Compliance v praxi: proč směrnice uložená v šuplíku nic neřeší

 Compliance patří mezi pojmy, které znějí moderně, ale současně jeho skutečný význam bývá pro podnikatele ne zcela srozumitelný. Pro vlastníka firmy i pro statutární orgán jde přitom o zcela praktickou otázku, totiž zda společnost ustojí den, kdy se někdo z jejich zaměstnanců dostane do konfliktu se zákonem. Rozhoduje ale i o tom, jak firma zvládne kontrolu, předání agendy po odcházejícím zaměstnanci nebo zaučení nových lidí. Následující text shrnuje, co po firmách závazné předpisy v této oblasti skutečně žádají, v čem se v praxi chybuje nejčastěji a jak compliance nastavit tak, aby fungovala, nikoli jen existovala.

Soulad s pravidly, který se dá doložit

Podstata compliance je navenek prostá. Společnost vede své podnikání v mezích právních předpisů i vlastních pravidel a současně si vytváří nástroje, jimiž to dokáže prokázat. Pod ona pravidla spadají zákony, závazky ze smluv, vnitřní předpisy i etické hodnoty, ke kterým se firma veřejně hlásí.

Rozhodující je ta část, kde si firma vytváří podklady, jimiž je schopna doložit, že podniká v souladu s právem. Úřad ani soud, které vedou se společností řízení o deliktu nebo trestném činu, se neptají, zda firma měla dobrý úmysl, nýbrž čím jej doloží. Doložit v tomto případě znamená předložit datovanou směrnici ve znění platném v rozhodné době, doklad o tom, že s ní byli seznámeni právě ti, kterých se týká, záznam o školení, evidenci podnětů z oznamovacího kanálu a zápis o tom, jak byl každý z nich vyřízen apod. Tam, kde tato dokumentace chybí, nezbývá společnosti než spoléhat na to, že se účastníkem takového řízení nikdy nestane. To je však sázka, která dříve či později nemusí vyjít.

Nejčastější chyba: směrnice jako splněný úkol

Klient si objedná zpracování směrnice, která upravuje některý z jeho procesů. Bývá to nakládání s osobními údaji, přijímání a poskytování darů, schvalování objednávek a plateb nebo vnitřní oznamovací systém. Dokument převezme, statutární orgán jej podepíše, směrnice se uloží do složky na sdíleném disku a tím pro firmu téma končí. Povinnost je odškrtnuta.

O rok později, zpravidla ve chvíli, kdy do firmy dorazí kontrola nebo se objeví konkrétní problém, se ukáže obvyklý obrázek. Zaměstnanci o směrnici nevědí, nikdo je s ní neseznámil a nikdo je z ní neproškolil. Proces v ní popsaný neodpovídá tomu, jak firma skutečně pracuje, protože byl mezitím změněn a směrnice zůstala v původním znění. Odpovědná osoba, kterou dokument určuje, o své roli často ani neví. Lhůty stanovené směrnicí nikdo nesleduje, evidence se nevede a na porušení pravidel firma nikdy nijak nereagovala, přestože sama v dokumentu deklarovala disciplinární postihy.

Takto pojatá směrnice ale není splněním firmě a jejímu vedení stanovené povinnosti. Naopak je jen a pouze dokladem o tom, že firma svá rizika znala a nechala je bez ošetření. To jí v trestním ani ve správním řízení neprospěje a takové zjištění se snadno obrátí proti společnosti samotné, neboť dokládá, že její vedení o riziku vědělo a reálná opatření nepřijalo.

Právní úprava totiž firmám neukládá mít nějaký dokument. Ukládá jim zavést a udržovat postup, který zajistí dosažení právní úpravou zamýšleného výsledku. Obecné nařízení o ochraně osobních údajů požaduje po správci přijetí vhodných technických a organizačních opatření, jejich revizi a aktualizaci, a současně schopnost soulad doložit. Zákon o ochraně oznamovatelů nežádá po povinném subjektu směrnici o oznamovacím systému, ale zavedený a fungující kanál, určenou příslušnou osobu vyřizující oznámení, uveřejněné informace o způsobu oznamování, vyrozumění oznamovatele o přijetí oznámení do sedmi dnů a o výsledku jeho posouzení zpravidla do třiceti dnů.

Jinými slovy, kontrolní orgán se neptá, zda směrnice existuje. Ptá se, zda se podle ní jednalo. 

Opačný, ale stejně nákladný případ: proces, který zná jediný člověk

Stejně často se v kanceláři setkáváme s přesně obrácenou situací. Firma nemá sepsáno nic, protože podle svého přesvědčení nic sepisovat nepotřebuje. Procesy fungují, lidé si je předávají jako v prehistorických dobách ústní tradicí a vedení má za to, že se u nich zbytečnou administrativou nemá smysl zdržovat. Ve skutečnosti však celý proces nikde není zaznamenán, existuje pouze v hlavě jednoho zaměstnance. Bývá to člověk, který ví, jak se vyřizují reklamace, podle čeho se schvalují slevy, jak se identifikuje nový klient, kde jsou uloženy podklady k dotaci, komu se hlásí bezpečnostní incident a jaké lhůty přitom běží.

Pak takový zaměstnanec odejde. Dá výpověď, odejde ke konkurenci, dlouhodobě onemocní nebo odejde do důchodu. Firma v tu chvíli zjistí, že s ním odešel i celý proces. Nikdo přesně neví, podle jakých kritérií se rozhodovalo, co se dělo v jednotlivých krocích, kdo měl co odsouhlasit a v jaké lhůtě. Následuje improvizace, tedy dohledávání postupu ze staré e-mailové korespondence, telefonáty bývalému kolegovi, který na ně nemá povinnost odpovídat, a rozhodnutí přijímaná odhadem. Škoda z toho plynoucí se sice neobjeví v žádném rozhodnutí o pokutě, ale firma ji zaplatí, a to v podobě zmeškaných lhůt, chybných rozhodnutí a času vedení stráveného rekonstrukcí něčeho, co mohlo být na dvou stranách papíru.

Druhý dopad se projeví při zaučování nových lidí. Firma, která své procesy nemá popsané, nemůže novému zaměstnanci předat složku dokumentů, z níž by se s chodem firmy kompletně seznámil. Nezbývá jí než jej nechat učit se za pochodu, tedy nahodile, od kolegů, kteří na to nemají čas, přičemž každý z nich mu věc vyloží trochu jinak. Výsledek nikdo neřídí a nikdo jej ani nedokáže ověřit. Nový člověk tak pracuje měsíce podle své vlastní představy o tom, jak se to ve firmě dělá, a právě u něj je přitom pravděpodobnost pochybení nejvyšší.

K tomu přistupuje rovina právní. U procesů, které mají regulatorní rozměr, tedy zejména u nakládání s osobními údaji, identifikace a kontroly klienta podle předpisů proti praní špinavých peněz, vyřizování oznámení podle zákona o ochraně oznamovatelů nebo účasti ve veřejných zakázkách, znamená nezachycený proces totéž, co proces nedodržovaný. Firma nemá záznamy, nemá určenou odpovědnou osobu, nemá stanovené lhůty a nedoloží, jak postupovala. Před úřadem je pak její postavení stejně nepříznivé jako u firmy se směrnicí uloženou v šuplíku, jen z opačného důvodu. Ústní domluva totiž vydrží přesně tak dlouho, dokud ve firmě zůstává ten, kdo ji uzavřel.

Podle čeho se pozná, že compliance skutečně funguje

Obě popsané situace jsou rubem a lícem téže mince, neboť v jednom případě existuje dokument bez praxe a ve druhém praxe bez dokumentu. Cíl je přitom v obou případech shodný, totiž aby popsaný postup a skutečný postup byly jedno a totéž. Rozdíl mezi funkčním a formálním systémem lze poznat na sedmi konkrétních věcech, které si vlastník firmy nebo statutární orgán dokáže ověřit sám a během jediného odpoledne. 

1. Odpovědnost. Ve firmě musí být jmenovitě určena osoba, která za daný proces odpovídá, a tato osoba o svém pověření musí vědět, mít na ně vyhrazený čas a mít pravomoc si vynutit součinnost ostatních. Pověření uvedené pouze v textu směrnice, o němž se dotyčný dozví poprvé při kontrole, žádnou zodpovědnost nezakládá.

2. Soulad s provozem. Popsaný postup musí odpovídat tomu, jak firma skutečně pracuje. Pokud směrnice ukládá schvalovat objednávky nad určitou částku předem, zatímco v účtárně se běžně schvaluje až po zaplacení, není chyba v účtárně, ale v tom, že dokument nikdo nepřevedl do praxe. Převzatá šablona z internetu tento problém nikdy nevyřeší, protože s riziky konkrétní firmy nepočítá a je to z ní na první pohled patrné. 

3. Seznámení a školení. Pravidla se musí dostat k lidem, kteří podle nich mají pracovat, a jejich předání se musí dát prokázat, ať už prezenční listinou, potvrzením v personálním systému nebo evidencí u e-learningu. Obvykle se považuje za vhodné školit vedení i zaměstnance nejméně jednou ročně, přičemž u pozic zvlášť rizikových z hlediska daného procesu je namístě věnovat školení výrazně větší pozornost. Totéž platí pro nástup nových lidí, neboť zaměstnanec, který se o pravidlech firmy dozví až na výročním školení za deset měsíců, pracoval deset měsíců bez jejich znalosti se všemi riziky, která z toho plynou.

4. Datace a verzování. U každého dokumentu musí být zřejmé, od kdy platí, kdo jej vydal, kdo a kdy potvrdil seznámení a jaké znění bylo účinné v období, které kontrolní orgán prověřuje. Firmy, které tuto evidenci nevedou, se při kontrole dostávají do postavení, kdy fakticky nemají čím argumentovat, přestože pravidla po celou dobu měly.

5. Reakce na porušení. Deklarované disciplinární opatření, k němuž se nikdy nepřistoupilo, ačkoli k porušení pravidel prokazatelně došlo, celý rámec znehodnocuje. Totéž platí o podnětu z oznamovacího kanálu, který nikdo neprošetřil.

6. Revize. Posouzení rizik má být aktualizováno vždy, když se ve firmě něco podstatného změní, tedy při akvizici, vstupu na nový trh, zahájení nové obchodní spolupráce, změně vlastníka i při změně právní úpravy. Compliance není projekt s termínem dokončení, ale běžná provozní agenda.

7. Příklad shora. Vedení se musí chovat přesně tak, jak vyžaduje od ostatních. Jakmile management dává najevo, že pravidla platí pro kohokoli kromě něj, přestává mít celý rámec jakoukoli váhu bez ohledu na to, jak pěkně je sepsaný. 

Když za pochybení jednotlivce zaplatí firma

Zlom přinesl rok 2012, kdy nabyl účinnosti zákon č. 418/2011 Sb., o trestní odpovědnosti právnických osob a řízení proti nim. Od té doby nemusí stát před trestním soudem pouze konkrétní pachatel, ale za stanovených podmínek i společnost, v jejíž prospěch nebo v jejímž rámci k trestnému činu došlo. Po novele z roku 2016 zahrnuje okruh těchto činů naprostou většinu trestního zákoníku s výjimkou úzkého výčtu vyňatých skutkových podstat. V praxi jde o jednání, jako je zkrácení daně, dotační podvod, podplácení, legalizace výnosů z trestné činnosti nebo zjednání výhody při zadání veřejné zakázky.

Aby to nebylo abstraktní, představme si obchodního ředitele, který ve snaze získat zakázku přislíbí odpovědnému úředníkovi provizi, nebo vedoucího skladu, který zatají únik nebezpečné látky a upraví o něm záznamy tak, aby se na něj nepřišlo. V obou případech může vedle samotného pachatele čelit trestnímu stíhání i firma, přestože nikdo z vedení o jednání nevěděl. Postih přitom nekončí u peněžitého trestu, neboť firmě hrozí vyloučení z veřejných zakázek, ztráta nároku na dotace, zákaz činnosti a v krajním případě i soudem nařízené zrušení společnosti.

Zákon ovšem ponechává cestu ven. Podle § 8 odst. 5 zákona o trestní odpovědnosti právnických osob se společnost odpovědnosti zprostí, prokáže-li, že vynaložila veškeré úsilí, které na ní bylo možno spravedlivě požadovat, aby protiprávnímu jednání zabránila. Právě zde se rozhoduje o tom, zda byla investice do compliance užitečná. Firma, která doloží, že měla nastavená pravidla odpovídající jejím rizikům, školila své lidi, dohlížela na jejich dodržování a měla připravené mechanismy pro odhalení a řešení pochybení, stojí před soudem ve zcela jiné pozici než ta, která předloží podepsanou směrnici a nic dalšího. O výsledku totiž nerozhoduje objem dokumentace, ale to, co se s ní ve firmě dělo. 

Pokuty nepřicházejí jen z trestního práva

Compliance se zdaleka neomezuje na trestní rovinu. Řadu povinností vymáhají přímo správní úřady a sazby nejsou symbolické.

• Ochrana osobních údajů. Podle obecného nařízení GDPR hrozí pokuta až do výše 20 milionů eur nebo 4 procent celosvětového ročního obratu podle toho, která částka je vyšší. Úřad pro ochranu osobních údajů přitom sleduje nejen úniky dat, ale i podobu souhlasů a cookie lišt.

• Opatření proti praní špinavých peněz. Finanční analytický úřad může podle zákona č. 253/2008 Sb. uložit pokutu v řádu milionů korun, u nejzávažnějších porušení i podstatně více. Tyto povinnosti dopadají i na účetní, daňové poradce nebo realitní zprostředkovatele.

• Ochrana oznamovatelů. Za nezavedení vnitřního oznamovacího systému hrozí sankce v řádu set tisíc až jednoho milionu korun.

Žádná z těchto sankcí přitom nepředpokládá, že firma chtěla předpisy porušit. Postačí, že neměla zavedeno to, co zavedeno mít měla.

Velikost firmy nerozhoduje, rozsah opatření ano

Mezi podnikateli přetrvává představa, že compliance je téma pro nadnárodní řetězce. Předpisy, které firmu zavazují, však k počtu zaměstnanců ani k výši obratu zpravidla nepřihlížejí, a tam, kde je nějaký práh stanoven, bývá nízký. Kupříkladu povinnost zřídit vnitřní oznamovací systém dopadá na zaměstnavatele již od padesáti zaměstnanců. Rozdíl je proto spíše v dopadu, protože společnost s ročním obratem v jednotkách milionů může pokuta ve výši několika set tisíc korun položit, zatímco velký koncern stejnou sankci odepíše jako provozní náklad. 

Z toho ovšem neplyne, že malá firma potřebuje compliance oddělení a stohy směrnic. Rozsah opatření má odpovídat velikosti, oboru a míře rizika. Pro firmu o dvaceti lidech zpravidla postačí několik stránek jasných pravidel chování, protikorupční zásada, jmenovitě určená odpovědná osoba, bezpečná cesta pro nahlášení podezření a jednou ročně zopakované školení. Malá firma tedy nepotřebuje více pravidel než velká. Potřebuje pouze ta, která se jí skutečně týkají, a musí podle nich pracovat.

Osobní rovina odpovědnosti

Jednatelé a členové představenstva odpovídají za výkon funkce s péčí řádného hospodáře podle § 159 občanského zákoníku a § 51 a násl. zákona o obchodních korporacích. Součástí této péče je i dohled nad tím, že společnost neporušuje právo. Zanedbají-li tuto povinnost a společnosti tím vznikne škoda, například v podobě uložené pokuty, mohou být povinni ji nahradit ze svého majetku. Objednání směrnice, kterou statutární orgán následně nezavede do praxe a jejíž dodržování nesleduje, přitom tuto povinnost nenaplňuje. Spíše naopak, neboť dokládá, že orgán o riziku věděl, ale podcenil ho.

Jak k tomu přistoupit 

Východiskem je poctivé zmapování toho, kde firma reálně chybuje nebo kde by chybovat mohla. Jiná rizika tíží e-shop spravující údaje tisíců zákazníků, jiná firmu obchodující se zahraničím a vázanou sankčními režimy a jiná dodavatele, který se pravidelně uchází o veřejné zakázky. Teprve z této analýzy vychází konkrétní program.

Nejde o projekt na měsíce ani o záležitost vysokých rozpočtů. U menší firmy lze základ postavit během několika týdnů. Začne se u nejpalčivějšího rizika, k němu se sepíšou jasná a stručná pravidla, určí se konkrétní člověk, který za ně odpovídá, lidé se s pravidly prokazatelně seznámí a zavede se cesta pro hlášení podezření. Zbytek se doplňuje postupně. Snaha o dokonalost zde spíše překáží, protože jednoduchý a používaný rámec přináší mnohem víc než propracovaný plán, který nikdy nedospěje do konce.

Za zmínku stojí i to, co firma získává nad rámec obrany. Banky a investoři compliance program běžně prověřují při hloubkové prověrce společnosti před poskytnutím úvěru či vstupem investora a stále více zadavatelů i velkých odběratelů jej vyžaduje jako podmínku spolupráce. Ve srovnání s náklady na obhajobu v trestním řízení, které se vlečou roky, a s pokutami schopnými ohrozit samotnou existenci firmy jsou prostředky vložené do prevence nesrovnatelně nižší.

Závěrem

Compliance nezačíná podpisem směrnice a už vůbec jím nekončí. Začíná ve chvíli, kdy se podle ní ve firmě skutečně postupuje, a pokračuje tak dlouho, dokud firma dokáže toto tvrzení doložit. Dokument, který nikdo nezná a podle kterého nikdo nepracuje, nechrání společnost ani její vedení a v řízení před úřadem či soudem se z něj stává důkaz proti ní. Proces, který firma nemá zachycený vůbec a který zná jediný člověk, ji nechrání o nic lépe, jen si to firma zpravidla uvědomí až ve chvíli, kdy tento člověk odejde.

V kanceláři HRTÚS HRTÚSOVÁ advokáti provázíme firmy celým procesem, od prvního zhodnocení rizik přes přípravu směrnic a jejich zavedení do každodenního provozu až po školení lidí a nastavení oznamovacího systému. Pokud máte směrnice zpracované a nejste si jisti, zda se podle nich ve vaší firmě opravdu jedná, nebo naopak víte, že klíčové procesy máte nastavené pouze ústní domluvou, doporučujeme to prověřit dřív, než vás k tomu donutí kontrola nebo odchod zaměstnance.

Pro konzultaci nás kontaktujte na info@hrtusadvokati.cz nebo telefonicky.