Compliance har blivit direkt affärsrisk
Compliance i leverantörskedjan är inte längre en fråga juristerna löser i efterhand.
Det är en fråga som avgör om inköpsfunktionen ens kan teckna ett avtal, och vad det kostar bolaget om något går fel längre ner i kedjan.
Nya EU-regler, hårdare exportkontroller och en förskjutning från reaktiva till proaktiva granskningsmetoder gör att den inköpsorganisation som fortfarande behandlar compliance som en checklista i efterhand tar en risk den inte längre har råd med.
Varför har compliance blivit en supply chain-fråga, inte bara en juridisk fråga?
Regelverk som CSDDD sträcker sig numera bortom det egna bolaget, in i leverantörernas och underleverantörernas verksamhet, vilket gör inköpsfunktionen till den funktion som i praktiken bär upp mycket av efterlevnaden.
Samtidigt visar internationell tillsyn att myndigheter är beredda att slå hårt mot brister.
I februari 2026 kom amerikanska Bureau of Industry and Security (BIS) överens med Applied Materials om ett bötesbelopp på 252 miljoner dollar, den näst högsta böten i myndighetens historia, efter att bolaget olagligt vidareexporterat kontrollerad halvledarutrustning till Kina via en sydkoreansk dotterbolagsstruktur.
Böterna motsvarade det dubbla transaktionsvärdet, det maximala som lagen tillät. Fallet är amerikanskt, men det är ett tydligt exempel på att exportkontroll och sanktionsregler inte längre är ett perifert regelverk, utan något som kan få mycket konkreta ekonomiska konsekvenser när det bryts.
Vilka EU-regler om leverantörskedjan gäller just nu?
CSDDD, EU:s direktiv om hållbarhets-due diligence i leverantörskedjan, gäller efter årets revidering (Omnibus I) för bolag med minst 5 000 anställda och en omsättning på minst 1,5 miljarder euro, enligt Normative.
Medlemsländerna ska ha infört reglerna i nationell lagstiftning senast den 26 juli 2026.
Tillsynsmyndigheterna i respektive land får befogenhet att kontrollera efterlevnaden och besluta om sanktioner, inklusive böter, och bolag kan även bli civilrättsligt skadeståndsskyldiga om bristande efterlevnad orsakar skada, enligt Advokatfirman Lindahls genomgång av direktivet.
Även om tröskelvärdet gör att många svenska mellanstora tillverkningsbolag inte omfattas direkt, är det värt att notera att kraven gäller genom hela verksamhetskedjan, inklusive leverantörer och affärspartner till de bolag som faktiskt omfattas.
Vilka är de vanligaste fallgroparna i leverantörers due diligence?
Sedex, en av de större plattformarna för leverantörskedjedata inom hållbarhet och etisk handel, pekar ut flera mönster i sin genomgång av 2026 års trender.
Många bolag granskar fortfarande bara sina direkta förstahandsleverantörer, medan riskbaserad kartläggning av indirekta leverantörer, alltså leden bortom den egna avtalsparten, håller på att bli standard hos de mest proaktiva organisationerna.
Ett annat vanligt misstag är att anta att risk för till exempel tvångsarbete eller miljöbrott bara finns i traditionellt högriskländer. Sedex konstaterar att högriskplatser förekommer även i Europa och Nordamerika, vilket motsäger antagandet att stark reglering i sig räcker för att förhindra skador.
Leaders i branschen går enligt Sedex också från periodiska revisioner till tidiga varningssystem som fångar mönster som överdriven övertid eller lönehållning, snarare än att vänta på att ett problem redan har inträffat.
Moodys KYC-rapport om leverantörers due diligence pekar på tre exponeringsområden som ofta hanteras separat, men som borde bedömas tillsammans: leverantörens finansiella hälsa, sårbarheten i själva leverantörskedjan, och regelefterlevnad kopplad till arbetsvillkor, hållbarhet, etisk inköp, cybersäkerhet och sanktioner.
Att bara granska ett av dessa områden ger en ofullständig riskbild, även om just det området ser bra ut på pappret.
Hur bygger man en organisation som klarar compliance-trycket över tid?
Ingen kan lösa det här med ett verktyg eller en engångsgranskning.
Det kräver löpande bevakning istället för periodiska stickprov, och det kräver medarbetare som förstår både regelverket och den operativa verkligheten i den egna leverantörskedjan väl nog för att veta var de ska leta.
Det är en kompetens som skiljer sig från traditionell operativ inköpskompetens: den kombinerar juridisk förståelse, riskbedömning och branschkunskap på ett sätt som gör den svår att både hitta och behålla internt.
Det är precis den typen av profiler vi på Gazella Supply Chain är specialister på att hitta. Vi förstår skillnaden mellan en generalist inom inköp och en profil som faktiskt kan äga compliance- och riskarbetet i en tillverkande organisation, och vårt nätverk gör att vi kan presentera rätt kandidater snabbt när behovet uppstår.
Checklista: sex steg för att stärka er compliance i leverantörskedjan
- Kartlägg om er organisation eller era största kunder omfattas direkt av CSDDD, och vilka krav som i så fall gäller.
- Utöka granskningen bortom förstahandsleverantörer till de led där de faktiska riskerna ofta finns.
- Slå aldrig fast att en leverantör är "säker" bara för att den finns i ett land med stark reglering.
- Gå från periodiska revisioner till löpande bevakning av era mest kritiska leverantörer.
- Bedöm leverantörsrisk utifrån finansiell hälsa, leveranssårbarhet och regelefterlevnad tillsammans, inte var för sig.
- Säkerställ att ni har rätt kompetens internt för att äga frågan löpande, inte bara vid en revision.
Vanliga frågor om compliance och risk i leverantörskedjan
- Vilka bolag omfattas av CSDDD? Bolag med minst 5 000 anställda och minst 1,5 miljarder euro i omsättning, efter årets revidering genom Omnibus I. Medlemsländerna ska ha infört reglerna nationellt senast den 26 juli 2026.
- Vad kan hända om ett bolag bryter mot exportkontroll- eller sanktionsregler? Konsekvenserna kan bli mycket kostsamma. Ett exempel är den amerikanska myndigheten BIS böter på 252 miljoner dollar mot Applied Materials i februari 2026, för olaglig vidareexport av kontrollerad utrustning.
- Räcker det att granska våra direkta leverantörer? Nej. Enligt Sedex är riskbaserad kartläggning av indirekta leverantörer på väg att bli standard hos ledande organisationer, eftersom flera av de allvarligaste riskerna finns längre ner i kedjan än hos förstahandsleverantören.
- Är compliance-risk bara ett problem i högriskländer? Nej. Sedex pekar specifikt ut att högriskplatser för till exempel arbetsrättsbrott förekommer även i Europa och Nordamerika, inte bara i länder som traditionellt betraktas som högrisk.
Vill ni stärka er compliance-organisation innan nästa granskning?
Att hantera compliance proaktivt börjar med rätt kompetens på plats, inte en konsultinsats efter att något redan gått fel.
Hör av er till Gazella Supply Chain för ett samtal om hur er organisation ligger till.
Källor
Bureau of Industry and Security (BIS), pressmeddelande om böter mot Applied Materials (februari 2026).
Normative, "CSDDD Explained (2026): EU Due Diligence Requirements".
Advokatfirman Lindahl, "CSDDD: Vad det innebär för din verksamhet".
Sedex, "Supply Chain Due Diligence in 2026: Key Trends, Risks, and Priorities for Sustainability Leaders".
Moodys, "3 supplier due diligence tips for risk management".
