Povinnosť je splnená. Riziko zostáva. Prečo?

Keď sa vo firme povie „compliance riziko", pozornosť sa veľmi rýchlo stočí k zákonu. K povinnosti. K paragrafu. K pravidlu, ktoré treba splniť.

Je to prirodzené. Ale len do istej miery.

Pretože skutočné riziko spravidla nevzniká v zákone. Vzniká oveľa skôr – v procese. V tom, ako sa veci vo firme reálne robia. Kto rozhoduje. Kde sa informácia stratí. Kde sa niečo schvaľuje len formálne. Kde sa pod tlakom obchádza štandardný postup. Kde je pravidlo síce napísané správne, ale v každodennej realite naráža na rýchlosť, kapacity, zlé nastavenie alebo tichý zvyk, že „takto to robíme vždy."

A práve tam sa rodí väčšina problémov, ktoré sa neskôr tvária ako čisto právne alebo regulačné.

Povinnosť splnená. Problém sa opakuje. Kde je chyba?

Toto je jedna z najčastejších situácií, ktoré vidíme v praxi: povinnosť je správne identifikovaná, smernica ju správne reflektuje – a problém sa aj tak opakuje.

Nie preto, že by firma nevedela, čo má robiť. Ale preto, že nevidela, kde sa jej to v praxi rozpadáva.

Organizácia venuje veľa energie tomu, aby presne pomenovala pravidlo, ale podstatne menej tomu, aby sa pozrela, kde v konkrétnom procese vzniká slabé miesto. Výsledkom je disproporcia, ktorá sa v praxi objavuje znova a znova.

Riziko totiž veľmi často nie je veta v zákone. Riziko je moment v procese – okamih, keď nikto nevie, kto má rozhodnúť, nie je jasné, kto nesie zodpovednosť, schvaľovanie je len formálne, informácia príde neskoro, varovný signál sa neeskaluje, alebo je proces nastavený tak, že si ľudia prirodzene hľadajú obchádzky.

Až vtedy sa z formálne splnenej povinnosti stáva reálny problém.

Prečo sa to deje – a čo o tom hovoria dáta

Nie je to náhoda ani výnimka. Je to vzorec.

Výskum LRN ukazuje, že vysokovýkonné compliance programy sú 2,1-krát efektívnejšie, pretože využívajú analýzu príčin vzniku problémov (root cause analysis) ako systematickú súčasť svojej práce. Nie len identifikáciu porušení – ale presné mapovanie toho, kde v procese problém vznikol.

Zdroj: LRN Ethics & Compliance Program Effectiveness Report 2024

Inými slovami: najlepšie programy sa nepýtajú len „čo sa stalo?" Pýtajú sa „kde v procese sa to zlomilo?" A práve táto otázka oddeľuje compliance, ktoré riziká eviduje, od compliance, ktoré ich skutočne riadi.

Kde hľadať procesné slabiny

Silné compliance preto nezačína pri otázke „Čo nám ukladá zákon?" Začína skôr pri otázke: „Kde sa v našom procese rodí zbytočné riziko v súvislosti s tým, čo nám ukladá zákon?"

To sú otázky, ktoré treba klásť systematicky:

• Kto má o tom rozhoduje a kto má posledné slovo?

• Kde sa informácie filtrujú alebo strácajú?

• Kde vzniká tlak na skratku alebo rýchle riešenie?

• Kde je zodpovednosť formálne určená, ale v realite rozptýlená?

• Kde je proces nastavený tak nešikovne, že si ľudia pomáhajú neformálnym obchádzaním?

Tieto otázky veľmi často povedia o riziku viac než samotný právny rozbor. A práve preto compliance officer musí poznať nielen pravidlo, ale aj proces – nie formálne, ale reálne.

Od formálnej správnosti k procesnej realite

Vo firme zvyčajne nevzniká problém preto, že by neexistovala žiadna norma. Oveľa častejšie vzniká preto, že medzi normou a procesom nie je dostatočné prepojenie. Povinnosť existuje, ale nie je premietnutá do rozhodovacieho toku. Zodpovednosť je formálne určená, ale v realite rozptýlená. Kontrolný bod je zavedený, ale nemá skutočnú váhu. Alebo je proces nastavený tak, že podporuje rýchlosť a improvizáciu skôr než obhájiteľnosť a presnosť.

V takom prostredí compliance ľahko získa povesť funkcie, ktorá vie problém pomenovať, ale nevie ho pomôcť odstrániť. A práve tu sa láme rozdiel medzi compliance, ktoré zostáva pri identifikácii povinnosti, a compliance, ktoré vie pochopiť firmu zvnútra.

Procesný problém sa totiž nedá vyriešiť len lepšou formuláciou smernice. Treba sa pozrieť na tok rozhodovania, na to, ako sa pracuje s informáciou, kto nesie vlastníctvo, čo sa deje pod tlakom – a či proces naozaj podporuje správanie, ktoré firma od ľudí očakáva.

Až potom sa dá hovoriť o riešení, ktoré má šancu fungovať aj mimo dokumentu.

Aj cesta k rozhodnutiu je proces

Táto logika platí aj tam, kde by sme ju možno najmenej čakali – v samotnom procese, ktorým compliance predkladá riziko vedeniu. Pomenovať riziko správne, sformulovať ho do jednej vety, dostať sa s ním na vedenie – to všetko je stále len časť cesty. Ak firma tam proces zastaví, vytvorí presne to isté zlyhanie, o ktorom sme práve hovorili: správne pomenovanú povinnosť bez prepojenia na realitu.

Vedenie niečo odsúhlasí. Zápisnica to zaznamená. A ak nikto nesleduje, čo sa s týmto rozhodnutím deje ďalej – kto ho realizuje, dokedy, čo ho blokuje – rozhodnutie sa vo svojej podstate nelíši od smernice v šuplíku: existuje, je formálne správne, ale v prevádzke sa nič nezmenilo.

Výskum McKinsey ukazuje, že až 70 % strategických iniciatív nedosiahne zamýšľané výsledky – a príčinou najmä nie je zlé rozhodnutie, ale zlyhanie pri jeho realizácii.

Zdroj: McKinsey & Company

Presne to isté platí pre compliance: riziko, ktoré firma na papieri „vyriešila“ schválením opatrenia, zostáva rizikom dovtedy, kým niekto nesleduje, či sa opatrenie skutočne deje v prevádzke. Preto platí jednoduché, no nepohodlné pravidlo: ak compliance nemá zavedený spôsob, ako sledovať, čo sa s jeho odporúčaním stalo po tom, čo opustilo zasadačku, nemôže reálne očakávať, že sa niečo zmení. Nie preto, že vedenie nechce. Ale preto, že bez follow-upu sa aj najlepšie rozhodnutie správa presne tak, ako norma bez prepojenia na proces – existuje, ale nikoho nezaväzuje v praxi.

Kde sa začína zrelejšia compliance práca

Pre nás v G. Lehnert je toto jedna z najdôležitejších vrstiev modernej compliance práce: nezostávať pri tom, čo povinnosť vyžaduje, ale ísť ďalej – k tomu, kde sa firma v procese oslabuje sama. Kde si vytvára zbytočne slabé miesto nie preto, že nepozná pravidlo, ale preto, že cesta od pravidla k realite nie je dostatočne pevná.

Ak chceme znižovať riziko, nestačí čítať zákon. Treba čítať proces. Lebo práve tam sa ukáže, či je zodpovednosť jasná, či je rozhodovanie obhájiteľné, či sa problém dá zachytiť včas – a či je firma nastavená tak, aby povinnosti nielen mala, ale ich aj uniesla v každodennej realite.

Zrelšie compliance nezačína pri ďalšom texte o tom, čo by sa malo. Začína pri presnejšom pochopení toho, kde sa veci vo firme v skutočnosti lámu. A jedno miesto, kde sa lámu najčastejšie a najtichšie, je práve moment tesne po tom, čo padne rozhodnutie. O tom, ako vybudovať proces, ktorý toto miesto ustráži, sa budeme rozprávať v ďalších vydaniach.

S pozdravom z gauča, Lucie Schweizer 🛋️

Prvý krok: Pri najbližšom riziku skúste jednoduchú techniku 5 Prečo (5 Whys). Zoberte si jeden konkrétny prípad a pýtajte sa "prečo" opakovane – každá odpoveď sa stáva základom ďalšej otázky: Prečo sa problém stal? – Lebo schválenie prebehlo bez kontroly príloh. Prečo sa schválenie nekontrolovalo? – Lebo schvaľovateľ mal v ten deň desať podobných žiadostí naraz. Prečo mal desať žiadostí naraz? – Lebo schvaľovanie nie je rozložené medzi viac ľudí. Prečo nie je rozložené? – Lebo nikto oficiálne nerozhodol, kto všetko môže schvaľovať. Prečo to nikto nerozhodol? – Lebo proces vznikol provizórne pred rokmi a odvtedy ho nikto neprehodnotil. Po štvrtom až piatom "prečo" už spravidla nehovoríte o chybe človeka, ale o skutočnej príčine v procese – presne tam, kde podľa dát LRN systematicky pracujú najvýkonnejšie compliance programy. Kým sa nedostanete aspoň na túto úroveň, riešite iba dôsledok, nie príčinu. Ak chcete ísť ešte ďalej a naučiť sa systematicky mapovať proces skôr, než v ňom vôbec nastane incident – vrátane toho, ako získať pravdivú informáciu, nie len oficiálnu verziu – pripravili sme si samostatný nástroj Process Discovery pre CCO/CO. Nájdete ho na www.lehnert.sk/novinky spolu s ostatným bonusovým obsahom.