Από τον κανονιστικό χάρτη στο λειτουργικό σύστημα συμμόρφωσης
(υποχρεώσεις, risk assessment, ρόλοι και μηχανισμοί ελέγχου)
Η συμμόρφωση ξεκινά πριν από τις πολιτικές
Μια επιχείρηση που αποφασίζει να οργανώσει τη συμμόρφωσή της ξεκινά συχνά από το ορατό: ζητά πολιτικές, κώδικες και εγχειρίδια. Η σειρά αυτή είναι συνήθως λανθασμένη. Πριν τη συγγραφή οποιουδήποτε σχετικού κειμένου, η επιχείρηση πρέπει να γνωρίζει ποιες υποχρεώσεις τη δεσμεύουν. Πρέπει επίσης να γνωρίζει πού δημιουργείται ουσιώδης κίνδυνος και ποιος ελέγχει την καθημερινή εφαρμογή των συναφών κανόνων.
Η επιλογή της συμμόρφωσης ως επιχειρηματικής επένδυσης αποκτά αξία μόνον όταν μετατρέπεται σε λειτουργικό σύστημα.
Το λειτουργικό σύστημα συμμόρφωσης δεν (πρέπει να) είναι βιβλιοθήκη εγγράφων. Είναι οργανωμένη ικανότητα αναγνώρισης, αξιολόγησης, ανάθεσης και παρακολούθησης των κανονιστικών κινδύνων. Συνδέει τον κανόνα με συγκεκριμένη διαδικασία, τον κίνδυνο με συγκεκριμένο υπεύθυνο και την απόκλιση με συγκεκριμένη αντίδραση.
Συνδέει επίσης κάθε κρίσιμο έλεγχο με το αποδεικτικό στοιχείο που επιβεβαιώνει την εφαρμογή του. Χωρίς αυτή τη σύνδεση, ακόμη και άρτια νομικά κείμενα παραμένουν αποκομμένα από την πραγματική λειτουργία της επιχείρησης.
Η αφετηρία: ο Xάρτης Κανονιστικής Συμμόρφωσης
Το πρώτο βήμα είναι η αποτύπωση του «κανονιστικού σύμπαντος» της επιχείρησης. Σε αυτό δεν ανήκουν μόνο οι νόμοι και, ευρύτερα, το υφιστάμενο θεσμικό πλαίσιο. Ανήκουν οι άδειες λειτουργίας, οι εποπτικές αποφάσεις και οι όροι δημόσιων ή ιδιωτικών συμβάσεων. Περιλαμβάνονται επίσης οι δεσμεύσεις προς χρηματοδότες και ασφαλιστές καθώς και οι πολιτικές που η ίδια η επιχείρηση έχει ανακοινώσει.
Η χαρτογράφηση πρέπει να ακολουθεί το επιχειρηματικό μοντέλο. Διαφορετικούς κινδύνους αντιμετωπίζει μια βιομηχανική μονάδα, μια εταιρεία τεχνολογίας ή μια επιχείρηση παροχής υπηρεσιών. Διαφορετική είναι επίσης η έκθεση ενός προμηθευτή του Δημοσίου. Άλλο είναι το περιβάλλον μιας εταιρείας που δραστηριοποιείται μόνο στην Ελλάδα και άλλο εκείνης που λειτουργεί σε πολλές έννομες τάξεις.
Ο κατάλογος των κανόνων δεν αποτελεί ακόμη σύστημα. Κάθε ουσιώδης υποχρέωση πρέπει να συνδέεται με δραστηριότητα, φορέα, προθεσμία, αποδεικτικά στοιχεία και συνέπεια παράβασης. Πρέπει επίσης να αποτυπώνεται ποια διαδικασία εφαρμόζει την υποχρέωση και ποιος έλεγχος προλαμβάνει ή εντοπίζει την απόκλιση.
Έτσι, ο νομικός κανόνας μετατρέπεται σε διοικητική και επιχειρησιακή πληροφορία. Η διοίκηση βλέπει τι πρέπει να προστατεύσει και όχι απλώς ποια κανονιστική υποχρέωση ισχύει.
Από την υποχρέωση στον πραγματικό κίνδυνο
Δεν έχουν όλες οι υποχρεώσεις την ίδια βαρύτητα. Ορισμένες συνδέονται με υψηλά πρόστιμα ή απώλεια αξιοπιστίας. Άλλες μπορεί να προκαλέσουν διακοπή λειτουργίας, απώλεια άδειας ή αποκλεισμό από διαγωνισμό. Μπορεί επίσης να οδηγήσουν σε καταγγελία σημαντικής σύμβασης. Υπάρχουν, τέλος, κίνδυνοι που πλήττουν άμεσα εργαζομένους, πελάτες, άλλα φυσικά πρόσωπα ή το περιβάλλον.
Η αξιολόγηση πρέπει να λαμβάνει υπόψη την πιθανότητα, την ένταση της ζημίας και τη δυνατότητα έγκαιρου εντοπισμού. Πρέπει ακόμη να εξετάζει την ταχύτητα με την οποία μπορεί να εξελιχθεί ένα περιστατικό. Σημαντική είναι και η εξάρτηση της επιχείρησης από τρίτους.
Ένας κίνδυνος χαμηλής πιθανότητας μπορεί να απαιτεί προτεραιότητα όταν η συνέπειά του είναι καταστροφική ή μη αναστρέψιμη.
Η αξιολόγηση κινδύνου συμμόρφωσης (:compliance risk assessment) δεν είναι μαθηματική επίφαση ακρίβειας. Είναι πειθαρχημένη μέθοδος ιεράρχησης. Υποχρεώνει τη διοίκηση να αποφασίσει πού θα διαθέσει ανθρώπους, χρόνο και προϋπολογισμό.
Διακρίνει επίσης τον εγγενή κίνδυνο από εκείνον που παραμένει μετά την εφαρμογή των ελέγχων. Επιτρέπει έτσι να καταγραφεί ποιο υπόλοιπο ρίσκο γίνεται αποδεκτό, αντί να αναλαμβάνεται ασυνείδητα.
Από τη χαρτογράφηση στην ανάλυση κενών και στο σχέδιο ενεργειών
Η χαρτογράφηση και η αξιολόγηση κινδύνων αποτυπώνουν πού βρίσκεται η επιχείρηση. Δεν αρκούν, όμως, για να την οδηγήσουν εκεί όπου πρέπει να βρίσκεται.
Χρειάζεται gap analysis: σύγκριση των απαιτήσεων με τις υφιστάμενες διαδικασίες, τους διαθέσιμους ελέγχους και την πραγματική εφαρμογή τους.
Το κενό μπορεί να αφορά απουσία πολιτικής, ασαφή υπεύθυνο ή ανεπαρκή τεκμηρίωση. Μπορεί επίσης να αφορά έλεγχο που έχει σχεδιαστεί αλλά δεν λειτουργεί ή διαδικασία που παρακάμπτεται συστηματικά. Η αξιολόγηση πρέπει να διακρίνει την πλήρη απουσία μηχανισμού από την περιορισμένη αποτελεσματικότητά του.
Κάθε ουσιώδες κενό πρέπει να οδηγεί σε σχέδιο ενεργειών. Το σχέδιο χρειάζεται υπεύθυνο, προθεσμία, απαιτούμενους πόρους και κριτήριο ολοκλήρωσης. Πρέπει ακόμη να καθορίζει ποιος επαληθεύει ότι η ενέργεια εφαρμόστηκε και μείωσε πράγματι τον κίνδυνο.
Η «σφραγίδα» με την (απλή) ένδειξη «ολοκληρώθηκε» δεν αρκεί όταν δεν έχει ελεγχθεί το αποτέλεσμα.
Δεν είναι δυνατό να κλείσουν όλα τα κενά ταυτόχρονα ούτε και να τακτοποιηθούν οι σχετικές εκκρεμότητες. Η σειρά προτεραιότητας πρέπει να ακολουθεί τον κίνδυνο και όχι την ευκολία της ενέργειας. Μια επιχείρηση που διορθώνει μόνο τα εύκολα ευρήματα μπορεί να εμφανίζει πρόοδο, ενώ αφήνει ανοικτή τη σοβαρότερη έκθεσή της.
Αναλογικότητα: ούτε πολυτέλεια ούτε πρόχειρη λύση
Ένα σύστημα συμμόρφωσης πρέπει να είναι ανάλογο προς το μέγεθος, τον κλάδο και τη γεωγραφική παρουσία της επιχείρησης. Πρέπει επίσης να ανταποκρίνεται στο πραγματικό προφίλ κινδύνου της.
Η μικρομεσαία επιχείρηση δεν χρειάζεται να αντιγράψει τη δομή πολυεθνικού ομίλου. Χρειάζεται, όμως, να γνωρίζει τους κρίσιμους κινδύνους της και να διαθέτει σταθερούς μηχανισμούς ελέγχου.
Η αναλογικότητα δεν σημαίνει χαλαρότητα. Μια μικρή εταιρεία που επεξεργάζεται ευαίσθητα δεδομένα μπορεί να χρειάζεται αυστηρότερο πλαίσιο από μεγαλύτερη επιχείρηση χαμηλότερου κινδύνου. Το ίδιο ισχύει όταν παρέχει κρίσιμη ψηφιακή υπηρεσία. Το μέγεθος αποτελεί κριτήριο˙ όχι, όμως, το μοναδικό.
Το χρήσιμο σύστημα είναι εκείνο που μπορεί να εφαρμοστεί. Υπερβολικά σύνθετες εγκρίσεις, “ατελείωτα” έντυπα και πολιτικές ξένες προς την καθημερινή εργασία οδηγούν σε παράκαμψη.
Η απλούστευση είναι θεμιτή όταν δεν αφαιρεί τον ουσιώδη έλεγχο. Πρέπει, παράλληλα, να αφήνει καθαρό και επαρκές αποδεικτικό ίχνος.
Ρόλοι, ιδιοκτησία και γραμμές ευθύνης
Κάθε κρίσιμη υποχρέωση πρέπει να έχει φορέα/ιδιοκτήτη. Ο φορέας δεν είναι πάντοτε ο νομικός σύμβουλος ή η λειτουργία συμμόρφωσης. Συνήθως είναι το επιχειρησιακό τμήμα που εκτελεί τη σχετική δραστηριότητα.
Το HR εφαρμόζει το θεσμικό πλαίσιο που αφορά τις εργασιακές σχέσεις και το IT υλοποιεί μέτρα ασφάλειας. Οι προμήθειες ελέγχουν προμηθευτές και η παραγωγή οφείλει να τηρεί τεχνικούς ή περιβαλλοντικούς όρους.
Η νομική λειτουργία προσδιορίζει την απαίτηση, αξιολογεί τις συνέπειες και συμβάλλει στη διαμόρφωση της διαδικασίας. Δεν μπορεί, όμως, να υποκαταστήσει τον επιχειρησιακό ιδιοκτήτη. Όταν όλα «ανήκουν στο Legal» (από άγνοια ιδιοκτήτη, συνήθεια ή κεκτημένη ταχύτητα), η συμμόρφωση απομακρύνεται από το σημείο όπου γεννιέται ο κίνδυνος.
Χρειάζεται επίσης σαφής διάκριση ανάμεσα σε εκτέλεση, παρακολούθηση και ανεξάρτητη επιβεβαίωση. Η ίδια λειτουργία δεν πρέπει να σχεδιάζει έναν έλεγχο, να τον εκτελεί και να βεβαιώνει ανεξάρτητα την αποτελεσματικότητά του.
Η διάκριση προσαρμόζεται στις δυνατότητες κάθε επιχείρησης, αλλά δεν πρέπει να εξαφανίζεται.
Η κατανομή των ρόλων πρέπει να είναι κατανοητή και εφαρμόσιμη. Ένα σύνθετο διάγραμμα αρμοδιοτήτων δεν έχει αξία όταν εμπλεκόμενοι είτε συνολικά το αγνοούν είτε αγνοούν επιμέρους παραμέτρους του: ποιος αποφασίζει, ποιος εκτελεί και ποιος ενημερώνεται. Σε κρίσιμες διαδικασίες μπορεί να είναι χρήσιμη μια απλή αποτύπωση διαχείρισης έργων (τύπου RACI).
Η ισότητα αμοιβών ως παράδειγμα λειτουργικής συμμόρφωσης
Χαρακτηριστικό παράδειγμα αποτελούν οι απαιτήσεις για την ισότητα αμοιβών και τη μισθολογική διαφάνεια. Η συμμόρφωση δεν εξαντλείται σε μια πολιτική ίσης μεταχείρισης. Δεν εξαντλείται ούτε στην προετοιμασία αναφορών.
Προϋποθέτει χαρτογράφηση των πραγματικών θέσεων, προσδιορισμό εργασιών ίσης αξίας και συνεπή αποτύπωση της συνολικής αμοιβής. Απαιτεί επίσης αντικειμενικά κριτήρια για προσλήψεις, αυξήσεις, πριμ, προαγωγές και αποκλίσεις από εγκεκριμένα μισθολογικά εύρη.
Για να λειτουργήσει το σύστημα, πρέπει να συνεργαστούν η διοίκηση, το HR, η μισθοδοσία και η οικονομική λειτουργία. Απαιτείται επίσης κατάλληλη συμμετοχή του legal ή του εξωτερικού νομικού συμβούλου. Η επεξεργασία μισθολογικών δεδομένων απαιτεί παράλληλα την αναγκαία συνδρομή της λειτουργίας προστασίας δεδομένων.
Οι υποχρεώσεις μετατρέπονται έτσι σε ιδιοκτησία ρόλων, αξιόπιστα δεδομένα και διαδικασίες αιτημάτων. Χρειάζονται ακόμη έλεγχοι αποκλίσεων και διορθωτικές ενέργειες.
Ένας κανόνας εργατικού δικαίου μετατρέπεται, επομένως, σε μηχανισμό εταιρικής πληροφόρησης, ελέγχου και αποδεικτικής λογοδοσίας.
Οι πολιτικές πρέπει να παράγουν ελέγχους
Η πολιτική έχει αξία όταν οδηγεί σε ελεγχόμενη ενέργεια. Μια πολιτική σύγκρουσης συμφερόντων πρέπει να προβλέπει δήλωση, αξιολόγηση, αποχή και καταγραφή. Μια πολιτική προμηθευτών πρέπει να οδηγεί σε κατηγοριοποίηση, έλεγχο, συμβατικές δεσμεύσεις και επανεξέταση.
Μια πολιτική περιστατικών πρέπει να ορίζει ποιος ενημερώνεται, ποιος αποφασίζει και ποια στοιχεία διατηρούνται.
Οι έλεγχοι μπορεί να είναι προληπτικοί, ανιχνευτικοί ή διορθωτικοί. Η έγκριση πριν από μια πληρωμή αποτελεί προληπτικό έλεγχο. Η περιοδική δειγματοληψία συμβάσεων, που έχουν συναφθεί, αποτελεί ανιχνευτικό έλεγχο. Η ανάκληση πρόσβασης και η επανεκπαίδευση μετά από παράβαση αποτελούν διορθωτικά μέτρα.
Ένα ώριμο σύστημα δεν βασίζεται μόνο σε απαγορεύσεις. Δημιουργεί σημεία όπου το λάθος μπορεί να προληφθεί ή να εντοπιστεί εγκαίρως.
Σε διαδικασίες που εξαρτώνται από ανθρώπινη κρίση, η εκπαίδευση και η σαφής επικοινωνία αποτελούν επίσης ουσιώδεις μηχανισμούς ελέγχου. Πρέπει να έχουν συγκεκριμένο κοινό, αντικείμενο και περιοδικότητα.
Κάθε κρίσιμος έλεγχος χρειάζεται σαφή σκοπό, συχνότητα εφαρμογής, υπεύθυνο και κριτήριο αποτυχίας. Διαφορετικά, δεν είναι δυνατό να αξιολογηθεί η αποτελεσματικότητά του.
Κάθε κρίσιμος έλεγχος πρέπει επίσης να αφήνει ίχνος. Η έγκριση, ο έλεγχος, η εξαίρεση και η διορθωτική ενέργεια χρειάζονται τεκμηρίωση ανάλογη με τον κίνδυνο. Η αποδεικτική λειτουργία δεν είναι μεταγενέστερη προσθήκη. Αποτελεί μέρος του σχεδιασμού.
Αλλαγές, εξαιρέσεις και επανεκτίμηση κινδύνου
Το σύστημα συμμόρφωσης δεν πρέπει να ενεργοποιείται μόνο όταν αλλάζει ο νόμος ή, κατά περίπτωση, το θεσμικό πλαίσιο. Νέο προϊόν, νέα αγορά, εξαγορά, οργανωτική μεταβολή ή εγκατάσταση νέου συστήματος μπορούν να αλλάξουν ουσιωδώς την έκθεση της επιχείρησης σε κινδύνους.
Το ίδιο ισχύει όταν ανατίθεται κρίσιμη λειτουργία σε τρίτο ή διευρύνεται η χρήση δεδομένων και τεχνολογίας.
Οι μεταβολές αυτές πρέπει να ενεργοποιούν επανεκτίμηση. Πριν από την υλοποίηση χρειάζεται αξιολόγηση των νέων υποχρεώσεων, των ρόλων, των συμβάσεων και των αναγκαίων ελέγχων.
Η συμμετοχή του Legal -αφού έχει οριστικοποιηθεί η επιχειρηματική απόφαση- περιορίζει σημαντικά τις διαθέσιμες λύσεις.
Αντίστοιχα, η επιχείρηση χρειάζεται ελεγχόμενη διαδικασία εξαιρέσεων. Η εξαίρεση από μια πολιτική μπορεί να είναι δικαιολογημένη όταν υπάρχει πραγματική επιχειρησιακή ανάγκη. Πρέπει, όμως, να εγκρίνεται από αρμόδιο πρόσωπο, να έχει χρονικό όριο και να συνοδεύεται από αντισταθμιστικά μέτρα.
Οι επαναλαμβανόμενες εξαιρέσεις δείχνουν συχνά ότι η πολιτική ή η διαδικασία δεν ανταποκρίνεται στην πραγματική λειτουργία. Η άτυπη παράκαμψη δεν αποτελεί ευελιξία. Αποτελεί απώλεια ελέγχου και συχνά αφετηρία τυπικής, αντί ουσιαστικής, συμμόρφωσης.
Αναφορές (:reporting) και κλιμάκωση προς τη διοίκηση
Το σύστημα αποτυγχάνει όταν η πληροφορία παραμένει στο λειτουργικό επίπεδο. Η διοίκηση δεν χρειάζεται να γνωρίζει (πολύ περισσότερο: λαμβάνει) κάθε λεπτομέρεια. Πρέπει, όμως, να ενημερώνεται για σοβαρές αποκλίσεις, επαναλαμβανόμενες αδυναμίες και λήξεις κρίσιμων αδειών.
Πρέπει επίσης να γνωρίζει σημαντικά περιστατικά και διορθωτικές ενέργειες που καθυστερούν.
Η κλιμάκωση χρειάζεται προκαθορισμένα κριτήρια. Ποιο οικονομικό ή λειτουργικό αποτέλεσμα καθιστά ένα θέμα ουσιώδες; Πότε μια απόκλιση απειλεί τη φήμη ή γίνεται συστημικός κίνδυνος; Πότε απαιτείται εξωτερική γνωμοδότηση ή απόφαση διοικητικού οργάνου;
Οι απαντήσεις δεν πρέπει να αναζητούνται για πρώτη φορά όταν η κρίση βρίσκεται σε εξέλιξη.
Ένας σύντομος πίνακας συμμόρφωσης είναι πάντοτε/περισσότερο χρήσιμος από μια ογκώδη αναφορά. Μπορεί να παρουσιάζει τους κυριότερους κινδύνους, τις ανοικτές διορθωτικές ενέργειες και τις κρίσιμες προθεσμίες. Πρέπει επίσης να αποτυπώνει τις αποφάσεις που απαιτούνται.
Ο πίνακας δεν πρέπει να δημιουργεί ψευδή ασφάλεια με γενικούς πράσινους δείκτες. Οι καθυστερήσεις, οι επαναλαμβανόμενες εξαιρέσεις και οι έλεγχοι που δεν έχουν δοκιμαστεί πρέπει να εμφανίζονται καθαρά.
Η καλή πληροφόρηση δεν μετριέται σε σελίδες. Μετριέται από το αν επιτρέπει έγκαιρη και ενημερωμένη απόφαση.
Έλεγχος, μάθηση και συνεχής βελτίωση
Η συμμόρφωση δεν ολοκληρώνεται με την πρώτη εφαρμογή. Οι κανόνες αλλάζουν, η επιχείρηση αναπτύσσεται και οι διαδικασίες αποκλίνουν.
Χρειάζεται περιοδική επανεξέταση του κανονιστικού χάρτη, δοκιμή των ελέγχων και παρακολούθηση των διορθωτικών ενεργειών.
Οι έλεγχοι πρέπει να αναζητούν την πραγματικότητα και όχι μόνο την ύπαρξη εγγράφων και εγγραφών. Συνεντεύξεις, δειγματοληψία φακέλων, δοκιμές σεναρίων και έλεγχος δεδομένων αποκαλύπτουν αν η πολιτική εφαρμόζεται. Πρέπει επίσης να εξετάζονται οι εξαιρέσεις και οι περιπτώσεις στις οποίες η τυπική διαδικασία παρακάμφθηκε ή αστόχησε.
Τα ευρήματα δεν αποτελούν αποτυχία του συστήματος. Αποτυχία είναι να αποκρύπτονται ή να επαναλαμβάνονται χωρίς αντιμετώπιση.
Κάθε ουσιώδες εύρημα πρέπει να οδηγεί σε ανάλυση βασικής αιτίας. Διαφορετικά, η επιχείρηση διορθώνει το σύμπτωμα και όχι τον μηχανισμό που το παρήγαγε.
Το ISO 37301 μπορεί να προσφέρει χρήσιμη αρχιτεκτονική για την ανάπτυξη, αξιολόγηση και βελτίωση ενός συστήματος κανονιστικής συμμόρφωσης (:compliance management system). Δεν υποκαθιστά τον νόμο ούτε επιβάλλει ενιαίο μοντέλο σε όλες τις επιχειρήσεις.
Υπενθυμίζει, όμως, μία βασική αρχή: η συμμόρφωση χρειάζεται διακυβέρνηση, αναλογικότητα, τεκμηρίωση και συνεχή βελτίωση.
Συνοπτικά: Πρακτική σημασία και αξία
Ένα λειτουργικό σύστημα συμμόρφωσης δεν υπόσχεται ότι δεν θα συμβεί παράβαση. Εξασφαλίζει κάτι περισσότερο ρεαλιστικό: ότι η επιχείρηση γνωρίζει τους κρίσιμους κινδύνους της και έχει ορίσει ποιος τους διαχειρίζεται. Γνωρίζει επίσης ποιοι έλεγχοι εφαρμόζονται, ποια κενά παραμένουν ανοικτά και ποιος επιβεβαιώνει την ολοκλήρωση των διορθωτικών ενεργειών. Για τη διοίκηση, το πρακτικό ζητούμενο είναι συγκεκριμένο: να λαμβάνει έγκαιρη και αξιόπιστη πληροφόρηση, χωρίς να υποκαθιστά τις επιχειρησιακές λειτουργίες. Για τον νομικό σύμβουλο, είναι να μεταφράζει τον κανόνα σε εφαρμόσιμη διαδικασία και σαφή σημεία ελέγχου. Εκεί η συμμόρφωση παύει να αποτελεί συλλογή νομικών υποχρεώσεων και μετατρέπεται σε μέθοδο διοίκησης.
Η ποιότητα του συστήματος θα κριθεί, τελικά, από το πώς η διοίκηση χρησιμοποιεί αυτή την πληροφορία. Τι πρέπει να γνωρίζει, να αποφασίζει και να εποπτεύει; Πότε η ανάθεση είναι επαρκής και πότε η αδράνεια δημιουργεί έκθεση; Αυτά είναι τα ερωτήματα του επόμενου άρθρου της σειράς.
Managing Partner
Koumentakis and Associates Law Firm
Σημ.: Το παρόν άρθρο αποτελεί τμήμα ευρύτερης ενότητας αρθρογραφίας της Δικηγορικής μας Εταιρείας για την κανονιστική συμμόρφωση με business view, πάντοτε, προσέγγιση˙ στον κατάλληλο δικηγόρο θα πρέπει να προστρέξετε για τη λήψη της αναγκαίας νομικής συμβουλής.