TeamMate / TeamMate+ (Wolters Kluwer)

Vad det är

End-to-end audit management-plattform för internal audit, GRC (Governance, Risk, Compliance), privacy management och kontrollramverk. Riktar sig till företagens egen audit-funktion och GRC-team — inte primärt till external audit-byråer.

Produktområden inom TeamMate+:

• Audit Management — risk assessment, audit planning, execution, issue tracking
• Privacy Management — GDPR/CCPA-compliance-stöd (DPIA, processing activities, privacy controls)
• Internal Controls Management — SOX-compliance och ramverkshantering
• GRC Expert Solutions — bredare governance-portfölj

AI-funktioner (TeamMate+ AI Editor lanserades 2024):

1. TeamMate+ AI Editor — GenAI writing engine för audit documentation
   • Kontext-aware suggestions för clarity, tone, summarization, translations
   • Explicit "user safeguards and industry-leading data protection"
2. Multi-Year Audit Planning (med planning-AI)
3. Business Rules Engine (regelbaserad automation + AI för data quality)

Typisk dataaccess

• Audit-engagement working papers, anteckningar, granskningsbevis
• Klient-/organisationsdata som ingår i audit-arbetet
• AI Editor: text som auditor matar in för förbättring (suggestions)
• Privacy Management: behandlingsregister, DPIA-data, privacy-incidenter
• Risk assessment data
• Eftersom internal audit: företagets egna finansiella data, HR-data, IT-system-data — inte klient-data i traditionell revisor-byrå-mening

EU AI Act-bedömning

Risknivå: Limited (med ovanligt stark compliance-positionering)

Motivering:

• AI Editor: writing assistant = Limited risk + Article 50-transparensplikt
• Multi-Year Planning + Business Rules Engine: smal verktygs-AI
• Privacy Management: GDPR-stödverktyg, inte AI Act-direkt-relevant

Wolters Kluwer har inte publikt deklarerat formell EU AI Act-position för TeamMate, men data-protection-praxisen för AI Editor är ovanligt detaljerad och visar att leverantören tagit Article 50-aspekter på allvar. Annex III-risk verkar låg eftersom produkten inte används för credit scoring, anställd-bedömning, eller andra Annex III-områden.

GDPR-överväganden

Datalagring:

• TeamCloud cloud-hosting med globalt distribuerade datacenter
• On-premise-option tillgänglig för klienter som vill behålla data internt
• Behöver verifieras: EU-hosting-tier — om det är default för EU-kunder eller upgrade

Datatransfer:

• "Datacenter strategically placed around the globe" antyder att tredjelandsöverföring kan ske beroende på kund-tier
• EU-kunder bör kräva EU-only-hosting explicit i avtal
• Wolters Kluwer är EU-baserad (NL HQ) → struktur fördelad till EU:s favör

DPA tillgänglig: Ja, som del av Wolters Kluwer-koncernens enterprise-avtal. Kräver direktförfrågan för aktuell version.

Compliance-certifieringar (explicit listade av Wolters Kluwer för TeamMate):

• SOC 2 ✓
• HIPAA ✓ (US healthcare-standard, signal för rigor)
• GDPR ✓ (självdeklarerad compliance)
• FedRAMP ✓ (US federal cloud-standard)
• StateRAMP ✓

Detta är väsentligt mer omfattande certifierings-portfölj än Caseware, Bjorn Lunden, SpeedLedger eller e-conomic publikt visat.

AI Editor-specifika dataskydds-garantier (publikt deklarerat):

• Data isolation: "content inputs are not used to train the model" — kontraktuellt garanterat
• No data retention: "data is immediately discarded after suggestions are provided"
• End-to-end encryption för alla AI-anrop
• PII blockers: maskar personidentifierande information innan data skickas till AI-modellen

Särskilda risker:

• AI-tech-stack-LLM-leverantör inte publikt namngiven — Wolters Kluwer säger "industry-leading data protection" men inte vilken modell driver AI Editor (OpenAI/Anthropic/egen?)
• Globalt distribuerade datacenter = EU-kunder måste explicit kräva EU-hosting
• Multi-modul-portfölj (Audit + Privacy + Controls + GRC) skapar bred ytan för data-access; behörighetsmodellen kräver omsorg
• On-premise-option är dyrare och svårare att hantera — många väljer cloud även när on-premise skulle passa bättre regulatoriskt

Vanliga risker

• AI Editor-suggestions accepteras som "färdig text" snarare än utkast → audit-dokumentation tappar revisorns självständiga formulering
• Multi-Year Planning-AI ger förslag som följs utan substantiv revisor-bedömning
• PII blockers förlitas på blint — om de missar en känslig kategori (klient-namn, specifika belopp) går data ändå till AI-modellen
• "We don't train on your data" gäller AI Editor — kan finnas separata modul-AI:er där det inte gäller
• Internal audit-team använder Privacy Management-modulen för DPIA utan att förstå att modulen är stöd, inte juridisk slutsats

Rekommenderade mitigeringar

• Fråga Wolters Kluwer direkt: "Vilken LLM driver AI Editor? Är EU-hosting default för EU-kunder eller krävs upgrade?"
• Fråga direkt: "Gäller no-training-garantin alla TeamMate+ AI-funktioner, eller endast AI Editor?"
• Fråga direkt: "PII blockers — vilka kategorier identifieras automatiskt? Kan vi konfigurera anpassade blocker-regler?"
• Kräv aktuell DPA + sub-processor-lista före upphandling
• Granska AI Editor-output substantivt — använd som utkast, inte färdig dokumentation
• Konfigurera behörighetsmodellen så att Privacy Management och Audit Management är separat åtkomstkontrollerade
• Dokumentera AI-användning i audit-engagements

Branschspecifik vägledning – revision/redovisning

Får användas för (med granskning):

• Internal audit för byrå själv (organisationens egna audit-funktion om sådan finns)
• AI Editor för formulering av audit-rapporter och working papers — som utkast
• Multi-Year Audit Planning för längre planeringsperspektiv
• Privacy Management för byråns egen GDPR-compliance-administration
• Business Rules Engine för datakvalitetskontroller på interna data

Får INTE användas för (utan substantiv granskning):

• External audit av klient-bolag — TeamMate är inte byggt för det syftet (använd Capego, Caseware, eller liknande external-audit-tools)
• Slutgiltigt granskningsbevis enligt ISA — AI Editor-genererad text är inte revisorns självständiga observation
• Privacy management-utfall (DPIA-bedömningar) presenterade som juridisk slutsats — kräver advokat-validering
• Direkt klient-vänd kommunikation där AI Editor-output kommuniceras som "vår bedömning"

Särskild försiktighet vid:

• Multi-modul-portfölj — behörighetsmodellen kräver omsorg så att Privacy Management och Audit Management inte korsläcker
• AI Editor-translations: maskinöversättning av juridisk text kan ändra innebörd
• Multi-Year Planning-AI: ge AI:n rätt kontextdata, eller får felaktiga planer

Källor

• TeamMate huvudsajt (audit & GRC): https://www.wolterskluwer.com/en/solutions/teammate
• TeamMate Audit Management: https://www.wolterskluwer.com/en/solutions/teammate/teammate-audit
• TeamMate AI tools (internal audit + GRC): https://www.wolterskluwer.com/en/solutions/teammate/ai
• TeamMate Privacy & Security Certifications: https://www.wolterskluwer.com/en/solutions/teammate/privacy-security-certifications
• TeamMate+ AI Editor launch (Wolters Kluwer pressrelease): https://www.wolterskluwer.com/en/news/wolters-kluwer-transforms-audit-documentation-launch-teammate-ai-editor
• TeamMate+ nya capabilities (Multi-Year Planning, Business Rules Engine): https://www.wolterskluwer.com/en/news/wolters-kluwer-teammate-capabilities-enhance-internal-audit-efficiency-data-quality
• TeamMate Privacy Management Software: https://www.wolterskluwer.com/en/solutions/teammate/governance-risk-compliance/privacy-management-software
• Saknas: officiell EU AI Act-position, exakt LLM bakom AI Editor, EU-hosting-default vs upgrade-status, aktuell sub-processor-lista
• Saknas: svensk lokal närvaro-detaljer för TeamMate specifikt (skiljt från Wolters Kluwer Sverige som driver Capego)

Specifika frågor att ställa till revisor med TeamMate-erfarenhet under verifieringssamtal:

1. Använder du eller någon kollega TeamMate i klientarbete? Eller är det mer en klient-tool som du möter när klienten har egen internal audit-funktion?
2. Stämmer beskrivningen av Wolters Kluwer-produktrelationen (TeamMate = internal audit, Capego = external audit för svenska byrå)? Eller överlappar de mer än vi antar?
3. AI Editor-användning: Om du använt det — håller texterna kvaliteten för audit-dokumentation? Hur ofta accepteras suggestions som färdig text utan substantiv ändring?
4. PII blockers: har du sett dem fungera? Missar de saker som borde maskas (svenska person-/orgnummer, klient-namn-fragment)?
5. Multi-modul-rollblandning: är det vanligt att audit + privacy-modulerna används av samma team, eller separeras de organisatoriskt?
6. Compliance-certifieringarna (SOC2/HIPAA/FedRAMP/GDPR/StateRAMP) — har klienter eller revisorer du jobbat med ifrågasatt aktuell status, eller är de "good enough" för svenska byrå-kontext?
7. EU-hosting: om du har valt cloud-tier, är data faktiskt i EU? Hur verifierar du det?
8. TeamMate vs Capego vs Caseware: för svensk medelstor revisor-byrå — vilket skulle du rekommendera och varför?