Od paru lat modne stało się pojęcie „compliance”, a coraz więcej ekspertów mówi o wdrożeniu compliance w firmie. Co to właściwie oznacza?
Definicja compliance
Za zasadniczą definicję pojęcia „compliance” uznaję tę zawartą w normie ISO 37301:2021 „Compliance management systems — Requirements with guidance for use”. Stanowi ona, że compliance to „spełnienie wszystkich obowiązków organizacji w zakresie zgodności”. Z tej samej normy wynika, że przez obowiązki w zakresie zgodności powinniśmy rozumieć te wymagania, które należy spełnić obligatoryjnie oraz które dobrowolnie postanowiono przestrzegać. Definicja wprost odnosi się do organizacji, przez którą powinniśmy rozumieć osobę lub grupę osób posiadających własne funkcje, obowiązki, uprawnienia i relacje, aby osiągnąć swoje cele. W uproszczeniu można przyjąć, że to każdy podmiot działający na rynku, w tym każde przedsiębiorstwo. Z kolei compliance powszechnie rozumie się jako zgodność. Ważne jest tutaj właściwe rozumienie tej zgodności.
Definicja "compliance" zgodnie z normą ISO 37301:2021
Compliance – spełnienie wszystkich obowiązków organizacji w zakresie zgodności, tj. wymagań, które organizacja musi spełnić obowiązkowo, a także tych, które dobrowolnie postanawia przestrzegać.
Z normy ISO 37301:2021 wynika wyraźnie, że pierwszy aspekt zgodności dotyczy kwestii, które należy spełnić obowiązkowo, czyli gdy reguluje to prawo powszechnie obowiązujące. Drugim aspektem zgodności jest spełnienie tych wymagań, do których organizacja się zobowiązała – przyjęła je dobrowolnie, uznając, że chce ich przestrzegać. Odróżnia to compliance od fundamentalnego założenia, że w każdej aktywności (także działalności gospodarczej) należy postępować zgodnie z przepisami prawa. Compliance wybiega dalej: na fundamentach stawiamy kolejne kondygnacje, ponieważ chcemy ustanowić pewne normy i standardy, niekoniecznie uregulowane w ustawach i innych aktach, a działanie niezgodne z nimi traktować będziemy jako naruszenie (tzw. non-compliance). Oznacza to, że zgodność w zakresie przepisów powinna być zapewniana także pod kątem przyjętych norm i standardów, które w praktyce dotyczą etyki oraz zachowań pożądanych dla celów realizacji procesów biznesowych.
Compliance w firmie
Przełożenie definicji compliance na działalność gospodarczą nie jest żadnym wyzwaniem. Compliance w firmie oznacza bowiem zapewnienie zgodności z powszechnie obowiązującymi przepisami prawa, jak również normami, których przedsiębiorstwo postanowiło przestrzegać.
W praktyce funkcjonowanie compliance w firmie ma miejsce na kilku płaszczyznach:
- Przestrzeganie krajowych przepisów prawa (ustaw, rozporządzeń…)
- Przestrzeganie międzynarodowych przepisów prawa (głównie aktów prawa UE)
- Przestrzeganie wytycznych organów krajowych (precyzujących lub uzupełniających aspekty zgodności określonego tematu bądź obszaru działalności)
- Przestrzeganie regulacji wewnętrznych (kodeksów, polityk, procedur, instrukcji itp.)
- Przestrzeganie norm i standardów określonych w ramach grupy kapitałowej/ właścicielskiej, do której należy przedsiębiorstwo
- Przestrzeganie norm etycznych (najczęściej opisanych w przyjętym kodeksie etyki/ kodeksie etycznego postępowania)
„Twarda” zgodność z przepisami prowadzonej działalności gospodarczej jest kluczowa dla każdej firmy, gdyż stwierdzone w tym obszarze niezgodności mogą się spotkać z sankcjami dla organizacji lub kadry kierowniczej. Przede wszystkim chodzi o kary finansowe nakładane przez organy krajowe (jak np. UOKiK, Prezes UODO, Prezes UKE czy w sektorze finansowym KNF). Stąd compliance najczęściej kojarzy się z tymi przepisami, które są sankcjonowane karami finansowymi – taki straszak! A tak naprawdę o compliance powinniśmy myśleć pozytywnie: to zbudowanie w przedsiębiorstwie tarczy, aby pracownicy, kontrahenci i jakiekolwiek inne podmioty nie doprowadziły do sytuacji naruszenia. To słowo „naruszenie” powinno być interpretowane możliwie jak najszerzej i obejmować nie tylko organizację, ale i jej personel, aktywa, procesy oraz systemy. Uzupełniając myślenie o przepisach normami, które firma chce przestrzegać, uzyskujemy wizję przedsiębiorstwa nowoczesnego, wybiegającego dalej niż stanowią regulacje prawne, oczekującego więcej od swoich kontrahentów oraz oferującego szerszą ochronę interesów klientów, niż wymaga tego prawo. Nie brzmi to interesująco?
Jak wdrożyć compliance w firmie?
Przyznam szczerze, że to jedno z moich ulubionych pytań. Już na samo wyrażenie „wdrożenie compliance w firmie” uśmiecham się w duchu, ale używam je w tym artykule, bo przyjęło się w praktyce. Pomyślmy jednak rozsądnie: czy da się wdrożyć spełnienie obowiązków? Rozumiesz, do czego zmierzam?
To, co faktycznie można i powinno się wdrożyć w firmie, to rozwiązania mające na celu zapewnienie zgodności (w tym szerokim znaczeniu). Rozwiązania te przyjmują postać:
- Przyjęcia regulacji wewnętrznych (np. polityki, procedury, instrukcje)
- Stworzenia dokumentacji wewnętrznej (np. rejestry, zestaw klauzul informacyjnych)
- Powołania jednostek organizacyjnych lub/oraz stanowisk odpowiedzialnych za realizację tzw. Funkcji Compliance (np. Departamentu Compliance, oficerów compliance, managera ds. zgodności)
- Uregulowania procesów operacyjnych wg podejścia opartego na zarządzaniu zgodnością
- Wdrożenia narzędzi wykorzystywanych do celów zarządzania zgodnością
- Zapewnienia kultury compliance
- Podjęcia innych działań wewnątrz firmy, które zapewnią praktyczne funkcjonowanie zarządzania zgodnością, Funkcji Compliance oraz kultury compliance.
To ogólne spojrzenie na wdrożenie w firmie czegoś, co profesjonalnie nazywa się systemem zarządzania zgodnością (ang. Compliance Management System). Przedstawione wyżej rozwiązania powinieneś nazywać właśnie systemem, ponieważ tworzą one spójną całość. Nie myl pojęcia „system” z systemem informatycznym, tym bardziej, że angielski skrótowiec to CMS. Ten CMS odnosi się do kompleksowych rozwiązań, które pozwolą Twojej firmie uzyskać status compliance. I w tym przypadku jak najbardziej możemy mówić o wdrożeniu.
W ten sposób uzyskujemy jedyną słuszną odpowiedź na nie do końca poprawnie skonstruowane pytanie. Wdrożenie compliance w firmie polega na zbudowaniu, zaimplementowaniu i utrzymaniu systemu zarządzania zgodnością w strukturach i procesach przedsiębiorstwa.
Moje spostrzeżenia
Niestety na rynku mniej więcej co drugi prawnik świadczy usługi compliance oraz określa siebie mianem prawnika compliance. Dysponuje on kilkoma generalnymi wzorami polityk i procedur, skupia się na kilku obszarach, na które akurat jest trend (np. RODO, DORA), a często również obiecuje zapewnienie zgodności, które nazywa „compliance” dla bardziej profesjonalnego wydźwięku. Powinieneś mieć na uwadze, że zapewnienie zgodności z przepisami TERAZ nie oznacza, że Twoja firma pozostanie zgodna. A przecież powinno Ci zależeć na długotrwałym stanie zgodności.
Myśląc o compliance w firmie, trzeba zdać sobie sprawę z ewolucji myślenia i podejścia do kwestii zgodności. Compliance to krok dalej niż zgodność z przepisami. Jeśli chcesz wdrożyć zarządzania compliance w swojej firmie, musisz zrozumieć, że decydujesz się na „przeprogramowanie” myślenia całego personelu w zakresie stosowania się do wewnętrznych polityk i procedur. To właśnie tam zaimplementujesz system zarządzania zgodnością, ale inną kwestią jest jego faktyczne funkcjonowanie. To będzie możliwe dzięki kulturze compliance, z kolei do niej doprowadzi szereg działań opartych na właściwym rozumieniu pojęcia compliance (szkolenia, kontrole, przypomnienia, a nawet konkursy firmowe).
Osobiście chciałbym zachęcić wszystkich przedsiębiorców do wdrożenia zarządzania compliance w firmie (CMS). Nie jest to proste ani krótkotrwałe, a jeśli jakikolwiek (quasi)ekspert twierdzi inaczej, to zastanów się proszę, czy aby na pewno korzystasz z usług właściwej osoby. Zarządzanie zgodnością to szereg plusów i wielu korzyści, także tych związanych z zyskiem, jednak nie przyjdzie to samo po czarodziejskim ruchu różdżką. Efekty będą widoczne dopiero po ciężkiej pracy, ale mam dla Ciebie naprawdę dobrą radę: warto!
Potrzebujesz szczegółowej porady?
Jeśli potrzebujesz szczegółowego omówienia jakiegoś tematu, skontaktuj się ze mną. Wyślij wiadomość poprzez formularz kontaktowy w zakładce Kontakt, a wtedy zajmę się Twoją sprawą.
Ten artykuł może być ważny zarówno dla przedsiębiorców, jak i pracowników. Jeśli uznajesz go za przydatny, prześlij go innym. Możesz go udostępnić w swoich mediach społecznościowych, klikając jeden z poniższych przycisków. Jeśli interesuje Cię więcej porad na temat compliance przedsiębiorstw, polub stronę Bloga Compliance na LinkedIn, a także zapisz się do Newslettera GRC Compass. Korzystaj z oferowanych porad i informacji, a jeśli będziesz miał własne pytania – śmiało napisz do mnie!
