Zarząd firmy transportowej z kilkudziesięcioma ciężarówkami postanawia „zrobić porządek z compliance” i w pierwszym odruchu zamawia komplet wzorcowych procedur, od polityki antykorupcyjnej po regulamin korzystania z poczty służbowej. Po kilku tygodniach okazuje się, że dokumentów jest dużo, ale żaden nie dotyczy spraw, które naprawdę spędzają sen z powiek, czyli czasu pracy kierowców, przewozów do krajów objętych sankcjami i danych z lokalizatorów GPS. Taki scenariusz pokazuje, że doradztwo compliance powinno zaczynać się od pytania o to, co w danej firmie może pójść źle, a dopiero potem od tworzenia procedur. W tym tekście opisuję, jak przeprowadzić ocenę ryzyka, skąd czerpać informacje, jak ustalić priorytety i jak przełożyć wyniki na konkretne działania.
Dlaczego ocena ryzyka jest punktem wyjścia?
Każda firma ma ograniczony budżet, czas i ludzi, których może przeznaczyć na sprawy zgodności z przepisami. Jeśli rozłoży te zasoby równomiernie na wszystkie możliwe obszary, w praktyce żaden z nich nie zostanie dobrze zabezpieczony. Ocena ryzyka pozwala skupić uwagę tam, gdzie naruszenia są najbardziej prawdopodobne albo najbardziej dotkliwe.
Ma ona też znaczenie dowodowe. Gdy dojdzie do problemu, organy i sądy coraz częściej pytają, czy firma znała swoje ryzyka i czy zareagowała na nie proporcjonalnie. Udokumentowana ocena ryzyka pokazuje, że procedury nie powstały przypadkowo, ale są odpowiedzią na rzeczywiste zagrożenia, co ma znaczenie przy ocenie należytej staranności firmy i jej zarządu.
Skąd brać informacje o ryzykach?
Ocena ryzyka nie powinna powstawać wyłącznie przy biurku prawnika. Najcenniejsza wiedza o tym, gdzie mogą pojawić się problemy, często znajduje się w głowach osób wykonujących codzienną pracę. Przydatnymi źródłami informacji są zazwyczaj:
- rozmowy z kierownikami działów, w szczególności sprzedaży, zakupów, finansów i operacji;
- historia kontroli, postępowań, sporów i reklamacji z ostatnich kilku lat;
- zgłoszenia od pracowników i sygnały od kontrahentów;
- analiza rynków, na których działa firma, w tym krajów objętych sankcjami lub o podwyższonym ryzyku korupcji;
- przegląd przepisów branżowych i zmian, które wchodzą w życie w najbliższym czasie;
- informacje o problemach innych firm z tej samej branży, opisywane w mediach lub decyzjach organów.
Rozmowy warto prowadzić w atmosferze, która nie sugeruje szukania winnych. Pracownicy chętniej mówią o tym, co ich niepokoi, gdy rozumieją, że celem jest zapobieganie problemom, a nie rozliczanie z przeszłości.
Jak oceniać i porządkować ryzyka?
Najprostsza metoda polega na ocenie każdego ryzyka w dwóch wymiarach, czyli prawdopodobieństwa wystąpienia i wagi skutków. Skutki mogą obejmować kary finansowe, odpowiedzialność osób zarządzających, utratę kontraktów, wykluczenie z przetargów czy szkody wizerunkowe. Połączenie obu ocen pozwala ustalić priorytet.
Skale nie muszą być skomplikowane. W wielu firmach wystarczy podział na niskie, średnie i wysokie wartości, opisany kilkoma zdaniami, tak żeby różne osoby oceniały ryzyka w podobny sposób. Ważniejsze od precyzji liczbowej jest to, żeby ocena była przemyślana i możliwa do wyjaśnienia.
Scenariusz – firma transportowa
Wróćmy do przewoźnika ze wstępu. Po rozmowach z dyspozytorami, działem finansów i kierowcami powstaje lista kilkunastu ryzyk, z których najważniejsze przedstawia poniższa tabela. Oceny mają charakter przykładowy i zależą od sytuacji konkretnej firmy.
| Ryzyko | Prawdopodobieństwo | Skutki | Priorytet | Właściciel |
|---|---|---|---|---|
| Naruszenia przepisów o czasie pracy i odpoczynku kierowców | wysokie | wysokie | pierwszy | kierownik operacyjny |
| Przewóz towarów objętych sankcjami lub dla podmiotów z list sankcyjnych | średnie | wysokie | pierwszy | dyrektor handlowy |
| Nieprawidłowe przetwarzanie danych z lokalizatorów GPS | średnie | średnie | drugi | kierownik HR |
| Wręczanie korzyści przy odprawach lub kontrolach drogowych | niskie | wysokie | drugi | członek zarządu ds. operacyjnych |
| Błędy w rozliczeniach podatkowych przewozów międzynarodowych | niskie | średnie | trzeci | główna księgowa |
Taka tabela od razu pokazuje, że polityka antykorupcyjna, choć potrzebna, nie powinna być pierwszym dokumentem przygotowanym w tej firmie. Pilniejsze są zasady planowania tras zgodnie z przepisami o czasie pracy oraz procedura weryfikacji klientów i ładunków. Przypisanie każdego ryzyka do konkretnej osoby sprawia, że ocena przestaje być teoretycznym ćwiczeniem i staje się planem pracy.
Od mapy do działań
Lista ryzyk sama w sobie niczego nie zmienia. Jej wartość ujawnia się dopiero wtedy, gdy firma zdecyduje, co zrobi z każdym z nich. W praktyce przejście od oceny do działania może wyglądać następująco:
- Ustalić, które ryzyka firma akceptuje, które chce ograniczyć, a których chce całkowicie unikać.
- Dla ryzyk o najwyższym priorytecie zaplanować konkretne środki, takie jak procedury, kontrole, szkolenia czy zmiany w systemach.
- Określić terminy wdrożenia i osoby odpowiedzialne za każdy środek.
- Ustalić sposób monitorowania, czyli jak firma sprawdzi, czy wprowadzone rozwiązania działają.
- Zaplanować przegląd oceny ryzyka, co najmniej raz w roku i przy każdej istotnej zmianie w działalności.
Najczęstsze błędy przy ocenie ryzyka
Pierwszym błędem jest jednorazowe podejście. Ocena przygotowana przy okazji wdrażania systemu compliance i nigdy niezaktualizowana szybko traci aktualność, bo firmy wchodzą na nowe rynki, zmieniają modele sprzedaży, a przepisy ewoluują. Drugim jest kopiowanie gotowych matryc ryzyka z innych organizacji, które mogą wyglądać profesjonalnie, ale nie odpowiadają specyfice danej działalności.
Trzeci problem to pomijanie ryzyk niewygodnych, na przykład związanych z zachowaniem członków zarządu czy kluczowych klientów. Ocena ryzyka, która omija najbardziej drażliwe tematy, daje fałszywe poczucie bezpieczeństwa i może okazać się bezwartościowa właśnie wtedy, gdy będzie najbardziej potrzebna. Dlatego część firm decyduje się na udział osoby z zewnątrz, która łatwiej zadaje trudne pytania.
Kiedy przydaje się wsparcie z zewnątrz?
Firma może przeprowadzić ocenę ryzyka samodzielnie, szczególnie jeśli ma osobę odpowiedzialną za compliance i doświadczonych kierowników. Kancelaria compliance albo inny zewnętrzny doradca przydaje się jednak wtedy, gdy organizacja robi to po raz pierwszy, działa w branży silnie regulowanej lub na wielu rynkach zagranicznych, a także wtedy, gdy potrzebuje niezależnej oceny dla inwestora, banku czy dużego kontrahenta. Adwokat compliance może ponadto ocenić, które z zidentyfikowanych ryzyk mogą prowadzić do odpowiedzialności karnej, i zasugerować, jak dokumentować ocenę w sposób bezpieczny dla firmy.
Compliance doradztwo w tym obszarze nie powinno jednak zastępować zaangażowania samej organizacji. Doradca pomaga uporządkować proces i nazwać ryzyka, ale to pracownicy i zarząd wiedzą najlepiej, jak firma funkcjonuje na co dzień.
Od czego zacząć?
Dobrym pierwszym krokiem jest godzinne spotkanie z kierownikami kilku działów i zadanie im jednego pytania o to, co w ich obszarze mogłoby doprowadzić do poważnych problemów prawnych w ciągu najbliższego roku. Zebrane odpowiedzi, nawet nieuporządkowane, stanowią zwykle zaskakująco trafny szkic mapy ryzyk. Dopiero na tej podstawie warto decydować, które procedury przygotować w pierwszej kolejności, zamiast zaczynać od kompletu dokumentów, który może nie odpowiadać na rzeczywiste potrzeby firmy.
