Что такое комплаенс простыми словами

Слово «комплаенс» означает организацию работы так, чтобы компания соблюдала применимые к ней требования. Если объяснять, что значит комплаенс, через повседневную задачу руководителя, речь идёт о связи между законом и действиями сотрудников. Требование должно превратиться в понятную процедуру: кто за неё отвечает, какие действия допустимы и как обнаружить нарушение. Содержание такой работы определяется той сферой, в которой компания должна соблюдать закон.

Комплаенс охватывает разные направления работы компании. Антимонопольное законодательство касается соблюдения правил конкуренции. Антикоррупционные меры направлены на предупреждение коррупции в организации. Требования к персональным данным регулируют работу оператора — того, кто организует или осуществляет их обработку. Поэтому за общим словом могут стоять разные обязанности, документы и способы контроля. Чтобы понять содержание комплаенса в компании, изучите внутренние правила, меры предупреждения нарушений и порядок контроля.

Для антимонопольного направления ст. 9.1 Закона № 135-ФЗ предусматривает возможность создать внутреннюю систему соблюдения требований. Это право хозяйствующего субъекта, то есть участника хозяйственной деятельности. Система нужна для соблюдения антимонопольного законодательства и предупреждения его нарушений. Её содержание связано с рисками именно той деятельности, которую ведёт компания: внутренние правила должны объяснять, как эти риски оценивать, снижать и контролировать работу самой системы.

Такая система оформляется внутренним актом или несколькими актами. По ст. 9.1 Закона № 135-ФЗ они вместе должны охватывать оценку рисков, меры их снижения, контроль, ознакомление работников и сведения об ответственном должностном лице. Можно применять и акты другого участника одной группы лиц, если они распространяются на компанию. Информация о принятии или применении этих актов размещается на её сайте на русском языке. Поэтому одного общего заявления о соблюдении закона для описанной системы недостаточно.

Иначе построена ст. 13.3 Закона № 273-ФЗ: организация обязана разрабатывать и принимать меры по предупреждению коррупции. При этом перечисленные в статье варианты мер сформулированы как возможные элементы работы. Среди них — назначение ответственных, стандарты добросовестной работы, кодекс этики, предотвращение и урегулирование конфликта интересов. Смысл различия практический: обязательность предупреждения коррупции нельзя подменять утверждением, будто каждую организацию закон обязывает создать отдел с названием «комплаенс».

Антикоррупционные правила должны иметь применение в работе организации. Например, кодекс этики касается служебного поведения работников, а процедуры предотвращения конфликта интересов помогают урегулировать ситуации столкновения интересов. Статья 13.3 Закона № 273-ФЗ также называет сотрудничество с правоохранительными органами и недопущение неофициальной отчётности и поддельных документов. Это показывает, что направление охватывает и поведение людей, и достоверность документов. Простая смена названия внутреннего положения сама по себе этих задач не решает.

Отдельное направление — соблюдение требований при обработке персональных данных. По ст. 18.1 Закона № 152-ФЗ оператор обязан принимать необходимые и достаточные меры для выполнения своих обязанностей. Их состав он определяет самостоятельно, если закон не устанавливает иное. Для оператора, являющегося юридическим лицом, статья называет назначение ответственного за организацию обработки и издание политики и локальных актов. Локальные акты — это внутренние документы, которые закрепляют правила работы с данными.

Эти правила должны быть связаны с целями обработки: какие данные используются, чьи они, как обрабатываются и хранятся, в каком порядке уничтожаются. Статья 18.1 Закона № 152-ФЗ предусматривает также внутренний контроль или аудит, оценку возможного вреда и ознакомление работников с требованиями либо их обучение. Аудит здесь означает проверку соответствия обработки установленным требованиям. Поэтому комплаенс в этой области включает не только подготовку документов, но и проверку реальной работы с персональными данными.

Политика обработки не остаётся исключительно внутренним документом. Статья 18.1 Закона № 152-ФЗ требует обеспечить к ней неограниченный доступ. Если оператор собирает данные через сайт, политика и сведения о реализуемых требованиях к защите должны быть доступны в соответствующей сети, в том числе на страницах сбора. Внутренние акты при этом не могут ограничивать права людей, чьи данные обрабатываются, или приписывать оператору полномочия и обязанности, которых нет в законодательстве.

Когда в компании обсуждают введение комплаенса, полезно различать название системы и её содержание. Для конкуренции ст. 9.1 Закона № 135-ФЗ описывает добровольно организуемую систему с определёнными элементами. Для предупреждения коррупции ст. 13.3 Закона № 273-ФЗ устанавливает обязанность принимать меры. Для персональных данных ст. 18.1 Закона № 152-ФЗ связывает документы, ответственных и контроль с обязанностями оператора. Именно эти различия объясняют, почему единого набора правил для всех направлений здесь нет.