Regulacyjny sprint czy maraton? Okiem praktyka o wyzwaniach Compliance Officera

Marcin Szczepański, Siemens Energy: Podczas implementacji systemów compliance nie obowiązuje zasada „One-Size-Fits-All”. Oznacza to, że powinniśmy przede wszystkim przeanalizować sposób działania naszej firmy/organizacji i zastanowić się, gdzie jesteśmy najbardziej narażeni na ryzyko zniszczenia reputacji firmy lub też wyprowadzenia pieniędzy. Jest to warunkiem koniecznym do ew. stworzenia funduszy korupcyjnych, jak np. szeroko rozumiany obszar zakupów, klienci pośredni, usługi doradcze, wydatki marketingowe i na gościnność itp. Polecam przewodnik FCPA/DoJ np. “A Resource Guide to the U.S. Foreign Corrupt Practices Act”, jest tam wiele przykładów konkretnych ryzyk.

Marcin Szczepański, Siemens Energy: Praktykowanym sposobem jest zobowiązywanie partnerów biznesowych do stosowania się do naszych zasad, podpisywanie „code of conduct,” klauzul umownych itp. Czasem, gdy obie firmy są w tym zakresie odpowiednio dojrzałe, jest to po prostu wzajemne uznawanie swoich zasad i systemów compliance.
Istnieje tu ryzyko „przedobrzenia” - gdy zobowiążemy podmiot do działań, których wdrożenie jest praktycznie niemożliwe np. do tego, że wszyscy jego pracownicy i partnerzy będą się stosować do naszych zasad – najprawdopodobniej otrzymamy wtedy dokument ze zobowiązaniem, ale rzeczywistość może być zgoła inna.

Marcin Szczepański, Siemens Energy: Nie ma tu jednej złotej reguły, należy dostosować komunikację do odbiorców. Proszę jednak pamiętać, ze sama komunikacja jest tylko jednym z elementów całego systemu – gdy reszta nie będzie prawidłowo wdrożona, to sama komunikacja nic nie pomoże.
Wszystko zaczyna się od woli ze strony managementu („tone from the top”), ale potem wszystko zależy od tego, czy system compliance został wdrożony na poważnie tj. niepozornie.

Marcin Szczepański, Siemens Energy: Należy przyjąć pewien standard wspólny dla całej grupy, który musi być przestrzegany wszędzie z możliwymi dopasowaniami lokalnymi. Odradzałbym jednak sytuację, gdzie pełen zakres obowiązuje w Polsce, a np. w krajach Bliskiego Wschodu coś w rodzaju tzw. "Compliance Light" – to byłoby proszenie się o prawdziwe kłopoty.

Marcin Szczepański, Siemens Energy: Myślę, ze najlepiej, gdy w grupie jest wdrożony jeden system oparty o te same zasady. Powinien on być koordynowany przez spółkę dominującą – zapewnia to spójność wewnętrzną systemu i te same standardy, co w efekcie prowadzi też do lepszego wykorzystania (zawsze szczupłych) zasobów. Odradzam sytuację, gdy każda spółka tworzy własny, oddzielny system.

Marcin Szczepański, Siemens Energy: Jak najlepsze!
A tak poważnie, to oba działy powinny współpracować ściśle, ponieważ stanowią kluczowe linie (2 i 3) obrony firmy przed nadużyciami.
Audyt powinien wspierać compliance w czasie postępowań wyjaśniających, wykonywać na zlecenie compliance dedykowane kontrole, a także sprawdzać wdrożenie rekomendacji pochodzących z compliance.

Marcin Szczepański, Siemens Energy: Najczęstszym błędem przy analizie ryzyka, ale też podczas przeprowadzania różnych procedur kontrolnych jest skupienie się na stronie formalnej tj. odhaczaniu wszystkich wymaganych punktów z listy, a nie na przeprowadzeniu czegoś w rodzaju rzeczowego i uczciwego wobec samego siebie „rachunku sumienia”.
Analiza ryzyka musi być zrobiona na poważnie i jeśli taka jest, to jej wynik będzie niezbyt przyjemny, bo uwypukli nasze słabości, pokaże wpadki, dziury w zabezpieczeniach itp.

Gdy natomiast wszystko wyjdzie super, to najprawdopodobniej oznacza to, że mogliśmy sobie całe te ćwiczenie oszczędzić.

Marcin Szczepański, Siemens Energy: W pewnym zakresie, zwłaszcza w niedużej organizacji, może to być nawet jedna funkcja – w organizacjach rozwiniętych obie te funkcje reprezentują inne linie obrony przedsiębiorstwa/organizacji przed nadużyciami.

Marcin Szczepański, Siemens Energy: Można zadać wszystkie możliwe pytania, natomiast sygnalista może, ale nie musi na nie odpowiedzieć. Może też odpowiedzieć niezgodnie z prawdą – nie mamy żadnej możliwości obiektywnej weryfikacji takiej informacji.

Marcin Szczepański, Siemens Energy: Najlepiej, gdy funkcja compliance jest dokładnie zdefiniowana, aby dokładnie było wiadomo jakimi obszarami się zajmuje. Wtedy to Compliance Officer powinien trzymać „rękę na pulsie” i informować zespół o zaistniałych zmianach regulacyjnych i uwzględniać to w regulacjach i procesach wewnętrznych.

Natomiast według mnie rolą Compliance Officera nie jest informowanie o wszystkich możliwych zmianach otoczenia prawnego.

Marcin Szczepański, Siemens Energy: Compliance Officer powinien być ekspertem z dziedziny compliance😉.
Chodzi o to, że gdy przyjdą do nas koledzy z biznesu z problemem, zaobserwowanym ryzykiem, czy otrzymawszy niepokojącą propozycję, to my będziemy wiedzieć jakie rozwiązanie czy też pomoc możemy im zaoferować, w tym, jak możemy zabezpieczyć reputację naszej organizacji i bezpieczeństwo naszych ludzi.

W przypadku takiej firmy jak Siemens, stoi za nami cała ogromna organizacja, w której wystąpiły już (prawie) wszystkie możliwe scenariusze zdarzeń i gotowe rozwiązania są niejako na wyciagnięcie ręki. Dodatkowo istnieją całe działy czy departamenty, wyspecjalizowane w temacie np. sankcji eksportowych, prawa antymonopolowego, analizie zewnętrznych partnerów biznesowych, przeprowadzaniu procedur zakupowych czy prawidłowym prowadzeniu projektów.