Определить границы системы
Первый шаг — описать, какие организации, продукты, процессы и отношения должны быть охвачены. Формула «проверить компанию на соответствие законодательству» непригодна: она не показывает ни объём работы, ни исключения, ни требуемую экспертизу.
Для начала фиксируют:
- юридические лица, индивидуальных предпринимателей, филиалы и представительства;
- структуру управления и распределение полномочий;
- товары, работы, услуги и лицензируемые виды деятельности;
- клиентов, потребителей, поставщиков, агентов и иных посредников;
- работников и внешних исполнителей;
- закупки, продажи, платежи и возвраты;
- сайты, приложения, рекламные кабинеты и каналы коммуникации;
- категории персональных данных и информационные системы;
- регионы деятельности, иностранные юрисдикции, импорт и экспорт;
- участие в государственных и корпоративных закупках.
Одинаковые документы не подходят производителю, интернет-магазину, IT-сервису и компании, работающей с государственными заказчиками. Даже внутри одной группы у юридических лиц могут быть разные статусы и обязанности.
| Блок | Что определить | Зачем это нужно |
|---|---|---|
| Организации | Какие юридические лица и подразделения участвуют в процессах | Не переносить обязанность одного лица на всю группу |
| Операции | Какие действия регулярно совершаются и где принимаются решения | Найти момент возникновения обязанности |
| Участники | Кто действует от имени компании и кто влияет на решение | Распределить исполнение и проверку |
| Данные и системы | Какие сведения обрабатываются и где хранятся | Учесть правовые и технические ограничения |
| Территория | Где находятся стороны и распространяется информация | Проверить применимое регулирование |
| Исключения | Что сознательно не входит в текущую оценку | Не создавать ложный вывод о полной проверке |
Результатом шага является описание фактической модели бизнеса и границ текущей работы. Если для отдельного вопроса требуется налоговая, техническая, финансовая или отраслевая экспертиза, это указывается прямо.
Составить реестр применимых требований
В реестр включают не «антимонопольное право» или «персональные данные» вообще, а конкретное требование, обязанное лицо и условие его применения. Иначе невозможно определить исполнителя и проверить результат.
Для каждой строки фиксируют нормативный источник, дату проверки, юридический статус требования, процесс, срок, действие, ответственное лицо, контроль и последствие отклонения. Обязательную норму, официальную рекомендацию, договорное условие и внутреннее решение необходимо различать.
| Фактическая задача | Возможная правовая конструкция | Что проверить |
|---|---|---|
| Компания размещает материал о товаре в интернете | Информация о товаре либо реклама | Содержание, цель, контекст, выделение объекта, канал и исключения |
| Привлекается посредник для взаимодействия с клиентом | Договор оказания услуг, поручение, агентирование или иная подходящая модель | Реальные действия, полномочия, вознаграждение, получатель платежа и конфликт интересов |
| Банк запросил документы по операции | Исполнение запроса банка клиентом | Предмет, срок, экономический смысл, комплект и способ передачи |
| Работник сообщает о возможном нарушении | Внутреннее сообщение, требующее первичной оценки | Компетенция получателя, сохранение материалов, конфликт проверяющего и права упомянутых лиц |
| Компания участвует в закупке | Закупочная процедура и условия конкретной документации | Статус закупки, требования к заявке, независимость действий и обмен информацией |
Одна и та же операция может затрагивать несколько правовых направлений. Например, рассылка может одновременно требовать оценки рекламы, согласия адресата, обработки персональных данных и условий сервиса. Эти требования отражаются отдельными строками, даже если исполняются в одном процессе.
Реестр должен содержать дату правовой проверки. Динамические нормы, формы, перечни, сроки и правила государственных информационных систем помечаются для повторной проверки перед применением. Стабильную норму не нужно искать заново при каждой операции, но необходимо следить за изменениями и проверять применимость к конкретным фактам.
Связать требования с процессами
Каждое требование переводят в последовательность действий внутри существующего процесса. Документ создают только тогда, когда он регулирует событие, полномочия, срок, решение и доказательство исполнения.
Рабочая строка может выглядеть так:
| Требование | Процесс | Контроль | Доказательство |
|---|---|---|---|
| Проверить рекламное утверждение до публикации | Подготовка и согласование рекламного материала | Сопоставление каждого фактического заявления с актуальным источником | Версия креатива, источник, лист согласования |
| Проверить посредника до оплаты | Заключение и исполнение договора | Анализ деловой цели, услуг, полномочий и получателя платежа | Карточка проверки, договор, отчёт, платёжные документы |
| Ограничить доступ к персональным данным | Подключение работника или внешнего исполнителя к системе | Выдача доступа по роли и его отзыв после прекращения необходимости | Заявка, запись системы, журнал изменения прав |
| Ответить на запрос органа в установленный срок | Получение юридически значимой корреспонденции | Регистрация, определение компетенции и контроль подготовки ответа | Карточка запроса, опись, подтверждение отправки |
| Урегулировать раскрытый личный интерес | Закупка или выбор контрагента | Отвод заинтересованного лица и независимое согласование | Сообщение, решение, протокол или служебная запись |
Для каждого процесса определяются:
1. Событие запуска. Новый контрагент, рекламный материал, платёж, жалоба, запрос органа, изменение продукта.
2. Входные данные. Документы и сведения, без которых решение нельзя принять.
3. Исполнитель. Лицо, которое выполняет основное действие.
4. Проверяющее лицо. Тот, кто контролирует соблюдение установленного правила.
5. Критерии решения. Когда действие одобряется, возвращается на доработку, приостанавливается или передаётся руководству.
6. Срок. Календарный срок либо событие, к которому действие должно быть завершено.
7. Доказательство. Запись, позволяющая восстановить факты и принятое решение.
8. Повторная проверка. Установленный период или событие, которое требует нового анализа.
Формула «ознакомить работников и назначить ответственного» недостаточна. Нужно показать, что конкретно делает работник после ознакомления и каким образом проверяется исполнение.
Распределить обязанности и полномочия
Обязанность должна исполняться в том подразделении или процессе, где возникает соответствующее действие. Юрист может квалифицировать правовой вопрос и готовить правила, но не способен единолично контролировать все продажи, закупки, платежи, кадровые решения и технические настройки.
| Элемент | Что закрепить |
|---|---|
| Исполнение | Кто собирает данные, проводит первичную проверку и выполняет действие |
| Правовая оценка | Какие вопросы передаются юристу и какие исходные сведения обязательны |
| Независимый контроль | Кто проверяет исполнение и как исключается собственный конфликт |
| Решение руководства | Какие риски и исключения требуют отдельного одобрения |
| Полномочия | Право запрашивать документы, возвращать материал, приостанавливать действие и требовать исправления |
| Замещение | Кто действует при отсутствии основного ответственного |
| Эскалация | Кому и в какой срок передаётся нерешённый или существенный вопрос |
Назначение ответственного оформляется с учётом реальных ресурсов, доступа к информации и подчинённости. Нельзя возлагать контроль на лицо, которое должно проверять собственное решение, без дополнительного независимого рассмотрения.
Комитет или рабочая группа допустимы, если определены компетенция, состав, право голоса, порядок разрешения конфликта интересов и исполнение решений. Само название коллегиального органа не подтверждает работу системы.
Руководство остаётся участником контроля: утверждает существенные правила, предоставляет ресурсы, рассматривает сообщения о значимых рисках и принимает решения, которые не входят в обычные полномочия работников. При этом внутреннее распределение функций не изменяет публично-правовые обязанности, установленные законом для организации и конкретных должностных лиц.
Настроить контроль и доказательства
Контроль должен проверять реальное действие, а не только наличие документа. Для каждого контроля задают критерий, периодичность или событие запуска, выборку, исполнителя, результат и порядок исправления.
Контроли бывают:
- предупреждающими — согласование до публикации, платежа или подписания;
- выявляющими — выборочная проверка завершённых операций;
- реагирующими — остановка действия, исправление данных, сохранение доказательств;
- контролями изменений — пересмотр при новом продукте, законе или системе.
Доказательства выбираются по характеру действия. Это могут быть договор и приложение, карточка проверки, протокол решения, версия рекламного материала, подтверждение источника, журнал доступа, опись переданных документов, запись обучения или технический лог. Нельзя требовать отдельный материальный результат там, где предметом являются действия или деятельность; подтверждение должно соответствовать конкретному процессу.
Запись не заменяет содержание. Формально заполненный чек-лист не подтверждает, что проверены полномочия или фактические услуги. Подпись работника под политикой не доказывает понимание правил. Поэтому результаты контроля сопоставляются с первичными документами и реальными операциями.
Хранение доказательств также регулируется. Нужно учитывать персональные данные, коммерческую тайну, трудовые документы, условия договора и возможный разногласие. Пометка «конфиденциально» сама по себе не создаёт специальной правовой защиты и не разрешает бессрочное хранение любых сведений.
Установить эскалацию и реакцию
Эскалация определяет, что делает работник, когда обычное правило не позволяет безопасно принять решение. Она должна включаться до совершения неоднозначного действия и вести к конкретному лицу, имеющему полномочия рассмотреть вопрос.
Основанием для эскалации могут быть:
- неизвестный фактический получатель платежа;
- просьба перечислить деньги третьему лицу без понятной причины;
- связь посредника с работником, влияющим на выбор;
- предложение обсудить будущие цены или условия торгов с конкурентом;
- неподтверждённое рекламное сравнение;
- передача данных новому получателю или в новую систему;
- запрос банка об экономическом смысле операции;
- сообщение о подделке документа;
- требование государственного органа;
- повторное нарушение после ранее принятой меры.
Процедура отвечает на вопросы: кто приостанавливает действие, кому направляются материалы, какие сведения обязательны, сколько времени отводится на решение, как фиксируется результат и кто контролирует его исполнение.
Реакция зависит от фактов. Возможны запрос дополнительных документов, изменение условий, независимое согласование, отказ от операции, исправление данных, сохранение материалов, внутренняя проверка или обращение к специалисту. Нельзя объединять разные специальные механизмы общим советом «добровольно признаться»: самосообщение, сотрудничество с органом, освобождение участника антиконкурентного соглашения и исправление рекламных данных регулируются по-разному.
После получения сообщения или запроса нельзя уничтожать переписку, согласовывать ложные версии, создавать документы задним числом или передавать заведомо недостоверные сведения. Исправление нарушения может учитываться при оценке обстоятельств, но не гарантирует прекращение дела или освобождение от ответственности.
Проверять эффективность и пересматривать систему
Финальная проверка отвечает не на вопрос «есть ли документы», а на вопрос «работает ли установленный процесс и обнаруживает ли он существенные отклонения». Отсутствие зарегистрированных нарушений не является самостоятельным доказательством эффективности.
| Проверка | Вопрос к результату |
|---|---|
| Полнота применимости | Все ли значимые процессы сопоставлены с актуальными требованиями |
| Фактическое исполнение | Выполняются ли действия в установленной последовательности и сроки |
| Качество контроля | Обнаруживают ли выборки реальные отклонения, а не только отсутствие подписей |
| Полномочия | Могут ли ответственные лица получить данные и остановить неоднозначное действие |
| Реакция | Устраняются ли причины и контролируется ли выполнение решения |
| Повторяемость | Возникают ли одинаковые нарушения после корректирующих мер |
| Актуальность | Обновлены ли нормы, формы, роли и документы после изменений |
| Соразмерность | Не создаёт ли контроль избыточную обработку данных или необоснованное ограничение работников |
Полезные показатели — доля выполненных контролей, просроченные действия, время первичной оценки сообщений, повторные отклонения, результаты выборок и выполнение корректирующих мер. Количество сообщений или пройденных тестов само по себе не следует превращать в цель: это может стимулировать формальные действия и ложные обвинения.
Систему пересматривают при существенном изменении продукта, рынка, структуры компании, юрисдикции, цепочки контрагентов, рекламного канала, информационной системы или законодательства. Инцидент, претензия, запрос банка либо государственного органа также требуют проверить не только единичный факт, но и причину в процессе.
Итогом становится не обещание полного соответствия всем требованиям, а документированный вывод в определённых границах: что проверено, какие отклонения выявлены, какие решения приняты, что осталось вне оценки и когда нужен следующий пересмотр.
Нужна помощь по теме «Комплаенс»?
Связанная услуга: Антикоррупционный комплаенс для бизнеса
