Jedną z kluczowych regulacji wewnętrznych każdej świadomej organizacji jest Code of Conduct (Kodeks postępowania), przez wielu nazywany swoistą „biblią organizacji”.

Definiuje i wyznacza kierunek postępowania, zarówno w perspektywie długofalowej jak również w bieżącej, codziennej działalności (ang. on a daily basis). Rolą tej regulacji wewnętrznej jest możliwie precyzyjne określenie zbioru kluczowych wartości, zasad, pryncypiów i reguł, którymi kieruje się dana organizacja w ramach realizacji obowiązków statutowych.

Symptomatycznym jest, iż na przestrzeni ostatnich lat, a w szczególności ostatnich kilkunastu miesięcy, co raz to więcej organizacji wprowadza, bądź rozważa takowe wprowadzenie do swojego zbioru wymogów, regulację opatrzoną tytułem: “Kodeks Postępowania”.

Imperatyw Kategoryczny a compliance

W tym miejscu dochodzimy do rozważań z pogranicza prawa, etyki oraz filozofii. Przywołany tutaj kodeks postępowania w formie praktycznej, a nie tylko i wyłącznie teoretycznej, powinien stanowić swoistą egzemplifikację teorii Imperatywu Kategorycznego Immanuela Kanta, a więc:

“Należy postępować zawsze wedle takich reguł, co do których chcielibyśmy, aby były one stosowane przez każdego i zawsze”

Na pierwszy rzut oka, można odnieść wrażenie, iż przywołanie teorii rodem z filozofii w kontekście prowadzenia działalności gospodarczej w XXI wieku, jest nie na miejscu. Jednakże wydaje się, iż wdrażanie szeregu regulacji wewnętrznych, z wspomnianym kodeksem postępowania na czele, jest pewną formą dążenia organizacji do usystematyzowania pewnego zbioru i sposobu zachowań w świecie szeroko rozumianego biznesu.

Jest to forma wprowadzenia i zastosowania teorii “lustrzanego odbicia”, której celem jest wdrożenie takich zasad do naszego “business as usual”, wedle których sami chcielibyśmy być traktowani jako konsumenci lub też partnerzy biznesowi.

W dobie tzw.”KPI” (Key performance indicators) oraz “kulturze ASAP” (as soon as possible), a przede wszystkim wszechobecnej presji wyniku, optymalizacji i nieustannego dążenia do zwiększania efektywności,  znalezienie odpowiedzi na powyższe pytania stanowi nie lada wyzwanie.

W trakcie większości konferencji poświęconych tematyce compliance jak również w wielu opracowaniach na temat szeroko rozumianej zgodności, wielokrotnie można spotkać się z teorią nawiązująca do efektywności i skuteczności systemów compliance wewnątrz organizacji. Teoria ta wskazuje dwa możliwe kierunki, w których rozwinąć może się system compliance wewnątrz danego podmiotu:

Jednym z nich jest “compliance in books” (pol. System zgodności działający jedynie w teorii/na papierze), który stanowić będzie podręcznikową definicję systemu zgodności w organizacji, w której wprowadzono szereg regulacji wewnętrznych. Ponadto pracownicy i kadra zarządzająca zostali zaznajomieni i być może nawet przeszkoleni z wymogów o charakterze wewnętrznym, aczkolwiek jest to wyłącznie teoria, która niestety często nie znajduje odzwierciedlenia w codziennej praktyce danej organizacji.

W zdecydowanej opozycji względem powyższej metody funkcjonowania systemu zgodności, znajduje się teoria “Compliance in action“. Nawiązując do wspomnianego wcześniej Imperatywu Kategorycznego Immanuela Kanta, druga z wspomnianych teorii równoznaczna jest z zastosowaniem w praktyce nadrzędnych zasad, wartości i reguł, które zostały określone w treści regulacji wewnętrznych, a więc implikuje ona postępowanie organizacji oraz jej przedstawicieli w sposób, wedle którego “chcielibyśmy, aby było ono stosowane przez każdego i zawsze”.

Kodeks postępowania, sama nomenklatura tej regulacji wewnętrznej jest rzeczą umowną, a wręcz wtórną. Kluczowym dla realizacji postulatów zawratych w treści rzeczonego kodeksu, a w konsekwencji urzeczywistnienie teorii “compliance in action“, jest nierozerwalnie związane z kwestią właściwego szkolenia pracowników oraz budowania świadomości kultury organizacyjnej panującej wewnątrz danego podmiotu jak również, o ile nie przede wszystkim, postępowanie kadry wyższego szczebla w zgodzie z teorią “lead by example” oraz “tone from the top” (pol. Zarządzanie poprzez dawanie dobrego przykładu, wyznaczanie pozytywnych wzorców zachowań).

Niejednokrotnie w trakcie szkoleń dla nowych pracowników (ang.: new joiners) oficerowie compliance/specjaliści ds. zgodności, powtarzają, iż kluczowym przesłaniem szkolenia wstępnego z zakresu compliance jest zrozumienie, a przede wszystkim wdrożenie w życie pryncypialnej zasady:

„Za compliance, za działanie w zgodzie z powszechnie obowiązującym prawem, jak również w zgodzie z wymogami regulacji wewnętrznych, a także etyczne prowadzenie działalności naszej firmy, odpowiadają wszyscy pracownicy, bez wyjątku.”

Nie chodzi tutaj o nawiązanie do nowelizacji Ustawy o odpowiedzialności podmiotów zbiorowych za czyny zabronione pod groźbą kary ¹⁾http://www.sejm.gov.pl/sejm8.nsf/agent.xsp?symbol=RPL&Id=RM-10-190-18 lecz o wdrożenie i utrzymanie pewnego określonego zbioru zasad i reguł, wedle których w perspektywie długofalowej, dana organizacja  prowadzić będzie swoją działalność. Chodzi tu o uświadomienie pracownikom, istoty i roli tzw. „pierwszej linii obrony” (o czym poniżej), jednak nie z punktu widzenia akademickiego, lecz praktycznego. Wskazanie konkretnego systemu czy też zbioru wartości, którymi poza powszechnie przyjętymi normami kieruje się dana organizacja w ramach swojej bieżącej działalności.

Praktyczne zastosowanie teorii: “Compliance in action”

 

Samo zapoznanie się z regulacjami wewnętrznymi, przeprowadzenie szkoleń czy to „twarzą w twarz” czy też cyklicznych szkoleń online, nie jest równoznaczne z wdrożeniem tych zasad w życie i stosowaniem ich w codziennej pracy.

Uświadamianie istotnej roli wszystkich, bez wyjątku, pracowników danej organizacji w realizacji procesu zapewnienia zgodności i etycznego prowadzenia działalności gospodarczej jest kluczową przesłanką, niezbędną dla właściwego zrozumienia istoty compliance.

W ramach implementacji rozwiązań mających na celu ochronę organizacji przed nadmiernym ryzykiem, a więc systemów prewencji, podstawową rolę odgrywa pojęcie „3 linii obrony” (przyp. Koncepcja spopularyzowana przez Instytut Audytorów Wewnętrznych). Koncepcja trzech linii obrony opiera się o trzy, zazębiające się filary. Pierwszym z nich są pracownicy, osoby wykonujące czynności operacyjne, biznesowe, mające bezpośredni bądź pośredni kontakt z klientem (np. pracownicy biurowi, sprzedawcy, call center). Pierwsza linia obrony to również ten obszar, w którym zlokalizowane jest “właścicielstwo” danego ryzyka, to tutaj implementowane są również wszelkie działania naprawcze oraz mitygujące zmaterializowanie się ryzyka. Drugą linię obrony konstytuuje jednostka compliance (kontroli wewnętrznej/zgodności) oraz ryzyka, a także funkcja sprawująca kontrolę finansową danego podmiotu. Druga linia obrony stanowi funkcję kontrolną względem pierwszej, weryfikuje czy procesy i mechanizmy zaimplementowane w ramach pierwszej linii obrony są dostosowane do potrzeb organizacji oraz czy w sposób efektywny identyfikują, rozpoznają i zarządzają ryzykiem towarzyszącym działalności organizacji. Natomiast rolę trzeciej linii obrony wewnątrz organizacji pełni komórka audytu, której rola i funkcja wewnątrz organizacji powinnna cechować się niezależnością i obiektywnością w ramach podejmowanych działań, mających na celu zapewnienie efektywności, dwóch poprzedzających linii obrony, w zakresie zarządzania ryzykiem, a także systemu kontroli wewnętrznej.

Idea trzech linii obrony ma za zadanie wprowadzenie możliwie najbardziej kompleksowego i jednocześnie wieloetapowego systemu prewencji wewnątrz organizacji, a także minimalizowania ryzyka (operacyjnego czy też finansowego bądź reputacyjnego).

Świadome organizacje, dążące do minimalizacji ryzyka występującego w ramach prowadzonej działalności, poprzez efektywne szkolenie i uświadamianie pracowników konstytuujących każdą z trzech wspomnianych linii obrony, a przede wszystkim urzeczywistnienie wymogów regulacji wewnętrznych i zastosowanie ich w praktyce, zyskują nie tylko możliwość na efektywne zarządzanie ryzykiem, ale przede wszystkim na budowę kultury organizacyjnej opartej o współpracę, dążenie do wspólnego celu, w sposób określony i zaakceptowany przez ogół.

Jednakże wdrożenie, nawet najbardziej skrupulatne, koncepcji trzech linii obrony, nie gwarantuje oraz nie jest jednoznaczne ze skutecznym przeciwdziałaniem postępowaniu niepożądanemu oraz efektywną ochroną organizacji.

Niebagatelne znaczenie ma tutaj koncepcja „tone from the top” (pol.: wzorzec zachowania wyznaczany przez kadrę zarządzającą), która wraz z pojęciem zarządzania “lead by example” stanowią swoiste uzupełnienie powyżej opisanego modelu trzech linii obrony.

Jakiś czas temu, dokładnie 28 września 2017r. w trakcie VIII edycji Polsko-Niemieckiego Forum Compliance, jeden z prelegentów wygłosił znamienne słowa, które stanowią uzupełnienie omawianego powyżej modelu „trzech linii obrony”:

„Strong management is not the one having problems with compliance. It’s the weak one.”

Analizując powyższy cytat, warto zwrócić uwagę na sformułowanie „strong management” czyli taki zarząd, taka kadra zarządcza wysokiego i średniego szczebla która nie boi się delegowania zadań, utworzenia jednostki zgodności i kontroli wewnętrznej oraz wyposażenia jej w realne przymioty i atrybuty pozwalające na efektywne zarządzanie ryzykiem. Chce zarządzać organizacją w sposób transparentny i przede wszystkim zgodny z powszechnie obowiązującym prawem i wymogami regulacji wewnętrznych danej organizacji, a przede wszystkim w swoim codziennym działaniu nie zapomina o kluczowych wartościach i zasadach jakie dany podmiot uznał za wiodące. Poprzez to nie wykorzystuje swojej pozycji do wywierania bezpośredniego i/lub pośredniego wpływu na bieżące funkcjonowanie jednostki compliance. Wspiera i propaguje kulturę organizacyjną opartą na jasno określonych i wybrzmiewających głośno wartościach. Propaguje i wspiera wśród pracowników ideę postępowania w zgodzie nie tylko z powszechnie obowiązującym prawem i regulacjami wewnętrznymi, ale także standardami etycznymi i przede wszystkim “sztandarowymi” wartościami danej organizacji.

Rola zarządu i kadry menadżerskiej ma kluczowe znaczenie dla efektywnego systemu zgodności wewnątrz organizacji. Dzieje się tak ponieważ nawet właściwe wdrożenie i dostosowanie koncepcji trzech linii obrony, bez właściwego przykładu i wzorca określonego typu zachowań, pochodzącego bezpośrednio od kadry zarządzającej, stanowić będzie jedynie, wspomniane powyżej, „Compliance in books, not in action”.

Otoczenie prawno-regulacyjne, niezależnie od sektora, w którym prowadzimy działalność, zmienia się bezustannie. Liczba wymagań i obostrzeń rośnie z dnia na dzień, tylko w pierwszym półroczu 2019r., według „obliczeń firmy audytorsko – doradczej Grant Thornton, w I półroczu 2019 r. uchwalono w Polsce 11,8 tys. stron maszynopisu nowych aktów prawnych”²⁾http://barometrprawa.pl/. Spory kawałek tortu legislacyjnego, o którym mowa w zdaniu poprzedzającym, stanowi szereg wymogów skierowanych ku przedsiębiorstwom, przedsiębiorcom. Rolą jednostki compliance, co nie ulega najmniejszej wątpliwości, jest właściwe „mitygowanie ryzyka prawno – regulacyjnego” poprzez zapewnienie zgodności z wymaganiami aktów prawnych dedykowanych czy to do ogółu czy też węższej grupy odbiorców. Niezależnie jednak od tego czy liczba aktów prawnych uchwalanych przez ustawodawcę będzie rosła w tempie 6% w skali roku, jak ma to miejsce obecnie, czy też wyższym bądź niższym, prowadzenie działalności w zgodzie z normami etycznymi, zasadami współżycia społecznego, podążanie za przyjętymi wartościami, w perspektywie długofalowej, bez wątpienia, będzie niosło za sobą wymierne korzyści.

Nie tylko reputacyjne.

Principium compliance

 

Dlatego też percepcja i uświadamianie pracowników, kontraktorów, kontrahentów oraz kadry zarządzającej przy jednoczesnym budowaniu zaufania w relacjach z „klientami wewnętrznymi/interesariuszami” wewnątrz organizacji (ang. stakeholders) stanowi principium compliance. Im większa będzie świadomość dotycząca konieczności działania w zgodzie z prawem, regulacjami wewnętrznymi oraz normami społecznymi, tym większa szansa na skuteczne zarządzanie ryzykiem.

Budowanie kultury organizacyjnej opartej o działanie w zgodzie z wymogami, wprowadzenie punktów kontaktu dla pracowników, umożliwiających bieżące konsultacje decyzji biznesowych z właściwymi jednostkami wewnątrz organizacji (m.in.: compliance, dział prawny, HR). Takie podejście, pozwala na minimalizację wystąpienia ryzyka braku zgodności. Im większa świadomość wspólnej odpowiedzialności za działania i zaniechania organizacji, tym mniejsze ryzyko narażenia danego podmiotu na ryzyko reputacyjne czy też ewentualne sankcje.

Percepcja to również budowanie świadomości wszystkich interesariuszy danej organizacji, począwszy od pracowników, zleceniobiorców, poprzez kadrę zarządzającą średniego szczebla, zarząd na podmiotach stowarzyszonych i kontrahentach kończąc, świadomości odpowiedzialności za działania i zaniechania w trakcie realizacji czy to obowiązków zawodowych czy też będących przedmiotem umowy zlecenia, współpracy. Wytworzenie kultury organizacyjnej, w której to wszyscy opisani powyżej interesariusze danej organizacji czują się odpowiedzialni nie tylko za wynik finansowy, ale także sposób w jaki ów wynik finansowy ma zostać wypracowany. Jest to odpowiedzialność za reputację organizacji, poprzez działanie w zgodzie z najwyższymi standardami.

Jak zaznaczono powyżej: „Za compliance odpowiadają wszyscy pracownicy, bez wyjątku.” Utworzenie jednostki compliance wewnątrz organizacji nie wiąże się i nie jest równoznaczne z osiągnięciem statusu organizacji działającej w sposób etyczny, odpowiedzialny i zgodny z prawem. To proces, w którym udział biorą wszyscy pracownicy i zleceniobiorcy, a także wszystkie jednostki organizacyjne. Jedną z kluczowych ról poza funkcją compliance, działem prawnym, HR, odgrywać będą tutaj tzw. „operacje”, a więc funkcja kluczowa z punktu widzenia sprawności operacyjnej i organizacyjnej organizacji.

Efektywne i transparentne wdrożenie procesów, adaptacja ich i optymalizacja wewnątrz organizacji, a w szczególności uwzględnienie w ramach tych procesów weryfikacji czynności mogących stymulować pojawienie się zwiększonego ryzyka, jest zasadniczym elementem procesu budowy świadomości, a przede wszystkim sprawnego systemu zarządzania ryzykiem. Przykładem wspomnianej weryfikacji może być tzw.: ”procedura SPOE” (second pair of eyes) bądź „4 eyes” (czworo oczu). Pojęcia te używane są zamiennie i de facto oznaczają tę samą procedurę, tj. wzajemną weryfikację czynności podejmowanych przez pracowników (również na równorzędnych stanowiskach).

Poprzez budowanie świadomości i odpowiedzialności za organizację, którą tworzymy, rozumiemy również podejmowanie decyzji w oparciu o ekspercką wiedzę poszczególnych obszarów/funkcji wewnątrz organizacji. Bedąc jednocześnie w pełni świadomymi, iż każda decyzja, podejmowana w ramach realizacji obowiązków określonych w opisie naszego stanowiska pracy/wynikająca ze stosunku umownego, niesie za sobą określone ryzyka, zarówno w odniesieniu do osoby podejmującej decyzję jak również w kontekście funkcjonowania organizacji jako całości.

Zatem powinniśmy stawiać sobie pytanie w duchu Immanuela Kanta:

Czy zasady, reguły i sposób postępowania którymi kieruje się na co dzień organizacja, którą reprezentuję są tymi, które chcielibyśmy aby były stosowanie przez każdego i zawsze?