Riskhantering för juridisk efterlevnad: Viktig guide 2025

Riskhantering för efterlevnad av lagar och regler är konsten och vetenskapen att identifiera varje regel som berör din organisation, mäta den skada som kan följa av ett felsteg och installera kontroller som förhindrar att dessa felsteg inträffar. År 2025 har insatserna ökat: EU:s tillsynsmyndigheter använder nu AI-driven övervakning, sanktioner enligt Digital Services Act överstiger GDPR-nivåerna och revisioner av leveranskedjor når djupt in i tredjepartsdata. Oavsett om du driver en snabbväxande startup eller ett moget multinationellt företag, betyder ett effektivt program skillnaden mellan affärsmotståndskraft och rubriker du aldrig ville ha.

Den här guiden ger dig en grundförståelse. Först kartlägger vi de senaste definitionerna och regeländringarna; sedan kartlägger vi effekterna på verksamheten och går sedan steg för steg genom att bygga eller uppgradera ett ramverk som klarar granskningen. Du får se praktiska mallar, verkliga berättelser om tillämpning och tekniktrenderna – från prediktiv analys till kontinuerlig kontrollövervakning – som redan formar styrelserumssamtalen. Vi avslutar med en handlingsplan som du kan föra direkt in i din compliancekalender.

Förstå risken för efterlevnad av juridiska förpliktelser

Även det skarpaste ramverket faller sönder om de underliggande riskerna är suddiga. Innan du kartlägger kontroller eller köper ny RegTech behöver du ett gemensamt ordförråd som styrelsen, det juridiska teamet och personalen i frontlinjen alla förstår. Följande avsnitt beskriver vad "juridisk efterlevnadsrisk" betyder år 2025, varför den skiljer sig från (men överlappar) klassisk juridisk risk och hur den senaste vågen av EU- och globala regler skriver om spelboken.

Definiera risk för efterlevnad av juridiska krav år 2025

Risk för efterlevnad av lagar och förordningar är möjligheten att en organisation lider ekonomisk, operativ eller anseendemässig skada på grund av att den inte uppfyller bindande rättsliga skyldigheter eller internt valda standarder. År 2025 omfattar detta paraply nu:

• Hård lagstiftning: Lagen om digitala tjänster, AI-lagen, direktivet om hållbarhetsrapportering för företag (CSRD), sektorspecifika mandat (t.ex. DORA för finans).
• Mjuk lag och avtal: branschkoder, ESG-åtaganden, leverantörers uppförandekoder.
• Interna policyer: etiska regler, säkerhetsrutiner, personalhandböcker.

Kombinera dessa lager så får du en exponeringsmatris som förändras dagligen. Tillsynsmyndigheter använder maskininlärning för att upptäcka avvikelser, domstolar utfärdar förbud mot dataöverföring på några timmar och visselblåsarportaler är bara ett klick bort. Effektiv riskhantering för efterlevnad av juridiska regler börjar därför med en ständigt aktiv skanning av regler plus en levande karta över vem och vad varje skyldighet berör.

Juridisk risk kontra efterlevnadsrisk: Viktiga skillnader

Folk frågar också: ”Vad är en juridisk efterlevnadsrisk”Det korta svaret är: både juridisk risk och compliancerisk – tillsammans. Tabellen visar hur de skiljer sig åt och varför du måste hantera dem tillsammans.

Att behandla de två strömmarna separat skapar blinda fläckar; att integrera dem ger en enhetlig bild av exponeringen och en tydligare resursallokering.

Det föränderliga regelverket: Nyheter år 2025

Regleringshastigheten – den hastighet med vilken nya eller ändrade regler träder i kraft – har accelererat. Viktiga utvecklingar i år inkluderar:

• EU:s AI-lag: skyldigheter på risknivå, obligatoriska överensstämmelsesbedömningar och höga böter på upp till 6 % av den globala omsättningen.
• reviderad AMLD6utvidgar förbrotten och introducerar personlig trovärdighet för complianceansvariga.
• EU:s datalag och Schrems III (förväntat): ny osäkerhet kring molnöverföringar och datadelningsklausuler.
• Supply-Chain Due-Diligence (CSDDD): ålägger stora företag att granska mänskliga rättigheter och miljöpåverkan i hela sin kedja.

Varje punkt vidgar omfattningen av potentiella intrång, vilket höjer både sannolikhets- och konsekvenspoängen i din riskvärmekarta. Kontinuerlig horisontskanning, prenumeration på tillsynsflöden och kvartalsvisa uppdateringar av skuldregister är inte längre "bra att ha" – de är överlevnadsverktyg.

Affärspåverkan av bristande efterlevnad år 2025

Att missa ett enda regelkrav slutar inte längre med en handsmäll. De sammansatta effekterna drabbar nu kassaflöde, varumärkeskapital och den dagliga verksamheten i lika stor utsträckning – vilket gör det svårt att få Riskhantering för efterlevnad av juridiska krav ett imperativ på styrelsenivå.

Direkta ekonomiska påföljder och kostnader

År 2024 steg de genomsnittliga böterna enligt GDPR till 2.7 miljoner euro; böterna enligt Digital Services Act i början av 2025 uppgår redan till över 20 miljoner euro för medelstora plattformar. Lägg till AI-lagens tak på 6 % av den globala omsättningen och siffrorna eskalerar snabbt. Dolda kostnader överstiger ofta biljettpriset:

• Extern ombuds- och e-discovery-arvoden (≈ 500 XNUMX euro per stort ärende)
• Obligatoriska saneringsprojekt (systemåteruppbyggnader, tredjepartsrevisioner)
• Försäkringspremiehöjningar på 10–15 % efter en regelöverträdelse

Budgetinnehavare måste ta hänsyn till dessa dominoeffekter när de bedömer avkastningen på förebyggande kontroller.

Ryktesmässiga och strategiska konsekvenser

Konsumenter överger varumärken som de uppfattar som oetiska; investerare avyttrar sina investeringar vid första antydan till grön eller teknisk tvättning. Ett enda pressmeddelande från verkställighetsorganisationer kan driva upp rekryteringskostnaderna och baklänges planer på marknadsexpansion.
Snabb checklista för rykte:

1. Förhandsutkast till reservutlåtanden för sannolika intrångsscenarier
2. För en krishanteringsplan med namngivna talespersoner
3. Övervaka sentimentet i sociala medier och i etablerade medier i realtid

Driftsstörningar och alternativkostnader

Tillsynsmyndigheter använder sig i allt högre grad av stopporder: förbud mot databehandling enligt GDPR, algoritmiska nedstängningar enligt AI-lagen eller exportstopp enligt uppdaterade sanktionsregler. Dessa åtgärder fryser intäktsströmmar, stoppar produktlanseringar och dränerar ledningens uppmärksamhet – möjligheter som dina konkurrenter tacksamt griper tag i.

Illustrativa verkställighetsärenden från 2025

• Ett europeiskt fintech-företag fick sitt API för användarintroduktion inaktiverat i 30 dagar efter att NIS2-tester avslöjade opatchade sårbarheter – uppskattad intäktsförlust: 8 miljoner euro.
• En kemikalietillverkare fick böter på 4 miljoner euro från CSRD och stängdes av från ett EU-subventionsprogram efter felaktigt deklarerade Scope 3-utsläpp.
• En SaaS-uppskalning betalade 750 18 euro plus XNUMX månaders övervakning när ett AI-drivet rekryteringsverktyg bröt mot reglerna för likabehandling och försenade marknadsinträdet i den amerikanska marknaden.

Varje exempel understryker en enkel sanning: en initial investering i riskhantering för efterlevnad av lagar och regler är alltid billigare än att behöva kämpa sig igenom efter ett intrång.

Kärnkomponenter i ett robust ramverk för riskhantering inom efterlevnad

Ett ramverk är skelettet som hindrar riskhantering inom juridisk efterlevnad från att kollapsa under daglig press. Oavsett om du följer ISO 37301, COSO eller skapar din egen hybrid, upprepas samma byggstenar: tydligt ägarskap, disciplinerad riskbedömning, smarta kontroller, obeveklig övervakning och en vana att lära sig. Spika dessa fem bitar och resten – policyer, verktyg, certifieringar – faller perfekt på plats.

Styrnings- och ansvarsstrukturer

God styrning börjar på toppen. Styrelsen godkänner riskaptiten, utser en särskild efterlevnadskommitténoch får kvartalsvisa dashboards. Nedan förtydligar tre-försvarslinjersmodellen vem som gör vad:

• 1:a linjen – affärsenheterna äger processkontrollerna
• 2:a linjen – Juridik/Compliance utformar ramverket och utmanar effektiviteten
• 3:e linjen – Internrevision tillhandahåller oberoende granskning

Dokumentera roller i ett RACI-diagram så att det inte uppstår någon förvirring när ett intrång inträffar klockan 2:XNUMX. För börsnoterade företag, para ihop diagrammet med ett styrelsens uttalande bekräftande tillsyn – nu obligatorisk enligt CSRD.

Riskidentifierings- och bedömningsprocesser

Du kan inte hantera det du inte har kartlagt. Börja med ett skyldighetsregister och tagga varje post till den process, datamängd eller produkt den berör. Kvartalsvis horisontell skanning fångar upp nya direktiv som AI-lagen.

Poängsätt risker med en enkel formel: Inherent Score = Likelihood (1-5) × Impact (1-5)Visualisera på en 5×5-värmekarta; allt i rött utlöser en omedelbar åtgärdsplan. Uppdatera bedömningen efter väsentliga affärsförändringar – förvärv, nytt land, molnmigrering.

Kontrolldesign, implementering och testning

Kontroller är skyddsnät. Kategorisera dem som:

• Förebyggande (t.ex. arbetsuppdelning i betalningsflöden)
• Detektiv (varningar om dataförlust i realtid)
• Korrigerande (strategier för incidenthantering)

För varje kontroll ska ett "kontrolldesigndokument" upprätthållas som täcker mål, ägare, frekvens, bevis och koppling till risker. Testa högriskkontroller i en sandlåda innan de implementeras. Årlig testning – stickprovsbaserad för manuella kontroller, automatiserade skript för systemregler – bevisar att de fungerar och genererar revisionsklara bevis.

Löpande övervaknings-, rapporterings- och granskningscykler

Statiska program misslyckas; kontinuerlig övervakning håller dem vid liv. Implementera nyckeltal (KPI:er) som utbildningsslutförandegrad och viktiga riskindikatorer (KRI:er) såsom olösta incidenter över 30 dagar. Mata in båda i en live-instrumentpanel med trafikljusgränser. Månatliga ledningsrapporter flaggar trendlinjer; kritiska intrång eskalerar inom 24 timmar enligt incidentprotokollet.

Kontinuerlig förbättring och efterlevnadskultur

Även det bästa ramverket samlar damm om inte människor blåser liv i det. Bädda in lärdomar genom en Planera-Gör-Kontrollera-Agera-loop:

1. Planera – uppdatera policyer baserat på nya lagar
2. Gör – implementera kontroller och utbildning
3. Kontroll – revisionsresultat, visselblåsardata, feedback från tillsynsmyndigheter
4. Agera – förfina kontroller, fira framgångar, sanktionera återfallsförbrytare

Koppla efterlevnadsmått till prestationsbedömningar och inkludera scenarioworkshops i onboardingprocessen. Med tiden går medarbetarna från att "måste" till att "vill", vilket gör ramverket till en konkurrensfördel snarare än en byråkratisk börda.

Steg-för-steg-metod för att bygga eller uppgradera ditt program

En snygg policymanual är värdelös om den inte omsätts i dagliga rutiner som klarar en räd eller dataintrång. De sex stegen nedan förvandlar principerna för riskhantering vid efterlevnad av lagar till en genomförbar färdplan. Följ dem i ordningsföljd när du bygger ett nytt program, eller välj ut brister om du vill förbättra ett befintligt.

Steg 1: Kartlägg juridiska och regulatoriska skyldigheter

Börja med en källgranskning: lagtexter, riktlinjer från tillsynsmyndigheter, sektorstandarder, kontrakt och frivilliga ESG-åtaganden. Registrera varje krav i ett skyldighetsregister med fält för jurisdiktion, affärsprocess, ägare, granskningsdatum och straffintervall. Gruppera poster tematiskt (integritet, produktsäkerhet, ekonomi) så att ämnesexperter snabbt kan filtrera. Ett levande register – som uppdateras efter varje styrelsemöte eller regeländring – är ryggraden i alla senare steg.

Steg 2: Utför gapanalys och riskrankning

Jämför registret med nuvarande kontroller. Där inga finns, markera en röd flagga; delvis täckning ger gult; fullständig anpassning ger grönt. Denna snabba RAG-kodning visualiserar svaga punkter för chefer som hatar kalkylblad. Rangordna sedan risker genom att multiplicera sannolikhet och påverkan på en skala från 1 till 5 (Risk Score = L × IRita ut resultaten på en 5×5-värmekarta – allt i den övre högra kvadranten hoppar direkt till riskminskningskön.

Steg 3: Design- och dokumentkontroller

För varje hög eller medelhög risk, utarbeta ett kontrolldesigndokument (CDD) som listar:

• Mål och relaterad skyldighet
• Kontrollägare och ställföreträdare
• Frekvens (realtid, dagligen, kvartalsvis)
• Bevis som ska behållas
• Länk till ISO 37301, COSO eller lokala riktlinjer

Balansera förebyggande och detektiva taktiker: arbetsflöden för godkännande, arbetsuppdelning, automatiserade avvikelsevarningar. Håll formuleringarna koncisa; en ensidig CDD slår en pärm som ingen läser.

Steg 4: Utbilda, träna och kommunicera

Kontroller misslyckas när människor inte vet att de existerar. Anpassa innehållet till målgruppen:

• Styrelsens genomgångar om strategisk riskaptit
• Chefsworkshops med hjälp av scenarierollspel
• Mikroinlärning för personalen exploderar med tvåminutersquiz
• Leverantörswebbinarier som behandlar klausuler om uppförandekod

Schemalägg repetitionsmöten runt utlösande datum – Digital Services Acts ikraftträdande, räkenskapsårets slut, fusionsintegration – för att hålla uppmärksamheten hög. Spåra slutförandet i ett lärplattform så att revisorerna ser konkreta siffror, inte löften.

Steg 5: Utnyttja teknik och automatisering

RegTech förvandlar manuellt slit till insikter från instrumentpaneler. Utvärdera verktyg som:

• Skrapa ut tidningar och skicka AI-märkta regeländringar till ditt register
• Mappa policyer till kontroller via naturlig språkbehandling
• Generera realtidsaviseringar när nyckeltal överskrider tröskelvärden
• Integrera med ERP/HR-system för dataintegritet från en enda källa

Kontrollera leverantörer för efterlevnad av dataskyddsregler, algoritmförklarbarhet och finansiell stabilitet – tillsynsmyndigheter inspekterar nu även er tredjepartsriskhantering.

Steg 6: Granska, certifiera och optimera

Slut loopen genom oberoende tester: internrevisionsprovtagning för manuella kontroller, automatiserade skript för systemlogik. Dokumentera resultat, korrigerande åtgärder och förfallodatum i en ärendehanteringsverktyg. Där marknads- eller kundtryck motiverar det, sök extern verifiering (ISO 37001, 37301) för att bevisa mognad. Slutligen, integrera en enkel PDCA-loop:

Plan  ➜  Do  ➜  Check  ➜  Act  ➜  (repeat)

Kvartalsvisa granskningar av mätvärden, incidenter och regeluppdateringar ligger till grund för nästa planeringscykel, vilket håller programmet aktuellt och styrelsen trygg.

Framväxande trender och teknologier att hålla koll på

Vanliga manualer för efterlevnad räcker inte längre. Regleringshastighet och teknisk innovation går nu hand i hand, vilket tvingar program att anpassa sig nästan i realtid. De fem trenderna nedan omformar riskhanteringen för efterlevnad av lagar fram till 2025 och framåt; ignorera dem på egen risk.

RegTech-lösningar: AI, maskininlärning och automatisering

RegTech har mognat från punktlösningar till fullstackplattformar som tar in lagar, mappar dem till kontroller och övervakar intrång – ofta innan människor märker det. Viktiga funktioner för 2025 inkluderar:

• Generativ AI som utarbetar policyändringar när EU:s officiella tidning publicerar en uppdatering.
• NLP-motorer som sammanfattar 200-sidiga konsultationsdokument till ensidiga konsekvensbeskrivningar.
• Prediktiv analys som flaggar extremvärden i transaktionsdata med >90 % precision.

Enligt AI-lagen måste du dokumentera datamängder, tester och förklarbarhet; bygga ett "modellkort" för varje algoritm och logga mänskliga åsidosättningsbeslut.

ESG och regler för due diligence i leveranskedjan

ESG-mått har gått från hållbarhetsrapporter till bindande lag. Direktivet om företagens hållbarhetsbedömning (CSDDD) och Tysklands Lieferkettengesetz kräver:

• Helhetsinventering av risker ner till Tier 3-leverantörer.
• Dubbelväsentlighetsbedömningar som täcker miljö- och mänskliga rättigheter.
• Offentliga saneringsplaner med godkännande på styrelsenivå.

Förvänta dig att revisorerna dubbelkollar CSRD-upplysningar mot CSDDD-resultat; inkonsekvenser kommer att utlösa verkställighet.

Uppdateringar om datasekretess och gränsöverskridande dataöverföring

Det nya EU-USA Ramverk för dataskydd erbjuder en paus, men Schrems III-petitionerna är redan på gång. Minska volatiliteten genom att:

• Använda kryptering eller pseudonymisering som en "överföringseffektutjämnare".
• Kombinera standardavtalsklausuler med kompletterande DPIA:er.
• Spåra vidare överföringar via automatiserade dashboards som visar processorernas platser på en livekarta.

Tillsynsmyndigheter begär nu ut dessa artefakter inom 72 timmar efter en förfrågan.

Efterlevnad av regler för distansarbete och risker med hybridarbetsplatser

Distansarbete är här för att stanna, och medför dolda skyldigheter:

• Skatteexponering för fast driftställe och löneskatt när personal arbetar utomlands längre än 30 dagar.
• Arbetsmiljöverkets uppgifter för hemmakontor, inklusive ergonomiska kontroller.
• Risker för dataförlust från osäkrat Wi-Fi och skugg-IT.

Implementera VPN-tillämpning, geolokaliseringsdeklarationer och tydliga policyer för digital övervakning för att balansera integritet med tillsyn.

Krav på cybersäkerhet och digital motståndskraft

Cyberreglerna har skärpts dramatiskt: NIS2 utvidgar "väsentliga enheter", DORA inför fem dagars rapporteringsklockor för incidenter finansiella företag, och EU:s lag om cybermotståndskraft (CRA) medför skyldigheter gällande produktsäkerhet. Bästa praxis för åtgärder:

• Anpassa cyberkontroller till ISO 27001:2025 och zero-trust-arkitektur.
• Integrera SOC-aviseringar i compliance-dashboards som viktiga riskindikatorer.
• Genomför tvärfunktionella bordsövningar som kombinerar cyber-, juridik- och PR-team – tillsynsmyndigheter deltar ofta som observatörer.

Att ligga steget före dessa trender minskar inte bara böter; det positionerar din organisation som en pålitlig partner i alltmer komplexa ekosystem.

Integrering av LGRC för holistisk riskstyrning

Ett moget program för riskhantering inom juridisk efterlevnad kan fortfarande gå under om det lever i ett vakuum. Ekonomi övervakar kreditrisker, IT bevakar cyberhot, HR oroar sig för visselblåsarregler – samtidigt vill styrelsen ha en enda sanning. Legal-Governance-Risk-Compliance (LGRC) sammanfogar varje tråd i ett enda väv så att beslutsfattare ser avvägningar direkt och agerar med tillförsikt.

Från GRC till LGRC: Koncept och fördelar

Klassiska GRC-plattformar fångar operativa, finansiella och strategiska risker; genom att lägga till bokstaven "L" integreras lagtolkning, övervakning av rättspraxis och avtalsenliga skyldigheter direkt i samma taxonomi. Fördelarna inkluderar:

• Ett skuldregister istället för fyra kalkylblad
• Färre duplicerade kontroller och revisioner
• Snabbare incidentrespons eftersom frågor om juridisk sekretess besvaras direkt
• Tydligare ansvarsskyldighet när böter eller stämningar hotar

Att bryta ner silos: Juridik, efterlevnad, risk och IT-samarbete

LGRC fungerar bara om funktionerna bakom bokstäverna kommunicerar med varandra. Praktiska möjliggörare:

• En ständig LGRC-styrkommitté under ledning av finansdirektören eller chefsjuristen
• Ett RACI-diagram som kartlägger varje riskdomän (integritet, sanktioner, ESG) för att Ägare, konsult, Informerad roller
• Delade samarbetsverktyg så att IT-avdelningen loggar sårbarheter direkt mot laglig skyldighet de hotar
  Håll månatliga "riskmöten" där teamen granskar öppna åtgärder och skanningar av regulatoriska horisonter på 30 minuter eller mindre.

Mätvärden, KRI:er och bästa praxis för styrelserapportering

Styrelser längtar efter mönsterigenkänning, inte datadumpar. Användbara LGRC-dashboards blandas:

• Kärn-KPI:er (% genomförd utbildning, andel godkända kontrollprov)
• Framåtblickande KRI:er (ej uppdaterade kritiska CVE:er, olösta hotline-rapporter, nya lagförslag med stor inverkan)
• Trendlinjer över sex kvartal visar kulturella förändringar
  Värmekartgrafik plus en tvåsidig berättelse håller möten fokuserade på prioriterade beslut snarare än forensiska detaljer.

Skalning av styrning i globala och multijurisdiktionella enheter

Globala grupper jonglerar dagligen med motstridiga lagar – tänk AI-lagen kontra amerikanska delstaters integritetslagar. Anta en "federal" modell: sätt obligatoriska koncernövergripande minimikrav och tillåt sedan lokala tillägg. Översätt viktiga policyer, utse regionala LGRC-förkämpar och mata in lokala mätvärden i en global instrumentpanel i realtid. Denna balans bevarar konsekvens utan att rulla över kulturella eller regulatoriska nyanser.

Praktiska verktyg och resurser

Teorin håller bara när folk kan ta en konkret mall och köra på med den. Nedan hittar du färdiga verktyg som passar direkt in i de flesta efterlevnadsprogram. Justera gärna kolumnnamn, poängskalor eller varumärke – håll bara logiken intakt.

Checklista för risker för efterlevnad av juridiska förpliktelser 2025

Fyll i arket kvartalsvis; avmarkerade rutor utlöser en åtgärd i riskregistret.

Exempel på riskregister och poängmatris

Använd enkel färgkodning (röd ≥ 15, bärnstensfärgad 6–14, grön ≤ 5) så att chefer direkt upptäcker känsliga punkter.

Mall för standardförfarande (SOP)

1. Syfte
2. Omfattning och tillämplighet
3. Roller och ansvar
4. Steg-för-steg-aktiviteter (flödesschema valfritt)
5. Obligatoriska dokument/bevis
6. Undantagshantering
7. Versionskontroll och godkännande

Lagra standardoperationer (SOP) i ett delat arkiv med skrivskyddad åtkomst; kräv signering när lagar eller processer ändras.

Utbildningskalender och idéer för informationskampanjer

Gamifiera där det är möjligt – topplistor och digitala märken ökar deltagandet.

Externa resurser: Standarder, ramverk och vidare läsning

• ISO 37301 (System för hantering av efterlevnad) – fulltext via ISO.org
• COSO ERM 2017 integrerat ramverk
• Kommentar till OECD:s konvention mot mutor
• Nederländska AFM-nyhetsbrev för finansiella regleringar
• EU-kommissionens portal ”Säg din mening” för kommande direktiv
  Bokmärk dem i din mapp för att skanna horisonten; veckovisa skanningar minimerar överraskningar.

Att gå framåt med självförtroende

Riskhantering för efterlevnad av lagar år 2025 kokar ner till fyra krav: känna till varje regel som gäller, översätta dessa regler till levande kontroller, stödja dem med smart teknik och skapa en kultur av kontinuerligt lärande. Organisationer som internaliserar dessa vanor förvandlar motvind från regleringar till konkurrensmässiga medvindar.

Snabb sammanfattning

• Kartlägg skyldigheter kontinuerligt och håll registret aktuellt.
• Tillämpa ett riskbaserat ramverk – styrning, bedömning, kontroller, övervakning, förbättring – för att fokusera resurser där de är viktiga.
• Automatisera där det är rimligt; låt folk utöva omdöme medan RegTech hanterar det grova arbetet.
• Integrera ansvarsskyldighet och etik i prestationsbedömningar, onboarding och styrelsedashboards.

Behöver du en sparringspartner för att bedöma brister, utforma policyer eller försvara dig mot tillsynsmyndigheter? Det flerspråkiga teamet på Law & More är redo. Från hälsokontroller av obligatoriska register till fullskaliga programbyggen hjälper vi dig att följa reglerna – och sova bättre när nästa direktiv kommer.