COMPLIANCE MÁTE. ALE ZACHRÁNÍ VÁS, KDYŽ JE JEN NA PAPÍŘE?

Etický kodex je schválený. Zaměstnanci jednou ročně odkliknou e-learning. Na intranetu visí protikorupční směrnice. Když ale obchodník obejde pravidla, nikdo si toho nevšimne. Když přijde oznámení, nikdo ho pořádně neprověří. A vedení současně odměňuje jen výsledek – bez ohledu na to, jak ho člověk dosáhl. Může takový compliance systém firmu skutečně chránit?

Právě tady je rozdíl mezi compliance, které firma má, a compliance, které ve firmě skutečně funguje.

„Máme směrnici.“ To je dobrý začátek, ne konec práce

Když se ve firmě objeví podezření na trestné jednání, vedení často jako první ukáže etický kodex, interní směrnici nebo potvrzení o proškolení zaměstnanců. Je přirozené chtít doložit, že společnost pravidla nastavila. Jenže trestní právo se nemusí ptát pouze na to, co bylo napsáno. Může se ptát také na to, zda se podle toho skutečně postupovalo v praxi.

Byli zaměstnanci s pravidly opravdu seznámeni? Rozuměli jim? Kontroloval někdo jejich dodržování? Uměla firma porušení odhalit? A když se něco zjistilo, následovala reálná reakce? To jsou mnohem méně pohodlné otázky než prosté: „Máte směrnici?“

Zákon zná možnost „vyvinění“ firmy. Není to ale automatická imunita

Zákon o trestní odpovědnosti právnických osob umožňuje společnosti zprostit se trestní odpovědnosti, pokud vynaložila veškeré úsilí, které po ní bylo možné spravedlivě požadovat, aby spáchání protiprávního činu zabránila (§ 8 odst. 5 zákona č. 418/2011 Sb.). To je pro firmy důležitá zpráva: prevence může mít skutečný právní význam. Současně ale zákon nikde neříká, že stačí přijmout jeden etický kodex, jednou za rok udělat školení a tím je hotovo.

Neexistuje univerzální checklist, který po zaškrtnutí všech políček garantuje, že firma trestní odpovědnost nenese. Vždy se hodnotí konkrétní okolnosti, povaha podnikání, rizika společnosti a hlavně to, co reálně fungovalo v době, kdy problém vznikl.

Nejvyšší soud: compliance „na papíře“ nestačí

Nejvyšší soud to formuloval velmi prakticky v rozhodnutí sp. zn. 7 Tdo 110/2019. Samotné přijetí vnitřních předpisů nebo jiných opatření podle něj k závěru o vyvinění společnosti nestačí. Důležité je jejich skutečné dodržování, kontrola plnění, schopnost porušení odhalit a následná adekvátní reakce.

V projednávané věci firma argumentovala mimo jiné etickým kodexem a školením zaměstnanců. Soudy ale dospěly k závěru, že kodex byl fakticky formální a skutečná firemní kultura jeho pravidla popírala. Nejvyšší soud tento přístup potvrdil. Pro management je to možná nejdůležitější věta celého tématu: dokument s názvem „Compliance Policy“ není právní štít. Rozhodující je, co se podle něj ve firmě opravdu děje.

Představte si dvě firmy se stejnou směrnicí

Obě společnosti mají téměř stejný protikorupční kodex. Zakazují úplatky, upravují dary, střet zájmů a spolupráci se zprostředkovateli. Na první pohled vypadají stejně.

V první firmě dostanou zaměstnanci kodex při nástupu a jednou za rok kliknou na e-learning. Nikdo ale neověřuje, zda mu rozumí. Nestandardní provize schvaluje obchodní ředitel sám. Whistleblowingový kanál existuje, ale oznámení z něj chodí člověku, kterého se mohou týkat. V minulosti se objevily pochybné platby, ale nikdo je neprověřoval, protože obchodník přinášel velké zakázky.

Ve druhé firmě se pravidla odvíjejí od konkrétních rizik. Rizikové pozice mají cílené školení. U nestandardních provizí funguje princip čtyř očí. U vybraných zprostředkovatelů se prověřuje jejich role a odměna. Oznámení se evidují a skutečně šetří. Pokud se zjistí porušení, následuje nápravné opatření – bez ohledu na to, kolik peněz dotyčný firmě vydělává.

Obě firmy mohou čelit excesu jednotlivce. Ale jejich schopnost doložit, že trestnímu riziku reálně předcházely, bude zcela odlišná.

Funkční compliance stojí na třech věcech: prevence, detekce a reakce

Nejvyšší státní zastupitelství ve své metodice k § 8 odst. 5 ZTOPO pracuje při vyhodnocování compliance management systému se třemi praktickými pilíři: prevencí, detekcí a reakcí. Metodika není zákon ani závazný „safe harbor“, ale ukazuje, na co se může veřejná žaloba při prověřování společnosti dívat.

Prevence znamená především znát vlastní rizika a nastavit na ně přiměřená pravidla. Jiná opatření potřebuje výrobní firma s deseti zaměstnanci, jiná skupina se stovkami obchodníků, zprostředkovatelů a veřejných zakázek. Smyslem není vyrobit co nejvíce směrnic, ale zaměřit se na místa, kde může problém skutečně vzniknout.

Detekce znamená schopnost problém zachytit. Kontroly, princip čtyř očí, interní audit, red flags, oznamovací systém nebo jiný důvěryhodný kanál nejsou samoúčelné. Pokud firma dokáže sama odhalit nestandardní jednání, je to zároveň důkaz, že její kontrolní mechanismy nejsou jen dekorace.

A reakce? Ta ukazuje, co se stane, když někdo pravidla poruší. Byl incident vyšetřen? Byly zajištěny důkazy? Byla přijata nápravná opatření? Změnily se procesy? Byly obdobné případy řešeny konzistentně?

Když vedení říká jedno a odměňuje druhé

Compliance se nejrychleji rozpadá ve chvíli, kdy oficiální pravidla říkají něco jiného než skutečné priority vedení. Na nástěnce může viset „nulová tolerance korupce“. Pokud ale obchodník slyší: „Nezajímá mě jak, tu zakázku prostě přines,“ dostává mnohem silnější instrukci než z etického kodexu.

Metodika Nejvyššího státního zastupitelství proto zdůrazňuje tzv. tone from the top – skutečnou a věrohodnou podporu compliance ze strany vrcholového vedení. Sleduje také, zda systém odměňování a KPI nepůsobí proti deklarovaným pravidlům. Firma, která trestá juniora za drobný střet zájmů, ale přehlíží stejné jednání obchodního ředitele kvůli jeho výsledkům, si sama vytváří důkaz o tom, jak její compliance funguje v praxi.

Školení: podpis prezenční listiny není totéž jako porozumění

Podobné je to se školením. Nestačí mít tabulku, že všichni zaměstnanci „absolvovali compliance“. U rizikových pozic dává smysl školit konkrétní situace, které mohou opravdu nastat: Co může obchodník slíbit zákazníkovi? Kdy je dar ještě běžná obchodní pozornost a kdy už problém? Jak postupovat u zprostředkovatele, který chce neobvykle vysokou provizi? Co udělat, když zaměstnanec dostane nabídku na „odměnu bokem“?

NSZ ve své metodice výslovně zmiňuje potřebu přizpůsobit formu a frekvenci školení rizikovému profilu a ověřovat, že účastníci jeho obsahu rozumějí. U fungujícího systému je proto zajímavější kvalita školení než počet podepsaných certifikátů.

Co by měla firma umět doložit, kdyby se policie zeptala zítra?

Praktický test je jednoduchý. Představte si, že zítra někdo začne prověřovat jednání vašeho zaměstnance a zeptá se, co firma dělala pro prevenci podobného rizika. Umíte ukázat, kdy jste riziko identifikovali? Proč jste nastavili právě tato opatření? Kdo za ně odpovídá? Kdy proběhlo školení a koho se týkalo? Jaké kontroly fungují? Jak byla řešena předchozí porušení? Kdo vyhodnocuje oznámení? A změnili jste něco poté, co systém odhalil slabinu? Pokud odpovědí bude sada dokumentů bez důkazu, že se podle nich skutečně postupovalo, je to varovný signál.

Naopak firma, která dokáže doložit nejen pravidla, ale i jejich reálné používání, kontroly, záznamy o školení, vyhodnocení rizik a reakce na incidenty, má podstatně silnější pozici.

Compliance musí být uvěřitelné a přiměřené velikosti společnosti

Menší firma nepotřebuje compliance oddělení o pěti lidech a desítky směrnic. Opatření mají být přiměřená velikosti společnosti, povaze jejího podnikání a skutečným rizikům.

U některé firmy může být největším rizikem korupce v obchodě. U jiné účetnictví, veřejné zakázky, bezpečnost práce, nakládání s odpady nebo činnost zahraničních zprostředkovatelů.

Právě proto dává smysl začít auditem rizik, nikoli nákupem univerzální šablony. Dobré compliance má být schopné odpovědět na otázku: Kde se u nás může něco stát – a co jsme udělali proto, aby se to nestalo?

A když už problém vznikl?

Funkčnost compliance systému se ukáže i podle toho, jak firma reaguje na incident. Pokud přijde důvěryhodné oznámení nebo se objeví podezřelá transakce, není dobré čekat, zda problém sám zmizí. Je potřeba zajistit relevantní dokumenty a komunikaci, vyhodnotit konflikt zájmů, rozhodnout o rozsahu interního šetření a nastavit jeho vedení tak, aby výsledky byly použitelné i pro další právní postup. Následně je třeba odstranit nejen konkrétní problém, ale i jeho příčinu. Pokud obchodník obešel schvalování díky mezeře v systému, nestačí pouze propustit obchodníka. Je potřeba opravit i systém.

Právě schopnost odhalit porušení a adekvátně na něj reagovat považuje Nejvyšší soud za významnou součást reálně fungujících opatření.

Směrnice je důkaz. Ale může být důkazem i proti vám

Interní pravidla jsou důležitá. Jenže pokud firma sama napíše, že každá provize nad určitou částku musí projít kontrolou, a pak roky toleruje, že se pravidlo obchází, samotná směrnice může velmi názorně ukázat rozdíl mezi tím, co společnost deklarovala, a tím, co skutečně dělala. Proto má smysl jednou za čas ověřit nejen to, zda má firma dokumentaci aktuální, ale hlavně zda jí odpovídá reálná praxe.

Compliance, které funguje, není zárukou, že ve firmě nikdy nikdo nespáchá trestný čin. Takový systém neexistuje. Může ale výrazně snížit riziko a v kritické chvíli pomoci doložit, že společnost udělala to, co po ní bylo možné rozumně požadovat.

Jinými slovy: směrnice v šuplíku firmu nezachrání. Funkční systém může být zásadní.

Naše advokátní kancelář pomáhá firmám s auditem trestněprávních rizik, revizí compliance systémů a nastavením protikorupčních a kontrolních pravidel. Smyslem není vytvořit další složku dokumentů, ale ověřit, zda opatření společnosti obstojí také v praxi – právě ve chvíli, kdy je bude někdo skutečně zkoumat.