Dobrze zaprojektowany compliance porządkuje decyzje, ogranicza ryzyka i wzmacnia zaufanie do przedsiębiorstwa. W średniej firmie nie musi oznaczać rozbudowanej biurokracji: powinien być proporcjonalnym systemem, który pomaga zarządowi i menedżerom działać zgodnie z prawem, umowami oraz przyjętymi standardami.
Compliance – co to i dlaczego dotyczy również średnich firm?
Termin „compliance” bywa uproszczony do kontroli dokumentów albo do obowiązku posiadania regulaminów. W praktyce compliance oznacza zdolność organizacji do działania zgodnie z prawem, regulacjami branżowymi, zobowiązaniami umownymi, wewnętrznymi politykami i standardami etycznymi. To zarazem sposób wykrywania, ograniczania i właściwego reagowania na nieprawidłowości.
W średnim przedsiębiorstwie ryzyka pojawiają się częściej, niż wskazywałaby sama liczba zatrudnionych. Firma rozwija sieć sprzedaży, korzysta z pośredników, przetwarza dane klientów i pracowników, uczestniczy w przetargach, zawiera coraz bardziej złożone umowy oraz deleguje decyzje. Wraz ze wzrostem skali rośnie ryzyko, że ważne obowiązki pozostaną „między działami” albo będą wykonywane niejednolicie.
Czym jest compliance w średniej firmie? Jest praktycznym mechanizmem zarządzania: wskazuje właścicieli procesów, określa granice decyzyjne, uczy, gdzie zgłaszać problem, i pozwala dokumentować reakcję. Zakres rozwiązania poszczególnych zagadnień nie powinien być kopiowany z rozwiązań wprowadzanych w korporacji. Powinien on raczej wynikać z działalności, skali, struktury, regulacji sektorowych oraz realnego profilu ryzyka przedsiębiorstwa.
Zgodność formalna a kultura compliance
Zgodność formalna polega na tym, że firma posiada wymagane dokumenty, rejestry i zgody. Jest konieczna, ale sama w sobie nie gwarantuje właściwego działania. Polityka antykorupcyjna, która nie jest znana handlowcom, lub procedura ochrony danych niewdrożona w codzienne procesy, nie zmniejszy ryzyka w sposób trwały.
Kultura compliance zaczyna się tam, gdzie pracownicy i menedżerowie rozumieją sens zasad, potrafią rozpoznać sygnał ostrzegawczy i wiedzą, że zgłoszenie wątpliwości nie jest nielojalnością. W dojrzałej organizacji pytanie „czy możemy to zrobić?” jest uzupełniane pytaniem „czy powinniśmy to zrobić i czy potrafimy uzasadnić tę decyzję?”. Taka kultura wymaga spójności między komunikatami zarządu, systemem motywacyjnym i rzeczywistą reakcją na naruszenia.
Odpowiedzialność zarządu
Co do zasady decyzja o organizacji systemu, nadzorze nad ryzykiem i zapewnieniu odpowiednich zasobów należy do zarządu jako organu. Członkowie zarządu powinni wykonywać swoje obowiązki z należytą starannością, właściwą dla zawodowego charakteru działalności, z uwzględnieniem przepisów prawa polskiego, charakteru spółki i podziału kompetencji. Zarząd powinien inicjować projekt, koordynować współpracę między wszystkimi członkami zarządu, nadawać priorytet działaniom oraz egzekwować ich realizację. Jednak, skuteczny model wymaga wyraźnego przypisania zadań, regularnego raportowania i możliwości podniesienia problemu bez konfliktu interesów.
Systemy compliance
Systemy compliance w firmie nie muszą mieć identycznej architektury. W jednej organizacji wystarczy koordynator wspierany przez dyrektorów i zewnętrznego prawnika lub radcę prawnego, w innej uzasadniony będzie odrębny compliance system z funkcją kontrolną. W każdym wariancie warto połączyć kilka podstawowych elementów:
Zarządzanie ryzykiem prawnym zaczyna się od mapy ryzyka
Zarządzanie ryzykiem prawnym nie polega na tworzeniu abstrakcyjnej listy ustaw. Punktem wyjścia są procesy biznesowe: sprzedaż, zakupy, rekrutacja, wynagrodzenia, marketing, obsługa klienta, inwestycje, korzystanie z danych i współpraca z partnerami. Dla każdego procesu należy ustalić, jakie zdarzenie może naruszyć prawo, umowę lub standard wewnętrzny, kto podejmuje decyzję, jakie są istniejące zabezpieczenia i co stanie się, jeśli zabezpieczenie zawiedzie.
Jak przeprowadzić ocenę ryzyka
Praktyczna mapa ryzyka może być zwięzła, jeśli jest aktualna i używana. Warto oceniać prawdopodobieństwo zdarzenia, skalę szkody finansowej i operacyjnej, skutki dla reputacji, możliwość odpowiedzialności osób zarządzających oraz wykrywalność naruszenia. Następnie rodzaje ryzyka porządkuje się według priorytetów: nie każde wymaga odrębnej polityki, ale każde istotne powinno mieć osobę odpowiedzialną i plan reakcji.
Ocena powinna uwzględniać także czynniki zewnętrzne: nowe rynki, zmianę modelu sprzedaży, przejęcie podmiotu, wejście w relację z agentem, korzystanie z narzędzi cyfrowych lub zmianę regulacji sektorowej. Mapa ryzyka jest dokumentem roboczym, a nie jednorazowym załącznikiem do uchwały.
Obszary, które najczęściej wymagają procedur
Treść systemu zależy od profilu działalności, lecz w średnich firmach zwykle warto zweryfikować przynajmniej następujące obszary:
Ważne jest, aby procedura przekładała normę na konkretne zachowanie. Zamiast ogólnego zakazu korupcji powinna wskazywać, kiedy wymagane jest zatwierdzenie, jak udokumentować relację z pośrednikiem oraz komu zgłosić podejrzaną płatność. Prosta instrukcja stosowana konsekwentnie jest zwykle bardziej użyteczna niż obszerny regulamin, którego nikt nie otwiera.
Kanały zgłaszania naruszeń i ochrona sygnalistów
Kanał zgłaszania nieprawidłowości jest istotny nie tylko tam, gdzie przepisy o ochronie sygnalistów nakładają konkretne wymagania. Pozwala zarządowi uzyskać informację na etapie, gdy problem można jeszcze wyjaśnić i ograniczyć. Kanał może być prowadzony wewnętrznie albo przy wsparciu zewnętrznym, ale powinien zapewniać poufność, właściwy dostęp do informacji, terminy reakcji i rzetelne dokumentowanie postępowania.
Osoby przyjmujące zgłoszenia muszą być bezstronne i odpowiednio umocowane. Konieczne jest rozdzielenie konfliktów interesów, ochrona danych oraz zakaz działań odwetowych wobec zgłaszających działających w dobrej wierze. Każde zgłoszenie nie jest dowodem naruszenia, ale każde zasługuje na ocenę według ustalonej metody.
Dział compliance czy model rozproszony?
Nie każda średnia firma musi tworzyć formalny dział compliance. Taka decyzja jest uzasadniona zwłaszcza przy wysokiej regulacji, rozbudowanej strukturze, działalności międzynarodowej albo dużej liczbie transakcji wrażliwych. W innych przypadkach funkcja może działać w modelu rozproszonym: za poszczególne rodzaje ryzyka odpowiadają liderzy biznesowi, HR, finanse, bezpieczeństwo informacji i prawnicy, a koordynację zapewnia wyznaczona osoba lub komitet.
Niezależnie od modelu nie należy zacierać odpowiedzialności. Koordynator powinien mieć dostęp do zarządu, możliwość raportowania ryzyka i uprawnienie do inicjowania działań naprawczych.
Szkolenia, komunikacja i egzekwowanie zasad
Procedura staje się skuteczna dopiero wtedy, gdy adresaci rozumieją swoje obowiązki. Szkolenia powinny być krótkie, praktyczne i różnicowane według stanowisk. Innych przykładów potrzebuje dział sprzedaży, innych kadra kierownicza, a jeszcze innych osoby obsługujące dane lub płatności. Warto łączyć szkolenie wstępne z okresowymi przypomnieniami oraz ćwiczeniami na realnych scenariuszach.
Komunikacja zarządu ma znaczenie dowodowe i kulturowe. Jasne komunikaty o braku tolerancji dla naruszeń muszą iść w parze z przewidywalną reakcją: wyjaśnieniem, działaniem naprawczym, a w uzasadnionych przypadkach konsekwencjami służbowymi lub kontraktowymi. Równie ważne jest informowanie o usprawnieniach wdrożonych po zgłoszeniach, bez ujawniania danych poufnych.
Monitoring, audyt i aktualizacja procedur
Wdrożenie compliance nie kończy się na publikacji kodeksu. Zarząd powinien otrzymywać okresowe, zwięzłe raporty o najważniejszych ryzykach, zgłoszeniach, wynikach kontroli, ukończonych szkoleniach i działaniach naprawczych. Audyt może być wewnętrzny lub zewnętrzny; jego celem jest sprawdzenie, czy kontrole działają w rzeczywistym procesie, a nie jedynie na papierze.
Procedury należy aktualizować po incydencie, zmianie prawa, reorganizacji, wejściu na nowy rynek lub zmianie modelu biznesowego. Brak naruszeń w raporcie nie zawsze oznacza sukces: może świadczyć także o braku wiedzy o kanale zgłoszeń albo o obawie przed użyciem go.
Mierniki skuteczności compliance
Mierniki powinny pomagać w zarządzaniu, a nie premiować milczenie. Użyteczne są między innymi terminowość realizacji działań naprawczych, odsetek pracowników przeszkolonych w grupach ryzyka, liczba i rodzaj zgłoszeń, czas ich wstępnej oceny, wyniki testów kontrolnych, powtarzalność uchybień oraz stopień wdrożenia rekomendacji audytowych. Dane trzeba interpretować w kontekście biznesowym i jakościowym.
Typowe błędy i konsekwencje braku compliance
Najczęstsze błędy to kopiowanie polityk bez analizy własnych procesów, brak właścicieli procedur, nadmiernie skomplikowany język, szkolenie „dla odhaczenia”, brak ochrony zgłaszających oraz niewyciąganie wniosków z incydentów. Problemem jest również tworzenie systemu wyłącznie przez prawników bez rozmowy z operacją, finansami i sprzedażą.
Brak adekwatnego compliance może prowadzić do naruszeń prawa i umów, strat finansowych, sporów pracowniczych, problemów z danymi, utraty partnerów biznesowych oraz osłabienia reputacji. W zależności od zdarzenia mogą pojawić się konsekwencje administracyjne, cywilne, karne lub korporacyjne. Dla zarządu istotne jest także to, czy potrafi wykazać, że ryzyka były rozpoznawane, nadzorowane i że podejmowano rozsądne działania zapobiegawcze.
Plan wdrożenia compliance krok po kroku
Rozsądne wdrożenie etapowe jest zwykle lepsze niż próba stworzenia od razu pełnej biblioteki dokumentów. Najpierw warto zabezpieczyć ryzyka najwyższe, a następnie rozwijać system wraz ze zmianą organizacji.
Wsparcie zewnętrzne i rola stałej obsługi prawnej
Stała obsługa prawna firm może wspierać zarząd na każdym etapie: od przeglądu ryzyka i zaprojektowania dokumentów, przez konsultacje przy trudnych decyzjach, po audyt funkcjonowania procedur. Zewnętrzny doradca bywa szczególnie pomocny, gdy potrzebne jest niezależne spojrzenie, specjalistyczna wiedza regulacyjna albo sprawne wsparcie w postępowaniu wyjaśniającym.
Nie zastępuje on jednak codziennego zaangażowania firmy. Najlepsze efekty daje współpraca, w której prawnicy przekładają wymagania na praktyczne rozwiązania, a menedżerowie weryfikują ich wykonalność w realnych procesach.
Compliance jako narzędzie odporności przedsiębiorstwa
Compliance nie jest wyłącznie zbiorem dokumentów ani zadaniem przypisanym jednej osobie. To narzędzie zarządcze i inwestycja w odporność przedsiębiorstwa: ułatwia podejmowanie decyzji, ogranicza koszty błędów oraz buduje zaufanie pracowników i partnerów. Zarząd, z aktywną rolą prezesa w inicjowaniu, koordynowaniu i egzekwowaniu działań, powinien dobrać skalę systemu do realnych rodzajów ryzyka w firmie.
Jeżeli przedsiębiorstwo chce uporządkować priorytety, warto rozpocząć od konsultacji lub audytu istniejących procesów. Dobrze zaplanowana stała obsługa prawna może następnie pomóc rozwijać rozwiązania proporcjonalnie do działalności i zmian w otoczeniu regulacyjnym.
(Photo by Markus Winkler)
Jesteśmy dynamicznie rozwijającą się kancelarią radców prawnych wyspecjalizowaną w zakresie pełnej i kompleksowej obsługi prawnej podmiotów gospodarczych polskich i zagranicznych.
Kliknij i dowiedz się więcej
