Et compliance-certifikat er et dokument, en leverandør udsteder til sin kunde om, at kunden bruger leverandørens løsning. Det er værd at slå fast med det samme: begrebet er hverken lovbestemt eller myndighedsudstedt. Det står ikke i loven om alderskontrol, og der findes ikke en myndighed, der udsteder det.
Hvad Sikkerhedsstyrelsen faktisk siger
Sikkerhedsstyrelsen taler om "et certifikat fra din udbyder" som én af flere former for gyldig dokumentation ved et tilsyn. De øvrige er lige så brugbare:
- faktura for opsætning af alderskontrolsystemet
- seneste faktura for tilkøb af verifikationer
- skærmbilleder fra systemet, der viser første og seneste verifikation
Et certifikat er altså ét bilag på linje med en faktura. Det er ikke et adgangskort, og det er ikke noget, styrelsen har udstedt eller kontrolleret på forhånd.
Der findes ingen godkendelsesordning
Dette er den vigtigste sætning i hele glosen. Der findes ingen offentlig godkendelses- eller certificeringsordning for aldersverifikationsleverandører i Danmark, og der findes ingen liste over godkendte leverandører.
Ingen leverandør på det danske marked kan derfor være godkendt af en myndighed til aldersverifikation, for der er ikke noget at blive godkendt af. Ser du den formulering i et salgsmateriale, er den forkert, uanset hvem der skriver den.
Det samme gælder i Storbritannien, hvor der ellers er et aktivt tilsyn på området. Ofcom vurderer metoder og ikke navngivne leverandører, og en udbyder kan derfor ikke være Ofcom-godkendt.
Hvor ansvaret ligger
Loven lægger pligten hos forhandleren. Det er webshoppen, der skal have et alderskontrolsystem, der entydigt bekræfter elektronisk, at kunden har den gældende minimumsalder, og det er webshoppen, der bliver politianmeldt, hvis kontrollen ikke virker. Bødeindstillingen ved ulovligt salg er fra 1. januar 2025 hævet fra 25.000 kr. til 50.000 kr. i førstegangstilfælde.
Et certifikat fra en leverandør flytter ikke det ansvar. Det dokumenterer, at der er købt og sat noget op. Om systemet rent faktisk stopper en 15-årig ved kassen, er noget andet, og det er den del, tilsynet ser på. I første tilsynsrunde blev 105 virksomheder tjekket, og 42 havde ineffektive systemer.
Hvad et rigtigt certifikat ser ud som
Der findes certificeringer med indhold, de handler bare om noget andet end aldersgrænser. ISO 27001 er et eksempel. Her udsteder ISO ikke selv certifikater. Det gør uafhængige certificeringsorganer, som selv bør være akkrediterede, i Danmark af DANAK. Et gyldigt certifikat kan dokumenteres med certifikatnummer, certificeringsorgan, scope og gyldighedsperiode.
Den skelnen er den samme, som KYC bygger på. Hvidvasklovens § 11 kræver, at oplysninger kontrolleres mod en pålidelig og uafhængig kilde, og at virksomheden efter stk. 4 kan godtgøre kontrollen over for tilsynsmyndigheden. En erklæring fra den, der har solgt løsningen, er ikke en uafhængig kilde. Spørg derfor efter, hvad der kan vises frem om selve verifikationerne, og ikke kun efter et stykke papir med et logo på.