Комплаенс-политика: типичные ошибки и как их избежать

Шаг 1. Что должна содержать комплаенс-политика?

Комплаенс-политика — это набор внутренних правил, описывающих, как компания выявляет, оценивает и снижает юридические риски: санкционные, налоговые, антикоррупционные, связанные с ПОД/ФТ. Базовая структура включает пять блоков: цели и область применения, перечень запретов, процедуры оценки рисков, каналы информирования о нарушениях и порядок применения дисциплинарных мер.

Без чёткой области применения политика не работает. Если документ не указывает, распространяется ли он на дочерние структуры, подрядчиков или агентов, контрагенты остаются неохваченными. При проверке Государственной службой финансовой разведки (ГСФР) или органами прокуратуры именно этот пробел ставит компанию в уязвимое положение — факт нарушения есть, а ответственное подразделение не определено.

Дополнительно политика должна содержать порядок обновления: при изменении законодательства КР, при расширении деятельности компании на новые рынки или при выявлении новых категорий риска. Документ без даты последнего пересмотра суды и регуляторы расценивают как фактически устаревший.

Для компаний, работающих в сфере виртуальных активов или финансовых услуг, Финнадзор и ГСФР предъявляют конкретные требования к содержанию внутренних документов по AML/ПОД/ФТ, закреплённые в Законе «О ПОД/ФТ». Несоответствие этим требованиям может стать основанием для приостановления деятельности.

Шаг 2. Как назначить ответственное лицо?

Отсутствие назначенного комплаенс-офицера — одна из самых частых и опасных ошибок. Без конкретного сотрудника с задокументированными полномочиями политика существует лишь на бумаге: некому контролировать её исполнение, собирать отчётность и реагировать на сигналы о нарушениях.

Ответственное лицо назначается приказом руководителя. В приказе фиксируют: должность, конкретный перечень функций (мониторинг, обучение, проверка контрагентов, взаимодействие с регуляторами), объём доступа к информации и подотчётность — совету директоров или непосредственно CEO. Для малого и среднего бизнеса функции комплаенс-офицера нередко совмещает юрист или финансовый директор, что допустимо, но требует документального закрепления.

Мораторий на проверки бизнеса, действующий до 31 декабря 2026 года, не распространяется на уголовные дела. Это означает, что ГКНБ и МВД вправе проводить проверки в любой момент, и именно наличие назначенного ответственного лица становится первым вопросом при допросе руководства. Отсутствие приказа о назначении суд расценивает как безразличие компании к соблюдению закона.

При назначении двух и более ответственных лиц (например, по разным направлениям — санкционный комплаенс и AML) необходимо чётко разграничить зоны ответственности. Дублирующиеся полномочия создают пробелы: каждый считает, что этим занимается другой. Обратитесь к руководству по санкционному комплаенсу в Кыргызстане для детального разбора зон ответственности по направлениям.

Шаг 3. Как правильно утвердить политику?

Утверждение документа — не формальность. Политика, подписанная только юристом или финансовым директором без решения совета участников или общего собрания (для ОсОО), юридически не является обязательной для всего персонала и не подтверждает вовлечённость руководства.

Правильный порядок утверждения: проект разрабатывает ответственное лицо, документ согласовывается с юридическим подразделением, утверждается приказом генерального директора (а для ключевых положений — решением совета директоров или общего собрания участников). После утверждения каждый сотрудник знакомится с политикой под подпись или электронным подтверждением с сохранением лога.

Срок хранения листов ознакомления — не менее трёх лет. При проверке ГСФР или в рамках уголовного дела именно эти листы подтверждают, что нарушение не было следствием системного игнорирования требований, а являлось единичным отклонением конкретного сотрудника. Это существенно влияет на квалификацию правонарушения и на степень ответственности руководства.

Для компаний с иностранным участием или с зарубежными партнёрами политику рекомендуется переводить на язык, понятный всем участникам. Если в компании работают сотрудники, не владеющие русским языком, отсутствие перевода делает ознакомление под подпись фиктивным. Срок обжалования ограничен 30 днями — пропуск означает принятие решения регулятора.

Шаг 4. Ошибка первая — политика «для галочки»

Самая распространённая ошибка среднего бизнеса в КР — скопировать шаблон из интернета или адаптировать политику другой компании без привязки к реальным процессам. Такой документ не описывает фактическую деятельность компании, не учитывает её контрагентов и не содержит конкретных процедур.

Регулятор при проверке задаёт простой вопрос: как в вашей компании проверяется контрагент перед заключением договора? Если политика отвечает на него общими фразами («проверка проводится по усмотрению ответственного сотрудника»), это означает, что реальной процедуры нет. В рамках Закона «О ПОД/ФТ» такое положение дел квалифицируется как отсутствие надлежащих мер по проверке клиентов (KYC).

Как избежать: при разработке политики описывайте только те процедуры, которые реально выполняются в компании. Если скрининг контрагентов проводится раз в квартал — так и пишите. Если ответственный сотрудник использует конкретный инструмент проверки санкционных списков — его название должно быть в документе. Разрыв между написанным и реальным — это и есть юридический риск. Подробнее о процедурах скрининга — в материале «Санкционный скрининг: 15 вопросов и ответов».

Шаг 5. Ошибка вторая — отсутствие канала информирования?

Канал информирования о нарушениях (whistleblowing) — обязательный элемент работающей комплаенс-системы. Без него сотрудники не имеют безопасного способа сообщить о нарушении, что означает: нарушения либо замалчиваются, либо становятся известны регулятору раньше, чем руководству компании.

Типичные ошибки при создании канала: анонимность не гарантирована (сотрудники боятся последствий), единственный получатель сообщений — непосредственный руководитель нарушителя (конфликт интересов), отсутствует фиксация поступивших сообщений и сроки реагирования на них.

Работающий канал предполагает: отдельный почтовый адрес или защищённую форму подачи сообщений, подотчётность комплаенс-офицеру или непосредственно совету директоров (минуя оперативное руководство), обязательный срок рассмотрения сообщения (как правило, от 5 до 30 рабочих дней в зависимости от сложности), письменное подтверждение получения сообщения заявителю и запрет на преследование за добросовестное информирование.

Отсутствие канала информирования при выявлении нарушения органами ГКНБ или МВД расценивается как признак того, что нарушение было системным, а не случайным. Это напрямую влияет на меру ответственности: должностное лицо может нести её наравне с компанией.

Шаг 6. Ошибка третья — нет процедуры проверки контрагентов

Проверка контрагентов (due diligence) — обязательная часть комплаенс-политики для компаний, подпадающих под действие Закона «О ПОД/ФТ», и рекомендуемая практика для всех остальных. Отсутствие задокументированной процедуры создаёт риски на двух уровнях: регуляторном (нарушение требований финансового мониторинга) и коммерческом (сделка с подсанкционным лицом).

Распространённая ошибка — проверять только новых клиентов при первом обращении и не обновлять данные. Лицо, не включённое в санкционные списки при заключении договора, может попасть в них через месяц. Если компания продолжает сотрудничество без периодического мониторинга, она принимает на себя санкционный риск в полном объёме.

Минимальная процедура due diligence включает: проверку по актуальным санкционным спискам перед каждой сделкой и не реже одного раза в квартал по действующим контрагентам, верификацию бенефициарного владельца (для юридических лиц — цепочка владения до конечного физического лица), проверку деловой репутации и подтверждение источника средств при высоком риске. Документировать результаты необходимо в том числе для возможности продемонстрировать проявленную осмотрительность при последующих проверках. Подробнее о процедуре скрининга — в руководстве по санкционному скринингу.

Шаг 7. Ошибки четыре, пять и шесть — обучение, обновление, документирование

Четвёртая ошибка: отсутствие обучения. Политика, с которой сотрудники ознакомлены под подпись, но никогда не обсуждалась в рамках тренингов, не снижает риски. Сотрудники не понимают, как применять её на практике: что делать при подозрительной транзакции, к кому обращаться при возникновении конфликта интересов, как идентифицировать признаки коррупции. Минимальная частота обучения для ключевых сотрудников — не реже одного раза в год с документированием результатов. При найме новых сотрудников — в рамках вводного инструктажа.

Пятая ошибка: политика не обновляется. Законодательство КР в сфере ПОД/ФТ и санкционного регулирования изменяется. Политика, принятая два года назад без последующих правок, с высокой вероятностью не учитывает актуальных требований. Регулятор при проверке сопоставляет дату последнего обновления документа с датой вступления в силу изменений в законодательстве. Расхождение — это риск. Порядок обновления должен быть закреплён в самой политике: триггеры (изменение закона, расширение деятельности, выявленное нарушение) и сроки (как правило, от 30 до 60 рабочих дней с момента изменения).

Шестая ошибка: нет реестра нарушений и мер реагирования. Даже если политика существует и нарушения выявляются, отсутствие документированной реакции создаёт проблему. При уголовном расследовании прокуратура запросит сведения о том, как компания реагировала на выявленные нарушения. Если реестра нет — значит, реакции не было. Это усугубляет позицию руководства. Реестр не обязан быть сложным: достаточно таблицы с датой выявления нарушения, его описанием, принятыми мерами и датой закрытия. Хранить — не менее трёх лет.

Шаг 8. Как проверить работоспособность политики до прихода регулятора?

Внутренний аудит комплаенс-политики позволяет выявить дефекты до того, как их обнаружит регулятор. Для среднего бизнеса достаточно ежегодной самопроверки по чек-листу: соответствие политики актуальному законодательству, наличие и актуальность назначения ответственного лица, журналы обучения сотрудников, реестр проверок контрагентов за последний год, реестр нарушений и принятых мер.

При обнаружении пробелов компания самостоятельно их устраняет и документирует факт устранения. Этот подход называется «проявленной осмотрительностью»: если нарушение впоследствии выявит регулятор, наличие внутреннего аудита и задокументированных мер реагирования — существенный аргумент в пользу снижения санкций.

Для компаний с высоким уровнем регуляторного риска (финансовые услуги, VASP, международная торговля) рекомендуется независимый внешний аудит политики не реже одного раза в два года. Финнадзор при проверке VASP-лицензиатов запрашивает результаты таких аудитов в рамках требований по AML/KYC. Ежегодный аудит обязателен для VASP-резидентов, срок рассмотрения аудиторского заключения — до 30 рабочих дней с даты представления.

Обратитесь к разделу аналитики БЕКЕМ, чтобы найти материалы по смежным направлениям: таможенным рискам, корпоративному структурированию и уголовной защите руководства при проверках ГКНБ. Полный обзор услуг по направлению — на странице «Комплаенс и санкционные риски».