Конфлікт інтересів: як його виявляють на практиці

Побачила, як внутрішній аудит витягнув 127 операцій, які на вигляд були рутиновими платежами за постачання, а виявилися схемами виведення коштів через пов'язані структури.

Як виявити конфлікт, якщо у всіх чиста декларація?

Декларація фіксує стан на момент подачі. Конфлікт же народжується в динаміці: рішення про закупівлю, зміна умов договору, призначення відповідального менеджера. У разі екс-гендиректора енергокомпанії в Іраку внутрішнє розслідування виявило 127 шахрайських транзакцій, які формально пройшли всі етапи затвердження — але ланцюг контрагентів вез до однойнієї групи бенефіціарів OCCRP, 2026-09-18.

Тому початкова точка — не декларація, а матриця повноважень: хто ініціював, хто погодив, хто підписав, хто отримав вигоду. Якщо ці ролі концентруються в одній групі людей без незалежного контролю — це маркер ризику. Практика показує: найбільш небезпечні конфлікти не ховаються в деклараціях, а маскуються за процедурною легітимністю. Кожен етап погодження має підпис відповідальної особи, але ніхто не перевіряє, чи не є ці особи пов'язаними через треті структури.

Які дані перехрещуєте першими?

Три шари: (1) реєстр бенефіціарів контрагентів та їхніх зв'язків з працівниками компанії; (2) історія платежів за одиницями ТД/КЕКВ — чи не повторюються одні й ті ж кінцеві отримувачі за різними контрактами; (3) HR-дані: родинні зв'язки, спільні адреси, минуле співробітництво ключових приймачів рішень. У грузинській справі екс-керівника Державної служби безпеки корупційна схема розкрилася через аналіз потоків грішень — понад 2 мільйони доларів пройшли через фірми-посередники, пов'язані з родичами посадових осіб OCCRP, 2026-09-18.

Додатковий шар — відкриті судові реєстри та реєстри банкрутств. Якщо контрагент або його бенефіціар фігурував у справах про банкрутство з ознаками навмисного банкрутства, або якщо судові рішення фіксують зв'язки з особами, що перебувають у розшуку — це тригери для розширеної перевірки. Не менш важливо моніторити зміни у статусі ПЕП (публічно впливових осіб) та їхніх близьких: надання повноважень людині, яка стала ПЕП, або родичі якої потрапили у санкційні листи, миттєво змінює ризик-профіль вже існуючих угод.

Як організувати внутрішнє розслідування, щоб воно витримало перевірку?

1. Мандат і ізоляція — команда розслідування звертається безпосередньо до керівництва/наглядової ради, не через лінію, яка може бути залучена.
2. Повний доступ — офіційне дозволення зчитувати логи систем, пошту, чати, банківські виписки без погодження з перевірюваними.
3. Фіксація цепочки доказів — кожен крок документається з часовою міткою, хеш-сумами файлів, підписами слідчих.
4. Незалежна правова оцінка — зовнішній юрист кваліфікує факти за статтями ККУ/Закону про запобігання корупції перед передачею в НАБУ/СБІ/ПГО.
5. Комунікаційний протокол — хто, коли і яким чином інформує регулятора, банк, інвесторів, щоб уникнути обвинень у приховуванні.
6. Захист викривача — гарантована анонімність заявника на етапі тригеру, незалежно від результату розслідування.

Без пункту 2 розслідування перетворюється на «перегляд наданого». Без пункту 3 — на «спогади учасників». Без пункту 4 — на «внутрішню замітку», яку суд/регулятор не прийме як доказ. Справа про Huawei в США демонструє, як десятиліття операцій через ланцюги дочірніх компаній та пов'язаних осіб розкривається лише тоді, коли слідчі отримують повний доступ до кореспонденції та фінансових потоків по всьому ланцюгу контролю ICIJ, 2026-09-18.

Які чергові ознаки (red flags) у платіжних потоках?

Як працювати з «м'якими» конфліктами: родини, друзі, колишні колеги?

Жорстка політика «заборона найму родичів» не працює — вона просто гнане зв'язки в тінь. Практичний підхід: обов'язкове оголошення про близькі зв'язки при призначенні на посаду з впливом на закупівлі/кредитування/комплаєнс. Автоматичний запуск розширеної перевірки (enhanced due diligence) на кожен договір, де залучена оголошена особа. Квартальний звіт на наглядову раду по кількості таких оголошень і результатах перевірок — це демонструє контроль, а не заборону.

Важливо відокремити «конфлікт інтересів» від «потенційного конфлікту» та «вигляду конфлікту». Вигляд конфлікту (наприклад, колишній колега став власником контрагента) вимагає прозорості: оголошення, перевірка умов угоди на ринковість, залучення незалежного експерта для оцінки ціни. Потенційний конфлікт (близький родич працює в конкурентній фірмі) вимагає бар'єрів інформації (Chinese walls) та обмеження доступу до конфіденційних даних. Тільки істотний конфлікт (особиста фінансова вигода від укладення угоди) вимагає відсторонення від прийняття рішення.

Що робити, коли конфлікт виявлено під час укладення угоди?

Відповідь залежить від стадії: до підписання — відмова від угоди або переміщення прийняття рішення на незалежний комітет. Після підписання до виконання — призупинення виплат, аудит уже виконаних етапів, повідомлення банку/регулятора про виявлений ризик із зазначенням заходів мітигації. Після виконання — внутрішнє розслідування, відшкодування збитків, дисциплінарні/кримінальні кроки. Ігнорування «дрібного» конфлікту створює прецедент: система не працює, і наступного разу його не помітять спеціально.

Алгоритм дій (playbook) має бути заапровований нагородою керівництва і відомий кожному менеджеру закупівель/кредитів: 1) Стоп-сигнал — призупинення процесу оплати/підписання. 2) Класифікація ризику (низький/середній/високий) за методологією компанії. 3) Призначення відповідального слідчого (не з підлеглих підозрюваному). 4) Термінова комунікація з юрвідділом та комплаєнсом. 5) Рішення комітету: мітигація / відмова / ескалація в правопорядку.

Як будувати систему постійного моніторингу конфліктів?

Одноразовий скринінг при онбордингу контрагента або працівника дає знімок минулого. Конфлікти народжуються в реальному часі: зміна бенефіціара контрагента, вступ родича працівника до ПЕП-реєстру, виявлення спільної нерухомості у менеджера закупівель та директора постачальника. Потрібна архітектура: автоматизований щоденний/тижневий скринінг баз даних (єдиний реєстр бенефіціарів, ПЕП-реєстри, санкційні листи, судові реєстри, реєстр масових адрес) проти актуальних реєстрів повноважень і контрагентів. Алерти потрапляють в кейс-менеджмент комплаєнсу з пріоритезацією за роллю особи (C-level, закупівлі, казначейство, комплаєнс — найвищий пріоритет). Щоквартальний звіт на наглядову раду: кількість алертів, кількість запущених перевірок, кількість підтверджених конфліктів, заходи реакції. Це єдиний спосіб довести: система жива, а не «для галочки».

Як довести регулятору/банку, що система не формальна?

Покажіть трейл: (а) кількість запусків перевірок за ініціативою комплаєнсу, а не аудитора; (б) статистика відмов у укладанні угод після виявлення зв'язків; (в) приклади зміни рішень на етапі погодження через піднятий прапор; (г) незалежний аудит комплаєнс-функції за останні 12 місяців. У справі про екс-прем'єр-міністра Малайзії антикорупційний орган зафіксував, що системний контроль спрацював лише тоді, коли перевірка стала незалежною від політичного впливу Transparency International, 2026-09-18.

Банки-кореспонденти та донори все частіше запитують не «чи є політика», а «скільки угод ви відмовилися укласти за рік через виявлений конфлікт» і «наведіть приклад, коли комплаєнс перекрив рішення топ-менеджера». Відсутність таких прикладів — це червоний прапор для контрагента. Наявність документованих кейсів ( навіть анонімізованих) — найсильніший аргумент у переговорах про ліміти, строки розрахунків та умови грантів.

FAQ

Чи обов'язкова окрема політика конфлікту інтересів або досить Кодексу етики?

Кодекс етики задає принципи. Політика конфлікту інтересів описує процедуру: як оголошувати, хто розглядає, якими термінами, які заходи мітигації передбачені, як фіксується відмова від участі у прийнятті рішення. Без процедури кодекс невиконуваний. Політика має передбачати форму оголошення, реєстр оголошень, матрицю заходів мітигації за рівнем ризику і процедуру ескалації.

Як обробляти дані про родинні зв'язки без порушення GDPR?

Збираєте лише необхідний мінімум (ПІБ, ступінь спорідненості, посада) за згодою суб'єкта даних для конкретної меті — запобігання конфлікту інтересів. Зберігаєте в обмеженому доступі, псевдонімізуєте у звітах, видаляєте за закінченням строків дії повноважень особи. Правова основа — ст. 6 абз. 1 л. c) GDPR (виконання правового зобов'язання щодо антикорупційного законодавства) або ф) (легітимний інтерес контролера у запобіганні фінансовим збиткам та репутаційним ризикам).

Що таке «технічний конфлікт» і чи потрібно його фіксувати?

Технічний конфлікт — формальна наявність зв'язку (наприклад, дві компанії мають спільного бенефіціара на 1%), але немає ризику впливу на умову угови. Фіксуєте в реєстрі з оцінкою ризику «низький» і обґрунтуванням, чому мітигація не потрібна. Це демонструє, що процес працює, а не ігнорується. Якщо таких «технічних» конфліктів стає багато — це сигнал переглянути пороги значущості участі.

Як діяти, якщо конфлікт виявлено у топ-менеджера, який контролює комплаєнс?

Ескалація безпосередньо до голови наглядової ради / аудиторського комітету / власника. Тимчасове відсторонення від прийняття рішень за напрямком конфлікту. Залучення зовнішнього слідчого бюро. Повідомлення регулятора/банку про самовиявлення (self-disclosure) — це єдиний шлях зберегти ліцензію/репутацію. Спроба «вирішити внутрішньо» зазвичай закінчується кваліфікацією як прикриття злочину.

Чи можна автоматизувати виявлення конфліктів повністю?

Автоматизація покриває скринінг реєстрів, моніторинг платежів, алерти по змінах у структурах власності. Вона не замінить експертну оцінку контексту: чи є зв'язок істотним, чи рішення прийнято за ринковими умовами, чи існує альтернатива. Машина дає сигнал — людина приймає рішення. Найкраща архітектура: rule-based engine для тригерів + ML для виявлення аномалій у графі зв'язків + людський аналітик для кваліфікації.

Які терміни реакції на виявлений конфлікт вважаються адекватними?

Внутрішні стандарти: первинна оцінка — до 2 робочих днів, повне розслідування простого випадку — до 10 днів, складного — до 30 днів з проміжним звітом. Регулятор оцінює не термін формально, а наявність документованого процесу і його дотримання. Ключове — фіксація дати отримання сигналу, дати старту перевірки, дати прийняття рішення. Пробіли в хронології інтерпретуються як намірна затримка.

Як інтегрувати перевірку конфліктів у процес закупівень без гальма бізнесу?

Вбудовуйте чекпоінти в ERP: 1) На етапі створення заявки — автоперевірка ініціатора та затверджувачів на наявність оголошених зв'язків з потенційними учасниками. 2) На етапі кваліфікації учасників — скринінг бенефіціарів проти реєстру оголошень працівників. 3) На етапі прийняття рішення комітетом — обов'язкове поле «Результат перевірки на конфлікт» у протоколі. Це додає хвилини до процесу, але створює незривний аудит-трейл.

Виявлення конфлікту інтересів — це не разовий акт, а безперервний процес перехрещування даних, незалежного огляду рішень і документованої реакції. Система, яка генерує алерти і фіксує відмови від угод через виявлені зв'язки, витримує першу справжню перевірку. Та, що має лише чисті декларації — ні.