Регуляторные обязанности
Составляю перечень регуляторных обязанностей компании и сверяю его с организационной структурой: кто отвечает за каждое требование и есть ли у него полномочия. Противоречия между документами выношу в отдельный перечень. Поводом для оценки комплаенс-рисков бизнеса часто становится проверка собственника инвестором или выход на регулируемый рынок. Доказательственная связь строится так, чтобы каждая обязанность была подтверждена внутренними политиками и материалами проверок, а итогом стал реестр обязательных требований. Для каждой обязанности указываю источник, срок исполнения и документ, которым компания сможет подтвердить её выполнение перед проверяющим.
Коррупционные риски
Коррупционные риски оцениваю по карте процессов: где сотрудники принимают решения о закупках, скидках, взаимодействии с госорганами. Особое внимание — периодам, когда происходит смена руководства и меняются подписанты. Материалы проверок и сведения о нарушениях показывают, где контроль уже не сработал. По каждому уязвимому процессу предлагаю перечень контрольных процедур и назначаю ответственного, чтобы снизить остаточный риск до приемлемого уровня. Отдельно отмечаю процессы, где решение принимает один человек без второго согласования, и предлагаю, как разделить эти полномочия.
Под/фт-контроль
ПОД/ФТ-контроль проверяю по реестру контрагентов и внутренним правилам: как идентифицируются клиенты, кто проводит проверку и как фиксируются сомнительные операции. Повторяющиеся нарушения в одной зоне — сигнал системного дефекта, а не случайной ошибки. Сопоставляю организационную структуру с фактическим распределением функций и оцениваю, насколько велик контрагентский риск. Результат оформляю в виде матрицы вероятности и ущерба по каждому направлению. Для зон с высокой оценкой описываю, какие проверки нужно ввести сразу, а какие можно включить в плановый цикл контроля.
Конфликт интересов
Конфликт интересов выявляю по внутренним политикам, сведениям о связанных лицах и организационной структуре. Особенно внимательно проверяю, когда сделка с высоким риском заключается с участием заинтересованного сотрудника. Сравниваю, как политика описывает раскрытие конфликта и как это происходило на практике по материалам проверок. Для каждого выявленного случая предлагаю план снижения рисков и порядок периодического мониторинга. Отдельно указываю, какие решения должны приниматься без участия заинтересованного лица и как это фиксировать в протоколах.
Контрагентский риск
Контрагентский риск оцениваю по материалам проверок контрагентов, реестру контрагентов и карте процессов закупок и продаж. Если в компании отсутствие единой карты контроля приводит к тому, что проверку каждый отдел ведёт по-своему, это отражаю в заключении как самостоятельный риск. Выявляю контрагентов, связь с которыми может затронуть регуляторные обязанности компании, и предлагаю перечень контрольных процедур для договоров с ними. Указываю, какие сведения о контрагенте запрашивать до подписания договора и как часто обновлять проверку в течение его исполнения.
Остаточный риск
Остаточный риск — то, что остаётся после действующих мер контроля. Оцениваю его по сведениям о нарушениях, реестру контрагентов и внутренним политикам, отдельно по каждому направлению: коррупционные риски, конфликт интересов, ПОД/ФТ-контроль. Если компания готовит выход на регулируемый рынок, остаточный риск рассматриваю с учётом новых требований. Итог — распределение ответственных, план снижения рисков и сроки пересмотра заключения. Заключение пишу так, чтобы руководитель видел, какие риски компания принимает сознательно, а какие требуют немедленных мер и отдельного бюджета.
