Compliance-auditti säännellylle yritykselle

Säännelty yritys saa tietää compliance-puutteistaan kahdella tavalla: omasta tarkastuksestaan tai valvojan tarkastuksesta. Compliance-auditti on ensimmäinen tapa. Tämä opas kertoo, mitä sisäinen compliance-tarkastus kattaa, miten laajuus valitaan, mitä raportti sisältää, mitä tarkastus yleensä löytää ja mitä havainnoille tapahtuu.

Opas on yleistä tietoa, ei oikeudellista neuvontaa. Compliance-tarkastus ei ole lakisääteinen tilintarkastus eikä korvaa tilintarkastajaa, jota tilintarkastustoimintaa koskeva laki tai alan laki edellyttää.

Mikä compliance-auditti on

Compliance-auditti — tarkemmin sisäinen compliance-tarkastus — vertaa yrityksen toimintaperiaatteisiin kirjattua siihen, mitä yritys todella tekee, ja tarkistaa molemmat lakia ja valvojan ohjeita vasten. Se on asiakirja- ja menettelytarkastus, ei lausunto yrityksen tilinpäätöksestä: lakisääteinen tilintarkastus katsoo lukuja, compliance-tarkastus kontrolleja. Ne tehdään erikseen, yleensä eri tarkastajien toimesta, ja säännelty yritys tarvitsee usein molempia vuoden eri aikoina.

Milloin tarkastus on järkevä

• ennen toimilupahakemusta, jotta asiakirjat tarkistetaan lakia vasten;
• ensimmäisenä vuonna toimiluvan jälkeen, kun toimintaperiaatteet kohtaavat käytännön ensimmäistä kertaa;
• ennen valvojan tarkastusta tai sen jälkeen havaintojen sulkemiseksi;
• kun rahanpesusäännöt edellyttävät sisäisen valvontajärjestelmän riippumatonta tarkastusta (RahaPTS) tai ennen pankin määräaikaistarkastusta yrityksestä;
• ennen myyntiä osana ostajan due diligenceä.

Laajuus kolmessa luokassa

• Luokan 1 laajuus — alkaen €8,500: rahanpesun estämisen kehys, hallinto ja rajallisia palveluja tarjoavan yrityksen keskeiset toimintaperiaatteet;
• Luokan 2 laajuus — alkaen €15,500: lisäksi asiakasvarojen suojaus tai säilytys, ulkoistus, ICT ja valitukset, otantatestauksella;
• Luokan 3 laajuus — alkaen €27,000: monimutkaisen yrityksen koko sääntelyalue, tarvittaessa myös markkinakäyttäytyminen ja kaupankäyntialustan säännöt.

Tarkastuksen luokka määräytyy yrityksen palvelujen mukaan, ei pelkän koon; vahvistamme sen kirjallisesti ennen työn alkua. Yritys, joka on edellisen tarkastuksen jälkeen lisännyt palvelun — esimerkiksi asiakasvarojen suojauksen, säilytyksen tai uuden jakelukanavan —, tarvitsee yleensä laajemman laajuuden, vaikka muu ei olisi muuttunut.

Kuinka kauan tarkastus kestää

Kesto riippuu laajuudesta ja siitä, kuinka nopeasti yritys vastaa kysymyksiin ja toimittaa aineistoja testattaviksi:

• luokan 1 laajuus — yleensä 3–4 viikkoa;
• luokan 2 laajuus — yleensä 4–6 viikkoa;
• luokan 3 laajuus — yleensä 6–8 viikkoa;
• korjaussuunnitelma raportin valmistuttua — yleensä 2–4 viikkoa.

Nämä ovat tyypillisiä kestoja yritykselle, jonka asiakirjat ja aineistot ovat jo kunnossa; yrityksen, joka joutuu kokoamaan aineistonsa tarkastuksen aikana eikä ennen sitä, kannattaa varautua pidempään tarkastukseen.

Menetelmä ja raportti vaihe vaiheelta

• asiakirjojen tarkastus sovellettavaa lakia, asetuksia ja valvojan ohjeita vasten;
• kirjalliset kyselyt johdolle ja keskeisten toimintojen hoitajille sekä tarkentavat kysymykset sähköpostilla;
• aineistojen otantatestaus: asiakkaan tuntemistoimet, valvontahälytykset, asiakasvarojen täsmäytykset, valitukset;
• raportti, jossa havainnot on luokiteltu riskin mukaan, kunkin oikeusperusta ja suositus.

Vaiheet etenevät tässä järjestyksessä: asiakirjatarkastus antaa kysymykset haastatteluihin, haastattelut osoittavat testaamisen arvoiset aineistot, ja otantatestaus on se, mihin raportin havainnot perustuvat. Tarkastus, joka hyppää suoraan otantaan lukematta ensin toimintaperiaatteita, ohittaa yleensä kuilun kirjoitetun ja todella tehdyn välillä — joka on yleensä kahdesta havainnosta vakavampi.

Mitä tarkastus yleensä löytää

Yrityksestä ja alasta riippumatta samat puutteet toistuvat:

• toimilupahakemusta varten kirjoitetut toimintaperiaatteet, joita ei päivitetty, kun liiketoiminta alkoi toimia toisin;
• valvontahälytykset, jotka suljetaan ilman kirjallista perustetta, joten aineistosta ei näy, miksi päätös tehtiin;
• asiakasvarojen täsmäytykset, joita ei tehdä yrityksen oman toimintaperiaatteen edellyttämin välein;
• ulkoistus- tai ICT-järjestelyt, joita ei ole lueteltu missään, joten kukaan ei voi näyttää valvojalle kokonaiskuvaa pyynnöstä;
• valitusrekisteri, joka on olemassa paperilla, mutta jota johto ei koskaan käy läpi.

Mikään näistä ei yksinään kaada tarkastusta; riski on siinä, että ne jäävät huomaamatta, kunnes valvoja eikä yritys löytää ne ensin.

Havaintojen sulkeminen

Korjaussuunnitelma (alkaen €1,700) muuttaa havainnot priorisoiduksi suunnitelmaksi vastuuhenkilöineen ja määräaikoineen, ja tarvittaessa päivitämme asiakirjat. Pankki, tilintarkastaja tai valvoja, joka myöhemmin kysyy havainnosta, odottaa näkevänsä sekä suunnitelman että näytön sen toteuttamisesta — ei vain alkuperäistä raporttia. DORAn piiriin kuuluvat yritykset yhdistävät tarkastuksen usein DORA-kehykseen; kryptoyritykset MiCA:n jatkuvan compliancen tukeen. Taustalla olevista rahanpesu- ja asiakasvara-asiakirjoista katso rahanpesusäännöt ja asiakasvarojen suojaus.

Mitä saat

• riippumattoman compliance-tarkastuksen raportin luokiteltuine havaintoineen;
• tilattaessa korjaussuunnitelman ja päivitetyt asiakirjat.

Summat ovat palkkioitamme vakiolaajuudesta ilman arvonlisäveroa. Kaikki viestintä hoidetaan sähköpostilla.

Emme tarjoa palveluja Venäjän kansalaisille emmekä venäläisille yhtiöille.

Tilaa compliance-auditti Hinnasto Opas englanniksi