Od czego należy zacząć wdrożenie systemu Compliance w organizacji?
Pierwszy krok to decyzja najwyższego kierownictwa, że podmiot wdroży system Compliance. To warunek sine quo non – niezbędny. Potem równie niezbędne jest stale wsparcie i zaangażowanie najwyższego kierownictwa.
Każde wdrożenie systemu opartego na zarządzaniu ryzykiem, jak np. Compliance ale i też np. zarządzanie bezpieczeństwem danych osobowych należy zacząć od audytu i szacowanie ryzyk.
Aby zaprojektować adekwatny do ryzyk i przedmiotu działalności podmiotu system Compliance trzeba zidentyfikować i ocenić ryzyka w zakresie Compliance dotyczące danego podmiotu. Przy czym należy uwzględnić szeroki zakres okoliczności wewnętrznych i zewnętrznych.
Jakie okoliczności należy uwzględnić w audycie?
Zaczynając od okoliczności najbardziej oczywistych, czyli regulacji prawnych oraz ich wpływ na podmiot (działalność, produkty czy usługi). Ale ponadto należy uwzględnić kontekst społeczny i kulturowy, sytuację gospodarczą oraz wewnętrzne procesy, procedury, polityki, zasoby oraz ład korporacyjny.
Oprócz obowiązków compliance należy zidentyfikować sytuacje gdy może nastąpić niezgodność. Po ustaleniu możliwych przyczyn braku niezgodności należy ustalić ich potencjalne skutki oraz prawdopodobieństwo.
Jaki powinien być następny krok do wdrożenia systemów Compliance?
Następnym krokiem jest zaprojektowanie systemu Compliance (czyli odpowiednich rozwiązań organizacyjnych, technicznych i regulacyjnych) oraz zapewnienia odpowiednich zasobów (kadrowych, rzeczowych i finansowych).
O czym trzeba jeszcze pamiętać przy wdrożeniu Compliance?
Po pierwsze wdrożenie systemu Compliance oznacza zmianę kultury organizacyjnej danego podmiotu. To zawsze zajmuje czas i nie jest łatwe. Dlatego nie da się wdrożyć systemu z dnia na dzień. To jest proces.
Po drugie klucz do udanego wdrożenia i utrzymania systemu jest Komunikacja.
Po trzecie bardzo ważna jest kwestia Przywództwa, pisałem o tym wielokrotnie. Chciałbym tylko zwrócić uwagę, że nie dopuszczalne jest podejście – wszyscy muszą się zmienić ale mnie to nie dotyczy. Jeżeli najwyższe kierownictwo będzie lekceważyć lub łamać zasady to klęska jest pewna.
Po czwarte trzeba pamiętać, że najważniejsi są ludzie. Np. w whistleblowing`u nie chodzi o systemy i procedury. Chodzi o Sygnalistów. O to by ludzie mieli odwagę zgłosić nieprawidłowość i nie spotkały ich za to działania odwetowe. I oczywiście by sprawców spotkała kara niezależnie od zajmowanego stanowiska.
Po piąte niezbędny jest odpowiedni oficera Compliance. Właściwe osoby na tym stanowisku to klucz do sukcesu. Ostrzegam przed wybieraniem najtańszego usługodawcy lub zrzucaniem tego obowiązku na szeregowego pracownika bez zapewnienia mu wsparcia, zasobów, pozycji itd.
Czy da się opracować uniwersalny system? A może wystarczy kupić gotową dokumentację?
Nie da się opracować jednego uniwersalnego i szczegółowego wzoru systemu Compliance, bo każda organizacja jest inna. Ma inną Kulturę organizacyjną itd.
Nie wystarczy też kupić dokumentacji. System Compliance to nie dokumentacja. To zmiana Kultury i filozofii działania. Dokumentacja tylko pomaga, ale nie jest istotą systemu.