Czy wdrożenie wystarczy by mieć skuteczny system Compliance?
Praktycy i teoretycy Compliance są zgodni, że wdrożenie systemu Compliance to dopiero pierwszy krok. Każdy system Compliance trzeba sprawdzać, udoskonalać itd. Żaden system nie jest idealny, poza tym ludzie, procesy i świat się zmieniają. Dlatego trzeba ciągle analizować działanie systemów i je aktualizować. Potwierdzają to też choćby normy ISO.
Która norma ISO mówi o Compliance?
Do tego roku była to norma ISO 19600:2014 Compliance management systems — Guidelines. Nie była ona przetłumaczona na język polski. W tym roku została opublikowana norma ISO 37301:2021 Compliance management systems. Warto też wspomnieć o nowej normie dotyczącej whistleblowingu ISO 37002 Whistleblowing management systems — Guidelines (jest w trakcie publikacji) oraz mającej już parę lat normie antykorupcyjną ISO 37001:2016 Anti-bribery management systems.
Wszystkie one mówią o tym, że system (compliance, antykorupcyjny czy też whistleblowingu) powinien funkcjonować w cyklu Deminga.
Dlaczego to jest takie ważne?
Sprawny system (składający się z wszystkich przyjętych rozwiązań organizacyjnych i technicznych oraz wspierany przez odpowiednie zaangażowanie kierownictwa) powinien być poddawany ciągłej analizie i przebudowywany stosownie do bieżących potrzeb, bo jak mówiłem wcześniej nie ma idealnych systemów, organizacja i świat się zmieniają non stop. Jeżeli nie będziemy aktualizować i udoskonalać systemu to wcześniej lub później stanie się nieskuteczny lub pozorny.
Aby wykryć co w systemie należało by poprawić trzeba go regularnie audytować.
Taka praktyka pomoże:
- ustalić, czy stosowane narzędzia i mechanizmy są skuteczne (które elementy nie spełniają oczekiwań, a które przynoszą założone rezultaty),
- wprowadzić odpowiednie modyfikacje, by zwiększyć ich skuteczność,
- wypracować nowe rozwiązania dostosowane do zmieniających się okoliczności.
Jak często powinien być robiony audyt systemu?
To zależy od organizacji. Jeżeli mamy do czynienia z wysokim ryzykiem Compliance to nawet parę razy w roku. Jeżeli ryzyka są małe, audyt stosowanych narzędzi i mechanizmów powinien być przeprowadzany co dwa lata. Niektórzy eksperci proponują by rozpowszechniać wyniki audytu wśród pracowników podmiotu , który był badany.
Jakie narzędzia mogą być skuteczne w ocenie systemu?
Do przeprowadzenia skutecznej oceny szczególnie użyteczne mogą być:
- kontrole i audyty robione przez Dział Audytu lub Dział Kontroli Wewnętrznej,
- kontrole i audyty robione przez zewnętrznych ekspertów - odradzam kupowanie tzw. certyfikatów zgodności.
- analizy zgłoszeń w ramach systemu dla sygnalistów.
Ponadto mogą być przydatne:
- badania ankietowe pracowników, pracowników odchodzących z pracy i kontrahentów,
- warsztaty samooceny,
- itd.
Nie należy zapominać o bieżącym monitorowaniu sytuacji przez komórki Compliance.
Czego wymaga skuteczne monitorowanie sytuacji?
Skuteczne monitorowanie sytuacji wymaga m.in.:
- stałej, bieżącej analizy potencjalnych nieprawidłowości i/lub ewentualnego konfliktu interesów,
- doraźnej kontroli zgodności działań pracowników z prawem powszechnie obowiązującym oraz przepisami wewnętrznymi ,
- przestrzegania zasady „dwóch par oczu” (zapewnienia wzajemnej kontroli pracowników zajmujących się jedną sprawą lub wykonujących określone czynności),
- zagwarantowania prawidłowego działania kanałów zgłoszeniowych oraz zagwarantowania ochrony osobom zgłaszającym nieprawidłowości w podmiocie (ochrona sygnalistów),
- sprawdzania wszystkich informacji o ewentualnych nieprawidłowościach oraz odpowiedniego reagowania w przypadku ich potwierdzenia,
- zawiadomienia organów ścigania w przypadku uzasadnionego podejrzenia popełnienia przestępstwa.
Compliance - cykl Deminga
Na koniec chciałbym podkreślić, że każdy system powinien działać w cyklu Deminga i zawsze należy monitorować ryzyka. Natomiast niestety często na to brakuje zasobów lub woli najwyższego kierownictwa.
Wdrożenie Compliance to zmiana Kultury organizacji i to zajmuje lata oraz wymaga stałych działań. Potrzeba konsekwencji i wytrwałości.