Чому наявність політики не є доказом того, що комплаєнс працює

Бачу це регулярно: компанія привозить томну політику на перевірку, а через місяць банк блокує платіж, бо ніхто не знає, як діяти за інструкцією з того самого документа.

Чому регулятор дивиться не на полізку, а на «шрами» від рішень

Відповідь проста: документ не може пояснити, чому саме так вийшло в конкретній ситуації. Коли банк зупиняє операцію під фінмоніторингом, він запитує не «де ваша політика», а «що ви робили, щоб перевірити контрагента до відправки платежу». Відсутність запису дій — це провал, навіть якщо політика ідеальна.

Практика Національного банку України та європейських регуляторів (EBA) показує: оціночні методики SREP і оновлені вимоги до публікації NSFR з 1 листопада 2026 року змушують банки демонструвати якість управління ризиками даними, а не кількістю сторінок регуляментів. Регулятор шукає слід процесу: хто ініціював перевірку, які джерела використав, який висновок зробив, чому вирішив пропустити або заблокувати.

У французькій Національній поліції за 2025 рік фіксувалися 341 порушення доброчесності — несанкціоновані запити до баз даних і хабарництво — незважаючи на наявність внутрішніх кодексів етики та процедур контролю. Звіт внутрішнього наглядового органу підтвердив: наявність правил не завадила системним порушенням, бо реальний контроль за дотриманням був слабким або імітаційним (OCCRP, 2025). Це класичний приклад: політика є, а системи прийняття рішень — ні.

Як виглядає «політика для галочки» на практиці

Типова картина: документ на 40 сторінок, затверджений наказом директора, розісланий поштою з проханням «ознайомитися та підписати». У політиці — правильні цитати з ISO 37301, Закону України «Про запобігання корупції», рекомендацій FATF. Але:

• немає матриці ризиків, з якої виросла політика
• не описано, хто і як приймає рішення у типових сценаріях (новий клієнт, підозріла операція, запит партнера, санкційний тревога)
• немає шаблонів запису висновків: чек-лист due diligence, протокол комітету, нотатка комплаєнс-офіцера
• ніхто не несе відповідальності за недотримання — жодного дисциплінарного caso за рік

Це не комплаєнс. Це паперова оболонка, яка розвалюється при першому запиті банку або приходу інспекторів.

Що таке доказова база і як її будувати

Доказова база — це не архів підписаних поліс. Це ланку записів, яка відтворює хід мислення комплаєнс-офіцера або приймача рішення в конкретний момент. Мінімальний набір для одного сценарію (наприклад, онбординг клієнта):

1. Запит клієнта з датою надходження
2. Результат скринінгу по санкційних списках, PEP, негативних медіа (скріншот або лог системи з датою)
3. Аналіз бенефіціарної власності (схема + джерела даних)
4. Оцінка ризику з обґрунтуванням: чому низький/середній/високий
5. Рішення: прийняти, прийняти з умовами, відмовити — з підписом відповідального і датою
6. План моніторингу для цього клієнта (якщо прийнято)

Коли таких ланок накопичується десятки за місяць — у вас з'являється система. Коли є лише політика — у вас є документ.

Порівняння: «політика для перевірки» vs робоча система комплаєнс

Від чого починати, щоб політика запрацювала

1. Зробити інвентаризацію сценаріїв прийняття рішень. Перелічіть 10-15 ситуацій, де комплаєнс реально впливає на бізнес: онбординг, платіж, договір, подарунок, конфлікт інтересів, санкційний алерт, запит доходу, الداخلي розслідування, зміна бенефіціара, вихід на новий ринок.
2. Для кожного сценарію — описати процес, а не правило. Не «проводити перевірку», а «крок 1: менеджер надсилає анкету; крок 2: комплаєнс запускає скринінг; крок 3: аналітик готує нотатку; крок 4: керівник підписує рішення».
3. Вбудувати фіксацію в робочі інструменти. Не окрема таблиця в Excel, а поле в CRM, статус в BPM, обов'язкове завантаження скріншота скринінгу перед переведенням етапу.
4. Призначити власників ризиків у бізнесі. Комплаєнс-офіцер не може бути єдиним відповідальним за всі рішення. Власник клієнта — власник ризику клієнта. Фінансист — власник ризику платежу. Закупівля — власник ризику постачальника.
5. Запустити щомісячний перегляд 5-10 рішень. Випадкова вибірка: чи є всі ланки доказової бази? Чи обґрунтовані висновки? Чи були дії згідно описаного процесу? Результати — на планерці керівництва.
6. Провести стрес-тест раз на півроку. Симуляція: банк заблокував великий платіж, регулятор прислав запит, медіа публікують негатив про контрагента. Хто, за скільки часу, з якими документами відповідає?

Як відповідати інвестору або донору на питання «де ваш комплаєнс»

Інвестор не просить надіслати політику. Він просить data room. У ньому мають бути:

• Матриця ризиків з оновленнями за останні 12 місяців
• Звіт комплаєнс-офіцера до ради/власника за останні 4 квартали
• Вибірка протоколів комітетів з рішеннями по вищих ризиках
• Статистика: скільки клієнтів відхилено, скільки платежів заблоковано, скільки розслідувань проведено, які виправлення впроваджено
• Результати останнього незалежного аудиту або самооцінки за ISO 37301
• План дій на рік з KPI

Якщо з цього списку є лише політика — розмова буде короткою. Я бачила це десятки разів: інвестор йде, коли бачить, що комплаєнс — це папка на Google Drive, а не частина операційної моделі.

Як Верховний Суд України підтвердив: формалізм не замінить суттю

Позиція Верховного Суду з.cloudflare 2026 року стосувалася процесного права, але принцип універсальний: «Процесуальні вимоги мають забезпечувати належний розгляд справи, а не створювати формальні перешкоди для реалізації процесуальних прав» (Верховний Суд, 2026). Перенесення на комплаєнс: процедури мають забезпечувати якісне прийняття рішень, а не створювати паперову перешкоду для бізнесу. Коли політика стає метою самої по собі — вона перестає бути інструментом управління ризиками.

FAQ

Чи обов'язково мати письмову політику комплаєнс?

Так. Згідно із Законом України «Про запобігання корупції» (ст. 14) та вимогами NBU, політика — обов'язковий елемент. Але вона необхідна, а не достатня умова ефективності.

Яка мінімальна доказазова база для невеликої компанії без окремого відділу комплаєнс?

Для кожного сценарію (клієнт, платіж, договір, постачальник): запит, результат перевірки (скріншот/лог), коротка нотатка з висновком, рішення з датою і ім'ям. Зберігати в структурованому вигляді (CRM, папка з іменованими файлами, BPM-система).

Як переконати керівництво, що комплаєнс — це не гальмо?

Показати цифри: скільки платежів розблоковано за рік за рахунок готової нотатки, скільки угод збережено завдяки своєчасному виявленню ризику, скільки штрафів уникнуто. Мова бізнесу — втрачені/збережені гроші і час.

Що робити, якщо банк вимагає політику «вчора»?

Надати політику, але одночасно почати будувати доказову базу. Банк прийме політику за форму, але при наступному запиті буде шукати логи. Краще мати і те, і те.

Чи можна автоматизувати збір доказової бази?

Так. BPM-системи, CRM з обов'язковими полями, інтеграція скринінгових сервісів з автоматичним збереженням результатів у картці клієнта/платежу. Головне — не забути про людський елемент: обґрунтування рішення не може бути автоматизованим повністю.

Як часто оновлювати політику?

При зміні ризиків (новий ринок, новий продукт, зміна санкційного режиму, зміна власності) — негайно. Планово — раз на рік з залученням власників ризиків у бізнесі. Оновлення «за датою» без аналізу змін — той самий формалізм.

Комплаєнс, який працює, — це не документ на полиці. Це сукупність звичок приймачати рішення за описаним алгоритмом, фіксувати хід думки і вміти показати це третій особі за 15 хвилин. Політика — це карта. Доказова база — це сліди на мапі, які доводять, що ви йшли туди, де треба, а не просто малювали лінії.