Комплаенс-аудит регулируемой компании

Регулируемая компания узнаёт о пробелах в своём комплаенсе одним из двух способов: из собственной проверки или из проверки надзорного органа. Комплаенс-аудит — первый способ. Это руководство объясняет, что охватывает внутренняя комплаенс-проверка, как выбирается объём, что содержит отчёт, что проверка обычно находит и что происходит с выводами.

Руководство — общая информация, а не юридическая консультация. Комплаенс-проверка — это не обязательный финансовый аудит, и она не заменяет аудитора, требуемого Законом об аудиторской деятельности или отраслевым законом.

Что такое комплаенс-аудит

Комплаенс-аудит — точнее, внутренняя комплаенс-проверка — сопоставляет то, что написано в политиках компании, с тем, что компания делает на самом деле, и проверяет и то и другое на соответствие закону и руководствам надзорного органа. Это документальная и процедурная проверка, а не заключение о финансовой отчётности компании: обязательный аудит смотрит на цифры, а комплаенс-проверка — на механизмы контроля. Их проводят отдельно, обычно разные проверяющие, и регулируемой компании часто нужны оба в разное время года.

Когда проверка имеет смысл

• до подачи заявления на лицензию, чтобы проверить документы на соответствие закону;
• в первый год после получения лицензии, когда политики впервые встречаются с практикой;
• перед проверкой надзорного органа или после неё, чтобы закрыть выводы;
• когда правила ПОД требуют независимой проверки системы внутреннего контроля (RahaPTS) или перед периодической проверкой компании банком;
• перед продажей, как часть проверки покупателя.

Объём в трёх классах

• Объём класса 1 — от €8,500: система ПОД/ФТ, управление и основные политики компании с ограниченными услугами;
• Объём класса 2 — от €15,500: добавляются защита средств клиентов или хранение, аутсорсинг, ИКТ и жалобы, с выборочным тестированием;
• Объём класса 3 — от €27,000: весь регуляторный периметр сложной компании, включая правила рыночного поведения и торговой платформы, где это применимо.

Класс проверки следует за услугами компании, а не только за её размером; мы подтверждаем его письменно до начала работы. Компании, которая после прошлой проверки добавила услугу — например, защиту средств клиентов, хранение или новый канал продаж, — обычно нужен более широкий объём, даже если больше ничего не изменилось.

Сколько длится проверка

Срок зависит от объёма и от того, как быстро компания отвечает на вопросы и предоставляет файлы для тестирования:

• объём класса 1 — обычно 3–4 недели;
• объём класса 2 — обычно 4–6 недель;
• объём класса 3 — обычно 6–8 недель;
• план исправлений после окончательного отчёта — обычно 2–4 недели.

Это типичные сроки для компании, чьи документы и файлы уже в порядке; компании, которой приходится собирать файлы во время проверки, а не до её начала, стоит рассчитывать на более долгую проверку.

Метод и отчёт шаг за шагом

• анализ документов на соответствие применимому закону, постановлениям и руководствам надзорного органа;
• письменные опросники для руководства и держателей ключевых функций с уточняющими вопросами по электронной почте;
• выборочное тестирование файлов: надлежащая проверка клиентов, сигналы мониторинга, сверки защиты средств клиентов, жалобы;
• отчёт с выводами, оценёнными по риску, правовым основанием каждого и рекомендацией.

Шаги идут в этом порядке: анализ документов задаёт вопросы для интервью, интервью указывают на файлы, которые стоит проверить, а на выборочном тестировании основаны выводы отчёта. Проверка, которая сразу переходит к тестированию, не прочитав политики, обычно упускает разрыв между написанным и фактически делаемым — а это обычно более серьёзный из двух выводов.

Что проверка обычно находит

В разных компаниях и отраслях повторяются одни и те же пробелы:

• политики, написанные для заявления на лицензию и не обновлённые, когда бизнес начал работать иначе;
• сигналы мониторинга, закрытые без письменного обоснования, так что из файла не видно, почему принято решение;
• сверки защиты средств клиентов, которые не проводятся с частотой, требуемой собственной политикой компании;
• договоры аутсорсинга или ИКТ, нигде не перечисленные, так что никто не может показать надзорному органу полную картину по запросу;
• реестр жалоб, который существует на бумаге, но никогда не рассматривается руководством.

Ни один из них сам по себе не проваливает проверку; риск в том, что они остаются незамеченными, пока их первым не найдёт надзорный орган, а не компания.

Закрытие выводов

План исправлений (от €1,700) превращает выводы в план с приоритетами, ответственными и сроками, а при необходимости мы обновляем документы. Банк, аудитор или надзорный орган, который позже спросит о выводе, ожидает увидеть и план, и доказательства его выполнения — а не только исходный отчёт. Компании под DORA часто объединяют проверку с рамкой DORA; криптокомпании — с поддержкой текущего комплаенса MiCA. О базовых документах ПОД и защиты средств клиентов см. ПОД/ФТ и защита средств клиентов.

Что вы получаете

• отчёт независимой комплаенс-проверки с оценёнными выводами;
• при заказе — план исправлений и обновлённые документы.

Суммы — наше вознаграждение за стандартный объём, без НДС. Всё общение ведётся по электронной почте.

Гражданам России и российским компаниям услуги не оказываются.

Заказать комплаенс-аудит Цены Руководство на английском языке