Комплаенс. Культура, люди, процессы, технологии. По пути к совершенной системе

Отыщи всему начало,

и ты многое поймешь.

Козьма Прутков

Еще лет 5—7 назад на вопрос члена семьи, друга или, может быть, случайного человека, оказавшегося со мной в одной туристической группе, о том, чем я занимаюсь, внутренне мне сложно было ответить: «комплаенсом». Такой ответ обязывал готовиться к дополнительным вопросам, уточнениям. Почему-то хотелось ответить: «юристом» – при всём глубинном понимании разницы казалось, что такой ответ даст собеседнику более полное представление о роде моих занятий. Была и категория людей, для которых при любых уточнениях моя работа не выходила за рамки «работы в банке». К примеру, продавщица в магазине, расположенном в моём доме, постоянно спрашивала меня об актуальных ставках по кредиту. Объяснить ей, что по работе я не сталкиваюсь с этой информацией, мне так и не удалось.

Есть ощущение, что именно сейчас профессия, которой мы занимаемся, шагнула в массы и обыватели слышат слово «комплаенс» впервые уже не от нас, а, например, по телевизору, где ведущий новостей повседневно сообщает, что проблемы в такой-то компании возникли из-за плохого комплаенса, недостатков системы внутреннего контроля и тому подобное. При этом на вопрос «Что такое комплаенс?» на адаптационных семинарах в организациях разного масштаба и из различных отраслей новички могут дать настолько точный и развернутый ответ, что людям из профессии впору удивиться.

Сейчас кажется, что вот он – комплаенс, каким мы его знаем, каким он был всегда. Но это заблуждение. Сколько копий было сломано в процессе построения комплаенс-сообщества, создания единого языка, терминологии, донесения до заинтересованных сторон важности и полезности комплаенса, – да даже элементарно того, что они являются теми самыми заинтересованными сторонами такого явления, как комплаенс.

Кто-нибудь задумывался, сколько нашей профессии лет? Теоретики, которые изучают комплаенс, говорят, что нечто похожее на нашу профессию зародилось в 1906 году, когда в США было создано Управление по санитарному надзору за качеством пищевых продуктов. Данный государственный орган начал разработку правил, а также их контроль в отношении участников рынка, что потребовало от последних перестройки бизнес-процессов и определения отдельных лиц, ответственных за обеспечение соблюдения требований регулятора.

Новые идеи и технологии двигали жизнь вперед, хозяйственные отношения стремительно развивались, усложнялись, регулировались, но до того момента, когда «комплаенс» как профессиональный термин смог выйти за пределы страниц Оксфордского словаря, должно было пройти еще порядка 60 лет.

Сейчас нас это может удивить, но в 70-е годы термин впервые ворвался не в бизнес-среду, а в профессиональную медицину. В тот период активно изучались медико-социальные и этические проблемы педиатрии, исследовалось влияние различных факторов на приверженность пациента и его окружения лечению. При обсуждении врачами лекарственной терапии стал употребляться термин «комплаентность», означающий точное и осознанное выполнение рекомендаций врача в ходе лечения.

В эти же годы произошли знаковые для мира комплаенса события. Среди них: Уотергейтский скандал7, последовавшее за ним расследование Комиссии по ценным бумагам и биржам США (SEC) и принятие Закона о коррупции за рубежом 1977 года (FCPA), имеющего экстерриториальное действие.

Дальше – только вверх в плане возникающих перед организациями всё новых и новых регуляторных требований. Пробегаем крах Enron, превращение «пятерки аудиторов» в «четверку», Закон Сарбейнса—Оксли, стремительное развитие скорости международных расчетов и финансовой разведки, внедрение стандартов в части обмена налоговой информацией, «регуляторную гильотину»8, торнадо из экономических ограничений и доходим до наших дней.

Сейчас в своей работе мы всё чаще говорим не просто «комплаенс», а «комплаенс-культура», понимая, что выполнять или не выполнять требования работник может по разным причинам; что есть что-то большее, чем метод «кнута и пряника»; что правильное восприятие комплаенса кратно повышает шанс избежать реализации риска не только в ситуациях, которые были формализованы документами организации, но и в нестандартных, принципиально новых ситуациях, с которыми может столкнуться работник. Мы всё больше обращаемся к элементу осознанности в процессе выполнения требований, о важности которого медики говорят с 70-х годов.

Мы признали, что понимание работниками смысла совершаемого по требованию комплаенс-подразделения действия позволяет нам выйти на новый уровень в части качества управления риском. Мы видим целевой уровень комплаентности поведения в отношении существующих правил в организации на уровне логики действий людей при переходе дороги: подошел к проезжей части, дождался зеленого сигнала светофора, посмотрел налево, направо и перешел, без лишнего уточнения, зачем и кому это нужно. За нарушение правил дорожного движения, участником которого является пешеход, возможен штраф, но не о штрафе он думает – его поведение корректно уже на подсознательном уровне.

Важно понимать, что культура организации – это ее работники и их поведение, а не формализованные где-либо нормы и правила. Нормы являются важным элементом, но ничего не стоят без грамотного ответа на вопрос «Как?» в части их имплементации9 в повседневную жизнь компании.

Развитие комплаенс-культуры – это одно из важнейших направлений для лиц, ответственных за комплаенс. В то же время развитая комплаенс-культура является сильной стороной и отличительной особенностью современной организации, помогая ей стремительно развиваться и адаптироваться к изменениям при достаточном уровне управления возникающими перед ней рисками.

Но если культура – это работники организации, взрослые люди, которые имеют свои особенности воспитания, поведения и мнение по различным вопросам, то можно ли эту культуру строить / изменять / развивать?

Ответ: «Да».

Более важны вопросы «Как?» и «Сколько это времени занимает?».

Ответ на последний вопрос дам сразу: «3—5 лет» – о таком сроке говорят различные исследования и специалисты. Из своей практики могу также подтвердить данное утверждение: при грамотном подходе необходимое интуитивное поведение коллектива организации по конкретным областям вопросов можно обеспечить за 3—5 лет.

Кстати, это очень удобный интервал, так как часто сопостави́м с периодом действия стратегии организации до ее следующего существенного обновления. То есть цель по развитию культуры может быть включена в стратегию, а ее достижение может быть оценено вместе с иными целями при подведении итогов реализации данной стратегии.

На вопрос «Как?» (в том числе – «Как делать не следует и что пагубно влияет на развитие комплаенс-культуры?») мы ответим в соответствующих тематических разделах.

Границы и оценка состояния комплаенс-системы

Если мы начинаем что-то развивать (в нашем случае – комплаенс-культуру), мы должны изначально заложить возможность относительно объективно оценить эффект от наших трудов, а также наметить границы соответствующей системы.

Мы должны очертить элементы, области, риски, на которые будут направлены наши усилия.

Я никак не могу забыть ситуацию, когда только устроился на новую работу и пришел обедать в корпоративную столовую. В то время организация только недавно заявила сотрудникам о том, что намерена построить сильную комплаенс-культуру, но что это такое никто из работников толком еще не знал.

Так вот, взяв поднос с едой и удобно устроившись за свободным столом, я с удивлением заметил, как из неоткуда напротив меня материализовался усатый мужчина и принялся пристально смотреть на меня. «Безопасник» – подумал я. Подумал и не ошибся.

«Ты же из комплаенса? Так вот, у меня есть видеозапись, как двое работников занимаются этим самым прямо на сервере на техническом этаже. Прислать?» – прозвучало негромко.

Сперва я опешил, но быстро собрался с мыслями.

Ответ на мой вопрос «Зачем?» был следующим: «Это какое-то нарушение. Ты же из комплаенса – вот и разберись!».

Это хорошая иллюстрация для случая, когда работник не понимает суть ситуации, присутствующего в ней риска, не знает, какое подразделение за какой риск отвечает. Если вывести эту проблему на уровень организации, мы потенциально получим ситуацию, когда отдельные подразделения будут дублировать работу друг друга, а ряд серьезных рисков при этом «западет» между областями внимания контрольных функций.

Поэтому определение контрольной среды, границ контроля разных подразделений, непрерывный процесс мониторинга и идентификации риска – это не просто хороший тон или норма ISO 3730110, но и жизненная необходимость в ситуации, когда вы решили заняться развитием комплаенс-культуры на уровне с иными стратегическими целями организации.

Правильными инструментами для определения границ ответственности, а также для задания направления развития и последующей оценки состояния комплаенса будут:

– положение о структурном подразделении;

– создание комплаенс-стратегии;

– создание общей карты рисков организации;

– внедрение практики регулярной самооценки зрелости комплаенс-функции.

Создать положение о структурном подразделении позволит проведение первичного анализа контрольной среды организации. В рамках него будут выявлены комплаенс-риски, которые закрепит за собой соответствующая функция и ответственные за нее лица.

Помимо регуляторных рисков, нельзя упустить присутствие комплаенса в областях, отвечающих за поведение работников организации в общем смысле. Часто соответствующие области обозначаются словосочетанием Core Compliance, подразумевая этический комплаенс, управление коррупционным риском и конфликтом интересов за пределами выполнения регуляторных норм.

С комплаенс-стратегией сложнее. Помимо определения зон ответственности, необходимы оценка текущего состояния функции («as is») и целевого состояния функции («to be») в конце реализации стратегии, а также определение ключевых целей на период стратегии и принципов, в соответствии с которыми будет происходить реализация целей. Данный этап является крайне важным для эффективного развития комплаенс-культуры и требует тщательного анализа и достаточно глубокого планирования.

Необходимо создать карту рисков организации или встроиться в существующую. Данное упражнение позволит избежать дублирования в управлении рисками и «западения» рисков. Такая карта должна содержать исчерпывающий перечень применимых к организации рисков, их однозначное описание, ответственные за управление ими подразделения.

При реализации организацией внутреннего контроля по модели «трех линий защиты»11 в такую карту следует включить указание на отношение подразделения к соответствующей линии защиты.

Внедрение регулярной самооценки комплаенс-функции позволит выявлять и совершенствовать недостатки комплаенс-системы. Самооценка может представлять из себя комплекс вопросов по всем элементам системы, а также при необходимости может включать числовые значения с учетом особенностей операционной работы подразделения.

Я рекомендую строить вопросы самооценки на основе элементов модели COSO, придумать понятную шкалу ответов на вопросы, их вес и модель подсчета. В таком случае можно будет на регулярной основе показывать органам управления и иным заинтересованным сторонам динамику, достижения и проблемы комплаенс-функции в наглядном виде, с помощью графиков или диаграмм.

Я не ставлю перед собой цели рассказать про модель COSO и не буду перечислять ее элементы, но приведу примеры вопросов, которые могут быть использованы при создании методологии самооценки:

– Задокументированы ли все значимые процессы?

– Обеспечен ли легкий доступ работников к политикам и процедурам?

– Политики и процедуры изложены для работников понятным языком? Исключена возможность неправильной интерпретации?

– Функция имеет достаточно ресурсов для реализации поставленных задач (бюджет, люди, инструменты, технологии)?

– Статус функции позволяет ей участвовать в принятии значимых решений?

– Руководство компании демонстрирует тон сверху в отношении комплаенс-вопросов?

– Мониторинг изменения применимых к организации требований / идентификации рисков организован должным образом?