler. Ekonomi- och solvensrapporteringen tas fram ur strukturerad data, och de kvantitativa rapporter som försäkringsbolagen lämnar till tillsynsmyndigheten skickas in i ett standardiserat, maskinläsbart format.

Compliance och styrning sticker ut i den bilden. De styrdokument som anger hur bolaget ska drivas, och som visar hur det uppfyller sina regulatoriska skyldigheter, skrivs, granskas, fastställs och lagras fortfarande främst som dokument för människor att läsa. Mycket av arbetet kring dem är manuellt: att hitta rätt version, kontrollera vad som gäller och reda ut hur ett dokument hänger ihop med ett annat. Siffrorna som ett försäkringsbolag rapporterar är digitala. Styrningen som förklarar hur bolaget drivs är det i stort sett inte.

Det beror inte på att compliancefunktionerna har varit långsamma eller ovilliga, utan på att informationen är av ett annat slag. Prissättning, skadereglering och rapportering hanterar till stor del kvantitativ information, som lämpar sig väl för databaser och beräkningar. Compliance hanterar kvalitativ information: principer, tolkningar, skyldigheter och resonemangen bakom dem. Stora delar av den europeiska försäkringsregleringen är medvetet principbaserad, och att tillämpa den kräver därför omdöme, proportionalitet och sammanhang snarare än fasta värden. Den sortens information har aldrig strukturerats med digitalisering i åtanke, och fram till nyligen fanns det få praktiska verktyg för att göra om den till något som digitala processer kan använda.

Nu håller det på att förändras. Och när complianceinformationen möter samma digitala krav som resten av verksamheten, stöter den på samma problem som varje digitaliseringssatsning har mött tidigare.

2. Tre välbekanta problem

Varje digitaliseringssatsning, oavsett bransch, har snubblat på information som finns i många olika former och aldrig strukturerades för maskiner. Complianceinformation är inget undantag. Tre problem sticker ut.

Struktur: hur dokumenten är uppbyggda. Styrdokument skrivs för mänskliga läsare, och vart och ett är uppbyggt på sitt eget sätt. Var ett krav finns, vad det gäller, vem det berör och hur det förhåller sig till andra dokument framgår av löptext, rubriker och korshänvisningar, om det alls framgår. Dokumenten hänvisar till varandra med titel snarare än med någon stabil identitet, så när en titel ändras slutar hänvisningen i det tysta att peka någonstans. En erfaren medarbetare hittar rätt ändå. En digital process gör det inte, eftersom ingenting talar om för den var informationen finns eller vad den betyder.

Format: vad dokumenten består av. Ett och samma ramverk kan innehålla Word-filer, pdf:er, intranätsidor, kalkylblad och inskannade bilagor, alla med egen layout. Tabeller ligger som bilder, numreringen skiljer sig mellan dokumenten och flera versioner lever parallellt. En del av innebörden sitter ofta i själva formateringen, i en tabell eller ett diagram som är en bild, eller i en färg som markerar vad som har ändrats, och det är just det som går förlorat när texten bara lyfts ut ur dokumentet. Det är det klassiska problemet med ostrukturerade data, som andra funktioner har fått lösa innan de kunde digitaliseras.

Lagring: var dokumenten finns och vem som förvaltar dem. Man kunde tro att detta vore löst vid det här laget, eftersom de flesta försäkringsbolag har GRC-system och dokumenthantering på plats. Ändå är styrdokumenten ofta utspridda över olika system och mappar, med olika ägare. Det är inte alltid uppenbart vilka dokument som ingår, hur de hänger ihop eller vilken styrningsstruktur som omger dem. Informationen finns, men helhetsbilden finns i människors huvuden snarare än nedtecknad någonstans.

Inget av dessa problem är nytt. Det nya är att de nu står i vägen mellan compliance och de digitala processer som byggs runt den. Och det handlar om mer än effektivitet. När varje krav i ett regelverk kan spåras till de avsnitt i styrdokumenten som hanterar det, blir två typer av problem synliga som inte syns när man läser ett dokument i taget: krav som inget dokument hanterar alls, och krav som två dokument hanterar på sätt som inte går ihop, till exempel genom att lägga samma ansvar på olika roller.

3. Vad händer om compliance blir kvar vid sidan av?

Resten av verksamheten väntar inte. Processer automatiseras, beslut stöds allt mer av data och AI, och system utbyter information utan att någon människa är inblandad. Om styrningsinformationen blir kvar i dokument som bara människor kan använda, uppstår ett glapp mellan hur bolaget säger att det arbetar och hur dess digitala processer faktiskt fungerar.

Ta en situation som de flesta försäkringsbolag kommer att ställas inför inom det närmaste året. En ändrad artikel i det reviderade Solvens II-regelverket förändrar vad som förväntas av en central funktion. Någon måste ta reda på vilka av bolagets styrdokument som berörs, vem som äger vart och ett av dem och vilka andra dokument som hänvisar till dem som ändras. När styrningen finns i dokument som bara människor kan läsa, börjar det arbetet med en sökning, och hur heltäckande det blir hänger på någons minne. De digitala processer som bygger på dokumenten ärver sedan allt som missas. Det är också en fråga som försäkringsbolag ställer till oss i praktiken: om vi ändrar den här policyn, vad mer måste då ändras?

Tre konsekvenser följer. Compliance blir en flaskhals, något som kontrolleras manuellt i efterhand i stället för att byggas in i de processer den ska styra. Styrningen kringgås, inte avsiktligt, utan för att de digitala processerna inte ser den. Och det blir svårare att förklara beslut, just när tillsynsmyndigheterna i allt högre grad förväntar sig att försäkringsbolagen kan visa hur besluten, även AI-stödda, följer av deras styrning.

Risken är inte att compliance halkar efter tekniskt. Risken är att styrningen hamnar bredvid verksamheten i stället för i den.

4. Därför hör frågan hemma högre upp på agendan

Försäkringsbolagen har lärt sig, funktion för funktion, att digitalisering börjar med data: strukturerad, sökbar och med en tydlig ägare. Compliance och styrning förtjänar samma behandling. Tre utvecklingar gör tidpunkten konkret.

Det finns ett naturligt tillfälle. Det reviderade Solvens II-regelverket ska tillämpas från den 30 januari 2027, och de flesta försäkringsbolag kommer att se över en stor del av sina styrdokument mot det. Att strukturera informationen som en del av det arbetet kostar mindre än att göra det senare som ett separat projekt. Förväntningarna ökar. Tillsynsmyndigheterna kräver i allt högre grad att försäkringsbolagen förklarar hur beslut fattas och styrs, även där AI används, något som EIOPA:s yttrande om styrning och riskhantering av AI tydligt visar. Och verktygen finns nu. Att arbeta med kvalitativ information i stor skala var länge opraktiskt, men framstegen inom AI gör det i dag realistiskt att analysera, strukturera och koppla samman stora textmängder, med människor som granskar och godkänner resultatet.

Det sista villkoret är avgörande. Ett strukturerat resultat är bara värt att lita på om varje koppling kan spåras tillbaka till den text den bygger på, så att en människa kan pröva resonemanget i stället för att bara godta slutsatsen.

För styrelser och ledningsgrupper är några frågor en bra utgångspunkt:

• Känner vi till samtliga våra styrdokument, var de förvaras och vem som äger dem?
• Kan vi visa, utan en lång sökning, hur ett visst regulatoriskt krav återspeglas i vår styrning?
• När vi digitaliserar en process, är styrningen en del av designen, eller något som läggs till i efterhand?
• Vem äger strukturen i vår complianceinformation: compliance, IT eller ingen?

Att digitalisera compliance är inget teknikprojekt för sin egen skull. Det handlar om att se till att styrningen följer med när resten av försäkringsbolaget blir digitalt.