For en dansk virksomhed handler compliance i Business Central først og fremmest om to ting: bogføringsloven og GDPR. ISO 27001, SOC-rapporter og branchekrav kommer bagefter og handler mest om, hvad Microsoft kan dokumentere for jer.
Her er, hvad der er dækket af standarden i Business Central online, og hvad I selv skal sætte op eller kunne dokumentere.
Forståelse af dit compliance-landskab
Start med at afklare, hvilke regler der faktisk gælder for jer. De fleste danske SMV'er skal forholde sig til de samme få.
Almindelige regulatoriske rammer
- Bogføringsloven — digitale bilag, opbevaring i fem år, registreret bogføringssystem og e-fakturering via NemHandel
- GDPR — persondata om kunder, kontakter og medarbejdere: indsigt, berigtigelse, sletning og dataportabilitet
- Momsloven — korrekt momsopsætning, momsafregning og evt. delvis fradragsret
- ISO 27001 og SOC 1/2 — relevant, når kunder eller revisor spørger, hvordan driften er sikret
- SOX — kun hvis I er datterselskab af et børsnoteret amerikansk selskab
Branchespecifikke regler
- Fødevarer, drikkevarer og tobak: punktafgifter, lagerregnskab og sporbarhed med lot- eller serienumre
- Lægemidler og medicinsk udstyr: GxP-krav til validering og sporbarhed
- Detail og e-handel: forbrugeraftaleloven, kvitteringer og betalingskort (PCI DSS — typisk løst af betalingsudbyderen, ikke i BC)
- Offentlige kunder: krav om OIOUBL eller Peppol-fakturering via NemHandel
Punktafgifter er et godt eksempel på, hvor standardopsætningen sjældent rækker. Danske afgiftsregler per varegruppe, afgiftsoplag og indberetning kræver typisk både opsætning og en extension. Det er et område, vi arbejder med til dagligt.
Organisationer der proaktivt adresserer compliance under cloud-migrationsplanlægningen oplever 65% færre compliance-relaterede problemer efter migrationen og gennemfører revisioner på halvdelen af tiden.
Microsofts compliance-ramme
Model for delt ansvar
Microsofts ansvar: datacentre, netværk, servere, database, backup og selve Business Central-platformen. Og for danske kunder: registreringen som digitalt bogføringssystem og den daglige eksport af posteringer og bilag til opbevaring i fem år.
Jeres ansvar: hvem der har adgang til hvad (brugere, rettighedssæt, MFA i Entra ID), korrekt opsætning af moms og kontoplan, klassificering af persondata, og at jeres tilpasninger ikke bryder kravene.
Det sidste punkt overses ofte. Microsofts registrering hos Erhvervsstyrelsen gælder standardløsningen. Har I extensions, der fx giver mulighed for at slette eller ændre bogførte poster, er det jeres og partnerens ansvar at kunne dokumentere, at systemet stadig lever op til loven. Det tager vi højde for, når vi bygger extensions.
Microsofts compliance-tilbud
Det kan I henvise revisor eller kunder til:
- Registrering hos Erhvervsstyrelsen som standard digitalt bogføringssystem (registreringsnummer fob467715)
- ISO/IEC 27001- og 27018-certificering
- SOC 1-, SOC 2- og SOC 3-rapporter via Microsoft Service Trust Portal
- GDPR-forpligtelser i Microsofts databehandleraftale (DPA)
- Data opbevaret i Microsofts europæiske datacentre for danske miljøer
Konfiguration af Business Central til compliance
Det meste af bogføringsloven er slået til automatisk i den danske version: digitale bilag er obligatoriske på købs- og salgsdokumenter, bogførte poster kan ikke slettes eller ændres, og produktionsselskaber registreret i NemHandel kan ikke slettes. Men nogle ting skal I selv sætte op.
- Ændringslog på kritiske tabeller og felter — kontoplan, bankkonti, betalingsbetingelser, brugeropsætning
- Feltovervågning med mailadvarsel, når nogen ændrer en leverandørs bankkonto. Det fanger fakturasvindel
- Rettighedssæt efter rolle, så samme person ikke både kan oprette en leverandør og godkende betalinger til den
- Godkendelsesflow på indkøbsfakturaer og betalingskladder
- Opbevaringspolitikker (retention policies), så logs ikke vokser ukontrolleret
GDPR-compliance
Business Central har værktøjerne til de rettigheder, GDPR giver de registrerede:
- Ret til indsigt — siden Data Privacy kan eksportere alle data om en kontakt, kunde eller medarbejder
- Ret til berigtigelse — stamdata rettes direkte på kortet
- Ret til sletning — stamdata kan anonymiseres, men bogførte poster skal bevares i fem år efter bogføringsloven. Bogføringsloven vinder
- Ret til begrænsning — markér kontakten eller kunden som Privacy Blocked, så der ikke kan oprettes nye transaktioner
- Ret til dataportabilitet — eksport til Excel og videre til CSV eller XML
- Dataklassificering — markér felter som personlige eller følsomme, så I ved, hvor data ligger. Husk egne extensions: felter skal have DataClassification sat
Er jeres Business Central sat op til revisor?
Vi gennemgår ændringslog, rettigheder, godkendelsesflow og jeres tilpasninger op mod bogføringsloven og GDPR — og retter det, der mangler.
Kontakt os