Функцию называют по-разному, а закон определяет её один раз
Собеседование на позицию комплаенс-менеджера в банке среднего размера. Кандидат час рассказывает, как проверял контрагентов и сверял клиентов со списками. Потом его спрашивают: кто утверждает положение о службе внутреннего контроля и кому подотчётен её руководитель. Пауза.
Вопрос не придирка. Из ответа на него следует всё остальное: кто может отменить решение комплаенса, кто проверяет сам комплаенс и кого позовут к регулятору, когда риск реализуется.
Эта лекция — первая на маршруте профессии, и она не учит отдельной процедуре. Она собирает карту: что такое комплаенс как функция, где эта функция сидит в структуре организации, кому подотчётна, кто по закону обязан её иметь, что бизнес за неё покупает и сколько за неё платят.
Вторая и третья линии различаются не задачами, а подотчётностью. Это не схема из презентации консультанта: в российском праве различие записано буквально — положение о службе внутреннего контроля утверждает единоличный исполнительный орган, положение о службе внутреннего аудита утверждает совет директоров, и аудит проверяет в том числе сам комплаенс.
Восемнадцать тем идут от определения риска к месту функции в структуре, оттуда к кругу тех, кто обязан её иметь, дальше к единственной комплаенс-системе, которую можно принести регулятору и получить письменное заключение, и заканчиваются профессией: требованиями к руководителю, международным стандартом, деньгами и тем, чего комплаенс не обещает.
Правила внутреннего контроля и специальное должностное лицо по закону № 115-ФЗ, содержание антикоррупционных мер и конфликт интересов по существу, санкционные списки и скрининг, комплект внутренних документов и обучение работников, вина организации и размеры штрафов по КоАП, проверка контрагента — каждая из этих территорий разбирается отдельной лекцией плана развития. Здесь они только названы как направления одной профессии.
Фактура — дословный текст Положения Банка России № 242-П, Указания № 3223-У, законов № 86-ФЗ, № 402-ФЗ, № 135-ФЗ и № 4015-1, Разъяснений ФАС России № 20, обновления модели трёх линий института внутренних аудиторов и карточки стандарта ISO 37301:2021. Где источники расходятся или реквизит не сверен, это сказано прямо в теме.
Комплаенс-риск: единственное определение, которое есть в праве
Начинать карту профессии надо не с процедур, а с предмета. Предмет у комплаенса один — комплаенс-риск, и определён он в российском праве ровно один раз: в Положении Банка России от 16.12.2003 № 242-П «Об организации внутреннего контроля в кредитных организациях и банковских группах». Глава 4(1), где это определение живёт, введена Указанием Банка России от 24.04.2014 № 3241-У.
Формально норма адресована кредитным организациям. Практически ею пользуются все, потому что другой нормативной формулировки в стране нет.
«выявление комплаенс-риска, то есть риска возникновения у кредитной организации убытков из-за несоблюдения законодательства Российской Федерации, внутренних документов кредитной организации, стандартов саморегулируемых организаций (если такие стандарты или правила являются обязательными для кредитной организации), а также в результате применения санкций и (или) иных мер воздействия со стороны надзорных органов (далее — регуляторный риск)».
Четыре источника риска в одной строке
- Законодательство Российской Федерации. Очевидный источник, с которого начинают все.
- Внутренние документы самой организации. Нарушить можно собственный регламент — и это уже комплаенс-риск, даже если ни одна норма закона не задета.
- Стандарты саморегулируемых организаций — но с оговоркой в скобках: «если такие стандарты или правила являются обязательными» для организации. Добровольное членство в ассоциации сюда не попадает автоматически.
- Применение санкций и иных мер воздействия со стороны надзорных органов. Убыток приходит не от нарушения, а от меры воздействия.
Третий и четвёртый пункты — то, чего от определения не ждут. Большинство разговоров о комплаенсе крутится вокруг первого, и именно поэтому функцию регулярно путают с юридической: юрист смотрит в закон, комплаенс — ещё и в собственный регламент компании, и в обязательный стандарт отрасли, и в поведение надзора.
Слова «далее — регуляторный риск» в конце определения означают ровно то, что написано: дальше по тексту 242-П комплаенс-риск называется регуляторным. Банк России отдельно оговаривает, что регуляторный риск не является самостоятельным видом банковского риска наравне с кредитным или рыночным, а методологию управления им организация определяет сама во внутренних документах.
Практический вывод для первого дня работы: если вас просят «оценить комплаенс-риск сделки», вопрос состоит из четырёх, а не из одного. Что говорит закон, что говорит наш собственный регламент, что говорит обязательный для нас стандарт и как на это посмотрит надзор.
Дальше нужен аккаунт
Прогресс и монеты сохранятся.