Compliance - cykl Deminga

• Czy wdrożenie wystarczy by mieć skuteczny system Compliance?
• Która norma ISO mówi o Compliance?
• Dlaczego to jest takie ważne?
• Jak często powinien być robiony audyt systemu?
• Jakie narzędzia mogą być skuteczne w ocenie systemu?
• Czego wymaga skuteczne monitorowanie sytuacji?
• Compliance - cykl Deminga

Czy wdrożenie wystarczy by mieć skuteczny system Compliance?

Praktycy i teoretycy Compliance są zgodni, że wdrożenie systemu Compliance to dopiero pierwszy krok. Każdy system Compliance trzeba sprawdzać, udoskonalać itd. Żaden system nie jest idealny, poza tym ludzie, procesy i świat się zmieniają. Dlatego trzeba ciągle analizować działanie systemów i je aktualizować. Potwierdzają to też choćby normy ISO.

Która norma ISO mówi o Compliance?

Do tego roku była to norma ISO 19600:2014 Compliance management systems — Guidelines. Nie była ona przetłumaczona na język polski. W tym roku została opublikowana norma ISO 37301:2021 Compliance management systems. Warto też wspomnieć o nowej normie dotyczącej whistleblowingu ISO 37002 Whistleblowing management systems — Guidelines (jest w trakcie publikacji) oraz mającej już parę lat normie antykorupcyjną ISO 37001:2016 Anti-bribery management systems.

Wszystkie one mówią o tym, że system (compliance, antykorupcyjny czy też whistleblowingu) powinien funkcjonować w cyklu Deminga.

Dlaczego to jest takie ważne?

Sprawny system (składający się z wszystkich przyjętych rozwiązań organizacyjnych i technicznych oraz wspierany przez odpowiednie zaangażowanie kierownictwa) powinien być poddawany ciągłej analizie i przebudowywany stosownie do bieżących potrzeb, bo jak mówiłem wcześniej nie ma idealnych systemów, organizacja i świat się zmieniają non stop. Jeżeli nie będziemy aktualizować i udoskonalać systemu to wcześniej lub później stanie się nieskuteczny lub pozorny.

Aby wykryć co w systemie należało by poprawić trzeba go regularnie audytować.

Taka praktyka pomoże:

1. ustalić, czy stosowane narzędzia i mechanizmy są skuteczne (które elementy nie spełniają oczekiwań, a które przynoszą założone rezultaty),
2. wprowadzić odpowiednie modyfikacje, by zwiększyć ich skuteczność,
3. wypracować nowe rozwiązania dostosowane do zmieniających się okoliczności.

Jak często powinien być robiony audyt systemu?

To zależy od organizacji. Jeżeli mamy do czynienia z wysokim ryzykiem Compliance to nawet parę razy w roku. Jeżeli ryzyka są małe, audyt stosowanych narzędzi i mechanizmów powinien być przeprowadzany co dwa lata. Niektórzy eksperci proponują by rozpowszechniać wyniki audytu wśród pracowników podmiotu , który był badany.

Jakie narzędzia mogą być skuteczne w ocenie systemu?

Do przeprowadzenia skutecznej oceny szczególnie użyteczne mogą być:

1. kontrole i audyty robione przez Dział Audytu lub Dział Kontroli Wewnętrznej,
2. kontrole i audyty robione przez zewnętrznych ekspertów - odradzam kupowanie tzw. certyfikatów zgodności.
3. analizy zgłoszeń w ramach systemu dla sygnalistów.

Ponadto mogą być przydatne:

1. badania ankietowe pracowników, pracowników odchodzących z pracy i kontrahentów,
2. warsztaty samooceny,
3. itd.

Nie należy zapominać o bieżącym monitorowaniu sytuacji przez komórki Compliance.

Czego wymaga skuteczne monitorowanie sytuacji?

Skuteczne monitorowanie sytuacji wymaga m.in.:

1. stałej, bieżącej analizy potencjalnych nieprawidłowości i/lub ewentualnego konfliktu interesów,
2. doraźnej kontroli zgodności działań pracowników z prawem powszechnie obowiązującym oraz przepisami wewnętrznymi ,
3. przestrzegania zasady „dwóch par oczu” (zapewnienia wzajemnej kontroli pracowników zajmujących się jedną sprawą lub wykonujących określone czynności),
4. zagwarantowania prawidłowego działania kanałów zgłoszeniowych oraz zagwarantowania ochrony osobom zgłaszającym nieprawidłowości w podmiocie (ochrona sygnalistów),
5. sprawdzania wszystkich informacji o ewentualnych nieprawidłowościach oraz odpowiedniego reagowania w przypadku ich potwierdzenia,
6. zawiadomienia organów ścigania w przypadku uzasadnionego podejrzenia popełnienia przestępstwa.

Compliance - cykl Deminga

Na koniec chciałbym podkreślić, że każdy system powinien działać w cyklu Deminga i zawsze należy monitorować ryzyka. Natomiast niestety często na to brakuje zasobów lub woli najwyższego kierownictwa.

Wdrożenie Compliance to zmiana Kultury organizacji i to zajmuje lata oraz wymaga stałych działań. Potrzeba konsekwencji i wytrwałości.