SaaS regulatorisk risiko – Hva investorer bør vite

Hva er SaaS regulatorisk risiko?

SaaS regulatorisk risiko handler om hvordan endringer i lover og forskrifter kan påvirke selskaper som leverer programvare som en tjeneste (SaaS). For investorer er dette en viktig faktor fordi slike endringer kan få store konsekvenser for både inntekter og kostnader. SaaS-selskaper lagrer ofte store mengder kundedata, driver virksomhet på tvers av landegrenser og er avhengige av skyinfrastruktur. Det gjør dem sårbare for reguleringer innen personvern, datalagring, skatt og kunstig intelligens.

Regulatorisk risiko er ikke bare knyttet til bøter. Den kan også føre til at selskapet må endre forretningsmodellen sin, investere i ny teknologi eller til og med trekke seg ut av bestemte markeder. For et norsk SaaS-selskap som eksporterer til EU, kan for eksempel en strengere tolkning av GDPR bety at de må bygge om hele dataarkitekturen sin. Slike endringer koster tid og penger, og kan svekke konkurranseevnen.

Som aksjeinvestor er det derfor avgjørende å forstå hvilke reguleringer som gjelder for selskapet du vurderer. En tilsynelatende liten endring i en forskrift kan utløse store verdifall. Samtidig kan selskaper som er flinke til å håndtere reguleringer, bruke det som et konkurransefortrinn. Det er dette som gjør SaaS regulatorisk risiko til et sentralt tema i aksjeanalyse.

Forstå SaaS regulatorisk risiko

For å få grep om SaaS regulatorisk risiko må vi se på hvilke typer reguleringer som oftest rammer programvareselskaper. Den mest kjente er EUs personvernforordning (GDPR), som trådte i kraft i 2018. GDPR pålegger selskaper strenge krav til hvordan de samler inn, lagrer og behandler personopplysninger. Brudd kan gi bøter på opptil 20 millioner euro eller 4 prosent av global omsetning – for et norsk SaaS-selskap med 500 millioner kroner i omsetning kan det bety en bot på 20 millioner kroner.

I tillegg kommer reguleringer som AI Act (regulering av kunstig intelligens), krav om lokal datalagring i enkelte land, og skatteregler for digitale tjenester. Norge har for eksempel innført egne regler for skattlegging av utenlandske teknologiselskaper, men også norske SaaS-selskaper må forholde seg til internasjonale skatteavtaler. En annen viktig faktor er sektorspesifikke reguleringer, som helse- eller finanstilsynskrav for SaaS-løsninger som brukes i disse bransjene.

Risikoen kan deles inn i direkte og indirekte effekter. Direkte effekter er bøter, søksmål eller pålegg om å stanse tjenesten. Indirekte effekter kan være økte compliance-kostnader, forsinkede produktlanseringer eller at kunder velger bort selskapet fordi de ikke stoler på etterlevelsen. For investorer er det særlig de indirekte effektene som kan være vanskelige å forutsi, fordi de ofte viser seg over tid.

En nyttig måte å vurdere risikoen på er å se på selskapets compliance-avdeling, historikk med tilsynsmyndigheter og hvor mye de investerer i juridisk og teknisk etterlevelse. Selskaper som har en proaktiv holdning til reguleringer, for eksempel ved å sertifisere seg etter ISO 27001 eller SOC 2, signaliserer ofte lavere risiko.

Hvordan fungerer SaaS regulatorisk risiko?

SaaS regulatorisk risiko fungerer gjennom en kjede av hendelser. Først kommer en ny lov eller forskrift, enten nasjonalt eller internasjonalt. Deretter må selskapet vurdere hvordan regelen påvirker deres produkter og prosesser. Ofte kreves det tekniske endringer, som å kryptere data på en ny måte, flytte servere eller endre brukervilkår. Samtidig må selskapet oppdatere internkontrollsystemer og dokumentasjon.

Kostnadene kan være betydelige. Ifølge bransjeundersøkelser bruker mange SaaS-selskaper mellom 2 og 5 prosent av omsetningen på compliance-aktiviteter. For et selskap med 100 millioner kroner i omsetning tilsvarer det 2–5 millioner kroner årlig. I tillegg kommer engangskostnader ved større lovendringer. Et eksempel er da GDPR ble innført: mange selskaper brukte titalls millioner kroner på å tilpasse systemene sine.

Risikoen påvirker også aksjekursen. Nyheter om nye reguleringer kan føre til kursfall, spesielt hvis markedet ikke har priset inn konsekvensene. Motsatt kan selskaper som annonserer at de er i forkant av reguleringer, oppleve kursstigning fordi investorer ser det som et konkurransefortrinn. Det er derfor viktig å følge med på regulatoriske nyheter og forstå hvordan de slår inn i selskapets regnskap.

Tabellen under viser noen sentrale reguleringer og deres potensielle innvirkning på et typisk norsk SaaS-selskap:

Historisk bakgrunn

Før 2010 var reguleringen av programvareselskaper relativt begrenset. De fleste land hadde lover om personvern og kontraktsrett, men de var ikke tilpasset skybaserte tjenester. Da SaaS-modellen vokste frem, oppsto det et regulatorisk tomrom. Selskaper kunne lagre data hvor som helst i verden, og forbrukere hadde lite innsyn i hvordan opplysningene ble brukt.

EU tok et oppgjør med dette gjennom GDPR, som ble vedtatt i 2016 og trådte i kraft i 2018. Forordningen satte en ny global standard for personvern og fikk umiddelbar betydning for alle SaaS-selskaper som behandler EU-borgeres data. Norge innlemmet GDPR i EØS-avtalen, slik at norske selskaper også må følge reglene. Siden da har flere land, som Brasil og India, innført lignende lover.

I 2021 kom EU med forslag til AI Act, som regulerer bruk av kunstig intelligens basert på risikonivå. For SaaS-selskaper som integrerer AI i produktene sine, betyr dette at de må dokumentere algoritmenes pålitelighet og unngå forbudte bruksområder. I Norge har også Finanstilsynet og Datatilsynet blitt mer aktive, noe som øker rapporteringskravene.

Den historiske utviklingen viser en tydelig trend: reguleringene blir flere, strengere og mer komplekse. For investorer betyr det at SaaS-aksjer ikke lenger kan vurderes utelukkende på vekst og marginer – regulatorisk risiko må være en integrert del av analysen.

Praktisk eksempel

La oss ta et tenkt norsk SaaS-selskap, SkyRegn AS, som leverer regnskapsprogramvare til små og mellomstore bedrifter. Selskapet har 200 ansatte og en omsetning på 150 millioner kroner. SkyRegn lagrer alle kunders regnskapsdata på servere i Irland. I 2024 vedtar Stortinget en ny lov som krever at all regnskapsdata for norske selskaper må lagres fysisk i Norge.

For SkyRegn betyr dette en umiddelbar utfordring. De må enten leie kapasitet i et norsk datasenter eller bygge eget. Begge deler koster penger – en grov estimat er 30 millioner kroner i engangskostnader og 5 millioner kroner i årlige driftskostnader. I tillegg må de oppdatere avtaler med kunder og dokumentere at dataene er trygge. Hele prosessen kan ta 12–18 måneder.

Hvordan påvirker dette aksjekursen? Hvis markedet ikke hadde forventet lovendringen, kan kursen falle med 10–15 prosent på kort sikt fordi investorene priser inn høyere kostnader og lavere marginer. Men hvis SkyRegn klarer å gjennomføre endringen effektivt og samtidig markedsføre seg som et selskap som overholder norske regler, kan de tiltrekke seg kunder som er opptatt av compliance. På lengre sikt kan risikoen snus til en fordel.

Dette eksemplet viser hvorfor investorer bør sette seg inn i selskapets geografiske fotavtrykk, hvilke reguleringer som er på trappene, og hvor fleksibel infrastrukturen er. Et selskap som allerede har servere i Norge, vil ha lavere risiko enn et som er avhengig av utenlandske skytjenester.

Fordeler og ulemper

Regulatorisk risiko blir ofte sett på som noe negativt, men den har også en positiv side for investorer. Fordelene er at strenge reguleringer kan fungere som en inngangsbarriere for nye konkurrenter. Hvis det er dyrt og komplisert å etterleve alle reglene, vil etablerte selskaper med gode compliance-systemer ha et forsprang. I tillegg kan reguleringer øke tilliten blant kunder, noe som gir høyere kundelojalitet og potensielt høyere priser.

En annen fordel er at selskaper som tilbyr verktøy for compliance (for eksempel GRC-programvare) selv drar nytte av økt regulering. Investorer som eier aksjer i slike selskaper, kan tjene på trenden. I Norge finnes det flere mindre SaaS-selskaper som spesialiserer seg på personvern- og risikostyringsløsninger.

Ulempene er åpenbare: økte kostnader, usikkerhet rundt fremtidige regler, og risiko for bøter eller sanksjoner. For et lite SaaS-selskap kan en GDPR-bot på 10 millioner kroner være nok til å true videre drift. I tillegg kan regulatoriske endringer føre til at selskapet må endre forretningsmodellen på en måte som reduserer veksten. For eksempel kan et forbud mot visse typer datadeling gjøre reklamefinansierte SaaS-tjenester mindre lønnsomme.

Det er også en ulempe at regulatorisk risiko er vanskelig å kvantifisere. Investorer må ofte stole på kvalitative vurderinger, noe som gjør aksjeanalysen mer subjektiv. Derfor er det viktig å spre risikoen over flere selskaper og sektorer.

Vanlige misforståelser

En vanlig misforståelse er at regulatorisk risiko bare gjelder store, internasjonale SaaS-selskaper. I virkeligheten kan små norske selskaper bli like hardt rammet, fordi de ofte har mindre ressurser til å håndtere compliance. En ny forskrift kan tvinge dem til å bruke en stor del av budsjettet på juridiske og tekniske tilpasninger, noe som går ut over produktutvikling og markedsføring.

En annen misforståelse er at regulatorisk risiko alltid er negativ. Som nevnt kan reguleringer skape muligheter for selskaper som er i forkant. For eksempel ble mange SaaS-selskaper som allerede hadde gode personvernrutiner, foretrukket av kunder etter at GDPR kom. Det samme kan skje med AI Act – selskaper som kan dokumentere at AI-en deres er trygg og rettferdig, kan få et konkurransefortrinn.

Noen tror også at regulatorisk risiko er noe som kan elimineres helt. Det er ikke realistisk. Reguleringer vil alltid være i endring, spesielt i en bransje som utvikler seg så raskt som SaaS. Det beste et selskap kan gjøre, er å bygge en fleksibel og robust compliance-struktur som kan tilpasses nye krav. For investorer handler det om å forstå hvor godt selskapet er rustet for endring.

Til slutt er det en misforståelse at regulatorisk risiko bare handler om bøter. Den største risikoen er ofte den indirekte: tapte inntekter på grunn av at selskapet må trekke seg fra et marked, eller at kunder mister tilliten. Derfor bør investorer se bredt på hvordan reguleringer påvirker hele forretningsmodellen.

Oppsummering

SaaS regulatorisk risiko er en sentral faktor for alle som investerer i programvareselskaper. Endringer i lover og forskrifter kan påvirke både kostnader, inntekter og konkurranseposisjonen. For norske investorer er det spesielt viktig å følge med på EUs reguleringer, siden Norge gjennom EØS-avtalen ofte innfører de samme reglene.

Vi har sett at risikoen kan være både direkte (bøter, pålegg) og indirekte (økte kostnader, endret forretningsmodell). Historien viser en økende reguleringstakt, fra GDPR til AI Act og lokale datalagringskrav. Gjennom praktiske eksempler, som SkyRegn AS, ser vi hvordan en enkelt lovendring kan utløse store investeringer og påvirke aksjekursen.

For å håndtere risikoen bør investorer undersøke selskapets compliance-avdeling, sertifiseringer, geografiske eksponering og evne til å tilpasse seg. Diversifisering på tvers av selskaper og sektorer kan også redusere eksponeringen. Samtidig må man huske at reguleringer ikke bare er en trussel – de kan også skape muligheter for de selskapene som er best forberedt.

Ved å inkludere regulatorisk risiko i din aksjeanalyse, øker du sjansene for å unngå ubehagelige overraskelser og finne selskaper med bærekraftig vekst.