Эффективный комплаенс выходит за рамки обучения сотрудников новым нормативам и отслеживания количества случаев несоответствия. В этом руководстве по внедрению мы сосредоточимся на целостном подходе к комплаенсу, который включает ключевых заинтересованных сторон и предлагает конкретную количественную оценку усилий и результатов комплаенса через 7 шагов.
Определение заинтересованных сторон
Давайте начнем с определения основных заинтересованных сторон, участвующих в комплаенсе:
- Совет директоров. Представляет интересы организаций.
- Комплаенс-офис. Специализированный отдел, обеспечивающий соблюдение организацией применимых законов, норм, внутренних политик и т.д.
- Внутренние бизнес-системы. IT и другие бизнес-системы, поддерживающие усилия по комплаенсу.
- Сотрудники, которые могут влиять на политику комплаенса или на которых она может влиять.
- Третьи стороны. Партнеры и аналогичные внешние заинтересованные стороны.
- Внешний аудитор. Эксперт по рассматриваемому регулированию.
- Регулятор. Орган, устанавливающий регулирование.
В BSC Designer перейдите в Настройки > Стратегия > Заинтересованные стороны, чтобы добавить соответствующие заинтересованные стороны в список. Позже эти стороны могут быть связаны с конкретными целями и показателями через поле Владелец.
Шаблон комплаенса и KPI
Пользователи BSC Designer имеют доступ к шаблону системы показателей комплаенса с KPI, обсуждаемыми в статье:
Шаблон комплаенса. - Этот шаблон можно настроить в соответствии с требованиями конкретного регулирования.
- Системы показателей, созданные для различных регулирований, могут быть позднее объединены в комплексную систему показателей комплаенса с общим индексом комплаенса.
1. Адаптировать стратегии заблаговременно
Регулирующие органы начинают формулировать новые нормы в ответ на различные факторы, включая социальные, технологические, политические и т. д. Организации могут заблаговременно подготовить стратегии для потенциальных норм, проведя анализ внешних факторов, аналогичный тому, который проводят регулирующие органы.
Используйте шаблон анализа PESTEL, доступный в BSC Designer, чтобы:
- Сформулировать потенциальные движущие силы и
- Определить индикаторы ранних признаков.
Чтобы количественно оценить эту заблаговременную подготовку, мы можем использовать индикатор:
Количество движущих сил, выявленных с регулярным анализом PESTEL.
В шаблоне эта метрика настроена на ежегодное обновление:
Шаблон комплаенса. Например, новые технологии, в частности развитие искусственного интеллекта, определены как одна из движущих сил в анализе PESTEL.
2. Заблаговременно определяйте новые применимые нормативные требования
Роль отдела комплаенс заключается в том, чтобы заблаговременно выявлять новые применимые нормативные требования и начинать подготовку внутри организации. Как правило, регуляторы предоставляют достаточно времени для анализа и подготовки, первоначально публикуя проект нормативного акта, а после официального выпуска нормативного акта предусмотрен переходный период.
Чтобы количественно оценить эффективность отдела комплаенс, мы используем:
Охват нормативных требований, %. Отслеживание процента применимых нормативных требований, выявленных отделом комплаенс на ранней стадии.
В шаблоне метрика охвата нормативных требований имеет более высокий вес в индексе по сравнению с другими метриками.
Время рассмотрения нормативного требования. Среднее время от первоначальной публикации нормативного требования до разработки плана подготовки.
Время разработки политики. Среднее время, необходимое для разработки внутренних руководящих политик и соответствующих учебных материалов.
Шаблон комплаенс. Оценки по временным метрикам могут использоваться как критерии для определения того, следует ли выполнять работу по конкретным нормативным требованиям собственными силами или передавать на аутсорсинг сторонней консалтинговой компании.
Например, многие регуляторные органы выпускают и обновляют политики, связанные с ИИ. Используя указанные метрики, мы можем обеспечить корректное рассмотрение этих политик в контексте конкретной организации и их перевод в руководящие процедуры.
Посмотрите, как широкое требование комплаенс или корпоративного управления можно декомпозировать на конкретные, измеримые меры контроля, используя управление ИИ в качестве практического примера.
3. Обучите сотрудников следовать новым правилам
Как только соответствующие политики сформулированы, организация должна обучить своих сотрудников следовать новым правилам. Для отслеживания процесса мы используем базовый показатель:
Завершение регуляторного тренинга. Может включать базовое ознакомление с новыми правилами или детализированное моделирование сценариев комплаенса и неконплаенса.
Для более сложных правил рассмотрите возможность использования специализированной системы показателей тренинга для отслеживания процесса.
4. Проверка комплаенса третьих сторон
Большинство регуляций требуют рассмотрения всей цепочки создания стоимости и проверки комплаенса третьих сторон. Организация может не быть заинтересована в изучении деталей; вместо этого она может сосредоточиться на отслеживании общего уровня комплаенса партнеров и процента партнеров, оцененных на соответствие комплаенсу.
% партнеров, оцененных на соответствие комплаенсу.
Общий уровень комплаенса партнеров (см., например, система показателей управления рисками поставщиков).
Идентификация и работа с рисками критически важны для долгосрочного успеха комплаенса. В данном случае риск был идентифицирован как «Изменения в регуляциях» с планом по работе с риском:
- «Снизить влияние изменений в регуляциях на третьи стороны, которые уже прошли проверку на комплаенс, через регулярные обзоры и пересмотры уровня комплаенса.»
Compliance Template. 5. Смоделируйте инциденты несоответствия
Чтобы подтвердить успех комплаенс-тренинга, организация может смоделировать инциденты несоответствия и оценить соответствующие реакции ответственных сотрудников. Результаты такой проверки могут быть количественно оценены как:
Эффективность регуляторного тренинга, подтвержденная моделированием инцидентов несоответствия.
Определение влияния несоответствия
Влияние несоответствия можно оценить с помощью:
Метрика репутационного ущерба — может быть количественно оценена по продолжительности негативного освещения в СМИ.
Прямые потери прибыли.
Регуляторные штрафы и санкции.
Их динамика с течением времени будет указывать на эффективность введенных комплаенс-мероприятий. Хотя все эти метрики по своей природе являются индикаторами результата, комплаенс-офис может использовать риски, связанные с этими метриками, чтобы расставить приоритеты для определенных действий и обосновать бюджеты на комплаенс.
6. Аудируйте системы внешним аудитором
В случаях, связанных с критически важными нормативными требованиями, когда потенциальное несоблюдение может привести к существенным экономическим и репутационным последствиям, совет директоров привлекает независимых аудиторов.
Метрики, на которых следует сосредоточиться в контексте внешнего аудитора:
Охват аудита, %. Нас интересует комплексный аудит всех релевантных функций организации, чтобы убедиться, что максимально возможные риски комплаенс были выявлены на ранней стадии.
Число замечаний по результатам аудита. Помимо прямого применения, эту метрику можно использовать для валидации эффективности отдела комплаенс в анализе и внедрении требований нормативного акта.
Для повторяющихся действий, таких как внешние аудиты, рекомендуется отслеживать метрики во времени. Пользователи BSC Designer могут задавать интервалы обновления метрик, чтобы обеспечить согласованность данных.
Ещё один нюанс, связанный с этим типом метрики, — сложность установления цели. Например, небольшое число замечаний по результатам аудита может восприниматься как недостаточное внимание со стороны аудитора, тогда как высокий уровень замечаний может указывать на то, что отдел комплаенс не провёл эффективный внутренний аудит. Чтобы отразить эту идею, была изменена функция эффективности индикатора.
Шаблон комплаенс. Кроме того, все замечания можно категоризировать по их влиянию, присваивая наибольший вес наиболее критичным замечаниям. Это поможет избежать неправильного использования метрики за счёт фокусирования на большом количестве замечаний с низкой ценностью. Пример такой категоризации — взвешенный индекс риска в системе показателей по кибербезопасности.
Некоторое представление об эффективности внедрения замечаний аудитора можно количественно оценить с помощью:
Доля закрытия замечаний по результатам аудита. Хотя очевидная цель для этой метрики — 100%, могут существовать ограничения по времени и ресурсам, которые не позволяют внедрить все рекомендации аудитора сразу.
Время реакции на замечания по результатам аудита. Ещё один взгляд на устранение уязвимостей несоблюдения, выявленных аудитом: мы рассматриваем время, необходимое для закрытия вопроса с момента его выявления.
Пользователи BSC Designer могут обновлять индикаторы актуальными данными и добавлять примечание к последнему обновлению. Например, они могут предоставить дополнительные детали, объясняющие, почему на определённом этапе может быть невозможно закрыть некоторые замечания аудита.
И доля закрытия, и время реакции являются индикатор действия для улучшения систем комплаенс, фокусируясь на том, чтобы сделать весь процесс более гибким и менее сложным для заинтересованных сторон — конечных пользователей.
Управление инцидентами комплаенса
Надлежащая подготовка внутреннего офиса комплаенса и внешние аудиты не гарантируют защиту организации от возможных нарушений комплаенса.
Метрики для отслеживания в этом контексте:
Время реагирования на инциденты. Чтобы обеспечить быстрое устранение нарушений комплаенса и минимизировать их влияние на организацию.
Повторяемость инцидентов. Предотвращение повторения инцидентов одного типа является индикатором того, насколько хорошо организация учится на ошибках.
Единицей измерения для метрики времени реагирования могут быть часы или дни в зависимости от характера инцидента.
Следуя логике, что повторяемость инцидентов является индикатором эффективности офиса комплаенса, индикатор «Повторяемость инцидентов» был связан с целью ‘Обучить сотрудников следовать новым регламентам’ через данные как индикатор результата.
7. Свяжите системы показателей комплаенс
Рассмотренные метрики будут специфичны для определённого регулирования. Для каждого регулирования будет своя система показателей комплаенс, включающая метрики, адаптированные под это конкретное регулирование. Например, существуют системы показателей для восстановления после аварий, непрерывности бизнеса и валидации поставщиков.
Strategy Cascading. Чтобы иметь картину высокого уровня по усилиям GRC (Governance, Risk, and Compliance), мы можем связать системы показателей GRC для конкретных регулирований в общую систему показателей GRC.
Чтобы связать меры контроля комплаенс с надзором за поставщиками, ознакомьтесь с тем, как оценка риска поставщиков поддерживает аудиторские доказательства, оценку рисков и корректирующие действия.
Переместите вашу систему показателей комплаенс за пределы Excel
Поделитесь с нашей командой вашим существующим планом комплаенс или системой показателей в Excel. Мы обсудим, как BSC Designer может помочь командам по комплаенс выстроить связанный мониторинг KPI и выполнить каскадирование систем показателей, специфичных для конкретных регуляторных требований, в единое представление комплаенс.
Протестируйте подход на одном регуляторном требовании или в одном подразделении, прежде чем рассматривать более широкое внедрение.
Используйте шаблон Compliance Scorecard
BSC Designer помогает организациям реализовывать их сложные стратегии:
- Зарегистрируйтесь на бесплатный план на платформе.
- Используйте шаблон
Compliance Scorecard в качестве отправной точки. Вы найдете его в Новая > Новая система показателей > Больше шаблонов. - Следуйте нашей Системе внедрения стратегии, чтобы связать заинтересованные стороны и стратегические амбиции в комплексную стратегию.
Начните сегодня и посмотрите, как BSC Designer может упростить реализацию вашей стратегии!
Alexis Savkín — основатель BSC Designer, программы для реализации стратегии и управления эффективностью, которая связывает цели, KPI, инициативы, риски и данные об эффективности. Имея более 20 лет опыта, он сосредоточен на Архитектуре реализации стратегии — как организации объединяют стратегию, измерения, ответственность, риски и процессы пересмотра в целостную систему реализации. Он создал Strategy Execution Canvas и 10-Step KPI System, а также является автором двух книг и более 100 статей по реализации стратегии и управлению эффективностью. Свяжитесь с Alexis в LinkedIn.