Роль наглядової ради в комплаєнсі: за що вона відповідає особисто
- Наглядова рада особисто відповідає за тону «зверху», незалежність комплаєнс-функції і ресурсування системи — делегувати це неможливо.
- Провали в моніторингу конфліктів інтересів, санкційного скринінгу чи 내부х розслідувань фіксуються саме як провали нагляду, а не як помилки лінійних менеджерів.
- Регулятори (НБУ, EBA, міжнародні донори) перевіряють наявність доказової бази рішень ради: протоколи, запити, вимоги до звітності — не папери для архіву.
За роками роботи з регтех-проєктами і розслідувань я зробила один висновок: наглядова рада, яка лише підписує полиси, стає першою мішнею, коли система ламається.
Чому «підписання полісів» не витримує перевірки регулятора
Регулятор не питає: «Чи є політика?». Він питає: «Як рада реагувала, коли політика не спрацювала?». У практиці Національного банку України та міжнародних перевірок (SREP, EBA guidelines on internal governance) фокус змістився з наявності документів на доказову базу управління ризиками.
EBA у листі-алерті від 25 вересня 2026 року підкреслила: недоліки во внутрішньому управлінні банків найчастіше пов'язані з недостатнім залученням наглядової ради до питань комплаєнсу та AML — саме рада повинна вимагати конкретних метрик ефективності, а не форматних звітів. https://www.eba.europa.eu/node/20044
Коли банк отримує претензію за порушення фінмоніторингу, перевіряльники вимагають протоколи нарад, де рада обговорювала: чому система пропустила підозрілу операцію, які ресурси виділені на виправлення, хто несе відповідальність. Якщо таких протоколів немає — рада тратить місяці на відновлення довіри регулятора.
Які обов'язки неможливо делегувати менеджменту
Як рада встановлює тону «зверху» на практиці
Відповідь: Рада затверджує ризик-апетит, схвалює бюджет комплаєнс-функції, призначає і знімає CCO, вимагає регулярних звітів без фільтрації CEO і особисто реагує на повідомлення 휘istleblowing-каналу.
Це не теорія. У справі про французьку Національну поліцію (звіт внутрішнього нагляду за 2025 рік) фіксується 341 порушення доброчесності: несанкціоновані запити до баз даних, хабарництво, витік даних. Корінна причина — відсутність ефективного нагляду за додержанням етичних стандартів керівництвом. Коли «тон зверху» декларативний, система розвалюється на першому стрес-тесті. https://www.occrp.org/en/news/france-corruption-cases-in-the-police-force-surged-in-2025
У українській практиці: рада, яка не вимагає від CCO прямих звітів без участі CEO, фактично блокує комплаєнс-функцію. Це виявляється під час перевірки НБУ — перевіряльники запитують: «Як часто CCO звертався до ради напряму останні 12 місяців?».
Як рада контролює конфлікт інтересів у топ-менеджменту
Відповідь: Рада затверджує політику конфлікту інтересів, pessoально перевіряє декларації CEO і C-рівня, рішає питання про дозвіл на угоді з пов'язаними особами і ініціює незалежні розслідування при сигналах.
Делегування цього процесу безпечникам або HR призводить до того, що конфлікти «розв'язуються» внутрішньо без фіксації. Інвестор під час due diligence запитує реєстр конфліктів і рішення ради за останні 3 роки. Порожній реєстр — червоний прапорець. Дивіться практику виявлення: /blog/konflikt-interesiv-yak-yoho-vyayvlyayut-na-praktytsi.
Як рада забезпечує незалежність комплаєнс-функції
Відповідь: Рада затверджує штатне розписання комплаєнс-відділу, гарантує, що CCO звітує безпосередньо до ради (не через CFO/CEO), захищає CCO від операційного тиску і не дозволяє скорочувати комплаєнс-бюджет без обґрунтування ризиків.
Практичний маркер: якщо CCO бере участь у комітетах з кредитування або продажів як голосуючий — незалежності немає. Рада має це контролювати через щоквартальні приватні сесії з CCO без топ-менеджменту.
Чек-лист: за що наглядова рада відповідає особисто (і не може передати)
| # | Область відповідальності | Доказова база для перевірки | Частота контролю радами |
|---|---|---|---|
| 1 | Схвалення ризик-апетиту та комплаєнс-стратегії | Протокол ради з обґрунтуванням лімітів, сценарії стрес-тестування | Щорічно + при зміні умов |
| 2 | Призначення/зняття CCO, фіксація прямих ліній звітності | Постанова ради, описання посади CCO, реєстр прямих звітів до ради | При змінах + щоквартально |
| 3 | Ресурсування комплаєнс-функції (штат, б'юджет, інструменти) | Б'юджетна розписка, штатне розписання, закупівлі скринінгових систем | Щорічно при затвердженні б'юджету |
| 4 | Контроль конфліктів інтересів топ-менеджменту | Реєстр декларацій, протоколи розгляду угод з пов'язаними особами | Щоквартально |
| 5 | Реакція на whistleblowing та внутрішні розслідування | Реєстр сигналів, рішення ради по кожному, терміни розслідувань | Щомісячно / за фактом |
| 6 | Ефективність санкційного скринінгу та AML-моніторингу | KPI якості (false positive/negative rate), звіти про виявлення/пропуски | Щоквартально |
| 7 | Перевірка якості due diligence контрагентів та БК | Зразки додержання процедур, аудит вибірки угод | Напіврічно |
| 8 | Навчання ради та ключових виконавців з комплаєнсу | Атестації, сертифікати, програми тренінгів | Щорічно |
Як готуватись до діалогу з регулятором: питання, які зададуть раді
Які метрики комплаєнсу рада перевіряє щоквартально
Відповідь: Кількість і якість whistleblowing-сигналів, час реакції на інциденти, % пропусків санкційного скринінгу (false negative), ресурсна навантаженість комплаєнс-команди, статус виправлення попередніх зауважень регулятора.
Не приймайте звіт «все добре». Вимагайте динаміку: скільки сигналів закрито без розслідування, скільки розслідувань призвело до дисциплінарних заходів, чи зростає кількість повідомлень (це знак довіри до системи, а не проблеми).
Як рада доводить 독립ність CCO при перевірці
Відповідь: Пред'являє протоколи приватних сесій з CCO, описання посади з прямим звітністю до ради, історію затвердження/відхилення б'юджету комплаєнсу, відсутність операційних KPI у CCO (обсяги продажів, кредитний портфель).
Що робити, якщо CEO блокує доступ CCO до ради
Відповідь: Рада має у статуті/положенні прописати право CCO на прямий звернення. Блокування — підстава для розгляду питання про невідповідність CEO. У практиці: рада ініціює незалежний аудит комплаєнс-функції та повідомляє регулятора про порушення корпоративного управління.
Поширені пастки наглядових рад
Пастка 1: «Ми затвердили політику — ми виконали обов'язок». Політика без моніторингу виконання, без ресурсів на впровадження, без системної перевірки ефективності — це папір, який регулятор кваліфікує як імітацію.
Пастка 2: Делегування контролю за комплаєнсом аудиткомутету без компетенцій. Аудіткомітет часто фокусується на фінзвітності. Комплаєнс вимагає окремого фокусу або спеціалізованого комітету ради з комплаєнсу/етики (якщо дозволяє розмір ради).
Пастка 3: Ігнорування «м'яких» сигналів. Висока текучість кадрів у комплаєнсі, скарги працівників на тиск продажів, затримки закупівлі скринінгових систем — це ранні індикатори проблем. Рада має реагувати на них проактивно.
Пастка 4: Відсутність власної компетенції радників. Якщо жоден з членів ради не розуміє різницю між AML-скринінгом і санкційним, між due diligence і KYC — рада не здатна ставити правильні питання. Навчання ради — не опція, а вимога ISO 37301 та EBA guidelines.
Зв'язок з інвестиційною привабливістю та донорською здатністю
Міжнародні інвестори та донори (ЄС, МВФ, Світовий банк) під час due diligence запитують: склад ради, наявність незалежних директорів з компетенцією у комплаєнсі/ризиках, протоколи обговорення ключових ризиків, історію реакції на інциденти. /blog/shcho-pereviryaie-mizhnarodnyi-investor-pered-vhodom-u-kompaniyu
Порожні протоколи або їх відсутність — автоматичний «red flag», який підвищує вартість капіталу або блокує угоду. Рада, яка веде обґрунтований діалог з ризиками, стає конкурентною перевагою.
Як не побудувати систему, яку ніхто не розуміє
Часта помилка: рада схвалює складну архітектуру політик, комітетів, матриць відповідальності, яку не здатна операційно контролювати. Результат — «комплаєнс для галочки», який розвалюється при першому кризовому сценарії. /blog/iak-ne-pobuduvaty-systemu-iaku-nikhto-ne-rozumie
Рада має вимагати: простоту звітності (one-pager для ради), чіткі лінії ескалації, автоматизовані дашборди ключових ризик-індикаторів. Складність — ворог контролю.
FAQ
Чи несе наглядова рада кримінальну відповідальність за провали комплаєнсу?
Українське законодавство (КЗоУ, Закон «Про банки та банківську діяльність», Закон «Про запобігання та протидію легалізації») передбачає адміністративну та кримінальну відповідальність посадових осіб за невиконання зобов'язань з фінмоніторингу. Практика судочинства: керівники банків притягувалися до відповідальності за системачне ігнорування вимог AML. Рада як коллегіальний орган відповідає в межах свого повноваження — провал нагляду кваліфікується як порушення банківського законодавства.
Яка різниця між відповідальністю наглядової ради та виконавчого органу?
Виконавчий орган (Правління/CEO) відповідає за впровадження і операційне управління ризиками. Наглядова рада відповідає за стратегічне визначення ризик-апетиту, ресурсування, незалежність контролю і реакцію на системні провали. Рада не мікроменеджерить — вона вимагає звітності про ефективність.
Чи може член наглядової ради бути одночасно CCO?
Ні. Це прямий конфлікт інтересів і порушення принципу незалежності комплаєнс-функції (EBA Guidelines on internal governance, ISO 37301, вимоги НБУ). Член ради не може контролювати себе. У банківській сфері НБУ перевіряє це критично.
Як часто наглядова рада має збиратися саме з комплаєнс-питань?
Мінімум щоквартально — повний звіт CCO. Щомісячно — дашборд ключових індикаторів (без наради, у письмовому вигляді). При kritичних інцидентах (внутрішнє розслідування, претензія регулятора, великий санкційний ризик) — позачергово за 24-48 годин.
Що таке «комплаєнс-комітет ради» і чи він обов'язковий?
Спеціалізований комітет наглядової ради з комплаєнсу, етики та ризиків. Обов'язковий для системно важливих банків за вимогами НБУ та EBA. Для інших компаній — рекомендований за ISO 37301 як good practice. Дозволяє готувати рішення для ради глибше, ніж це можливо на загальних нарадах.
Як перевірити ефективність комплаєнс-системи без поглинання в операційну діяльність?
Через 3-5 ключових KPI: (1) % whistleblowing-сигналів, розглянутих у строк; (2) false negative rate санкційного скринінгу (по незалежному аудиту); (3) час від виявлення ризику до рішення ради; (4) % рекомендацій внутрішнього аудиту/комплаєнсу, реалізованих за рік; (5) наявність/відсутність зауважень регулятора по суті комплаєнсу (не по формам).
Наглядова рада, яка ставить ці питання і вимагає відповідей з цифрами і термінами — єдиний бар'єр між компанією і системним првалом. Політики пишуть юристи. Культуру відповідальності формує рада. Саме за це неї запитують інвестори, донори і регулятори. І саме за це вона несе персональну відповідальність.
Матеріал підготовлено за допомогою штучного інтелекту та перевірено авторкою перед публікацією. Це загальне пояснення принципів, а не індивідуальна юридична чи фінансова консультація: конкретна ситуація потребує окремого розгляду.