W naszej poprzedniej publikacji spróbowaliśmy przedstawić tematykę zgodności „w pigułce”. Jednak chcielibyśmy rozwijać opisane tam wątki w ramach kolejnych, szczegółowych publikacji.
W prasie, piśmiennictwie czy materiałach internetowych znajdziemy już wiele publikacji na temat „compliance”, zwłaszcza podatkowego i środowiskowego. Po co zatem kolejny?
Jesteśmy przede wszystkim praktykami, dlatego patrzymy na kwestię zapewnienia zgodności i minimalizacji ryzyk przez pryzmat naszych doświadczeń. Dlatego widzimy potrzebę praktycznego i zrozumiałego przedstawienia tematów, które są ważne, a często jednak pomijane.
Czemu są pomijane?
Niejednokrotnie trudno jest identyfikować ryzyko, które jest mało uchwytne. Dopóki organy nie rozpoczną postępowania, zakwestionują nie przedstawią zarzutów, nie myśli się o konieczności zabezpieczenia.
Paradoksalnie, często nie pomaga to, że kwestia zgodności doczekała się już istotnego oparcia naukowego. Nawet bowiem przedstawiane w sposób prosty sugestie o tym, że organizacja powinna „nasiąknąć” duchem zgodności, czy że kluczowy jest przykład idący z góry („Tone at the top”) bywają bardzo abstrakcyjne. Mało który użytkownik przyswoi sobie graficzne skalowanie idei GRC (Governance, risk management and compliance), nie mówiąc o zbudowaniu osobistego, poniekąd emocjonalnego stosunku do niej.
Jednocześnie, cały czas spotkać się można z podejściem, że procesy, procedury, instrukcje itp. są akceptowalne jako konieczne, ale postrzegane jako „martwe” prawo. Organizacja powinna je posiadać, bowiem wymagają tego przepisy czy oczekiwania różnych interesariuszy, ale „prawdziwe” życie toczy się gdzie indziej swoim torem.
Stąd bazując na naszych doświadczeniach widzimy, że podstawowym wyzwaniem jest osiągnięcie odpowiedniego balansu pomiędzy tym co wymagane czy rekomendowane, tym co faktycznie jest możliwe do wykonania i tak naprawdę potrzebne. Im zaś więcej doświadczenia zyskujemy, tym bardziej widzimy jak ważny jest czynnik ludzki, zwłaszcza nastawienie personelu zaangażowanego w te procesy.
Będziemy się starać kreślić te granice i opisywać związane z tym dylematy – przede wszystkim zaś jak my staramy się sobie z nimi radzić. Chociaż są to projekty „szyte na miarę”, to jednak pewne założenia i fundamenty należy poczynić na początku każdego projektu.
Punktem wyjścia jest przy tym zawsze określenie ryzyk czy wymogów i ich ocena. Nie każde z nich są tak samo istotne czy ważne. Sprawą indywidualnego „apetytu na ryzyko” jest określenie jak szczegółowo planujemy się chronić, natomiast nigdy nie jest dobrym pomysłem pomijanie czy odpuszczanie ryzyk najistotniejszych. Często dzieje się tak, gdy środki dla ich minimalizacji wydają się zbyt uciążliwe. O tych środkach, czyli poszczególnych czynnościach i procesach warto i trzeba rozmawiać, szukać czegoś najsensowniejszego dla danej organizacji.
Z drugiej strony przestrzega będziemy przed trywializowaniem praktyki. Sprowadzanie procesów do bardzo uproszczonych założeń, ignorowanie złożoności ryzyk itp. nie służą skuteczności własnego compliance.
To zaś właśnie „skuteczność” jest podstawowym celem w zakresie compliance. Ale nie skuteczność rozumiana jako brak materializacji ryzyk. To nie jest możliwe, tak jak profilaktyka zdrowotna nigdy nie daje gwarancji braku zachorowania. Skuteczność oznacza, że dane procesy są faktycznie stosowane i jednocześnie budują/podnoszą świadomość użytkowników. Minimalizacja ryzyk jest wówczas naturalną konsekwencją – tylko tyle i aż tyle.
