Какие бывают комплаенс-риски бизнеса

Чтобы определить, какие комплаенс-риски затрагивают бизнес, сопоставьте его работу с конкретными обязанностями. Для организации это предупреждение коррупции, для компании, обрабатывающей персональные данные, — соблюдение правил такой обработки, для налогоплательщика — учет, платежи и отчетность. Отдельное направление связано с соблюдением требований конкуренции. Практический смысл такого разделения — понять, какие внутренние правила нужны, кто отвечает за их исполнение и что контролировать. Основания для этих направлений — ст. 13.3 Закона № 273-ФЗ, ст. 18.1 Закона № 152-ФЗ, ст. 23 НК РФ и ст. 9.1 Закона № 135-ФЗ.

Коррупционные риски требуют внимания к конфликту интересов, неофициальной отчетности и поддельным документам. Организация обязана разрабатывать и принимать меры предупреждения коррупции. Для этого можно определить ответственных работников или подразделения, ввести стандарты добросовестной работы и кодекс этики. При оценке работы компании стоит выяснить, как предотвращается и урегулируется конфликт интересов и кто занимается профилактикой нарушений. Эти меры предусмотрены ст. 13.3 Закона № 273-ФЗ.

Антимонопольные риски связаны с возможным нарушением законодательства о конкуренции при ведении деятельности. Компания вправе создать внутреннюю систему предупреждения таких нарушений. Если она выбирает этот способ, во внутренних актах нужно закрепить оценку рисков, меры их снижения, контроль работы системы, ознакомление работников и сведения об ответственном лице. Информацию о принятии или применении актов размещают на сайте на русском языке. Такое устройство системы определяет ст. 9.1 Закона № 135-ФЗ.

При обработке персональных данных риск возникает, в частности, из-за отсутствия необходимых правил и контроля их исполнения. Компания как оператор, то есть лицо, организующее обработку данных, назначает ответственного и принимает политику и локальные акты. В них определяют цели, состав данных, способы и сроки обработки и хранения, порядок уничтожения. Работников, непосредственно обрабатывающих данные, знакомят с требованиями и внутренними документами и (или) обучают. Предусмотрены также внутренний контроль или аудит — ст. 18.1 Закона № 152-ФЗ.

Если компания собирает персональные данные через сайт, политику обработки и сведения о требованиях к защите данных нужно опубликовать в соответствующей сети, в том числе на страницах сбора, обеспечив доступ к политике. Для оператора обязанность обеспечить неограниченный доступ к политике и сведениям о защите действует и при других способах обработки — ч. 2 ст. 18.1 Закона № 152-ФЗ.

Налоговые риски касаются уплаты налогов, обязательного учета, подачи деклараций и расчетов, представления документов и исполнения законных требований налогового органа. При организации контроля проверьте также сохранность подтверждений доходов, расходов и уплаты налогов. Документы налогового и бухгалтерского учета хранят пять лет, если Кодекс не предусматривает иное; документы для исчисления и уплаты страховых взносов — шесть лет. Эти обязанности закреплены в ст. 23 НК РФ. Проверять только платежи без учета отчетности и хранения документов означало бы оставить часть налоговых обязанностей без контроля.