Розподіл повноважень: хто в компанії має право сказати «ні»

На нараді директор зупинив угоду, бо комплаєнс-офіцер сказав «ні» — а керівник не знав, чи має він право це перекрити. Сytuція розв'язувалася годинами, а операція вийшла за межі вікна для виконання.

Чому «право сказати ні» — це не про владу, а про архітектуру рішень?

Право вето — це інженерний елемент, а не політичний. Коли комплаєнс-офісер може лише «порадити», а остаточне рішення за CEO, система гарантовано ламається там, де бізнес-цілі конфліктують з регуляторними. У 2025 році внутрішній звіт французької Національної поліції зафіксував 341 порушення цілісності: неавторизовані запити до баз даних і хабарництво зростали саме тому, що контрольні функції не мали реального зупинного гальма OCCRP, 2026. Український бізнес часто копіює цю помилку: політики написані, але «функція другої лінії» не має мандату блокувати. Якщо комплаєнс не може зупинити платіж до підсанкційного бенефіціара на етапі ініціювання, банк зупинить його пізніше — із блокуванням рахунків, звітами до Державної фінансової моніторингової служби і втратою часу на розблокування. Ціна відсутності вето вимірюється не в абстрактних ризиках, а в конкретних зупинених операціях і репутаційних втратах.

Як зафіксувати право вето комплаєнсу, щоб воно працювало під тиском?

Право вето прописується в статуті комплаєнс-функції, затвердженому наглядовою радою, а не в внутрішньому наказі CEO. Документ має чітко визначати: список операцій, що потребують попередньої згоди комплаєнсу; термін відповіді (наприклад, 1 робочий день); процедуру ескалації, якщо бізнес не погоджується — до наглядової ради або комітету з ризиків. EBA у версні 2026 року нагадувала фінансовим установам про необхідність незалежності комплаєнс-функції та її прямого доступу до органу управління EBA, 2026. Без такого статуту будь-який «ні» комплаєнсу воспримається як порада, яку можна проігнорувати. Статус також має фіксувати захист комплаєнс-офіцера від розстору або дициплінарних санкцій за реалізацію права вето у добровірності — інакше функція стає декоративною за першого ж серйозного конфлікту.

Де проходить межа між консультацією та блокуванням операції?

Консультація — це оцінка ризику з рекомендацією мітигації. Блокування — це констатація, що операція виходить за межі апетиту до ризику і не може бути виправлена мітигацією в межах поточного процесу. Критерій простий: чи може операція бути виконана без порушення закону, внутрішніх полісів чи контрактних зобов'язань до інвесторів/донорів? Якщо ні — це вето. Якщо так, але з умовами — це консультація з обов'язковим фіксуванням умов у системі. Сіра зона виникає, коли апетит до ризику не скасовано або сформульований узагальнено («ми не порушуємо закон»). Такі формулювання не дають комплаєнсу опори для «ні». Практичний приклад: бізнес хоче швидко підписати договір з новим постачальником, у якого бенефіціар — ПЕП. Комплаєнс не блокує підписання як таке, але блокує перший платіж до завершення розширеної перевірки доброчесності. Це не «ні» бізнесу, це «ні» операції, яка створює необхідний ризик.

Як побудувати матрицю відповідальності для ситуацій тиску?

Створити окрему RACI-матрицю для критичних сценаріїв: вхід у нові ринки/юрисдикції, операції з пов'язаними особами, зміна бенеціарних власників, вирішення спори з регулятором, аномальні транзакції за правилами ФМ. Для кожного сценарію фіксуємо:

1. Initiator (хто ініціює) — бізнес-власник продукту.
2. Responsible (хто готує пакет) — операційна команда.
3. Accountable (хто підписує остаточне рішення) — CEO або CFO за делегацією.
4. Consulted (чию думку беремо) — комплаєнс, юридичний департамент, ризик-менеджмент, інфобезпека.
5. Veto (хто може заблокувати) — комплаєнс-офісер (для ризиків ФМ/санкцій/антикорупції), CRO (для фінансових ризиків).
6. Informed (кого повідомляємо) — наглядова рада (щоквартально), відповідальний за звітність до донорів/інвесторів.

Матрицю затверджує наглядова рада, переглядається раз на рік або після інциденту. Важливо: колонка Veto не дублює Consulted. Consulted дає експертизу, Veto приймає рішення про недопустимість ризику. Якщо ці ролі злити — відповідальність розмивається.

Що робити, коли бізнес ігнорує зауваження комплаєнсу?

Алгоритм ескалації працює лише тоді, коли він автоматизований і не залежить від особистої відваги комплаєнс-офіцера. Кроки:

1. Комплаєнс фіксує несогласування в системі (не в месенджерах, не усно) з посиланням на норму/полісі/апетит до ризику.
2. Автоматичне повідомлення йде CEO, CRO і секретареві наглядової ради.
3. Бізнес має 2 робочі дні надати письмове обґрунтування, чому ризик приймається.
4. Якщо обґрунтування відсутнє або не переконує — операція заморожується до рішення комітету з ризиків.
5. Рішення комітету протоколюється з позицією кожного учасника.

Цей механізм перетворює «конфлікт особистостей» на «процесуальний запис», який перевіряльник (або інвестор) зрозуміє за 5 хвилин. Європейські регулятори все частіше вимагають саме таку простежувальність: ESMA у вересні 2026 року оголосила про зміни в панелі Euribor, посиливши вимоги до прозорості процесів прийняття рішень ESMA, 2026. Відсутність такого протоколу під час перевірки кваліфікується як недолік внутрішнього контролю, навіть якщо операція зрештою виявилася безпечною.

Порівнянльна таблиця: консультація vs вето

FAQ

Чи може CEO перекрити вето комплаєнс-офіцера?

Так, якщо це прямо передбачено статутом комплаєнс-функції і процедурою ескалації. Але тоді CEO особисто підписує прийняття ризику, а рішення фіксується в протоколі наглядової ради. Без такого протоколу перекриття вето — це порушення процедури, яке регулятор кваліфікує як недолік управління. Це не «перемагає бізнес», це «бізнес бере на себе відповідальність письмово».

Чи потрібне вето комплаєнсу при кожній операції?

Ні. Право вето застосовується до операцій, що виходять за межі встановленого апетиту до ризику або потрапляють у перелік «високоризикових сценаріїв» (санкційний скринінг, ПЕП, складні корпоративні структури, перескладання угод). Рутинні операції в межах полісів проходять автоматизований контроль. Надлишкове використання вето знищує довіру бізнесу і перетворює комплаєнс на «відділ гальма».

Як переконати наглядову раду затвердити статус з правом вето?

Покажіть конкретні втрати: зупинені банками платежі, запити регулятора без готових відповідей, відмови інвесторів на етапі DD. Мова наглядової ради — фінансові наслідки та репутаційні ризики. Статус комплаєнсу — це інструмент захисту активів ради, а не розширення повноважень працівника. Аргумент «регулятор вимагає» працює гірше за аргумент «ми втратили X гривень/днів через відсутність мандату»

Що робити, якщо комплаєнс-офіцер заблокував операцію помилково?

Процедура ескалації вирішує це за 1-2 дні. Комітет з ризиків оцінює обґрунтування бізнесу і позицію комплаєнсу. Якщо вето було надлишковим — операція розблоковується, а комплаєнс отримує зворотний зв'язок для калібрування моделі ризиків. Помилка вето дешевша за помилку відсутності вето. Система, де вето ніколи не помилковне, — це система, де вето ніколи не використовується.

Як це працює в компанії без окремого комплаєнс-відділу?

Функцію другої лінії виконує призначена особа (CRO, юрист, фінансовий директор) з формальним статусом, незалежним від операційного підрозділу. Матриця RACI і статус функції пишуться так само — просто масштаб менший. Головне: особа, що каже «ні», не звітує перед особою, що хоче сказати «так». Якщо фінансовий директор одночасно відповідає за виручку і за комплаєнс — вето не спрацює в момент тиску на касовий зазор.

Чи стосується це лише банків і фінтеху?

Ні. Будь-яка компанія, що має інвесторів, донорів, працює з державою або є частиною ланцюга поставок великого корпорату, стикається з вимогами до незалежної перевірки доброчесності. Право вето комплаєнсу — це стандарт корпоративного управління за ISO 37301, а не банківська вимога. Агрархолдинг, що привертає за іноземним кредитом, IT-компанія, що йде на європейський публічний закупівля, благодійний фонд, що отримує грант — у всіх них ціна помилки комплаєнсу вимірюється втратою фінансування або ліцензії.

Чіткий розподіл повноважень «сказати ні» — це не бюрократія, а страховка від рішень, які виглядають правильно в момент прийняття, але руйнують компанію через півроку. Почніть із аудиту: у вас є статус комплаєнс-функції з правом вето? Є затверджений апетит до ризику? Є RACI для критичних сценаріїв? Якщо на хоча б одне запитання відповідь «ні» — саме звідси варто починати зміни, перш ніж регулятор або банк-кореспондент зробить це за вас.