Юлия Глубокая,

магистр права, LL.M., эксперт по комплаенсу

Опубликовано в журнале «Конкуренция и право» № 5, 2021 г.

В апреле 2021 г. Международная организация по стандартизации опубликовала новый стандарт ISO 37301:2021 «Системы менеджмента соответствия. Требования и руководство по применению». Его положения, в отличие от предыдущего ISO 19600:2014 (Стандарт ISO 19600:2014 «Системы управления соответствием. Руководящие указания»), содержат уже не рекомендации, а требования к комплаенс-программам. Какие процедуры и инструменты учесть компаниям, чтобы оптимально внедрить систему предупреждения антимонопольных рисков и обеспечить ее эффективную работу?

В новом стандарте первостепенное внимание уделяется вопросам культуры добросовестности и деловой этики. В документе прямо сказано, что одна из целей стандарта – помочь организациям в развитии и распространении культуры комплаенса. При этом предлагается учитывать, что эффективное и рациональное управление рисками дает организациям следующие преимущества:

• улучшение деловых возможностей и повышение устойчивости;
• защита и укрепление репутации и авторитета организации;
• соответствие ожиданиям заинтересованных сторон;
• демонстрация приверженности организации эффективному и действенному управлению комплаенс-рисками;
• повышение уверенности третьих лиц в способности организации добиваться устойчивого успеха;
• минимизация риска нарушения норм, влекущего соответствующие издержки и репутационный ущерб.

Среди необходимых элементов системы менеджмента соответствия (системы комплаенса), основанной, как и в прежнем стандарте ISO 19600, на принципе постоянного улучшения («планируй – делай – проверяй – действуй»), появилось четкое указание на цели и принципы. Цели – добропорядочность, культура, соответствие нормам, репутация, ценности и деловая этика, а среди принципов – добросовестное управление, разумность, прозрачность, ответственность за результат и устойчивость.

Что касается структуры документа, конструктивные элементыISO 37301 почти не изменились, только теперь содержат не рекомендации, а требования.

Изменения в российских стандартах

Профильный технический комитет направил в Росстандарт предложение о разработке ГОСТ Р ИСО, идентичного ISO 37301:2021. Принятие национального стандарта по системам управления соответствием станет большим шагом вперед, поскольку позволит организациям, внедряющим комплаенс-менеджмент, поднять культуру деловой этики на следующий уровень. В ГОСТе будет дана исчерпывающая информация для организаций, которые хотят выстроить эффективный механизм предупреждения антимонопольных рисков.

Требования по построению и внедрению комплаенса

Выстраивать систему комплаенс-менеджмента нужно начинать с понимания самой организации и среды, в которой она функционирует. Необходимо не только рассмотреть такие внешние и внутренние аспекты, как нормативно-правовая, социальная и культурная среда деятельности, экономическая ситуация, внутренние политики, процедуры, процессы и ресурсы, но и оценить существующую в компании культуру предупреждения рисков.

Следующий шаг – определить перечень заинтересованных сторон, зафиксировать их требования и понять, какие именно могут быть удовлетворены с помощью комплаенс-системы.

Далее компания очерчивает область применения механизма предупреждения рисков, а также систематически идентифицирует собственные обязанности по обеспечению соответствия нормам, исходя из своей деятельности и реализуемых продуктов и услуг.

Среди ключевых элементов – идентификация, анализ и оценка рисков несоответствия нормам.

В части лидерства и приверженности высшего руководства к комплаенсу в новом стандарте появились требования развивать и продвигать эту культуру на всех уровнях организации, обеспечить эффективное управление рисками путем прямого доступа комплаенс-функции к руководящим органам, наделения ее независимостью и надлежащими полномочиями.

Чтобы система отвечала требованиям стандарта, на руководящий орган и высшее руководство компании возлагается обязанность разработать политику по обеспечению соответствия нормам (комплаенс-политику), эффективно распределить организационные роли, ответственность и полномочия. Схожие рекомендации были даны и прежним стандартом ISO 19600.

Аналогичным образом в ISO 37301 определено, что организация должна:

• планировать действия в отношении рисков несоответствия, устанавливать цели в области обеспечения соответствия нормам и определять пути их достижения;
• поддерживать эффективность комплаенс-менеджмента, включая: обеспечение соответствующими ресурсами; подбор и повышение квалификации компетентного персонала для выполнения функции предупреждения рисков; организацию обучения сотрудников на основе риск-ориентированного подхода; обеспечение осведомленности и информирования сотрудников о комплаенс-политике организации.

В новом стандарте, как и в старом, определен порядок документирования, управления и контроля информации о системе комплаенс-менеджмента.

Раздел ISO 37301, посвященный управлению операционной деятельностью, дополнен подразделами, которые определяют обязанность компании разработать и внедрить процесс сообщений о нарушениях политики предупреждения рисков и содержат требования к этому процессу. Кроме того, определены требования и к внутренним проверкам по нарушениям, которые подозреваются или фактически были допущены.

По аналогии с ISO 19600 в новом стандарте установлены требования:

• к оценке результатов и эффективности функционирования системы менеджмента соответствия (включая мониторинг, тестирование, анализ, оценку, аудит, контроль со стороны руководства);
• улучшению этой системы (в том числе анализ необеспечения соответствия нормам и корректирующие действия, постоянное повышение ее качества).

Для того чтобы можно было оценить эффективность комплаенс-системы, а также определить, насколько достигнуты ее цели, компания должна разработать набор измеримых показателей. Они количественно выразят результаты деятельности по обеспечению соответствия нормам.

Поскольку новый стандарт содержит обязательные требования, в его Приложении А есть руководство по их применению, где проиллюстрированы подходы и варианты действий по внедрению комплаенс-системы. При этом указано, что компания не обязана воплощать все предложения, содержащиеся в руководстве, чтобы подтвердить соответствие. Принимаемые ею меры должны быть разумными с учетом характера и степени рисков, которые у нее возникают.

Этическая культура в компании – главный акцент

Ключевую роль во внедрении системы комплаенса ISO 37301 отводит построению и укреплению этической культуры. Стандарт определяет факторы, которые способствуют ее поддержанию и развитию:

• четкий набор опубликованных ценностей организации;
• активное и наглядное внедрение и соблюдение руководством этих ценностей;
• последовательность в реагировании на нарушения комплаенс-политики независимо от должности нарушителя;
• наставничество, коучинг и собственный пример руководства;
• тщательная предварительная комплаенс-оценка потенциальных кандидатов на критические позиции в компании;
• вводная или ориентационная программа для новичков, в которой особое внимание уделяется механизму предупреждения рисков и ценностям организации;
• регулярные актуальные тренинги для всего персонала и заинтересованных сторон;
• регулярная коммуникация по комплаенс-тематике;
• системы, по которым оцениваются результаты работы, учитывают действия по соблюдению требований и предполагают поощрение за достижение ключевых показателей и результатов;
• оперативные и соразмерные дисциплинарные взыскания в случае нарушений комплаенс-политики;
• четкая связь между стратегией компании и задачами ключевых сотрудников – она показывает, насколько важно соблюдение требований для достижения организационных результатов;
• внешняя и внутренняя открытая и надлежащая коммуникация о соблюдении комплаенс-требований.

О высокой этической культуре, согласно ISO 37301, свидетельствует, в частности, следующее:

• сотрудники понимают, насколько важны обязательства по соблюдению комплаенс-требований, связанных с их собственной деятельностью и деятельностью их бизнес-подразделения;
• корректирующие меры по устранению несоответствий являются ответственностью каждого и принимаются на всех необходимых уровнях организации;
• персонал имеет возможность доводить информацию о соблюдении комплаенс-требований до руководства, включая главу компании и руководящий орган, и такие сообщения поощряются.

Чтобы измерить показатели уровня культуры, в том числе обеспечения соответствия нормам антимонопольного законодательства, ISO 37301 рекомендует проводить опрос сотрудников. Это поможет определить, насколько они воспринимают приверженность руководства компании к соблюдению комплаенс-требований. Кроме того, по стандарту можно разрабатывать планы достижения показателей культуры предупреждения рисков.