Внутрішнє розслідування: перші двадцять чотири години

Телефон дзвонить зранку: хтось повідомив про можливе шахрайство всередині компанії, і перші рішення вам треба ухвалити ще до того, як ви встигнете це усвідомити повністю.

Що означає «перші двадцять чотири години» у внутрішньому розслідуванні?

Це вікно, протягом якого докази ще існують у своєму природному стані — до того, як їх видалять, перепишуть або забудуть. Електронні листи перезаписуються бекапами, камери стирають записи за графіком, співробітники встигають узгодити версії між собою.

Після цього вікна ви все ще можете розслідувати, але вже не відтворите первинну картину. Саме тому перші двадцять чотири години — це не про швидкість заради швидкості, а про те, щоб зафіксувати стан речей раніше, ніж він почне змінюватися під впливом самого факту розслідування.

З чого почати, коли сигнал про зловживання щойно надійшов?

Почати треба не з обвинувачення, а з ізоляції інформації: хто вже знає про сигнал, і як зробити так, щоб коло обізнаних не розширювалося безконтрольно. Паралельно потрібно одразу зафіксувати час і форму надходження сигналу — усно, письмово, через канал для повідомлень.

Перша година йде не на висновки, а на рішення про периметр: які системи, акаунти і документи підпадають під збереження (legal hold), і хто технічно за це відповідає. Якщо немає окремої функції розслідувань, цю роль бере на себе той, хто отримав сигнал першим — і фіксує кожен свій крок письмово, з позначкою часу.

Як зафіксувати докази так, щоб вони витримали перевірку чи суд?

Докази фіксуються з обов'язковим протоколюванням ланцюга зберігання: хто отримав доказ, коли, у якому вигляді, і куди він передавався далі. Без цього найсильніший доказ по суті не має ваги, бо його походження неможливо підтвердити.

Практично це означає: копії файлів знімаються з контрольною сумою, доступ до систем логується, а кожна розмова з причетними особами фіксується письмово одразу після завершення, а не через кілька днів по пам'яті. Верховний Суд України, узагальнюючи практику протидії зловживанням у справах про банкрутство, підкреслив підхід до перевірки обґрунтованості вимог кредитора та виявлення штучної заборгованості — тобто суд дивиться саме на механіку створення боргу, а не лише на факт його існування (Юрліга, 21.10.2026). Це пряма ілюстрація того, чому фіксація механіки важливіша за фіксацію самого порушення.

Кого залучати в перші години, а кого тримати осторонь?

У перші години залучається мінімальне коло: той, хто ухвалює рішення про старт розслідування, юридичний радник і технічний спеціаліст, який відповідає за збереження даних. Керівники підрозділу, де стався інцидент, зазвичай залучаються пізніше — саме вони можуть виявитися причетними або упередженими свідками.

Окремо варто одразу визначити, чи комунікація з радником йде в режимі, який може бути захищений як привілейована — це впливає на те, чи доведеться розкривати внутрішні нотатки розслідування третім сторонам пізніше. Розширювати коло обізнаних людей варто лише тоді, коли це необхідно для збереження доказів, а не для «про всяк випадок поінформувати».

Чому суд дивиться на механіку, а не на факт порушення?

Бо факт шкоди можна констатувати, а визнати угоду недійсною чи дії недобросовісними можна лише довівши конкретний спосіб, яким цей результат був досягнутий. Верховний Суд роз'яснив, що фраудаторний правочин може полягати не лише у виведенні активів боржника, а й у штучному збільшенні кредиторської заборгованості — тобто предметом доказування є саме схема дій, а не підсумковий збиток (Юрліга, 21.10.2026).

Для внутрішнього розслідування це означає, що результатом має бути не висновок «зловживання мало місце», а відтворювана послідовність: хто підписав, коли, на яких підставах, хто схвалив, куди пішли кошти чи документи. Саме ця послідовність або витримує подальшу перевірку регулятором чи судом, або розсипається при першому запереченні.

Що робити з внутрішньою комунікацією в перші години?

Внутрішня комунікація про інцидент має бути мінімальною, письмовою і контрольованою — жодних усних інструкцій «не хвилюйтеся, розберемося». Будь-яке повідомлення співробітникам про те, що відбувається розслідування, саме по собі є ризиком: воно може дати причетним час узгодити версії або знищити сліди.

Якщо потрібно повідомити керівництво чи раду директорів, це робиться через заздалегідь узгоджений канал, із чіткою фіксацією, хто, що і коли отримав. Сигнали зовні — від банку, донора чи партнера — на цьому етапі краще не коментувати по суті, а підтвердити лише факт того, що питання взято в роботу.

Покроковий план: перші 24 години внутрішнього розслідування

Чек-лист: чого не можна робити в перші 24 години

• Повідомляти причетну особу про розслідування до того, як збережено дані.
• Обговорювати інцидент у загальних чатах чи на нарадах з широким складом учасників.
• Відкладати фіксацію доказів «до з'ясування обставин».
• Доручати розслідування людині, яка підпорядкована можливому причетному.
• Формулювати висновки до завершення збору первинних доказів.

При оцінці ризиків, повʼязаних зі структурою власності причетних сторін, корисно одразу звірити, чи немає прихованих звʼязків — цьому присвячено матеріал про прозорість структури власності як конкурентну перевагу. Якщо сигнал прийшов через систему моніторингу, варто розуміти її обмеження — про це в тексті про хибні спрацювання в системі моніторингу.

FAQ

Чи потрібно одразу залучати зовнішнього юриста?

Залежить від масштабу і характеру сигналу, але якщо є ризик судового чи регуляторного продовження, раннє залучення радника допомагає побудувати комунікацію в режимі, який може бути захищений як привілейований. Відкладання цього кроку часто призводить до того, що найважливіші перші нотатки неможливо захистити від розкриття пізніше.

Чи треба повідомляти банк або регулятора одразу в перші години?

Ні, передчасне й неструктуроване повідомлення без зафіксованих фактів може створити більше питань, ніж відповідей. Спочатку фіксується внутрішня картина подій, а вже потім ухвалюється рішення про зовнішню комунікацію — з юридичним радником.

Що робити, якщо причетна особа — керівник підрозділу?

Коло залучених у перші години свідомо звужується так, щоб ця особа не мала доступу до інформації про хід розслідування і не могла впливати на збереження доказів. Рішення про тимчасове відсторонення від доступу до систем ухвалюється окремо і теж документується.

Скільки часу триває повноцінне внутрішнє розслідування?

Це залежить від складності схеми та обсягу документів, і точного терміну назвати неможливо без розгляду конкретної ситуації. Перші двадцять чотири години визначають якість матеріалу, з яким працюватиме вся подальша робота.

Чи можна проводити розслідування силами одного комплаєнс-офіцера?

Можна на початковому етапі фіксації, але подальший аналіз механіки зазвичай вимагає взаємодії з юридичною функцією і, за потреби, зовнішньою експертизою. Самостійна робота без фіксації ланцюга зберігання доказів ризикує дати версію подій, яку неможливо буде підтвердити ззовні.

Що, якщо сигнал виявився хибним?

Навіть у цьому разі задокументована послідовність дій захищає компанію — вона показує, що реакція була пропорційною і процедурною, а не хаотичною. Відсутність документації, навпаки, створює питання навіть тоді, коли порушення не підтвердилося.

Перші двадцять чотири години рідко дають остаточну відповідь на питання «що сталося» — але саме вони визначають, чи буде у компанії матеріал, здатний витримати перевірку ззовні. Що раніше зафіксована механіка подій, то менше залежить фінальний результат від памʼяті свідків чи доброї волі причетних сторін.