Compliance w małej i średniej firmie – od czego zacząć?

Compliance oznacza prowadzenie działalności zgodnie z prawem, wewnętrznymi zasadami firmy oraz przyjętymi standardami etycznymi. W małych i średnich przedsiębiorstwach nie musi ono przybierać formy rozbudowanego systemu znanego z dużych korporacji. Powinno jednak odpowiadać rzeczywistym zagrożeniom związanym z branżą, zatrudnieniem, klientami oraz sposobem przetwarzania informacji.

Dobrze zaplanowany system compliance pomaga wcześniej wykrywać nieprawidłowości, ograniczać ryzyko kar i sporów, a także jasno określać zasady postępowania pracowników. Punktem wyjścia zwykle nie jest tworzenie wielu dokumentów, lecz rozpoznanie najważniejszych obowiązków i ryzyk występujących w danej firmie.

Czym jest compliance w praktyce?

Compliance można rozumieć jako zbiór działań, które mają zapewnić zgodność funkcjonowania przedsiębiorstwa z obowiązującymi wymaganiami. Obejmuje ono zarówno przestrzeganie przepisów, jak i kontrolowanie, czy przyjęte procedury rzeczywiście są stosowane.

Zakres compliance zależy od charakteru działalności. Inne ryzyka występują w sklepie internetowym, inne w zakładzie produkcyjnym, firmie transportowej czy podmiocie świadczącym usługi medyczne. Znaczenie mogą mieć również wielkość zatrudnienia, rodzaj klientów, korzystanie z podwykonawców oraz obecność firmy na rynkach zagranicznych.

Nie istnieje jeden uniwersalny zestaw procedur odpowiedni dla każdego przedsiębiorstwa. System powinien być proporcjonalny do skali działalności i możliwy do stosowania w codziennej pracy.

Od czego rozpocząć wdrażanie compliance?

Pierwszym etapem powinna być analiza aktualnego sposobu działania firmy. Jej celem jest ustalenie, jakie przepisy mają zastosowanie do przedsiębiorstwa, gdzie mogą pojawiać się nieprawidłowości oraz kto odpowiada za poszczególne procesy.

Podczas wstępnego przeglądu warto uwzględnić przede wszystkim:

• ochronę danych osobowych i bezpieczeństwo informacji;
• zasady zatrudniania, wynagradzania oraz organizacji pracy;
• umowy zawierane z klientami, dostawcami i podwykonawcami;
• prawa konsumentów, reklamacje i komunikację handlową;
• podatki, księgowość oraz prawidłowy obieg dokumentów;
• przeciwdziałanie korupcji, konfliktom interesów i nadużyciom;
• ochronę konkurencji i zasady kontaktów z konkurentami;
• bezpieczeństwo produktów, usług oraz warunki prowadzenia działalności regulowanej;
• ochronę środowiska, jeżeli działalność firmy może na nie oddziaływać;
• możliwość zgłaszania nieprawidłowości i ochronę osób dokonujących zgłoszeń.

Taki przegląd pozwala stworzyć mapę ryzyka, czyli uporządkowany wykaz obszarów, w których naruszenie przepisów jest najbardziej prawdopodobne lub może spowodować najpoważniejsze konsekwencje.

Jak ocenić ryzyko prawne w firmie?

Nie każde ryzyko wymaga takiego samego poziomu kontroli. Przy jego ocenie zwykle bierze się pod uwagę prawdopodobieństwo wystąpienia nieprawidłowości oraz możliwe skutki finansowe, organizacyjne i wizerunkowe.

Szczególnej uwagi mogą wymagać procesy, w których pracownicy mają dużą swobodę podejmowania decyzji, przetwarzane są dane wrażliwe, występują znaczne przepływy finansowe albo firma współpracuje z licznymi podmiotami zewnętrznymi. Ryzyko może być większe również wtedy, gdy obowiązki nie zostały jasno podzielone lub najważniejsze decyzje nie są dokumentowane.

Ocena ryzyka powinna opierać się na rzeczywistym sposobie działania przedsiębiorstwa, a nie wyłącznie na jego formalnej strukturze. Nawet niewielka firma może prowadzić procesy wymagające rozbudowanych zabezpieczeń, zwłaszcza gdy wykorzystuje dane osobowe na dużą skalę albo działa w branży podlegającej szczególnym regulacjom.

Jakie dokumenty mogą tworzyć podstawę systemu?

Po zidentyfikowaniu najważniejszych zagrożeń można opracować podstawowe regulacje wewnętrzne. Ich liczba i szczegółowość powinny odpowiadać potrzebom firmy. Nadmiernie rozbudowana dokumentacja może być równie niepraktyczna jak całkowity brak zasad.

Jednym z podstawowych dokumentów może być kodeks etyki lub kodeks postępowania. Określa on standardy obowiązujące pracowników i osoby zarządzające, w tym sposób postępowania w przypadku konfliktu interesów, przyjmowania prezentów, kontaktów z kontrahentami czy korzystania z majątku firmy.

Uzupełnieniem mogą być procedury dotyczące ochrony danych, bezpieczeństwa informacji, zawierania umów, akceptowania wydatków, przeciwdziałania mobbingowi oraz reagowania na naruszenia. Dokumenty powinny jasno wskazywać, kto wykonuje określone czynności i do kogo należy zgłaszać problemy.

Procedura, której pracownicy nie rozumieją albo nie są w stanie stosować, nie zapewnia rzeczywistej ochrony. Dlatego regulacje powinny być napisane prostym językiem i dostosowane do codziennych sytuacji występujących w firmie.

Kto powinien odpowiadać za compliance?

W małej lub średniej firmie nie zawsze konieczne jest tworzenie oddzielnego stanowiska compliance officera, czyli osoby zajmującej się nadzorowaniem zgodności. Funkcję tę może pełnić wyznaczony pracownik, członek zarządu albo zespół składający się z osób odpowiedzialnych za kadry, finanse, bezpieczeństwo informacji i sprawy organizacyjne.

Istotne jest jednak, aby odpowiedzialność za system była wyraźnie przypisana. Osoba zajmująca się zgodnością powinna mieć dostęp do potrzebnych informacji oraz możliwość przedstawiania problemów osobom zarządzającym.

Ostateczna odpowiedzialność za organizację compliance pozostaje zwykle po stronie kierownictwa przedsiębiorstwa. Zaangażowanie właściciela lub zarządu pokazuje pracownikom, że przestrzeganie zasad nie jest wyłącznie formalnością. Materiały UOKiK dotyczące programów zgodności również podkreślają znaczenie zarządu dla wdrożenia i długofalowego funkcjonowania systemu.

Jaką rolę odgrywają szkolenia pracowników?

Samo przekazanie procedur nie oznacza, że pracownicy będą wiedzieli, jak zachować się w trudnej sytuacji. Dlatego elementem compliance powinny być krótkie i regularnie powtarzane szkolenia, dostosowane do stanowisk oraz rzeczywistych zagrożeń.

Osoby zajmujące się sprzedażą mogą potrzebować informacji dotyczących ochrony konsumentów i reguł konkurencji. Pracownicy działu kadr powinni znać zasady ochrony danych oraz równego traktowania. Z kolei osoby odpowiedzialne za zakupy mogą być szczególnie narażone na konflikty interesów lub próby wywierania niedozwolonego wpływu.

Szkolenia mogą opierać się na przykładach z codziennej pracy. Ważne jest również ich dokumentowanie, aby firma mogła wykazać, jakie informacje zostały przekazane pracownikom i kiedy to nastąpiło.

Czy firma potrzebuje procedury dla sygnalistów?

Przepisy przewidują obowiązek ustanowienia wewnętrznej procedury zgłaszania naruszeń przede wszystkim w podmiotach, na rzecz których pracę wykonuje co najmniej 50 osób. Liczbę tę ustala się według zasad określonych w przepisach. W niektórych sektorach, między innymi finansowych, obowiązek może występować niezależnie od liczby osób wykonujących pracę.

Mniejsze przedsiębiorstwo, które nie jest objęte takim obowiązkiem, może dobrowolnie stworzyć prosty kanał zgłoszeń. Może on ułatwić przekazywanie informacji o naruszeniach, zanim problem doprowadzi do poważniejszych skutków.

Mechanizm powinien zapewniać poufność, bezstronne rozpatrywanie zgłoszeń oraz ochronę przed działaniami odwetowymi. Należy także ustalić sposób rejestrowania zgłoszeń, prowadzenia postępowania wyjaśniającego i przekazywania informacji zwrotnej.

Jak sprawdzać kontrahentów?

Część zagrożeń może wynikać nie z zachowania pracowników, lecz ze współpracy z nierzetelnym dostawcą, pośrednikiem lub podwykonawcą. Dlatego przed rozpoczęciem ważnej współpracy może być uzasadnione sprawdzenie podstawowych informacji o kontrahencie.

Zakres weryfikacji powinien odpowiadać wartości i charakterowi transakcji. W praktyce może obejmować potwierdzenie danych rejestrowych, osób uprawnionych do reprezentacji, wymaganych zezwoleń oraz rachunku wykorzystywanego do rozliczeń. Przy współpracy o podwyższonym ryzyku znaczenie mogą mieć również powiązania osobowe, rzeczywisty zakres działalności i wiarygodność przedstawionych dokumentów.

W umowach można określić wymagane standardy postępowania, obowiązek zachowania poufności, zasady ochrony danych oraz konsekwencje stwierdzenia poważnych nieprawidłowości. Kontrola kontrahentów powinna być proporcjonalna i respektować przepisy dotyczące prywatności oraz ochrony danych.

Dlaczego system wymaga regularnych przeglądów?

Compliance nie jest jednorazowym projektem. Firma może zatrudniać nowych pracowników, wprowadzać produkty, korzystać z nowych technologii albo rozpoczynać działalność na kolejnych rynkach. Zmianom podlegają również przepisy i praktyka organów kontrolnych.

Okresowy przegląd pozwala ustalić, czy procedury są nadal aktualne i czy pracownicy rzeczywiście je stosują. Źródłem wiedzy mogą być zgłoszenia wewnętrzne, reklamacje klientów, wyniki kontroli, naruszenia bezpieczeństwa, spory z kontrahentami oraz powtarzające się błędy.

Po każdym istotnym zdarzeniu warto przeanalizować jego przyczyny. Celem nie powinno być wyłącznie wskazanie osoby odpowiedzialnej, ale również ustalenie, czy zawiodła procedura, podział obowiązków, szkolenie lub mechanizm kontroli.

Compliance powinno odpowiadać potrzebom firmy

W małej i średniej firmie skuteczny system compliance może być stosunkowo prosty. Najważniejsze jest rozpoznanie obowiązków, ocena ryzyka, przypisanie odpowiedzialności oraz stworzenie zrozumiałych zasad postępowania.

Dokumentacja powinna odzwierciedlać rzeczywiste procesy, a pracownicy powinni wiedzieć, jakie reguły ich obowiązują i gdzie mogą zgłaszać problemy. Regularne aktualizowanie systemu pozwala dostosowywać go do zmian w działalności przedsiębiorstwa oraz obowiązujących wymaganiach.

Więcej praktycznych porad prawnych można znaleźć na stronie kwkr.pl.