Компания может успешно продавать продукт и при этом пропустить требование, которое влияет на ее работу. Например, закупщик принимает дорогой подарок от поставщика. В другой ситуации маркетинг запускает рассылку без проверки правил работы с данными. Так возникают «комплаенс-риски».
Комплаенс-риск существует еще до штрафа, проверки или судебного спора. Речь идет о возможности нарушения и связанных с ним последствиях. Поэтому задача контроля — заметить слабое место раньше, чем оно превратится в реальное нарушение.
Ну а сегодня мы разберем, откуда берутся комплаенс-риски, чем они отличаются от других рисков и как компании их оценивают и снижают.
О понятии
Итак, комплаенс-риск — это риск неблагоприятных последствий из-за несоблюдения требований, которые относятся к деятельности организации. Например, источником могут стать закон, отраслевые правила или внутренние документы компании.
Единого определения для любого российского бизнеса закон не закрепляет. Однако официальный пример есть в банковском регулировании.
Обращаясь к первоисточнику, пункт 4(1).1 Положения Банка России № 242-П связывает комплаенс-риск кредитной организации с возможными убытками из-за несоблюдения законодательства, внутренних документов и обязательных стандартов СРО. Кроме того, определение охватывает последствия санкций и иных мер надзорных органов. Для компаний вне банковской сферы эта норма не задает общий режим, но хорошо показывает конструкцию риска.
То есть речь идет не об абстрактно «неправильном» поведении. Прежде всего нужно определить конкретное требование, процесс, возможное нарушение и последствия.
Пример ситуации
Допустим, внутренний кодекс запрещает закупщику принимать дорогие подарки от поставщиков. Один из партнеров предлагает ему поездку перед выбором победителя закупки. Хотя решение еще не принято, компания уже видит комплаенс-риск и может вмешаться до спорной сделки.
Кстати, саму систему контроля мы подробнее разбирали в статье про комплаенс в бизнесе.
Откуда возникают комплаенс-риски
Набор рисков зависит от отрасли, размера компании и конкретных операций. Например, банк, интернет-магазин и промышленное предприятие работают с разными требованиями.
Прежде всего источники можно разделить на внешние и внутренние. К внешним относятся законы, подзаконные акты и обязательные отраслевые правила. В свою очередь, внутренние источники появляются после принятия корпоративных процедур и стандартов поведения.
На практике зоны риска могут выглядеть так:
| Зона | Пример риска | Возможные последствия |
|---|---|---|
| Антикоррупционные требования | Сотрудник получает выгоду от контрагента при принятии решения | Проверка, ответственность и внутреннее разбирательство при наличии оснований |
| Персональные данные | Компания обрабатывает данные без нужного основания или контроля доступа | Предписание, ответственность и расходы на устранение нарушения |
| Конкуренция | Сотрудники обсуждают с конкурентом будущие цены или условия поведения на рынке | Антимонопольная проверка и предусмотренные законом меры |
| Внутренние процедуры | Сделку проводят в обход установленного согласования | Внутренние меры и дополнительные риски по самой операции |
При этом один процесс может затрагивать несколько требований. Например, проверка посредника может касаться антикоррупционных правил, конфликта интересов и внутренних лимитов.
Кроме того, состав рисков меняется вместе с бизнесом. Если компания выходит на новый рынок или запускает продукт, появляются новые требования и контрольные точки.
Чем риск отличается от уже совершенного нарушения
Комплаенс-риск показывает возможность неблагоприятного события. А вот нарушение означает, что конкретное требование уже не соблюдено.
Например, отсутствие проверки нового контрагента может быть фактором риска. Если внутренний регламент требует такую проверку, а сотрудник ее пропустил, возникает конкретный факт несоблюдения процедуры.
Однако высокий уровень риска сам по себе еще не доказывает правонарушение. Поэтому в карте рисков обычно описывают возможный сценарий, а не заранее признают компанию виновной.
Кроме того, риск можно снизить до события. В частности, дополнительное согласование, обучение или техническое ограничение помогают закрыть слабое место в процессе.
Чем комплаенс-риск отличается от других рисков
Границы зависят от классификации, принятой в конкретной организации. Однако для управления полезно понимать основной источник угрозы.
| Вид риска | Основной фокус |
|---|---|
| Комплаенс-риск | Несоблюдение применимых внешних или внутренних требований |
| Правовой риск | Юридические последствия сделок, споров, дефектов документов и правовой неопределенности |
| Операционный риск | Сбои процессов, систем, действий сотрудников или внешних событий |
| Репутационный риск | Потеря доверия клиентов, партнеров и других заинтересованных лиц |
В банковской сфере Банк России прямо разводит регуляторный, операционный, правовой и репутационный риски. Вместе с тем один и тот же фактор способен вызвать несколько последствий.
Например, нарушение требований при работе с клиентом может привести к мере надзорного органа. Кроме того, тот же случай способен вызвать спор и повлиять на доверие клиентов.
Кто занимается комплаенс-рисками
Единой организационной модели для всего бизнеса нет. Закон не заставляет каждую компанию создавать отдельный отдел с названием «комплаенс».
Однако в регулируемых сферах действуют специальные требования. Кроме того, отдельные обязанности распространяются на организации независимо от наличия отдельной службы.
В частности, статья 13.3 Федерального закона № 273-ФЗ обязывает организации принимать меры по предупреждению коррупции. Среди возможных мер закон называет ответственных лиц, стандарты добросовестной работы, кодекс этики и урегулирование конфликта интересов.
Поэтому небольшой бизнес может распределить контроль между директором, юристом и другими ответственными сотрудниками. А вот крупной или регулируемой компании нередко удобнее выделить самостоятельную функцию.
Кстати, один из внутренних инструментов мы отдельно разобрали в статье про кодекс деловой этики.
Как оценивают комплаенс-риск
Прежде всего оценка начинается с конкретного процесса. Нужно понять, какое требование действует и где компания может его нарушить.
Порядок обычно выглядит так:
- Соберите применимые законы, отраслевые правила и внутренние документы.
- Затем свяжите существенные требования с конкретными бизнес-процессами.
- Опишите возможное событие и последствия для компании.
- После этого оцените вероятность и тяжесть последствий по принятой методике.
- Проверьте действующие меры контроля и определите остаточный риск.
- В итоге назначьте ответственного, срок действий и дату повторной оценки.
Например, такая логика прямо используется в антимонопольном комплаенсе. Статья 9.1 Закона № 135-ФЗ позволяет хозяйствующему субъекту создать внутреннюю систему соответствия антимонопольным требованиям.
Если компания вводит такую систему, внутренние акты должны охватывать оценку рисков и меры по их снижению. Кроме того, закон требует предусмотреть контроль работы системы, ознакомление сотрудников и сведения об ответственном лице.
То есть карта риска приносит пользу только тогда, когда связана с конкретными действиями.
Какие меры снижают комплаенс-риски
Один внутренний документ редко закрывает все слабые места. Поэтому меры подбирают под конкретный процесс и источник риска.
В частности, компании используют:
- проверку контрагентов и посредников перед началом работы;
- правила по подаркам, конфликтам интересов и деловому гостеприимству;
- матрицы согласования платежей, договоров и нестандартных операций;
- обучение сотрудников по рисковым рабочим ситуациям;
- каналы для сообщений о возможных нарушениях;
- мониторинг операций и периодический пересмотр карты рисков.
Например, запрет на подарки мало помогает, если сотрудник не знает порядок дальнейших действий. Поэтому правило лучше связывать с понятной процедурой и ответственным лицом.
Если же в действиях сотрудника или контрагента появляются признаки незаконного вознаграждения, ситуацию нужно оценивать по конкретным нормам. На нашем сайте отдельно разобран коммерческий подкуп.
Как внутренние правила влияют на риск
Компания может установить требования строже минимального закона. К примеру, внутренний кодекс может ограничивать подарки сотрудникам независимо от стоимости.
Если работник нарушит такое правило, внутри системы возникает комплаенс-событие. Однако правовые последствия нужно определять отдельно.
Нарушение корпоративной политики и нарушение закона — разные вещи. Внутреннее правило может быть строже законодательства, поэтому каждый случай нужно оценивать с учетом того, какое именно требование нарушено.
Поэтому внутренний документ должен ясно описывать обязанность, порядок контроля и дальнейшие действия. Кроме того, сотрудников нужно знакомить с правилами, которые относятся к их работе.
А вот слишком сложные процедуры тоже создают слабое место. Если правило существует только на бумаге и его регулярно обходят, контроль перестает отражать реальный процесс.
Когда карту рисков нужно пересматривать
Комплаенс-карта меняется вместе с бизнесом. Например, новый продукт, рынок или способ работы с клиентами может добавить требования, которых раньше не было.
В частности, пересмотр нужен, когда:
- изменилось законодательство или появились новые требования регулятора;
- компания выходит на новый рынок или в другую юрисдикцию;
- запускается новый продукт либо меняется существующий процесс;
- появляются повторяющиеся внутренние инциденты;
- проверка выявила слабое место в действующей системе контроля.
Кроме того, отдельной проверки требует привлечение новых посредников к чувствительным операциям. В таком случае прежние меры могут уже не закрывать новый сценарий.
Проще говоря, карту стоит пересматривать не по календарю ради отчета, а тогда, когда меняются требования, процессы или фактические риски. Хорошая система должна отвечать на четыре вопроса: какое требование действует, где его можно нарушить, к чему это приведет и какой контроль снижает риск.