Оценка коррупционных рисков по ISO 37001: как проводить и что учитывать

Оценка коррупционных рисков — один из ключевых элементов системы менеджмента по ISO 37001. Без нее антикоррупционная система быстро превращается в набор формальных документов: политика есть, обучение проведено, ответственные назначены, но организация не понимает, где именно вероятность нарушения наиболее высока и какие меры действительно нужны.

В российской практике ISO 37001 часто называют стандартом по антикоррупционному менеджменту. При этом важно понимать: фокус стандарта — прежде всего предупреждение, выявление и реагирование на риски взяточничества, подкупа и неправомерного вознаграждения. На практике такие риски могут возникать в закупках, продажах, тендерах, взаимодействии с государственными органами, работе с посредниками, благотворительности, подарках, представительских расходах и кадровых решениях.

Эта статья будет полезна руководителям, комплаенс-специалистам, внутренним аудиторам, специалистам по системам менеджмента, юристам, владельцам процессов и компаниям, которые планируют внедрение ISO 37001 или подготовку к сертификации.

Что такое коррупционный риск простыми словами

Коррупционный риск — это вероятность того, что в деятельности компании может возникнуть ситуация, связанная с незаконным или неэтичным вознаграждением, давлением, конфликтом интересов, злоупотреблением полномочиями или попыткой повлиять на решение в обход установленных правил.

Если говорить проще, это ответ на три вопроса:

Где у нас может возникнуть соблазн или возможность дать, получить или запросить неправомерную выгоду?
Кто может быть вовлечен в такую ситуацию?
Насколько серьезными будут последствия для компании, если риск реализуется?

Например, закупка обычных канцтоваров обычно несет низкий коррупционный риск. Суммы небольшие, поставщики типовые, влияние на бизнес ограничено. Но выбор подрядчика на строительство нового производственного объекта уже связан с более высоким риском: крупный бюджет, сложные технические требования, возможность «продавить» нужного поставщика, конфликт интересов у ответственных сотрудников.

Еще более высокий риск может возникать при привлечении посредника для участия в крупном тендере, особенно если посредник обещает «помочь с решением вопроса», работает в регионе с повышенными коррупционными рисками или не раскрывает, за счет чего обеспечит результат.

Почему оценка рисков является основой системы ISO 37001

ISO 37001 строится не вокруг универсального набора документов, а вокруг понимания реальных рисков организации. Это принципиально важно.

У разных компаний риски будут разными. Небольшая ИТ-компания, производственное предприятие, строительный подрядчик, медицинская организация, дистрибьютор оборудования и компания, участвующая в государственных закупках, сталкиваются с разными ситуациями. Поэтому одинаковая антикоррупционная политика для всех не делает систему результативной.

Оценка рисков помогает компании:

определить, где нужны более строгие меры контроля;
не перегружать простые процессы избыточной бюрократией;
обосновать требования к проверке контрагентов;
правильно распределить ответственность;
выбрать приоритеты для обучения сотрудников;
подготовиться к внутреннему аудиту и сертификации ISO 37001;
показать руководству, где находятся наиболее чувствительные зоны бизнеса.

Зрелая система менеджмента по ISO 37001 не пытается контролировать все одинаково. Она выделяет зоны низкого, среднего и высокого риска и применяет к ним разные меры управления.

Какие процессы нужно анализировать

Оценку коррупционных рисков нельзя проводить только на уровне «компании в целом». Такой подход слишком общий и редко дает практическую пользу. Лучше анализировать конкретные процессы, операции и деловые ситуации.

Обычно в оценку включают следующие направления.

Продажи и коммерческая деятельность.
Особенно если компания участвует в тендерах, работает с крупными корпоративными клиентами, государственными заказчиками или использует агентов, представителей и консультантов.

Закупки и выбор поставщиков.
Здесь риски связаны с завышением цен, выбором «своих» поставщиков, конфликтом интересов, откатами, фиктивными услугами, необоснованным дроблением закупок.

Взаимодействие с государственными органами.
Риски могут возникать при получении разрешений, лицензий, согласований, прохождении проверок, таможенных процедур, подключении к инфраструктуре.

Инвестиционные и строительные проекты.
Крупные бюджеты, подрядчики, субподрядчики, проектные изменения и скрытые работы создают повышенную чувствительность к злоупотреблениям.

Работа с посредниками и деловыми партнерами.
Агенты, консультанты, представители, дистрибьюторы и лоббисты могут действовать от имени компании или в ее интересах, поэтому их поведение может создавать риски для организации.

Подарки, представительские расходы, благотворительность и спонсорство.
Эти инструменты могут быть легитимными, но при слабом контроле используются как прикрытие для неправомерного влияния.

Кадровые решения.
Риски могут возникать при приеме на работу родственников клиентов, представителей органов власти или лиц, связанных с важными контрактами.

Что учитывать при оценке коррупционных рисков

Оценка рисков по ISO 37001 должна учитывать не только внутренние процессы, но и внешний контекст компании. Для практической оценки полезно рассматривать несколько факторов.

Страны и регионы деятельности

Если компания работает в нескольких странах или регионах, уровень риска может отличаться. В одних местах выше прозрачность процедур и ниже административное давление, в других — больше неформальных практик, посредников и сложных согласований.

Для российской компании это может быть актуально при работе с филиалами, представительствами, региональными проектами, внешнеэкономической деятельностью или иностранными партнерами.

Отрасль и характер деятельности

Строительство, инфраструктурные проекты, медицина, фармацевтика, добывающая промышленность, логистика, государственные закупки и крупные производственные поставки обычно требуют более внимательного анализа. Это не означает, что в этих отраслях обязательно есть нарушения. Но из-за масштаба контрактов, роли разрешений, технических условий и взаимодействия с большим числом сторон риски могут быть выше.

Должности и полномочия сотрудников

Не все сотрудники имеют одинаковый уровень коррупционного риска. Повышенное внимание обычно требуется к должностям, которые:

выбирают поставщиков;
согласуют платежи;
участвуют в тендерах;
взаимодействуют с государственными органами;
ведут переговоры с ключевыми клиентами;
принимают работы или услуги;
имеют доступ к конфиденциальной коммерческой информации;
могут влиять на заключение договоров.

Важно оценивать не человека как личность, а должность, полномочия и ситуации, в которых он принимает решения.

Контрагенты и третьи стороны

Особое внимание в ISO 37001 уделяется деловым партнерам. Компания может не совершать неправомерных действий напрямую, но риск может возникать через посредника, агента, подрядчика или консультанта.

При оценке важно учитывать:

кто является контрагентом;
какие функции он выполняет;
действует ли он от имени компании;
есть ли у него взаимодействие с государственными органами;
насколько прозрачна структура собственности;
понятна ли экономическая логика его вознаграждения;
есть ли признаки конфликта интересов;
были ли у него негативные инциденты в прошлом.

Виды сделок и размер сумм

Чем выше сумма сделки, сложнее предмет договора и больше свободы в выборе условий, тем выше потенциальный риск. Но размер суммы — не единственный критерий. Иногда небольшие платежи тоже могут быть чувствительными, если они связаны с разрешениями, ускорением процедур или доступом к информации.

Как оценивать вероятность и последствия

Практический способ оценки — использовать матрицу рисков. Она может быть простой, но должна быть понятной и применимой.

Обычно оценивают два параметра:

Вероятность — насколько реально, что такая ситуация может возникнуть.
Последствия — насколько серьезным будет ущерб для компании, если риск реализуется.

Вероятность можно оценивать по шкале: низкая, средняя, высокая. Последствия — аналогично. В более зрелых системах используют балльную шкалу, например от 1 до 5.

При оценке последствий важно учитывать не только прямые финансовые потери. Для ISO 37001 значимы также:

уголовно-правовые и административные риски;
репутационный ущерб;
потеря клиента или контракта;
исключение из тендера;
претензии со стороны собственников;
остановка проекта;
ухудшение отношений с партнерами;
снижение доверия сотрудников к руководству;
риски для сертификации и деловой репутации.

Пример:

Ситуация	Вероятность	Последствия	Общий уровень риска
Закупка канцтоваров у типового поставщика	Низкая	Низкие	Низкий
Выбор подрядчика на строительство	Средняя	Высокие	Высокий
Посредник для участия в крупном тендере	Высокая при слабой проверке	Высокие	Очень высокий

Такая логика помогает объяснить, почему к разным ситуациям нужны разные меры контроля.

Как выбирать меры управления рисками

После оценки рисков компания должна определить, какие меры нужны для их снижения. Ошибка многих организаций в том, что они останавливаются на самой таблице рисков. Но таблица — это не результат. Результат — управленческие решения.

Для низких рисков могут быть достаточны базовые меры:

общая антикоррупционная политика;
стандартные договорные условия;
базовое ознакомление сотрудников;
обычное согласование закупки или договора.

Для средних рисков могут потребоваться дополнительные меры:

проверка контрагента;
декларация конфликта интересов;
двойное согласование;
ограничение подарков и представительских расходов;
обучение сотрудников, вовлеченных в процесс;
периодический контроль операций.

Для высоких рисков нужны более строгие меры:

углубленная проверка делового партнера;
согласование на уровне руководства;
юридическая и комплаенс-проверка договора;
запрет наличных расчетов и непрозрачных платежей;
детальное описание услуг и результатов;
проверка экономической обоснованности вознаграждения;
право компании на аудит контрагента;
специальные антикоррупционные обязательства в договоре;
мониторинг исполнения договора.

Важно, чтобы меры были соразмерны риску. Если компания требует одинаково сложную проверку для покупки офисной бумаги и для привлечения посредника в тендере, система будет восприниматься как формальность и мешать бизнесу. Если же высокорисковые сделки проходят без усиленного контроля, система не выполняет свою задачу.

Документированная информация и записи

Оценка коррупционных рисков должна быть подтверждена документированной информацией. Это не обязательно должна быть громоздкая методика на десятки страниц, но организация должна иметь доказательства того, что риски были определены, оценены и учтены при выборе мер управления.

Обычно используются:

методика оценки коррупционных рисков;
реестр или карта рисков;
критерии оценки вероятности и последствий;
перечень процессов и должностей с повышенным риском;
результаты проверки контрагентов;
решения по мерам управления;
записи об обучении сотрудников;
протоколы рассмотрения конфликтов интересов;
результаты внутреннего аудита;
корректирующие действия по выявленным несоответствиям;
материалы анализа со стороны руководства.

Документы не должны существовать отдельно от реального управления. Хорошая оценка рисков влияет на закупки, договорную работу, обучение, внутренние аудиты, контроль платежей и решения руководства.

Как часто пересматривать оценку рисков

Оценка коррупционных рисков не должна быть разовым упражнением перед сертификацией ISO 37001. Риски меняются вместе с бизнесом.

Пересмотр необходим:

при выходе на новые рынки;
при запуске новых продуктов или услуг;
при открытии филиалов;
при изменении структуры компании;
при привлечении новых посредников;
при начале работы с государственными заказчиками;
при крупных инвестиционных проектах;
после выявленных нарушений или подозрений;
после существенных изменений законодательства или требований клиентов;
по результатам внутреннего аудита;
перед анализом со стороны руководства.

На практике целесообразно проводить плановый пересмотр не реже одного раза в год, а внеплановый — при значимых изменениях. Но периодичность должна быть разумной для масштаба и специфики организации.

Типовые ошибки при оценке коррупционных рисков

Одна из частых ошибок — формальный реестр рисков, составленный только для аудитора. В нем перечислены общие фразы: «риск коррупции», «риск нарушения законодательства», «риск недобросовестного поведения». Такие формулировки не помогают управлять процессами.

Еще одна ошибка — оценка рисков без участия владельцев процессов. Если таблицу заполняет только комплаенс-специалист или консультант, без закупок, продаж, юристов, финансов и руководителей подразделений, многие реальные ситуации остаются невидимыми.

Также встречаются другие слабые места:

не учитываются посредники и третьи стороны;
не анализируются подарки, благотворительность и представительские расходы;
не оцениваются должности с повышенными полномочиями;
отсутствуют критерии вероятности и последствий;
все риски получают одинаковый уровень;
меры управления не связаны с уровнем риска;
оценка не пересматривается после изменений;
не проверяется результативность принятых мер;
внутренний аудит ограничивается проверкой наличия документов.

Главный признак незрелого подхода — компания может показать реестр рисков, но не может объяснить, как он влияет на реальные решения.

Что проверяют аудиторы ISO 37001

На аудите ISO 37001 внимание будет не только к наличию документов. Аудитор оценивает, понимает ли организация свои коррупционные риски и управляет ли ими на практике.

Обычно проверяются следующие вопросы:

определила ли компания процессы и ситуации, связанные с рисками взяточничества;
учла ли она отрасль, регионы, контрагентов, должности и виды сделок;
есть ли понятная методика оценки рисков;
связаны ли меры управления с уровнем риска;
проводится ли проверка деловых партнеров;
управляются ли конфликты интересов;
обучены ли сотрудники, работающие в зонах повышенного риска;
есть ли каналы сообщения о нарушениях;
рассматриваются ли инциденты и подозрения;
выполняются ли корректирующие действия;
анализирует ли руководство результативность системы.

Аудитор может попросить показать не только реестр рисков, но и конкретный пример: как компания оценила риск при выборе подрядчика, как проверила посредника, почему согласовала сделку, какие условия включила в договор, и кто принял решение.

Практический пример: три разных уровня риска

Рассмотрим три ситуации.

1. Закупка канцтоваров.
Поставщик типовой, сумма небольшая, товар стандартный, решение не влияет на стратегические интересы компании. Риск обычно низкий. Достаточно стандартной закупочной процедуры, прозрачного выбора поставщика и обычного согласования.

2. Выбор подрядчика на строительство.
Сумма значительная, техническое задание сложное, есть возможность влиять на критерии выбора, приемку работ и дополнительные соглашения. Риск высокий. Нужны конкурсная процедура, разделение полномочий, проверка подрядчика, декларирование конфликта интересов, контроль изменений стоимости и независимая приемка ключевых этапов.

3. Посредник для участия в крупном тендере.
Посредник обещает помочь выиграть контракт, его вознаграждение зависит от результата, он взаимодействует с представителями заказчика или обладает неясными связями. Риск очень высокий. Требуется углубленная проверка, анализ деловой репутации, прозрачное описание услуг, запрет неправомерных действий, контроль платежей, согласование руководством и возможность отказа от сотрудничества, если риск нельзя снизить до приемлемого уровня.

Этот пример показывает главный принцип ISO 37001: система должна быть риск-ориентированной, а не одинаковой для всех ситуаций.

Практические рекомендации для компании

Чтобы оценка коррупционных рисков была полезной, начните с простого, но содержательного подхода.

Сначала определите процессы, где сотрудники принимают решения, связанные с деньгами, выбором контрагентов, доступом к заказам, разрешениями или влиянием на внешние стороны.

Затем выделите типовые сценарии риска. Не пишите слишком общо. Лучше использовать конкретные формулировки: «выбор поставщика с конфликтом интересов», «необоснованное вознаграждение посреднику», «подарок представителю клиента перед тендером», «фиктивные консультационные услуги».

После этого оцените вероятность и последствия. Вовлекайте владельцев процессов: они лучше знают, где реально возникают серые зоны.

Далее определите меры управления. Для каждого высокого риска должно быть понятно, что именно снижает вероятность нарушения: проверка контрагента, дополнительное согласование, обучение, ограничение полномочий, контроль платежей, договорные условия или внутренний аудит.

И наконец, регулярно пересматривайте оценку. Хорошая система ISO 37001 должна развиваться вместе с бизнесом.

Сертификация ISO 37001 и помощь Группы компаний ДКС

Если компания планирует внедрение или сертификацию по ISO 37001, важно заранее оценить зрелость своей антикоррупционной системы: насколько понятны риски, распределена ответственность, работают процедуры проверки контрагентов, есть ли контроль подарков, представительских расходов, посредников и конфликтов интересов.

Группа компаний ДКС специализируется на сертификации систем менеджмента, включая ISO 37001. Аудиторы ДКС имеют практический опыт оценки систем менеджмента в российских компаниях и понимают, как требования стандарта применяются в реальных бизнес-процессах.

Если вы планируете сертификацию по ISO 37001 или хотите понять, насколько ваша система готова к аудиту, обратитесь в Группу компаний ДКС и перейдите на отдельную страницу, посвященную ISO 37001. Это поможет заранее разобраться с требованиями, оценить возможные слабые места и подготовиться к сертификационному аудиту без лишней формальности.

Итоги

Оценка коррупционных рисков по ISO 37001 — это не формальная таблица и не приложение к политике. Это управленческий инструмент, который помогает компании понять, где могут возникнуть наиболее чувствительные ситуации и какие меры нужны для их предупреждения.

Результативная оценка рисков должна учитывать процессы, должности, контрагентов, регионы, отраслевую специфику, виды сделок, вероятность и последствия. Она должна влиять на реальные решения: выбор поставщиков, работу с посредниками, договорные условия, обучение, внутренний аудит, корректирующие действия и анализ со стороны руководства.

Зрелый подход отличается тем, что компания может не только показать документы, но и объяснить логику: почему одни операции считаются низкорисковыми, другие требуют дополнительного контроля, а от некоторых сделок лучше отказаться.

Именно такая практическая связь между рисками, процессами и управленческими решениями делает систему ISO 37001 полезной для бизнеса, а не просто набором документов для прохождения сертификации.

<< Все новости