Чому наявність політики не є доказом того, що комплаєнс працює

Ви показуєте перевіряльнику товстий файл із політикою фінмоніторингу, а він питає: коли востаннє цю процедуру застосовували на практиці? І раптом у кімнаті стає тихо.

Чому політика сама собою нічого не доводить?

Політика — це намір, а не факт. Вона описує, що компанія обіцяла робити, але не містить доказів, що це хтось коли-небудь робив.

Регулятор, банк або аудитор завжди просять не саму політику, а приклади її застосування: конкретні рішення, протоколи комітетів, листування з ескалацією. Якщо компанія може показати лише документ без історії його використання, це сигнал, що процедура існує окремо від реальних процесів.

Досвід роботи з розслідуваннями і фінансовим моніторингом показує одну закономірність: компанії, у яких комплаєнс дійсно працює, мають не ідеальні політики, а задокументовані випадки, коли процедура зупинила операцію, конфлікт інтересів або угоду з проблемним контрагентом. Відсутність таких випадків — це або ідеальний бізнес без жодного ризику, що малоймовірно, або процедура, яку ніхто не застосовує.

Що насправді перевіряє регулятор, коли приходить з перевіркою?

Регулятор перевіряє відповідність дій компанії задекларованим процедурам, а не красу самого тексту політики. Він шукає розрив між тим, що написано, і тим, що відбувалося насправді.

На практиці це виглядає так: перевіряльник бере одну операцію або один епізод і просить показати весь ланцюжок — хто ініціював, хто перевіряв, на підставі чого ухвалили рішення, чи було це задокументовано в момент ухвалення, а не заднім числом. Якщо документи зʼявляються вже під час перевірки, а не в момент події, це зчитується як відсутність реального процесу.

Саме тому компанії, яким бракує доказової бази, часто намагаються відновити записи постфактум. Але дата створення документа, метадані файлу чи журнал системи здебільшого показують правду — і це перетворюється на додатковий ризик, а не на захист.

Як виглядає розрив між текстом політики і реальною практикою?

Розрив між написаною процедурою і фактичними діями — одна з найпоширеніших причин, чому компанія не витримує перевірки, навіть маючи формально правильні документи.

Показовий приклад того, як це працює на рівні цілих юрисдикцій, — розслідування OCCRP і партнерів про перенесення активів, повʼязаних із Романом Абрамовичем, яке Кіпрський парламент розглядав 23 жовтня 2026 року. За даними розслідування, компанії корпоративних послуг заднім числом оформлювали документи, щоб допомогти клієнту уникнути наслідків санкцій (OCCRP, 23.10.2026, https://www.occrp.org/en/news/cyprus-parliament-reviews-reports-on-abramovich-linked-asset-transfers).

Для українського бізнесу висновок простий: формальна наявність корпоративних процедур і документів нічого не означає, якщо дата й зміст цих документів не відповідають моменту реального рішення. Те саме стосується внутрішніх політик комплаєнсу — якщо протокол комітету зʼявляється через місяць після операції, а не в день її розгляду, це та сама проблема, тільки в менших масштабах.

Що таке доказова база, яку приймає банк або регулятор?

Доказова база — це хронологічно послідовні документи, створені в момент дії, а не реконструйовані після запиту. Банк або регулятор довіряє слідам, залишеним у реальному часі, а не поясненням, написаним заднім числом.

Мінімальний робочий набір доказів зазвичай включає: журнал ескалацій із датами й відповідальними особами, протоколи комітету з питань ризиків, листування про відмову від угоди або контрагента, записи про навчання персоналу з підписами й датами проходження, звіти про виявлені й опрацьовані інциденти.

Важливо, що ці документи мають показувати не лише позитивні рішення («ми перевірили і схвалили»), а й випадки відмови чи зупинки. Компанія, у якої за рік жодна операція не була зупинена чи ескальована, викликає більше питань, ніж та, що показує реальну статистику спрацювань і відмов.

Як перевірити, чи витримає ваша політика реальний тиск?

Щоб зрозуміти, чи працює політика насправді, а не лише існує на папері, варто провести внутрішній стрес-тест за кількома кроками.

1. Візьміть будь-яку операцію чи рішення за останні шість місяців і спробуйте відтворити повний ланцюжок дій виключно за наявними документами.
2. Перевірте дати створення документів — чи відповідають вони моменту події, чи зʼявилися пізніше.
3. Запитайте відповідальну особу, чи пам'ятає вона цей випадок без підказки з документа.
4. Порахуйте, скільки разів за рік процедура реально зупинила або відтермінувала рішення, а не лише формально «розглянула» його.
5. Перевірте, чи є у компанії записи про конфлікт інтересів, які виявили й опрацювали, а не лише форму декларування, яку ніхто не аналізує.
6. Оцініть, чи знає лінійний менеджер, що робити в нестандартній ситуації, без дзвінка юристу чи комплаєнс-офіцеру.

Якщо на будь-якому з цих кроків виникає пауза чи невпевненість — це і є точка, де політика розходиться з практикою.

Чия це відповідальність — писати політику чи стежити за її виконанням?

Відповідальність за написання політики й відповідальність за її виконання — це дві різні функції, і їх плутанина часто є коренем проблеми. Людина, яка складає документ, рідко має повноваження чи мотивацію контролювати, як він застосовується щодня.

Коли комплаєнс-функція підпорядкована тому самому керівнику, чиї рішення вона має перевіряти, виникає структурний конфлікт інтересів, який неможливо вирішити жодним текстом політики. Детальніше про те, як такий конфлікт виявляють на практиці, можна прочитати в матеріалі «Конфлікт інтересів: як його виявляють на практиці».

Проблема посилюється, якщо система моніторингу чи контролю побудована так, що її не розуміє навіть власна команда — тоді виконання процедури залежить від одного-двох людей, а не від робочого процесу. Про цю пастку йдеться в тексті «Як не побудувати систему, яку ніхто не розуміє».

Чим «паперовий» комплаєнс відрізняється від робочого?

Якщо перше реальне внутрішнє розслідування у вашій компанії відбувалося хаотично, це ще один індикатор розриву між текстом і практикою. Про те, що має статись у перші години після виявлення проблеми, йдеться в матеріалі «Внутрішнє розслідування: перші двадцять чотири години».

FAQ

Чи достатньо мати затверджену політику AML для проходження перевірки НБУ?

Ні, затвердженого документа недостатньо — перевіряльник завжди запитує докази застосування: журнали рішень, протоколи, записи про ескалації. Документ без історії виконання сприймається як формальність, а не як захист.

Що робити, якщо політика є, але доказів її виконання немає?

Почати варто з відновлення процесу вперед, а не назад: з моменту виявлення прогалини фіксувати всі рішення в реальному часі. Спроби реконструювати документи заднім числом створюють додатковий ризик, а не закривають його.

Чи можна побудувати доказову базу без окремого комплаєнс-відділу?

Можна, якщо власник або фінансовий директор особисто веде журнал ключових рішень і ризикових ситуацій із датами. Головне — послідовність і реальний час фіксації, а не масштаб структури.

Як інвестор чи донор відрізняє реальний комплаєнс від формального?

Інвестор зазвичай просить конкретні приклади застосування процедур за останній рік, а не саму політику. Відсутність прикладів або їхня одноманітність («усе завжди схвалювали») викликає більше питань, ніж відкрита статистика відмов.

Чи є звʼязок між якістю моніторингових систем і доказовою базою процедур?

Так, якщо система генерує забагато хибних спрацювань, команда починає ігнорувати сигнали, і доказова база перетворюється на формальність. Детальніше про цю проблему — в матеріалі «Хибні спрацювання в системі моніторингу: як зменшити без втрати ризику».

Чи потрібно переписувати всю політику, якщо виявлено розрив із практикою?

Не завжди — часто достатньо змінити процес фіксації рішень і навчити людей застосовувати вже наявну процедуру послідовно. Повне переписування має сенс лише тоді, коли сама логіка документа суперечить реальним бізнес-процесам.

Комплаєнс, який справді працює, лишає сліди: дати, підписи, відмови, ескалації, які можна показати без підготовки за ніч до перевірки. Почати варто не з переписування політики, а з чесної перевірки того, чи можна відтворити ланцюжок рішень за останні місяці виключно за наявними документами. Те, що не відтворюється, — це і є реальний стан справ, незалежно від того, що написано на титульній сторінці політики.