Заңнамаға сәйкестік және ұйымдық басқару

Кіріспе

Ұйымның тиісті заңдарға, саясаттарға және ережелерге сәйкес келу жөніндегі күш-жігері.

Жалпы алғанда, сәйкестік – бұл белгілі бір ережеге, мысалы, техникалық талаптарға, саясатқа, стандартқа немесе заңға сәйкес болу. Сәйкестік дәстүрлі түрде үрейлендіру теориясымен түсіндіріледі, соған сәйкес, мінез-құлықты жазалау бұзушының өзінде (нақты үрейлендіру) және басқалардың арасында (жалпы үрейлендіру) бұзушылықтарды азайтады. Бұл көзқарас экономикалық теориямен қолдауға алынды, ол жазаны шығындар тұрғысынан қарастырды және сәйкестікті шығын мен пайданың тепе-теңдігі тұрғысынан түсіндірді (Becker 1968). Алайда, мотивация туралы психологиялық зерттеулер басқаша көзқарас ұсынады: белгілі бір мінез-құлық үшін сыйлық беру (Deci, Koestner және Ryan, 1999) немесе айыппұл салу (Gneezy Rustichini 2000) – бұл сыртқы мотивацияның бір түрі, ол ішкі мотивацияны әлсіретеді және, әрі қарай, сәйкестікті жоғалтады. Реттеушілік сәйкестік – ұйымдардың тиісті заңдарға, саясаттарға және ережелерге сәйкес келуді қамтамасыз ету үшін оларды білуіне және қадамдар жасауына кепілдік беру үшін күш-жігерінде жетістікке жетуге ұмтылатын мақсатты сипаттайды. Реттеулердің санының артуына және операциялық ашықтықтың қажеттілігіне байланысты ұйымдар жинақталған және үйлестірілген сәйкестік бақылауларын қабылдауға көбірек бейім. Бұл тәсіл барлық қажетті басқару талаптарын ресурстардың қажетсіз қайталануынсыз орындауды қамтамасыз ету үшін қолданылады. Реттеулер мен аккредиттеу ұйымдары салалар бойынша әртүрлі болады, мысалы, қаржы саласында PCI DSS және GLBA, АҚШ федералдық агенттіктері үшін FISMA, тамақ және сусын өнеркәсібі үшін HACCP, денсаулық сақтауда Бірлескен комиссия және HIPAA. Кейбір жағдайларда, басқа сәйкестік жүйелері (COBIT сияқты) немесе тіпті стандарттар (NIST) реттеулерге қалай сәйкес келу керектігі туралы ақпарат береді. Кейбір ұйымдар сәйкестік деректерін – кәсіпорынға тиесілі немесе оған қатысты немесе заңда қамтылған, сәйкестікті іске асыру немесе растау үшін пайдаланылуы мүмкін барлық деректерді – есеп беру талаптарын орындау үшін бөлек сақтайды. Компанияларға сәйкестік деректерін тиімді басқаруға көмектесетін сәйкестік бағдарламалық құралдары жиі қолданылады. Бұл сақтауға есептеулер, деректерді беру және аудит іздері кіруі мүмкін.

In general, compliance means conforming to a rule, such as a specification, policy, standard or law. Compliance has traditionally been explained by reference to the deterrence theory, according to which punishing a behavior will decrease the violations both by the wrongdoer (specific deterrence) and by others (general deterrence). This view has been supported by economic theory, which has framed punishment in terms of costs and has explained compliance in terms of a cost benefit equilibrium (Becker 1968). However, psychological research on motivation provides an alternative view: granting rewards (Deci, Koestner and Ryan, 1999) or imposing fines (Gneezy Rustichini 2000) for a certain behavior is a form of extrinsic motivation that weakens intrinsic motivation and ultimately undermines compliance. Regulatory compliance describes the goal that organizations aspire to achieve in their efforts to ensure that they are aware of and take steps to comply with relevant laws, policies, and regulations. Due to the increasing number of regulations and need for operational transparency, organizations are increasingly adopting the use of consolidated and harmonized sets of compliance controls. This approach is used to ensure that all necessary governance requirements can be met without the unnecessary duplication of effort and activity from resources. Regulations and accrediting organizations vary among fields, with examples such as PCI DSS and GLBA in the financial industry, FISMA for U. S. federal agencies, HACCP for the food and beverage industry, and the Joint Commission and HIPAA in healthcare. In some cases other compliance frameworks (such as COBIT) or even standards (NIST) inform on how to comply with regulations. Some organizations keep compliance data—all data belonging or pertaining to the enterprise or included in the law, which can be used for the purpose of implementing or validating compliance—in a separate store for meeting reporting requirements. Compliance software is increasingly being implemented to help companies manage their compliance data more efficiently. This store may include calculations, data transfers, and audit trails.

Ел бойынша

Нормативтік талаптарды сақтау саласына ғана емес, көбінесе орналасқан жерге қарай да өзгереді. Мысалы, бір елдегі қаржы, ғылыми зерттеу және фармацевтикалық реттеу жүйелері ұқсас болуы мүмкін, бірақ басқа елде айқын ерекшеліктері болуы мүмкін. Мұндай ұқсастықтар мен айырмашылықтар көбінесе "әр түрлі елдердегі, салалардағы және саясаттағы өзгеріп отыратын мақсаттар мен талаптарға жауап ретінде" туындайды.

Австралия

Австралияның депозиттер, сақтандыру және зейнетақы жинақтарын реттеуші ірі қаржы қызметтерінің арасында Австралияның Резервтік банкі (RBA), Австралияның пруденциалдық реттеу органы (APRA), Австралияның Бағалы қағаздар және инвестициялар комиссиясы (ASIC) және Австралияның Бәсекелестік және тұтынушылар комиссиясы (ACCC) бар. Бұл реттеуіштер қаржы институттарының өз уәделерін орындауын, транзакциялық ақпараттың толық құжатталғанын, бәсекелестіктің әділдігін қамтамасыз етуге және тұтынушыларды қорғауға көмектеседі. APRA, әсіресе, зейнетақы жинақтарын және оны реттеумен айналысады, соның ішінде зейнетақы қорларының сенімділері APRA-ға жеткілікті ресурстарға (адам, технология және қаржы), тәуекелді басқару жүйелеріне және зейнетақы қорын басқаруға қажетті тиісті біліктер мен тәжірибеге ие екенін, ал оларды басқаратын адамдардың "жақсы және лайықты" екенін көрсетуді талап ететін жаңа ережелерді енгізеді. Энергия және көміртегі шығарындыларын "бақылау, жеңілдету және орындалуын қадағалау" үшін Таза энергияны реттеуші орган; ал дәрі-дәрмектер, құрылғылар және биологиялық препараттар үшін – терапиялық тауарлар басқармасы. Австралиялық ұйымдар әртүрлі ережелерге сәйкес болу үшін AS ISO 19600:2015 стандартына (AS 3806:2006 стандартын алмастырады) жүгіне алады. Бұл стандарт ұйымдарға сәйкестікті басқаруға көмектеседі, "сәйкестікті қолдау үшін қажетті ұйымдық элементтерге баса назар аударады" және үздіксіз жақсарту қажеттілігін мойындайды.

Канада

Канадада депозиттер, сақтандыру және зейнетақыны федералдық деңгейде реттеуді екі тәуелсіз орган жүзеге асырады: OSFI Банктік заң арқылы, ал FINTRAC – 2001 жылғы Қылмыстан алынған кірістерді (ақпараттандыру) және терроризмді қаржыландыру туралы заңмен (PCMLTFA) міндеттендірілген. Бұл органдар тұтынушыларды қорғайды, тәуекелдерді бақылау және басқару тәсілдерін реттейді, сондай-ақ ақшаны заңсыз жолмен алу және терроризмді қаржыландыру сияқты заңға қарсы әрекеттерді тергейді. Канададағы басқа да маңызды реттеушілерге азық-түлік қауіпсіздігі, жануарлар және өсімдіктер денсаулығы саласындағы Канадалық азық-түлік инспекциясы агенттігі (CFIA), халық денсаулығы саласындағы Health Canada және қоршаған орта және климаттық өзгерістер саласындағы Environment and Climate Change Canada жатады. Әртүрлі ережелерге сәйкес болуды қамтамасыз етуге тырысатын канадалық ұйымдар ISO 19600:2014 стандартына жүгіне алады, ол "ұйым ішінде тиімді және жауапты сәйкестік басқару жүйесін құру, дамыту, іске асыру, бағалау, қолдау және жақсарту бойынша нұсқаулар береді". Қаржы институттары сияқты нақты салалар үшін Канаданың E 13 Нормативтік сәйкестікті басқаруы сәйкестік тәуекелін басқарудың нақты тактикаларын ұсынады.

Нидерланды

Нидерландыдағы қаржы секторы жоғары деңгейде реттеліп бақыланады. Нидерландтың Ұлттық Банкі (De Nederlandsche Bank N. V.) – сақтық қадағалаушы орган, ал Нидерландтың қаржы нарықтарын қадағалау органы (AFM) – қаржы институттары мен нарықтарының мінез-құлқына бақылау жасаушы реттеуші орган. Құқықтық талаптарды сақтаудың жалпы анықтамасы: «Ұйымның, оның басшылығы мен қызметкерлерінің адалдығын қорғау мақсатында, сыртқы (халықаралық және ұлттық) заңдар мен ережелерді, сондай-ақ ішкі нормалар мен процедураларды сақтау, тәуекелдерді алдын алу және бақылау, осы сәйкестік және адалдық тәуекелдерінен туындайтын мүмкін болатын залалды болдырмау».

Үндістан

Үндістанда сәйкестік реттеуі үш деңгейде жүзеге асырылады: орталық, штаттық және жергілікті реттеу. Үндістан, әсіресе қаржы ұйымдары мен шетелдік қаражаттарды реттеуде орталықтандырылған тәсілге бейім. Сәйкестік реттеуі географиялық орналасумен қатар, сала сегментіне де байланысты өзгереді. Көптеген реттеулер мынадай негізгі санаттарға жатады: экономикалық реттеу, қоғамдық мүдделерді қорғау реттеуі және қоршаған ортаны қорғау реттеуі. Үндістанда сәйкестік деңгейі төмен болуымен сипатталады – есептерге сәйкес, компаниялардың шамамен 65% ғана нормаларға толық сәйкес келеді.

Сингапур

Сингапурдың ақша-несие органы – Сингапурдың орталық банкі және қаржылық реттеуші органы. Ол ақша, банк, сақтандыру, бағалы қағаздар және қаржы секторына қатысты түрлі заңдарды, сондай-ақ валюта шығаруды басқарады.

Ұлыбритания

Ұлыбританияда көптеген реттеулер бар, олардың бір бөлігі Еуропалық Одақтың заңнамасынан туындаған. Әртүрлі салалар әртүрлі органдармен бақыланады, мысалы, Қаржылық жүріс-туралы қадағалау органы (FCA), Қоршаған орта агенттігі, Шотландияның қоршаған ортаны қорғау агенттігі, Ақпарат комиссарының кеңсесі, Сапаны қамтамасыз ету комиссиясы және басқалары: Ұлыбританиядағы реттеушілердің тізіміне қараңыз. Барлық үлкен және кіші ұйымдар үшін маңызды сәйкестік мәселелері 1998 жылғы Деректерді қорғау туралы заң мен мемлекеттік сектор үшін 2000 жылғы Ақпараттық ашықтық туралы заңды қамтиды.

Қаржылық сәйкестік

Ұлыбританияның корпоративтік басқару кодексі (бұрынғы Біріктірілген кодекс) Қаржылық есептілік кеңесі (ФРК) тарапынан шығарылған және "кеңес басшылығы мен тиімділігі, сыйақы, жауапкершілік және акционерлермен қарым-қатынасқа қатысты жақсы тәжірибе стандарттарын белгілейді". Ұлыбританияда акциялардың премиум тізімінде тұрған барлық компаниялар, тізім ережелеріне сәйкес, жылдық есептерінде Біріктірілген кодексті қалай қолданғанын көрсетуге міндетті. (Осылайша, Кодекстер АҚШ-тың Сарбэнс-Оксли заңына (Sarbanes–Oxley Act) ең жақын.) Ұлыбританияның нормативтік құрылымы барлық ашық тіркелген компанияларының жылдық есепте, соның ішінде баланс, толық табыс туралы мәлімдеме, өз капиталындағы өзгерістер туралы мәлімдеме, сондай-ақ халықаралық есеп стандарттарына сәйкес қажетті ақша ағыны туралы мәлімдеме сияқты негізгі қаржылық мәлімдемелерде нақты мазмұнды ұсынуын талап етеді. Бұл акционерлер, басқару және тәуелсіз аудиттік топтар арасындағы қарым-қатынасты көрсетеді. Қаржылық мәлімдемелер нақты ережелер мен регламенттерді қолдану арқылы дайындалуы керек, сондықтан компанияларға компаниялар заңнамасының, халықаралық қаржылық есептілік стандарттарының (ХҚЕС/IFRS) және Ұлыбритания қор биржасының ережелерін, FCA-ның нұсқауы бойынша қолдануға рұқсат берудің себебі осы. Акционерлер әртүрлі қаржылық мәлімдемелерде ұсынылған сандарды түсінбеуі мүмкін, сондықтан басқарма есеп саясаты туралы түсіндірмелерді, сондай-ақ оларға есепті жақсырақ түсінуге көмектесетін басқа да қосымша мәліметтерді ұсынуы өте маңызды.

Қиындықтар

Деректерді сақтау – көптеген жағдайларда қиындық туғызатын нормативтік талаптарды орындаудың бір бөлігі. Индустриялық ережелерге сәйкес келуден туындайтын қауіпсіздік, пайдаланушылардың жеке өмірін қорғауға қайшы келуі мүмкін. Деректерді сақтау туралы заңдар мен ережелер дерек иелерінен және басқа да қызмет провайдерлерінен, қалыпты бизнес операциялары үшін қажетті мерзімнен асып түсетін пайдаланушылардың іс-әрекеттерінің кең ауқымды жазбаларын сақтауды талап етеді. Бұл талаптарды жеке құқықтарды қорғайтын жақтастар күмәндандырды. Осы саладағы талаптарды орындау күрделеніп келеді. АҚШ-тағы CAN SPAM Act және Fair Credit Reporting Act сияқты заңдар бизнеске адамдарға "ұмытылуға" құқық беруді талап етеді. Яғни, олар сұраған жағдайда адамдарды маркетингтік тізімдерден алып тастауы керек, жеке ақпаратты үшінші тараппен қашан және неге бөлісетіні туралы хабарлауы керек немесе осы деректерді бөлісуге рұқсат алуы керек. Бірақ қазір жеке тұлғалардың тілегіне қарамастан, деректерді ұзақ сақтауды талап ететін жаңа заңдар шығып жатыр, бұл нақты қиындықтар тудыруы мүмкін. Ақшаны жылыстату және терроризмді қаржыландыру қаржы жүйесінің тұтастығы мен ұлттық қауіпсіздікке елеулі қауіп төндіреді. Осы қауіптермен күресу үшін Еуроодақ (ЕО) Ақшаны жылыстатуға және Терроризмді қаржыландыруға қарсы іс-қимыл (АЖҚ/ТҚҚ) саласында тәуекелге негізделген тәсілді қабылдады, ол ЕО және ұлттық органдардың арасындағы ынтымақтастық пен үйлестіруге негізделген. Осы контексте, тәуекелге негізделген реттеу – ақшаны жылыстату мен терроризмді қаржыландырудың ықтимал тәуекелдерін анықтау және бағалау, сондай-ақ осы тәуекелдерге пропорционалды реттеу шараларын енгізу әдісін білдіреді. Дегенмен, АЖҚ/ТҚҚ ережелерін іске асыру және күзеу кезінде ЕО мен ұлттық органдардың арасындағы ортақ өкілеттіктер құқықтық салдарлар мен қиындықтар тудыруы мүмкін. Әртүрлі юрисдикцияларда АЖҚ ережелерін біркелкі қолдану мүмкін еместігі реттеуші арбитражға алып келуі және АЖҚ күш-жігерінің тиімділігін төмендетуі мүмкін. Сонымен қатар, АЖҚ-ны іске асыруда ЕО және ұлттық органдардың рөлдері мен жауапкершіліктерін анықтайтын нақты және үйлесімді құқықтық базаның болмауы, жауапкершілікті анықтау қиын жағдайларға әкелуі мүмкін.

Data retention is a part of regulatory compliance that is proving to be a challenge in many instances. The security that comes from compliance with industry regulations can seem contrary to maintaining user privacy. Data retention laws and regulations ask data owners and other service providers to retain extensive records of user activity beyond the time necessary for normal business operations. These requirements have been called into question by privacy rights advocates. Compliance in this area is becoming very difficult. Laws like the CAN SPAM Act and Fair Credit Reporting Act in the U. S. require that businesses give people the right to be forgotten. In other words, they must remove individuals from marketing lists if it is requested, tell them when and why they might share personal information with a third party, or at least ask permission before sharing that data. Now, with new laws coming out that demand longer data retention despite the individual’s desires, it can create some real difficulties. Money laundering and terrorist financing pose significant threats to the integrity of the financial system and national security. To combat these threats, the EU has adopted a risk based approach to Anti Money Laundering and Combating the Financing of Terrorism (AML/CFT) that relies on cooperation and coordination between EU and national authorities. In this context, risk based regulation refers to the approach of identifying and assessing potential risks of money laundering and terrorist financing and implementing regulatory measures proportional to those risks. However, the shared enforcement powers between EU and national authorities in the implementation and enforcement of AML/CFT regulations can create legal implications and challenges. The potential for inconsistent application of AML regulations across different jurisdictions can create regulatory arbitrage and undermine the effectiveness of AML efforts. Additionally, a lack of clear and consistent legal frameworks defining the roles and responsibilities of EU and national authorities in AML enforcement can lead to situations where accountability is difficult to establish.

Америка Құрама Штаттары

Корпоративтік даулар мен 2001 жылғы Enron ісі сияқты бедел тәуекелінің салдарынан, әсіресе акционерлік қоғамдар үшін күштірек сәйкестік пен реттеулерді қажет ету күшейді. 2006 жылдың 12 қазанында АҚШ-тың Шағын бизнес әкімшілігі Business.gov (кейін Business.USA.gov және соңында SBA.gov) жобасын қайта іске қосты, ол бизнеске үкіметтік ережелерге сәйкес келуге көмектесетін мемлекеттік қызметтер мен ақпаратқа бірден қол жеткізу мүмкіндігін ұсынады. АҚШ Еңбек департаментінің Кәсіптік қауіпсіздік және денсаулықты сақтау басқармасы (OSHA) Конгресс тарапынан жұмыс істейтін ер және әйелдер үшін қауіпсіз және денсаулықты жағдайды қамтамасыз ету мақсатымен, стандарттарды белгілеп, күшіне енгізу және оқыту, насихаттау, білім беру және көмек көрсету арқылы құрылды. OSHA құрылыс, теңіз шаруашылығы, ауыл шаруашылығы және есептілік салаларында заңдар мен ережелерді тұрақты түрде іске асырады.

Стандарттар

Халықаралық стандарттау ұйымы (ISO) және оның ISO 37301:2021 стандарты (ISO 19600:2014 стандартын қолдануды тоқтатады) – кәсіпорындардың нормативтік талаптарға сәйкестікті қалай басқаруы керектігін анықтайтын маңызды халықаралық стандарттардың бірі. Бұл стандарт сәйкестік пен тәуекелдің бірлесіп жұмыс істеу қажеттігін еске салады, оларды "әріптестер" деп сипаттауға болады, олардың айырмашылықтарын ескере отырып, ортақ құрылымды бөліседі. ISO ұйымдарға қауіпсіздік басқару және қамтамасыз ету саласындағы жақсы тәжірибелерге сәйкес келіп, нормативтік талаптарды орындауға көмектесетін ISO/IEC 27002 сияқты халықаралық стандарттарды да жасайды. Америкалық механикалық инженерлер қоғамы (ASME) сияқты кейбір жергілікті және халықаралық мамандандырылған ұйымдар да стандарттар мен реттеу кодекстерін әзірлейді. Осы арқылы, олар өнімдердің қауіпсіздік, сенімділік немесе жобалау стандарттарына сәйкестігін қамтамасыз ету үшін кең ауқымды ережелер мен нұсқаулар ұсынады.