В чем особенность этой категории
Комплаенс-риск это риск убытков, санкций или ограничения деятельности из-за несоблюдения законов, нормативных актов, стандартов и внутренних правил организации. Приемлемый уровень этого риска задает регулятор, поэтому обычная логика «принять риск» к нему применима с оговорками.
Обычно к ним относят антимонопольные требования, противодействие коррупции, санкционные ограничения, защиту персональных данных, налоговые, валютные и отраслевые требования.
Нельзя заявить умеренный аппетит к нарушению закона. По значительной части требований аппетит нулевой по определению, и главный вопрос звучит так: насколько мы уверены, что соблюдаем.
Отсюда практическое следствие. Оценивать в первую очередь приходится надежность механизма соблюдения, вероятность события здесь вторична. Матрица применима, но содержательная работа лежит в другом месте.
Как оценивать комплаенс-риск
Три измерения вместо двух.
| Измерение | Что оценивается | Шкала |
|---|---|---|
| Тяжесть последствий | Штраф, оборотный или фиксированный, приостановка деятельности, уголовная ответственность, потеря контракта | Обычная шкала влияния |
| Подверженность | Насколько деятельность компании соприкасается с требованием, объем операций, число сотрудников в зоне, география | Высокая, средняя, низкая |
| Надежность механизма | Есть ли процедура, выполняется ли, проверяется ли, обучены ли люди | От отсутствует до проверенно работает |
Приоритет получают требования с высокой тяжестью и высокой подверженностью при слабом механизме. Это и есть повестка комплаенса на год.
Порядок работы с комплаенс-рисками
Составить перечень требований
Инвентаризация обязательных требований, применимых к компании. Обычно от тридцати до восьмидесяти позиций
Определить владельца по каждому
Не юрист, а руководитель, в чьем процессе требование исполняется
Оценить по трем измерениям
Тяжесть, подверженность, надежность механизма
Закрыть разрывы
Процедура, обучение, автоматическая проверка, документирование
Поставить мониторинг
Индикаторы, самооценка подразделений, выборочные проверки, разбор обращений на горячую линию
Связь с корпоративным реестром
Держать комплаенс-риски полностью отдельно неправильно, потому что руководство должно видеть единую картину. Полностью растворять их в общем реестре тоже неправильно, потому что теряется специфика и требований слишком много.
Рабочее решение двухуровневое. Полный перечень требований и оценок ведет комплаенс в своем реестре. В корпоративный реестр поднимаются агрегированные строки по направлениям, антикоррупционный риск, санкционный риск, антимонопольный риск, каждая со своим владельцем на уровне правления. Так совет директоров видит несколько понятных строк вместо восьмидесяти, а работа при этом ведется на нужной глубине.
Комплаенс-риск почти всегда тянет за собой репутационный, и оценивать их стоит вместе. Как это делается по аудиториям: оценка репутационных рисков.
Частые вопросы
Принять можно риск того, что механизм несовершенен, зафиксировав это решением и указав компенсирующие меры. Принять решение не соблюдать требование нельзя.
Руководитель процесса, в котором требование исполняется. Комплаенс-функция отвечает за методологию и мониторинг, но не за соблюдение вместо бизнеса.
Через динамику надежности механизмов, охват обучением, результаты выборочных проверок и число выявленных до наступления последствий отклонений.
По трем измерениям: тяжесть санкции из нормативного акта (штраф, приостановка, отзыв лицензии), подверженность компании требованию и надежность механизма соблюдения.
Проверьте зрелость своей системы управления рисками
Тринадцать вопросов по пяти уровням ГОСТ Р 70350, результат сразу: уровень, три главных пробела и следующий шаг.
