Як зрозуміти, що комплаєнс-система існує тільки на папері

Ви отримуєте запит від банку чи регулятора і не знаходите в системі жодного рішення, яке б пояснювало, чому операцію пропустили — знайоміся?

Чи є у вас слід рішень, який можна показати регулятору через годину?

Пряма відповідь: якщо ви не можете за 60 хвилин надати ланкуж «сигнал — аналіз — рішення — дія» для будь-якої операції останнього кварталу — система не працює. EBA у своєму E-mail alert від 25 вересня 2026 року нагадувала, що наглядові очікування до інституцій зосереджені на доказуваній ефективності внутрішніх контролю, а не на їхній формальній наявності. У практиці це означає: кожне виключення з політики, кожен відхилений алерт, кожне звернення гарячої лінії мають мати автора, дату, обґрунтування та підпис відповідального. Якщо в CRM чи ГРС-системі є лише статус «перевірено» без тексту — це дірка, яку знайде перевіряльник.

Чому перша лінія бізнесу мовчить про проблеми?

Пряма відповідь: бо не знає, куди йти, або боїться репутаційних наслідків звернення. У звіті внутрішнього нагляду Національної поліції Франції за 2025 рік (опубліковано OCCRP 25.09.2026) зафіксовано 341 порушення цілісності — з них значна частина стосувалася несанкціонованих запитів до баз даних і хабарництва, які виявлялися не системами контролю, а випадково. Це класичний маркер: коли співробітники не повідомляють про підозри, комплаєнс-офісер працює вслепую. Працюючий канал — це не «телефон довіри» у політиці, а зрозумілий алгоритм: хто приймає, хто оцінює, яке термін, яке зворотне зв'язок отримує ініціатор. Якщо менеджер відділу закупівок не може назвати ім'я комплаєнс-офісера, з яким йому можна поговорити сьогодні — система не працює.

Як перевірити, чи реально працюють санкційний скринінг та PEP-фильтри?

Пряма відповідь: згенеруйте тестові сценарії з відомими підсанкційними ланцюгами власності і перевірте, чи спрацював алерт до оплати. З 1 листопада 2026 року банки в Україні публікуватимуть складові NSFR і підвищені нормативи за результатами SREP (ЛІГА:ЗАКОН Бізнес, 25.09.2026) — це сигнал, що регулятор вимагає прозорості розрахункових моделей, а не лише їхнього опису. Те саме стосується скринінгу: якщо ваш фільтр «не бачить» бенефіціара на 3-му рівні власності через циклове володіння — ви не знаєте своїх контрагентів. Мінімальний робочий тест: візьміть 10 операцій останнього місяця, вручну пройдіться по ланцюгах власності до UBO, порівняйте з тим, що видала система. Розбіжність > 0 — система на папері.

Чи використовуєте ви дані про інциденти для зміни політик — чи вони лежать в архіві?

Пряма відповідь: якщо за останній рік не було жодного оновлення політики на підставі реального інциденту, напівзагрози або зміни регуляторної практики — політика мертва. Верховного Суд у позиції щодо надмірного формалізму (ЛІГА:ЗАКОН Юрліга, 25.09.2026) підкреслив: процесуальні вимоги мають забезпечувати належний розгляд, а не створювати перешкоди. У комплаєнсі це перекладається так: процедура, яку ніхто не змінював після першого ж спрацювання, стає ризиком. Життєвий цикл політики: інцидент → root-cause аналіз → оновлення процедури → навчання → контроль впровадження. Якщо цього циклу немає — документ декоративний.

Практичний чек-лист: 7 маркерів того, що комплаєнс існує тільки на папері

Як побудувати ескалацію, яка спрацьовує до транзакції, а не після?

Пряма відповідь: впровадьте обов'язкове підписання комплаєнс-офісером операцій вище порогу до відправки в банк, а не звітності про них після. Поріг визначаєте самі — на основі ризик-профілю, а не «зверху». Алгоритм: 1) Визначте категорії операцій, де помилка коштує критично (санкції, PEP, високоринкові юрисдикції, нетипова структура). 2) Налаштуйте жорстку блокування в ERP/БД: статус «на комплаєнс-перевірці» без можливості обходу. 3) Зафіксуйте SLA для комплаєнс-офісера — не більше 4 робочих годин на рішення. 4) Кожне рішення = запис у реєстрі винятків з обґрунтуванням. 5) Раз на місяць — перевірка вибірки CEO/CFO: чи є слід, чи логіка стійка. Це не бюрократія — це єдиний спосіб довести регулятору, що контроль управлінський, а не паперовий.

FAQ

Чи обов'язково мати окремого комплаєнс-офісера у малій компанії?

Закон не завжди вимагає штатної посади, але вимагає призначеної відповідальної особи з компетенцією і доступом до керівництва. Якщо фінанловий директор виконує цю функцію «по паралельній» — задокументуйте це, визначте SLA і забезпечте неперенавантаженість. Регулятор дивиться на ефективність, не на штатне розкладення.

Яку відповідальність несе керівник за формальний комплаєнс?

Керівник несе адміністративну і, у разі умислу або грубої недбалості, кримінальну відповідальність за порушення фінмоніторингових та sancційних вимог. Відсутність робочої системи кваліфікується як невиконання зобов'язань з внутрішнього контролю. Судова практика (Верховний Суд, позиції 2024-2026 рр.) розглядає наявність документів без їхнього дотримання як обставину, що ускладнює позицію керівника.

Як часто треба перевіряти ефективність комплаєнс-системи內部?

Мінімум — раз на півроку повна самооцінка (self-assessment) за методологією ISO 37301 / NBU, раз на рік — незалежний аудит (внутрішній аудит або зовнішній експерт). Позапланово — після кожного інциденту, зміни ризик-профілю, входу на нові ринки, зміни бенефіціарів.

Що робити, якщо банк зупинив операцію і вимагає пояснень, яких у вас немає?

Не вигадайте. Надайте банку чесний опис: які дані були на момент операції, яке рішення приймалось, ким, на якій підставі, чому документ не зберегся (якщо це так). Паралельно запустіть внутрішнє розслідування: це силовий тест вашої системи. Результат — або виправлення процесу, або доводова база для спору з банком.

Чи достатньо купити коробкове рішення для AML/санкційного скринінгу?

Ні. Інструмент без налаштування сценаріїв під ваш бізнес, без інтеграції в процеси затвердження, без навчання першої лінії і без регулярного валідування правил — це дорога ілюзія. Регулятори (EBA, NBU, FATF) перевіряють саме ефективність застосування, а не наявність ліцензії на ПЗ.

Як підготуватися до перевірки регулятора, якщо часу мало?

Зосередьтеся на трьох: 1) реєстр винятків із повним слідом рішень за останні 12 місяців, 2) докази роботи гарячої лінії та обробки звернень, 3) протокол останньої самооцінки з планом дії і статусами виконання. Це «мінімальний виживальний набір», який показує намір працювати, а не приховуватися.

Комплаєнс, який витримує тиск, не виглядає ідеально — у ньому є відхилення, ескалації, відмовлені операції, оновлені політики після інцидентів. Саме ці сліди активної роботи і є тим, що шукає перевіряльник. Якщо в системі стерильна чистота — перевіряйте, чи вона не пуста.