|
Ганна Горбенко, Голова ГО «Українська комплаєнс асоціація» |
Українські компанії звикли підтверджувати свою доброчесність документами. Кодекс етики, антикорупційна програма, порядок перевірки контрагентів, політика щодо конфлікту інтересів, канал повідомлень про порушення, регулярне навчання працівників і звіти для керівництва вже стали звичними складовими корпоративного середовища.
На папері така система може виглядати цілком переконливо, однак її справжня якість проявляється не під час презентації внутрішніх політик і не в момент планової перевірки, а тоді, коли компанія стикається з реальною проблемою: підозрілий контрагент уже отримав платіж, конфлікт інтересів вплинув на закупівлю, санкційний ризик виявили після укладення договору, а рішення, яке потрібно пояснити банку, інвестору, аудитору чи правоохоронному органу, залишилося в чиємусь електронному листуванні.
У цей момент стає очевидним, що між наявністю правил і здатністю системно управляти ризиками існує значна відстань.
Проблема сучасного комплаєнсу вже давно не обмежується відсутністю внутрішніх документів, адже у більшості великих організацій базові політики, процедури та регламенти розроблені й формально впроваджені. Значно складніше питання полягає в тому, чи перетворені ці документи на дієві контролі, чи інтегровані вони в реальні бізнес-процеси та чи може компанія підтвердити, що встановлені правила не лише існують, а й послідовно виконуються.
Політика сама по собі не зупиняє ризиковий платіж, не виявляє прихованого бенефіціарного власника, не фіксує конфлікт інтересів, не забезпечує повторної оцінки контрагента і не пояснює, чому виняток із внутрішньої процедури був визнаний прийнятним.
Вона лише визначає, як організація повинна діяти.
Між цим нормативним приписом і реальною поведінкою компанії має існувати система, яка включає контрольні точки, розподіл відповідальності, надійні джерела даних, механізми ескалації, фіксацію управлінських рішень, моніторинг виконання коригувальних заходів і можливість перевірити, чи справді виявлений недолік був усунений.
Без такої інфраструктури навіть якісно написана політика залишається лише декларацією намірів.
Перевіряйте українських і міжнародних контрагентів в одній системі. LIGA360 інтегрує дані з десятків юрисдикцій та 57 санкційних списків із понад 140 країн. Бачите токсичні зв'язки до четвертого рівня спорідненості через власників, партнерів чи афіліатів. Спробуйте зараз
Коли ручний контроль перестає бути керованим
Традиційна модель комплаєнсу формувалася в середовищі, де значну частину ризиків можна було контролювати вручну. Фахівець аналізував документи, перевіряв контрагента, погоджував операцію, готував рекомендацію та зберігав результат у папці, таблиці або електронному листуванні.
У невеликій організації така модель ще може бути життєздатною, оскільки ключові працівники знають одне одного, керівник пам'ятає більшість винятків, а кількість операцій дозволяє розглядати кожен випадок індивідуально. Проте зі зростанням бізнесу ручний контроль поступово починає створювати лише відчуття керованості.
Тисячі контрагентів, великі масиви операцій, складні ланцюги постачання, різні юрисдикції, регулярні регуляторні зміни, санкційні обмеження, вимоги банків, інвесторів і міжнародних партнерів уже неможливо стабільно контролювати за допомогою таблиць, електронної пошти та професійної пам'яті окремих людей.
Інформація розпорошується між підрозділами, перевірки дублюються або, навпаки, не проводяться, оскільки кожен вважає їх відповідальністю іншого, винятки погоджуються без єдиного підходу, строки усунення недоліків переносяться, а керівництво отримує звіт про кількість виконаних заходів, не розуміючи, чи зменшився сам ризик.
Особливо небезпечною є ситуація, коли сильні працівники роками компенсують слабкість системи власною залученістю. Ззовні така функція може виглядати ефективною, хоча насправді вона тримається на кількох людях, які знають, кому зателефонувати, де знайти потрібний файл і як вручну обійти недоліки процесу.
Достатньо збільшення навантаження, зміни ключового працівника або нетипової кризи, щоб з'ясувалося: компанія мала не систему контролю, а систему персональних домовленостей.
Технологічність сучасного комплаєнсу є не даниною моді, а відповіддю на складність середовища, у якому працює бізнес.
|
Артем Хаванов, Голова Антикорупційного комітету ГО «Українська комплаєнс асоціація» |
Автоматизація не замінює змісту
Контролі мають бути вбудовані безпосередньо в операційні процеси. Високоризикова операція повинна автоматично передаватися на додаткову перевірку, рішення про виняток - залишати зрозумілий цифровий слід, інформація про контрагента - оновлюватися протягом усього періоду співпраці, а прострочений коригувальний захід - ескалуватися відповідно до заздалегідь визначеного порядку, а не тоді, коли про нього випадково згадають.
Технологія в такій моделі не замінює професійного судження, а створює інфраструктуру для його послідовного та контрольованого застосування.
Автоматизація, однак, не вирішує проблеми сама по собі, оскільки погано спроєктований контроль після цифровізації не стає ефективнішим, а лише починає швидше й системніше відтворювати ту саму помилку.
Трансформація комплаєнсу повинна починатися не з вибору програмного продукту, а з відповідей на базові управлінські питання: який саме ризик контролюється, де він виникає, яка дія повинна його обмежувати, хто відповідає за прийняття рішення, які винятки допускаються та якими доказами можна підтвердити, що контроль спрацював належним чином.
Наприклад, процедура перевірки контрагентів може бути автоматизована технічно, але залишатися неефективною по суті, якщо система не встановлює різної глибини перевірки залежно від рівня ризику, не контролює зміни у структурі власності, не здійснює повторного санкційного скринінгу та не передбачає ескалації у випадку виявлення негативної інформації.
За таких умов компанія автоматизує не управління ризиком, а формальне проходження процедури.
Виявляйте навіть приховані ризики завдяки LIGA360. Єдина аналітична система для контролю ризиків, моніторингу санкцій, корпоративних зв'язків і репутації. Швидко. Комплексно. Достовірно.
Дані як основа комплаєнс-рішення
Чим більше рішень автоматизується, тим сильніше якість комплаєнсу залежить від даних.
Організація може мати правильну процедуру перевірки контрагентів, але якщо інформація про структуру власності є неповною, система не побачить реального бенефіціарного власника. Може існувати формально якісний санкційний контроль, але через неправильну транслітерацію він не виявить збіг. Може працювати модель ризикового скорингу, однак застаріла інформація перетворить її висновок на небезпечну формальність.
Якість рішення не може бути вищою за якість інформації, на якій воно ґрунтується.
Сучасний комплаєнс уже не може сприймати дані як виключну відповідальність ІТ або операційного підрозділу. Комплаєнс-функція не повинна адмініструвати всі корпоративні бази, однак вона зобов'язана розуміти, яка інформація є критичною для конкретного контролю, звідки вона надходить, хто відповідає за її актуальність і які наслідки матиме її неповнота або недостовірність.
Це стосується не лише баз даних, а й моделей, сценаріїв та алгоритмів, які дедалі частіше впливають на рішення щодо клієнтів, працівників, контрагентів та операцій.
Алгоритм нерідко сприймається як щось об'єктивніше за людину, хоча насправді він лише послідовно застосовує закладені в нього правила, припущення та критерії. Якщо вони були помилковими, неповними або втратили актуальність, модель продовжуватиме формально працювати, створюючи переконливі, але хибні результати.
Компанія повинна знати, хто затвердив логіку моделі, на яких даних вона побудована, як часто перевіряється її результативність, які показники свідчать про погіршення якості та за яких умов алгоритм має бути змінений, призупинений або виведений з експлуатації.
Без такого контролю технологія створює не управління ризиком, а його більш переконливу ілюзію.
Штучний інтелект і межі відповідальності
Штучний інтелект відкриває для комплаєнсу значні можливості, оскільки здатний аналізувати документи, знаходити нетипові зв'язки, опрацьовувати великі обсяги інформації, виявляти аномалії та допомагати фахівцям зосереджуватися на випадках із найвищим рівнем ризику.
Разом із цим він створює нові категорії загроз. Працівник може завантажити конфіденційні дані у відкритий сервіс, алгоритм - сформувати неправдивий, але зовні переконливий висновок, модель - відтворити упередження, закладені в історичній інформації, а рішення з істотними наслідками для людини або бізнесу - бути прийняте на підставі логіки, яку ніхто в організації не здатний пояснити.
Найбільша загроза полягає не в самій технології, а в її неконтрольованому та фрагментарному використанні.
У багатьох організаціях штучний інтелект уже впроваджується окремими підрозділами без єдиної системи управління. Один департамент використовує генеративний сервіс для роботи з документами, інший купує аналітичну платформу, третій розробляє власний алгоритм оцінки ризику. Формально це різні ініціативи, але кожна з них може працювати з чутливою інформацією, впливати на права людей і створювати юридичні, репутаційні та безпекові наслідки для всієї компанії.
Організація повинна розуміти, де саме використовується штучний інтелект, які дані він обробляє, на які рішення впливає, хто перевіряє його результат і хто несе відповідальність за остаточний висновок. Чим серйознішими є наслідки автоматизованого рішення, тим жорсткішими мають бути вимоги до його перевірки, пояснюваності та людського контролю.
Human oversight не може зводитися до формального натискання кнопки «підтвердити». Людина повинна розуміти, на підставі чого система сформувала результат, бачити ключові обмеження моделі та мати реальне право не погодитися з алгоритмом.
Штучний інтелект може підвищувати якість управлінських рішень, але не повинен перетворюватися на зручний спосіб зробити відповідальність безособовою.
Від політики до доказу
Для України ця дискусія має особливе значення, оскільки українські компанії дедалі глибше інтегруються в європейські та глобальні ринки, працюють із міжнародними банками, донорами, інвесторами, оборонними партнерами, експортно-кредитними агентствами та великими іноземними замовниками.
Кожен із них оцінює не лише продукт, фінансові показники або юридичну структуру, а й здатність організації пояснити, як вона приймає ризикові рішення.
Хто перевірив контрагента? Які джерела були використані? Чому ризик визнали прийнятним? Хто погодив виняток? Як контролювалося виконання встановлених умов? Яких заходів вжила компанія після виявлення порушення? Як вона переконалася, що проблема не повториться?
Посилання на текст політики вже не є достатньою відповіддю на ці запитання. Потрібні докази практичного виконання: журнали перевірок, зафіксовані рішення, результати моніторингу, протоколи ескалації, підтвердження виконання коригувальних заходів і дані, які дозволяють відтворити логіку прийнятого рішення.
Для українського бізнесу це не просто питання відповідності черговому міжнародному стандарту. Це питання доступу до капіталу, ринків, партнерств і довіри.
Особливо високими будуть вимоги до державних компаній, великих інфраструктурних проєктів, оборонної промисловості та бізнесів, залучених до відбудови. Масштаб майбутніх інвестицій, чутливість цих секторів і суспільний інтерес означають, що формальний комплаєнс не витримає ані очікувань міжнародних партнерів, ані рівня зовнішнього контролю.
Україна не може будувати нову економіку на старій моделі, у якій політика вважається кінцевим результатом, а реальне виконання залежить від особистої доброчесності та пам'яті кількох працівників.
Активність ще не означає ефективність
Комплаєнс-функції традиційно звітують про кількість проведених навчань, перевірених контрагентів, оновлених політик, розглянутих повідомлень і закритих рекомендацій. Такі показники необхідні для управління навантаженням і контролю виконання планів, однак вони майже нічого не говорять про реальну ефективність системи.
Компанія може провести сотні перевірок і не побачити найбільш ризикових операцій, навчити весь персонал і не змінити поведінку в критичних процесах, закрити десятки рекомендацій і не усунути першопричину порушення.
Ефективність вимірюється іншими запитаннями: чи стало менше повторних порушень, чи швидше організація виявляє проблему, чи зменшилася кількісь необґрунтованих винятків, чи став контроль точнішим, чи покращилася якість даних, чи може компанія підтвердити, що після коригувальних заходів процес справді змінився.
Недолік не можна вважати усуненим лише тому, що відповідальний підрозділ виконав формально визначену дію. Нова процедура не допоможе, якщо проблема виникла через комерційний тиск, додаткове навчання не виправить неправильно спроєктований процес, а заміна відповідального працівника не відновить контроль, який працює на некоректних даних.
Проблему можна закрити лише тоді, коли існують докази того, що її першопричину усунуто, контроль працює, а рівень ризику дійсно знижено. Усе інше є адміністративним перенесенням проблеми в майбутнє.
Сучасний комплаєнс має бути не функцією, яка виробляє документи та фіксує відхилення, а системою, що підвищує якість управлінських рішень.
Вимога повинна трансформуватися в контроль, контроль - спиратися на надійні дані, виняток - мати обґрунтування, строк дії та відповідального, а виявлена проблема - завершуватися не звітом про виконану дію, а доказом реальної зміни процесу.
Організація зазвичай дізнається, що її комплаєнс залишався паперовим, не під час презентації або формального аудиту, а в кризовій ситуації, коли потрібно швидко відновити логіку рішень, пояснити, хто і чому їх ухвалив, та довести, що контроль існував не лише в тексті внутрішнього документа.
Іноді саме цього доказу вже немає.
Коли комплаєнс стає управлінською моделлю
Зміни у сфері корпоративного управління стосуються не лише профільних підрозділів, оскільки вони переглядають роль керівників, рад директорів і власників бізнесу. Відповідальність за управління ризиками більше не може бути делегована одній функції, адже вона безпосередньо пов'язана з якістю управлінських рішень у всій організації.
Призначення комплаєнс-офіцера, затвердження необхідних політик і регулярне звітування вже не переконують банк, інвестора чи міжнародного партнера у зрілості корпоративної системи, якщо компанія не може показати, як саме ризики впливають на рішення, яким чином відбувається ескалація та хто несе відповідальність за прийняття винятку.
Ми регулярно бачимо ситуації, коли компанія демонструє бездоганно оформлений пакет внутрішніх документів, але не здатна відповісти на практичні запитання: хто погодив співпрацю після виявлення високого ризику, на підставі яких джерел ризик був визнаний прийнятним, які компенсуючі заходи встановили та хто контролював їх виконання.
Коли відповіді доводиться шукати в листуванні, месенджерах або відновлювати зі спогадів колишніх працівників, проблема полягає не у відсутності документів, а у відсутності керованої архітектури прийняття рішень.
Банківська практика добре демонструє цю зміну, адже під час оцінки клієнта дедалі більшу роль відіграють не лише фінансова звітність, структура власності чи формальна наявність процедур, а й загальна керованість бізнесу. Для банку важливо розуміти, чи здатна компанія виявляти ризики, реагувати на зміну обставин, пояснювати економічну логіку операцій і документувати свої рішення так, щоб їх можна було перевірити.
Дві компанії зі схожими фінансовими показниками можуть отримати різний ризиковий профіль, якщо одна працює на основі інтегрованої системи контролю, а інша покладається на ручні процедури, окремі регламенти та неформальні домовленості.
Схожу трансформацію переживають міжнародні процедури due diligence. Інвестори та стратегічні партнери дедалі частіше просять не просто надати пакет політик, а показати завершені кейси перевірки контрагентів, реакцію на зміну санкційного статусу партнера, порядок ескалації ризиків, результати внутрішніх розслідувань і підтвердження того, що їхні висновки призвели до зміни процесів.
Для досвідченого аудитора або інвестора практичне застосування політики є значно точнішим індикатором зрілості, ніж якість її формулювань.
У такій моделі змінюється й роль комплаєнс-офіцера. Його завдання вже не обмежується підготовкою документів і перевіркою окремих операцій, оскільки комплаєнс стає архітектором системи управління ризиками, інтегрованої в операційну діяльність, забезпеченої якісними даними та здатної формувати доказову базу для керівництва, аудиторів, банків, інвесторів і регуляторів.
Ця трансформація поступово закріплюється і в міжнародному регулюванні. Незалежно від того, чи йдеться про протидію корупції, фінансовий моніторинг, сталий розвиток, цифрову стійкість або використання штучного інтелекту, простежується спільна логіка: організація повинна не лише встановити вимоги, а й довести, що побудувала систему, яка постійно виявляє ризики, забезпечує належний контроль, документує рішення та дозволяє оцінити їхню результативність.
За таких умов комплаєнс перестає бути витратною функцією, необхідною для проходження перевірок, і стає елементом бізнес-моделі, який безпосередньо впливає на вартість компанії, швидкість залучення фінансування, результати переговорів, можливість участі у грантових програмах, доступ до нових ринків і загальний рівень довіри.
Що показало перше Національне дослідження розвитку комплаєнс-функції в Україні
Дискусія про майбутнє комплаєнсу потребує не лише професійних оцінок, а й даних. Саме таке завдання ми ставили перед першим Національним дослідженням розвитку комплаєнс-функції в Україні, проведеним ГО «Українська комплаєнс асоціація» спільно з LIGA ZAKON.
Нас цікавило не лише те, які політики вже впроваджені українськими компаніями або які нормативні вимоги вони вважають пріоритетними, а й те, як професійна спільнота бачить подальший розвиток комплаєнсу, які проблеми вважає найбільш критичними та яких інструментів потребує.
До опитування долучилися комплаєнс-офіцери, представники банківського сектору, AML-фахівці, ризик-менеджери, внутрішні аудитори, корпоративні юристи, керівники компаній, представники державного сектору, викладачі та консультанти. Такий склад учасників дозволив розглянути комплаєнс не як ізольовану професійну функцію, а як складову сучасної системи корпоративного управління.
Результати підтвердили, що український ринок уже значною мірою пройшов етап базового нормативного оформлення. Більшість організацій мають ключові політики, процедури перевірки контрагентів, механізми санкційного контролю, елементи антикорупційної системи та внутрішнього контролю.
Значно важливішим є інший висновок: професійна спільнота дедалі менше концентрується на створенні нових документів і дедалі більше - на ефективності вже існуючих механізмів.
Якщо раніше головним питанням було, які політики потрібно розробити, то тепер бізнес прагне зрозуміти, як зробити так, щоб установлені правила працювали незалежно від конкретної людини, кадрових змін, масштабу компанії та коливань операційного навантаження.
Цим пояснюються й найбільш затребувані напрями розвитку, серед яких респонденти називали автоматизацію комплаєнс-процесів, цифровий моніторинг ризиків, сучасні інструменти санкційного скринінгу, безперервну перевірку контрагентів, інтегровані системи управління ризиками, практичне впровадження міжнародних стандартів, навчання керівників і використання штучного інтелекту для аналізу великих масивів інформації.
Усі ці запити об'єднує прагнення зробити правила керованими, вимірюваними та інтегрованими в щоденні бізнес-процеси.
Не менш важливими є відповіді щодо основних ризиків, які турбують організації. Санкційні обмеження, вимоги фінансового моніторингу, регуляторні перевірки, репутаційні втрати, шахрайство, корупційні ризики, порушення вимог щодо захисту персональних даних, ризики третіх сторін і недоліки внутрішнього контролю належать до різних сфер, але мають спільну рису: жоден із них неможливо контролювати лише через наявність внутрішньої політики.
Для кожного потрібні актуальні дані, безперервний моніторинг, зрозумілі механізми ескалації, визначена відповідальність і можливість підтвердити, що контроль спрацював у потрібний момент.
Стратегічне значення має й те, що учасники дослідження пов'язують ефективність комплаєнсу не лише з роботою профільного підрозділу, а з позицією керівництва, якістю корпоративного управління, зрілістю першої лінії захисту та культурою доброчесності.
Професійна спільнота вже мислить у категоріях операційної зрілості, а не формальної відповідності. Комплаєнс перестає бути реакцією на вимогу регулятора і набуває значення управлінського інструменту, який допомагає власникам і керівникам приймати рішення на основі перевірених даних, своєчасно виявляти ризики та формувати довіру.
Чому бізнес досі інвестує в документи замість систем
Попри трансформацію міжнародної практики, значна частина українських компаній продовжує діяти за моделлю, яка поступово втрачає ефективність. У відповідь на нову регуляторну вимогу бізнес часто шукає шаблон політики, замовляє внутрішній документ або проводить чергове навчання, сподіваючись, що цього буде достатньо для регулятора, банку чи міжнародного партнера.
Такий підхід зрозумілий, адже документ можна відносно швидко розробити, погодити, затвердити та продемонструвати під час перевірки. Побудова системи потребує складніших рішень: перегляду процесів, залучення керівництва, інвестицій у цифрову інфраструктуру, визначення власників ризиків і готовності змінювати усталений порядок прийняття рішень.
Через це на ринку досі існують організації, у яких якість внутрішньої документації суттєво випереджає якість управління. Політики затверджені, але не інтегровані в бізнес-процеси, контролі визначені, але не мають власників, навчання проводяться, але не впливають на поведінку, а комплаєнс-функція залишається ізольованою від операційної діяльності.
Документи є необхідною основою будь-якої системи, проте їхня реальна цінність визначається не юридичною якістю формулювань, а здатністю змінювати поведінку організації, забезпечувати послідовний підхід до рішень, створювати передбачувані механізми реагування та формувати доказову базу.
Межа між формальною відповідністю та управлінською зрілістю проходить саме тут. Компанія, яка обмежується створенням політик, здатна підтвердити лише факт їх існування, тоді як організація, що інвестує в систему, може показати, як вона виявляє ризики, хто їх оцінює, хто приймає рішення, як контролюється виконання заходів і яких результатів досягнуто.
Найближчими роками ця різниця дедалі більше впливатиме на конкурентоспроможність українських компаній. Банки, інвестори, міжнародні фінансові організації, донори та стратегічні партнери оцінюватимуть не формальну наявність комплаєнс-функції, а якість корпоративного управління, здатність бізнесу адаптуватися до нових ризиків і прозорість його рішень.
Наступний етап розвитку українського комплаєнсу полягає не у збільшенні кількості політик, а в переході до інтегрованої моделі, яка поєднує ризик-менеджмент, внутрішній контроль, цифрові технології, корпоративне управління та культуру доброчесності.
Найближчими роками український бізнес конкуруватиме не лише продуктами, технологіями, швидкістю або вартістю капіталу. Предметом конкуренції стане довіра, яку неможливо придбати готовим шаблоном, отримати після разового навчання або підтвердити формальним виконанням вимог стандарту.
Вона виникає там, де система управління дозволяє пояснити кожне суттєве рішення, своєчасно виявити ризик, підтвердити ефективність контролів і продемонструвати, що доброчесність є частиною щоденної корпоративної практики, а не лише положенням внутрішньої політики.
Компанії, які першими перейдуть від декларування правил до доказового управління, не просто краще відповідатимуть очікуванням регуляторів, банків та інвесторів. Вони формуватимуть новий стандарт корпоративної зрілості українського бізнесу.
Ганна Горбенко, Голова ГО «Українська комплаєнс асоціація» Директор Департаменту комплаєнсу та фінансового моніторингу ОТП БАНК
Артем Хаванов, Голова Антикорупційного комітету ГО «Українська комплаєнс асоціація», Compliance Officer NDA
