18. kolovoza 2026. stupio je na snagu novi Pravilnik o funkciji usklađenosti u pravnim osobama u vlasništvu Republike Hrvatske. Iako će za dio državnih poduzeća njegova provedba značiti formalno prilagođavanje već postojećih funkcija usklađenosti, stvarni izazov bit će znatno veći, a to je pretvoriti Compliance iz funkcije koja prvenstveno prati propise u učinkovit sustav upravljanja rizicima usklađenosti.

Pravilnik o funkciji usklađenosti u pravnim osobama u vlasništvu Republike Hrvatske, objavljen u Narodnim novinama br. 87/2026, uređuje ustroj, djelokrug rada, poslove, odgovornosti, način izvještavanja te mjere za osiguravanje neovisnosti i učinkovitosti funkcije usklađenosti.

Njegova važnost, međutim, nije samo u tome što propisuje kako funkcija usklađenosti treba biti organizirana. Pravilnik jasno određuje da je osnovna zadaća funkcije usklađenosti upravljanje rizikom usklađenosti kroz uspostavu djelotvornog sustava utvrđivanja, procjene, praćenja i upravljanja rizikom usklađenosti kojem je pravna osoba izložena. Funkcija usklađenosti pritom je definirana kao neovisna kontrolna funkcija, organizacijski i funkcionalno odvojena od poslovnih procesa u kojima rizik usklađenosti nastaje.

Upravo će prelazak s formalno uspostavljene funkcije na takav model upravljanja usklađenošću, predstavljati najveći izazov za državna poduzeća.

1. Od praćenja propisa prema upravljanju Compliance rizicima

Prvi i vjerojatno najveći praktični izazov bit će uspostava stvarnog procesa upravljanja rizicima usklađenosti. U mnogim organizacijama Compliance se još uvijek dominantno povezuje s praćenjem regulatornih promjena, davanjem mišljenja, izradom internih akata, provođenjem edukacija i izvještavanjem Uprave, no novi Pravilnik zahtijeva više.

Potrebno je uspostaviti metodologiju kojom će se rizici usklađenosti sustavno utvrđivati, analizirati, procjenjivati, pratiti i njima upravljati. To podrazumijeva odgovore na vrlo konkretna pitanja, poput koji Compliance rizici proizlaze iz pojedinih poslovnih procesa i obveza, kolika je njihova inherentna izloženost, koje ih kontrole smanjuju, koliko su te kontrole učinkovite i koliki rizik ostaje nakon njihove primjene. Drugim riječima, više neće biti dovoljno znati s kojim propisima organizacija mora biti usklađena. Bit će potrebno znati i gdje i kako može doći do neusklađenosti te upravlja li se tim rizikom učinkovito.

2. Bez jasnog regulatornog okvira nema kvalitetne procjene rizika

Da bi organizacija mogla upravljati Compliance rizicima, prvo mora jasno identificirati svoje Compliance obveze. Državna poduzeća posluju unutar velikog broja horizontalnih i sektorskih zakona, podzakonskih propisa, uredbi Europske unije, regulatornih zahtjeva, standarda, internih akata i drugih izvora obveza.

Zbog toga jedan od prvih koraka treba biti uspostavljanje strukturiranog registra ključnih Compliance obveza.

Takav registar ne bi trebao biti preslika zakonodavstva članak po članak. Njegova svrha nije zamijeniti pravne baze niti stručno znanje osoba odgovornih za pojedina regulatorna područja. Njegova je svrha identificirati ključne Compliance obveze, njihove vlasnike te omogućiti njihovo povezivanje s rizicima, kontrolama i načinima praćenja.

3. Compliance rizici moraju postati dio integriranog upravljanja rizicima

Ovo je posebno važno promatrati zajedno sa Zakonom o sustavu unutarnjih kontrola u javnom sektoru. Izmjenama Zakona iz 2025. uveden je koncept integriranog upravljanja rizicima, koji obuhvaća organizacijsku strukturu, postupke, pravila, procese, sustave i resurse za utvrđivanje, procjenu, postupanje, praćenje i izvještavanje o izloženosti rizicima odnosno upravljanje rizicima u cjelini. Zakon propisuje da odgovorna osoba institucije treba uspostaviti integrirano upravljanje rizicima, a za određena velika trgovačka društva i druge pravne osobe propisuje i politiku i strategiju integriranog upravljanja rizicima te kontrolnu funkciju za integrirano upravljanje rizicima. To znači da državno poduzeće ne bi trebalo sada stvarati još jedan, paralelni sustav upravljanja rizicima samo za potrebe funkcije usklađenosti, nego Compliance rizici trebaju postati sastavni dio već uspostavljenog sustava integriranog upravljanja rizicima.

Izazov će zato biti uskladiti metodologije, kriterije procjene, odgovornosti, registre i izvještavanje tako da Compliance funkcija može kvalitetno upravljati svojim područjem odgovornosti, a da se istodobno ne stvaraju paralelni registri i duplicirani procesi. Upravo će povezivanje funkcije usklađenosti s integriranim upravljanjem rizicima biti jedan od ključnih pokazatelja zrelosti implementacije novog Pravilnika.

4. Tko je zapravo odgovoran za Compliance?

Jedan od najvećih organizacijskih rizika jest očekivanje da će funkcija usklađenosti postati vlasnik svih Compliance rizika u organizaciji. To ne bi smio nikako biti rezultat implementacije Pravilnika.

Rizici nastaju u poslovnim procesima i njima se prvenstveno mora upravljati tamo gdje nastaju. Vlasnici procesa i rukovoditelji moraju razumjeti Compliance obveze i rizike svojeg područja te biti odgovorni za provođenje odgovarajućih kontrola. Funkcija usklađenosti treba uspostaviti metodologiju, koordinirati proces, savjetovati, pratiti, preispitivati, upozoravati i izvještavati. Ako organizacija ovaj odnos ne postavi jasno, vrlo brzo može nastati pogrešna percepcija:

„Imamo Compliance Officera, dakle Compliance je njegov posao.“

Učinkovit sustav upravljanja usklađenošću (Compliance Management System) počiva upravo na suprotnom načelu, a to je da je Compliance odgovornost cijele organizacije, dok funkcija usklađenosti ima posebnu ulogu u uspostavljanju i nadzoru sustava upravljanja tim rizicima.

5. Neovisnost nije samo mjesto u organizacijskoj shemi

Pravilnik funkciju usklađenosti izričito definira kao neovisnu kontrolnu funkciju te propisuje organizacijske zahtjeve kojima se njezina neovisnost treba osigurati. Međutim, formalna neovisnost nije isto što i stvarna neovisnost. Ključno pitanje neće biti samo gdje se Compliance nalazi u organizacijskoj shemi, nego može li voditelj funkcije usklađenosti dobiti sve informacije potrebne za svoj rad, otvoriti osjetljivo pitanje, preispitati odluku poslovodstva, ukazati na neprihvatljiv rizik i, kada je potrebno, eskalirati problem bez straha od negativnih posljedica.

Neovisnost funkcije zato se mora promatrati kroz ovlasti, pristup informacijama, linije izvještavanja, resurse i stvarnu organizacijsku kulturu.

6. Jesu li postojeće kompetencije dovoljne za novu ulogu?

Novi regulatorni okvir dodatno povećava zahtjeve koji se postavljaju pred Compliance stručnjake. Od njih se više ne očekuje samo dobro poznavanje propisa. Potrebno je razumjeti upravljanje rizicima, dizajn i učinkovitost kontrola, monitoring, regulatorne promjene, korporativno upravljanje, sukob interesa, integritet i sprječavanje korupcije, prijavljivanje nepravilnosti, organizacijsku kulturu te izvještavanje Uprave i nadzornih tijela.

To otvara pitanje imaju li postojeće funkcije usklađenosti odgovarajuće kompetencije, ali i dovoljne resurse za ono što se od njih sada očekuje. U nekim organizacijama bit će potrebna dodatna edukacija, a drugima će trebati povećati resurse ili drugačije organizirati funkciju.

7. Poseban izazov: što je „nepravilnost“, a što „nezakonitost“?

Novi Pravilnik uvodi vrlo jasno razlikovanje ova dva pojma.

Prema Pravilniku, nepravilnosti su stanja i postupci koji nisu u skladu s poslovnim politikama, primjenjivim standardima poslovanja ili internim aktima pravne osobe, ali ne predstavljaju kršenje važećih propisa, ali mogu imati financijske, reputacijske ili druge štetne posljedice za Pravnu osobu. Nasuprot tome, nezakonitosti su stanja i postupci koji nisu u skladu s važećim propisima i drugim izvorima prava koji se primjenjuju na pravnu osobu. Takvo razgraničenje samo po sebi ima logiku. Međutim, u praksi bi moglo stvoriti terminološki i procesni izazov zbog već postojećeg Zakona o zaštiti prijavitelja nepravilnosti.

Naime, taj Zakon pojam „nepravilnost“ definira upravo kao radnje ili propuste koji su protupravni i odnose se na područje primjene Zakona ili su u suprotnosti s ciljem ili svrhom tih propisa. Područje primjene pritom obuhvaća, među ostalim, javnu nabavu, financijske usluge, sprječavanje pranja novca, sigurnost proizvoda i prometa, zaštitu okoliša, zaštitu potrošača, zaštitu osobnih podataka, tržišno natjecanje i određene povrede nacionalnog prava kojima se ugrožava javni interes.

U praksi će trebati vrlo jasno urediti interne procedure, kanale prijavljivanja, nadležnosti funkcije usklađenosti, povjerljive osobe i drugih funkcija kako zaposlenici ne bi morali sami procjenjivati pravnu kvalifikaciju onoga što prijavljuju.

8. Od postojanja kontrole prema dokazivanju njezine učinkovitosti

Jedan od najvažnijih pomaka bit će prelazak s pitanja „Imamo li kontrolu?“ na pitanje „Funkcionira li ta kontrola?“

Organizacija može imati politiku sukoba interesa, proceduru za darove, kodeks ponašanja, sustave za prijavu nepravilnosti ili obvezne edukacije. Samo njihovo postojanje, međutim, ne znači da se povezanim Compliance rizicima učinkovito upravlja. Potrebno je pratiti provode li se kontrole, postoje li dokazi njihove provedbe, pojavljuju li se incidenti unatoč kontrolama, postoje li ponavljajući nedostaci i treba li kontrole mijenjati. Compliance monitoring zato bi trebao postati jedan od ključnih elemenata rada funkcije usklađenosti.

Najveća pogreška bila bi implementaciju novog Pravilnika svesti na izmjenu sistematizacije, imenovanje voditelja funkcije usklađenosti, donošenje nekoliko internih akata i izradu godišnjeg plana rada.

Ako se implementira suštinski, novi Pravilnik može biti važan korak prema uspostavljanju zrelog Compliance Management System-a u državnim poduzećima. Prvi korak zato bi trebao biti strukturirana GAP analiza postojećeg sustava. Za svako područje sustava usklađenosti potrebno je utvrditi postojeće stanje, nedostatke, potrebne aktivnosti, odgovornosti i rokove. Jer pravi pokazatelj uspješne implementacije neće biti to da državno poduzeće može pokazati da ima funkciju usklađenosti, nego sposobnost organizacije da pokaže da zna svoje Compliance obveze, razumije gdje nastaju rizici neusklađenosti, zna tko njima upravlja, ima učinkovite kontrole, prati njihovo funkcioniranje i pravodobno reagira kada sustav pokaže slabosti. Upravo je to razlika između formalnog Compliance-a i stvarnog sustava upravljanja usklađenošću.

CODUPO Compliance – Vaš pouzdani partner u implementaciji funkcije usklađenosti.

Za dodatne informacije i zakazivanje konzultacija, slobodno nas kontaktirajte putem kontakt forme ili na telefon +385 1 3862 961.

Jučer je u Narodnim novinama (NN 87/2026 od 10. kolovoza 2026.) objavljen Pravilnik o funkciji usklađenosti u pravnim osobama u vlasništvu Republike Hrvatske i time je, rekla bih, započela jedna nova era Compliance-a i korporativnog upravljanja u državnim poduzećima od posebnog interesa za Republiku Hrvatsku.

Pravilnik stupa na snagu osmoga dana od dana objave, a pravne osobe na koje se primjenjuje imaju rok od 120 dana od njegova stupanja na snagu za uspostavu funkcije usklađenosti odnosno usklađivanje postojeće funkcije s novim zahtjevima. To nije dug rok ako se uzme u obzir opseg promjena koje Pravilnik donosi. Naime, neće biti dovoljno promijeniti naziv postojećeg radnog mjesta, dopuniti nekoliko odredbi internog akta i formalno imenovati odgovornu osobu. Pravilnik detaljno uređuje ustroj, položaj, neovisnost, ovlasti, odgovornosti i način rada funkcije usklađenosti, ali i obveze Uprave, Nadzornog odbora, višeg rukovodstva i drugih organizacijskih jedinica.

Pred državnim poduzećima zato nije samo zadatak usklađivanja jednog internog akta, nego uspostave funkcionalnog sustava upravljanja usklađenošću.

Od „praćenja usklađenosti“ do Funkcije usklađenosti

Već je promjena naziva važna. Više ne govorimo o funkciji praćenja usklađenosti, kako je bila nazivana u ranijim Smjernicama, nego o funkciji usklađenosti.

Novi Pravilnik pritom jasno definira i osobe koje obavljaju poslove te funkcije. Pod pojmom službenici za usklađenost podrazumijevaju se voditelj funkcije usklađenosti i, ako ih ima, druge osobe koje obavljaju poslove funkcije usklađenosti. Voditelj funkcije usklađenosti je službenik za usklađenost koji rukovodi radom zasebne organizacijske jedinice zadužene za obavljanje poslova funkcije usklađenosti u Pravnoj osobi u kojoj je takva organizacijska jedinica ustrojena, odnosno službenik za usklađenost koji je zadužen za samostalno vođenje i obavljanje poslova funkcije usklađenosti u Pravnoj osobi u kojoj nije ustrojena zasebna organizacijska jedinica za obavljanje poslova funkcije usklađenosti.

Pravilnik tako razlikuje voditelja funkcije usklađenosti, koji je odgovoran za vođenje funkcije, od drugih službenika za usklađenost koji mogu obavljati pojedine poslove iz njezina djelokruga.

Promjena, međutim, nije samo terminološka. Novi naziv odražava i znatno širi djelokrug funkcije. Funkcija usklađenosti više nije usmjerena samo na praćenje regulatorne usklađenosti. Njezine zadaće uključuju utvrđivanje, procjenu i praćenje rizika usklađenosti, praćenje promjena propisa i drugih izvora prava, savjetovanje Uprave, višeg rukovodstva i zaposlenika, provjeru internih akata i poslovnih procesa, provođenje dubinskih analiza u propisanim područjima, edukaciju zaposlenika, razvoj i praćenje etičkih i antikorupcijskih mjera te izvještavanje Uprave i Nadzornog odbora.

Riječ je, dakle, o znatno široj ulozi od tradicionalnog praćenja regulatorne usklađenosti.

Organizacijski položaj funkcije ovisi o veličini i složenosti Društva

Pravilnik organizacijski položaj funkcije usklađenosti uređuje prema načelu proporcionalnosti. Velike pravne osobe dužne su ustrojiti zasebnu organizacijsku jedinicu za obavljanje poslova funkcije usklađenosti. Za njih to može značiti potrebu za izmjenom organizacijske strukture, sistematizacije radnih mjesta, linija odgovornosti i postojećih internih akata.

Pravne osobe koje se ne smatraju velikima mogu poslove funkcije usklađenosti povjeriti jednom službeniku za usklađenost ili organizacijskoj jedinici koja obavlja i druge poslove, pod uvjetom da takav model ne dovodi do sukoba interesa i da omogućuje trajno, učinkovito i neovisno obavljanje poslova funkcije.

Bez obzira na odabrani organizacijski model, svaka pravna osoba mora imati najmanje jednog službenika za usklađenost koji ispunjava uvjete propisane za voditelja funkcije usklađenosti. Ključno pitanje zato nije samo gdje je funkcija formalno smještena, nego omogućuje li joj organizacijski položaj stvarnu neovisnost, odgovarajuće resurse, pristup potrebnim informacijama i dokumentaciji te neposrednu komunikaciju s Upravom i Nadzornim odborom.

Službenik za usklađenost postaje jasno definirana stručna funkcija

Pravilnik sada jasnije određuje i tko može biti Službenik za usklađenost. Propisani su zahtjevi povezani s obrazovanjem, radnim iskustvom, stručnim znanjima, ugledom i integritetom, čime se dodatno profesionalizira funkcija. Compliance nije administrativni posao koji se može jednostavno pridodati postojećem radnom mjestu. Od Službenika za usklađenost očekuje se razumijevanje propisa, poslovnih procesa, rizika, kontrola, korporativnog upravljanja, etike, antikorupcijskih mehanizama, regulatornih promjena i načina funkcioniranja same organizacije.

Istodobno, Pravilnik zahtijeva da funkcija raspolaže odgovarajućim resursima za obavljanje svojih poslova. Za Upravu to znači da više neće biti dovoljno formalno imenovati Službenika za usklađenost. Trebat će moći pokazati da je funkciji osigurala organizacijske, ljudske i druge resurse potrebne za učinkovito obavljanje propisanih poslova.

Upravljanje rizicima usklađenosti postaje jedna od ključnih zadaća

Vjerojatno jedna od operativno najzahtjevnijih novina odnosi se na rizike usklađenosti.

Pravilnik zahtijeva da Funkcija usklađenosti:

1. analizira usklađenost internih procesa i poslovnih aktivnosti s važećim propisima i drugim izvorima prava te utvrđuje eventualne nezakonitosti ili nepravilnosti
2. utvrđuje i procjenjuje rizik usklađenosti tako da se za pojedine utvrđene rizike procijene vjerojatnost njihova nastanka i očekivani učinak na Društvo i njegove odgovorne osobe
3. prati rizik usklađenosti kroz periodične analize i dodatne provjere u slučaju relevantnih promjena propisa te na temelju tih analiza ažurira procjenu rizika.

Pravilnik pritom izričito određuje da se utvrđivanje, procjena i praćenje rizika usklađenosti provodi u suradnji s drugim organizacijskim jedinicama. Upravo će ovaj dio zahtijevati pažljivo operativno uređenje. Rizici usklađenosti nisu samo korupcija, podmićivanje, sukob interesa ili druga područja koja tradicionalno povezujemo s Compliance funkcijom. Rizik usklađenosti može nastati zbog neusklađenosti s bilo kojim propisom relevantnim za poslovanje Društva.

Porezni rizik nastaje u financijskom procesu, rizik neusklađenosti s propisima o radu u području ljudskih potencijala, rizik zaštite osobnih podataka u procesima u kojima se osobni podaci obrađuju, dok se rizici korupcije ili sukoba interesa mogu pojaviti u nabavi, zapošljavanju, investicijama, upravljanju trećim stranama i nizu drugih procesa. Zbog toga će biti iznimno važno jasno urediti odnos između Službenika za usklađenost, vlasnika procesa, vlasnika rizika i kontrolne funkcije za upravljanje rizicima.

Vlasnici rizika već prema postojećem okviru upravljanja rizicima imaju odgovornost identificirati i procjenjivati rizike iz svojeg djelokruga, definirati i provoditi mjere te pratiti njihovu izloženost. Novi Pravilnik tu odgovornost ne bi trebao operacionalizirati na način da se ona prenese na Službenika za usklađenost. Službenik za usklađenost treba imati cjelovit pregled rizika usklađenosti, sudjelovati u njihovoj procjeni, provoditi potrebne provjere i pratiti njihovu izloženost, ali vlasništvo nad rizikom mora ostati tamo gdje rizik nastaje. U protivnom bismo umjesto integriranog sustava mogli dobiti paralelne registre i procjene rizika u različitim funkcijama, upravo ono što suvremeni sustavi korporativnog upravljanja nastoje izbjeći.

Compliance postaje odgovornost cijele organizacije

Pravilnik jasno pokazuje još jednu važnu stvar: usklađenost nije odgovornost samo Službenika za usklađenost. Uprava mora osigurati uvjete za učinkovito funkcioniranje funkcije, njezinu neovisnost, odgovarajuće resurse i pristup informacijama. Nadzorni odbor dobiva važnu ulogu u nadzoru funkcioniranja sustava i mora dobivati informacije potrebne za izvršavanje svoje nadzorne uloge. Rukovoditelji i druge organizacijske jedinice moraju surađivati s Funkcijom usklađenosti, omogućiti pristup potrebnim informacijama i sudjelovati u identificiranju, procjeni i praćenju rizika usklađenosti.

To je ujedno područje u kojem novi hrvatski regulatorni okvir pokazuje veliku podudarnost s normom ISO 37301 Compliance Management Systems. ISO 37301 polazi od vrlo jasnog načela: Compliance funkcija odgovorna je za funkcioniranje sustava upravljanja usklađenošću, ali njezine odgovornosti ne oslobađaju management i druge zaposlenike odgovornosti za usklađenost u području njihove nadležnosti.

U praksi je upravo ta raspodjela odgovornosti jedan od najvažnijih preduvjeta učinkovitog Compliance programa.

Godišnji plan rada mora proizlaziti iz rizika

Pravilnik donosi i jasnije zahtjeve u pogledu planiranja rada Funkcije usklađenosti. Godišnji plan rada više ne bi trebao biti samo popis aktivnosti koje će Službenik za usklađenost provesti tijekom godine. Plan mora biti povezan s utvrđenim i procijenjenim rizicima usklađenosti.

To znači da procjena rizika mora imati stvarnu operativnu svrhu. Rezultati procjene trebaju određivati gdje će Compliance usmjeriti svoje resurse, koje će procese provjeravati, gdje su potrebne dodatne kontrole, koje teme zahtijevaju edukaciju i koja područja zahtijevaju intenzivnije praćenje.

Time se uvodi puno jasniji risk-based Compliance pristup.

Praćenje regulatornih promjena mora postati sustavan proces

Pravilnik od Funkcije usklađenosti očekuje i sustavno praćenje promjena propisa relevantnih za poslovanje Društva. To u praksi znači da organizacija mora imati uspostavljen proces kojim se regulatorne promjene pravodobno identificiraju, procjenjuje njihov utjecaj na poslovanje, određuju odgovorne osobe za provedbu potrebnih promjena te prati jesu li nove ili izmijenjene obveze implementirane. Drugim riječima, neće biti dovoljno imati popis zakona koji se primjenjuju na Društvo. Trebat će moći pokazati vezu između propisa, konkretne obveze, odgovorne organizacijske jedinice, rizika neusklađenosti, kontrola i dokaza o provedbi.

Znatno konkretniji zahtjevi za etiku i sprječavanje korupcije

Jedno od područja koje je konačnim Pravilnikom dodatno naglašeno jesu etički standardi i antikorupcijske mjere. Funkcija usklađenosti dobiva važnu ulogu u razvoju, praćenju i procjeni učinkovitosti mehanizama kojima Društvo upravlja rizicima korupcije i narušavanja integriteta. To uključuje pitanja sukoba interesa, darova i drugih pogodnosti, korupcije i podmićivanja, favoriziranja, nepotizma i kronizma, donacija i sponzorstava, odnosa s ključnim poslovnim partnerima te drugih okolnosti koje mogu dovesti u pitanje integritet poslovnog odlučivanja.

Posebno je važan zahtjev da se ne promatra samo postojanje internih akata, nego i njihova primjerenost i učinkovitost. Drugim riječima, više nije dovoljno pokazati Etički kodeks, Antikorupcijsku politiku ili Pravilnik o sukobu interesa. Treba moći pokazati kako se oni provode, tko prati njihovu primjenu, koje se evidencije vode, koje su kontrole uspostavljene, što pokazuju prijave i provedene provjere, postoje li ponavljajuće nepravilnosti i jesu li poduzete mjere učinkovite.

Izvještavanje Uprave i Nadzornog odbora postaje puno sadržajnije

Pravilnik značajno jača i izvještajnu ulogu Funkcije usklađenosti. Uprava i Nadzorni odbor trebaju dobivati informacije koje im omogućuju razumijevanje stanja usklađenosti i donošenje odgovarajućih odluka. To znači da Compliance izvještavanje ne bi trebalo ostati na razini broja provedenih edukacija, izrađenih mišljenja ili obavljenih aktivnosti. Izvještavanje mora omogućiti uvid u ključne rizike usklađenosti, utvrđene nezakonitosti i nepravilnosti, provedene provjere, status preporuka i korektivnih mjera, regulatorne promjene te druga pitanja koja mogu značajno utjecati na Društvo ili njegove odgovorne osobe.

Posebno je važna sljedivost preporuka Funkcije usklađenosti i postupanja managementa po tim preporukama. Time Compliance izvještavanje postaje pravi alat korporativnog upravljanja, a ne samo dokaz da je Funkcija tijekom godine obavljala određene aktivnosti.

Eksternalizacija ostaje moguća, ali pod jasnijim uvjetima

Jedno od pitanja o kojem se dosta raspravljalo još tijekom javnog savjetovanja bilo je može li se funkcija usklađenosti eksternalizirati. Konačni Pravilnik omogućuje korištenje vanjskih stručnjaka odnosno eksternalizaciju određenih poslova pod propisanim uvjetima, što je posebno važno kada Društvo interno nema određena specijalistička znanja. Međutim, angažiranje vanjskog stručnjaka ne prenosi odgovornost za usklađenost izvan Društva. Službenik za usklađenost i Uprava moraju zadržati odgovarajuću kontrolu nad sustavom, a vanjska stručna podrška treba nadopunjavati, a ne zamijeniti odgovornost koja mora postojati unutar organizacije.

Što sada trebaju napraviti državna poduzeća?

Rok za usklađivanje ne bi trebalo potrošiti samo na izradu novog Pravilnika o funkciji usklađenosti. Prvi korak trebala bi biti ozbiljna GAP analiza postojećeg sustava prema zahtjevima novog Pravilnika. Treba provjeriti organizacijski položaj Funkcije usklađenosti, imenovanje i uvjete koje ispunjava Službenik za usklađenost, resurse, ovlasti i pristup informacijama, raspodjelu odgovornosti između Compliance-a i poslovnih funkcija, način identificiranja obveza usklađenosti, metodologiju procjene rizika, sustav praćenja regulatornih promjena, godišnji plan rada, monitoring i provjere, način izvještavanja, etičke i antikorupcijske mehanizme te postojeće registre, evidencije i dokumentaciju kojima se može dokazati provedba. Tek nakon toga ima smisla mijenjati interne akte. Jer najveća bi pogreška bila novi Pravilnik implementirati tako da se izradi još jedan interni pravilnik koji će formalno zadovoljiti regulatorni zahtjev, a da način upravljanja usklađenošću u organizaciji ostane isti.

Novi standard za Compliance u državnim poduzećima

Novi Pravilnik donosi puno više od promjene naziva funkcije. Donosi jasniji položaj i veću neovisnost Funkcije usklađenosti, profesionalizira ulogu Službenika za usklađenost, uvodi strukturiraniji pristup upravljanju rizicima usklađenosti, jača odgovornost Uprave i Nadzornog odbora, zahtijeva suradnju poslovnih funkcija, povezuje godišnje planiranje s procjenom rizika te stavlja veći naglasak na etiku, integritet, sprječavanje korupcije, praćenje učinkovitosti i kvalitetno izvještavanje.

Za dio državnih poduzeća to će zahtijevati značajne promjene. Ali postoje i hrvatska državna poduzeća koja su posljednjih godina već napravila velik dio tog puta, osobito ona koja su svoje Compliance programe razvijala prema zahtjevima međunarodne norme ISO 37301 Compliance Management Systems.

Upravo ćemo zato o novom Pravilniku i njegovoj praktičnoj implementaciji govoriti na Compliance konferenciji 2026. „Novi standardi, nove odgovornosti“, koja će se održati 29. rujna 2026. u Zagrebu.

Nećemo govoriti samo o tome što Pravilnik propisuje. Predstavit ćemo primjere najbolje prakse iz državnih poduzeća koja su zahtjeve upravljanja usklađenošću već implementirala u praksi, uključujući rješenja razvijena u skladu s normom ISO 37301. Jer sada, kada je regulatorni okvir donesen, najvažnije pitanje više nije što treba propisati.

Najvažnije pitanje postaje kako sve te zahtjeve pretvoriti u sustav koji stvarno funkcionira.

CODUPO Compliance – Vaš pouzdani partner u praćenju usklađenosti.

Za dodatne informacije i zakazivanje konzultacija, slobodno nas kontaktirajte putem kontakt forme ili na telefon +385 1 3862 961.

Ministarstvo financija Republike Hrvatske predstavilo je 19. lipnja 2026. godine prvi paket provedbenih propisa vezanih uz reformu korporativnog upravljanja u pravnim osobama u vlasništvu Republike Hrvatske.

Predstavljeni paket obuhvaća pet važnih akata: Vlasničku politiku, Odluku o pravnim osobama od posebnog interesa za Republiku Hrvatsku, Uredbu o izboru i imenovanju članova uprava i nadzornih odbora, Pravilnik o izvještavanju o poslovanju te Pravilnik o funkciji usklađenosti.

Iz perspektive compliance zajednice, posebno značajnim smatramo predstavljanje Pravilnika o funkciji usklađenosti, kojim se nastavlja operacionalizacija zahtjeva predviđenih Zakonom o pravnim osobama u vlasništvu Republike Hrvatske.

Prema novom regulatornom okviru, compliance funkcija ne bi trebala biti samo formalna zakonska obveza, već neovisna i savjetodavna funkcija koja Upravi i Nadzornom odboru pomaže razumjeti regulatorne zahtjeve, upravljati rizicima neusklađenosti, jačati integritet organizacije i donositi kvalitetnije poslovne odluke.

Takav pristup ujedno je usklađen i s međunarodnim dobrim praksama, OECD Smjernicama za korporativno upravljanje društava u državnom vlasništvu te načelima sadržanim u normi ISO 37301 – Sustav upravljanja usklađenošću.

Za organizacije koje već imaju uspostavljene compliance programe, novi podzakonski okvir predstavlja priliku za daljnje jačanje neovisnosti i položaja compliance funkcije, preciznije definiranje njezinih odgovornosti, potrebnih kompetencija te učinkovitiju integraciju u procese upravljanja, upravljanja rizicima i donošenja odluka.

Za organizacije koje su tek u procesu uspostave compliance funkcije, predstojeće razdoblje zasigurno će zahtijevati dodatne aktivnosti vezane uz definiranje organizacijskog ustroja, izvještajnih linija, metodologije rada, planiranja aktivnosti, procjene rizika neusklađenosti, edukacija te izvještavanja Uprave i Nadzornog odbora.

Osim Pravilnika o funkciji usklađenosti, predstavljeni paket provedbenih propisa obuhvaća i niz drugih važnih akata koji će imati značajan utjecaj na daljnji razvoj korporativnog upravljanja, transparentnosti poslovanja i profesionalizacije upravljačkih struktura u pravnim osobama u vlasništvu Republike Hrvatske.

Upravo zato veseli nas što ćemo o ulozi i budućem razvoju compliance funkcije, praktičnim izazovima njezine uspostave te iskustvima organizacija koje su već prošle taj put imati priliku razgovarati i na Compliance konferenciji 2026. „Novi standardi, nove odgovornosti“, koja će se održati 29. rujna 2026. godine, u hotelu Hilton Garden Inn u Zagrebu.

Objavom Direktive (EU) 2026/1021 o borbi protiv korupcije u Službenom listu Europske unije otvoreno je novo poglavlje europskog pristupa integritetu, odgovornosti i korporativnom upravljanju. Direktiva je objavljena 11. svibnja 2026., a na snagu stupa dvadeset dana nakon objave. Države članice imat će 24 mjeseca za njezino prenošenje u nacionalna zakonodavstva, dok je za odredbe koje se odnose na nacionalne strategije i procjene korupcijskih rizika predviđen dulji rok od 36 mjeseci.

Na prvi pogled, riječ je o još jednom europskom kaznenopravnom instrumentu. Međutim, stvarni značaj ove Direktive mnogo je širi. Ona ne uređuje samo pitanje kaznenih djela korupcije, nego mijenja način na koji će se korupcijski rizik morati razumjeti, procjenjivati i upravljati unutar organizacija.

Drugim riječima, korupcija više neće biti promatrana samo kao pitanje etike, reputacije ili pojedinačnog incidenta. Ona ulazi u istu kategoriju regulatornih rizika u kojoj se već nalaze zaštita osobnih podataka, umjetna inteligencija, kibernetička sigurnost, sprječavanje pranja novca i ESG. To je možda najvažnija poruka ove Direktive.

Od organizacija se više neće očekivati samo da formalno zabrane korupciju, nego da mogu dokazati da su rizike stvarno identificirale, procijenile, nadzirale i smanjivale kroz konkretne kontrole.

Do sada su organizacije često antikorupcijske sustave gradile kroz politike, kodekse ponašanja, edukacije i procedure koje su, u boljim slučajevima, bile dio šireg Compliance okvira. Nova Direktiva taj okvir podiže na znatno višu razinu. Od organizacija se više neće očekivati samo da formalno zabrane korupciju, nego da mogu dokazati da su rizike stvarno identificirale, procijenile, nadzirale i smanjivale kroz konkretne kontrole.

Direktiva pomiče fokus s pitanja „tko je počinio djelo” na pitanje „kakav je sustav organizacija imala da takvo djelo spriječi”.

Posebno je važan dio Direktive koji se odnosi na odgovornost pravnih osoba. Kompanije će biti odgovorne kada je kazneno djelo počinjeno u njihovu korist, od strane osoba na vodećim položajima ili kada je do kaznenog djela došlo zbog nedostatka odgovarajućeg nadzora ili kontrole. Upravo ova posljednja formulacija ima najveću praktičnu težinu. Ona pomiče fokus s pitanja „tko je počinio djelo” na pitanje „kakav je sustav organizacija imala da takvo djelo spriječi”.

Kazne potvrđuju ozbiljnost tog zaokreta. Pravne osobe moći će se suočiti s novčanim kaznama od 3 % do 5 % ukupnog svjetskog godišnjeg prometa, odnosno s fiksnim iznosima od 24 do 40 milijuna eura, ovisno o vrsti kaznenog djela. Time se korupcijski rizik po svojoj financijskoj ozbiljnosti približava regulatornim režimima poput GDPR-a, AI Acta i propisa o kibernetičkoj sigurnosti.

No financijska kazna neće biti jedina posljedica. Direktiva predviđa i druge mjere koje za pojedine organizacije mogu biti jednako ozbiljne, ako ne i ozbiljnije: zabranu sudjelovanja u javnim natječajima, gubitak prava na javno financiranje, povlačenje dozvola ili druga regulatorna ograničenja. Za društva koja posluju s javnim sektorom, sudjeluju u javnim nabavama ili ovise o regulatornim odobrenjima, takve posljedice mogu biti poslovno presudne.

Jednako važna je i osobna odgovornost fizičkih osoba. Članovi uprava, menadžment i druge odgovorne osobe mogu biti izloženi kaznama zatvora u trajanju od najmanje tri do pet godina, ovisno o kaznenom djelu. Uz to, moguće su i dodatne mjere, poput zabrane obnašanja određenih funkcija, profesionalnih ograničenja i osobnih novčanih kazni. Time se jasno potvrđuje da antikorupcijski Compliance više nije administrativna tema, nego pitanje osobne odgovornosti upravljačkih struktura.

Upravo zbog toga ne iznenađuje da se nova Direktiva već počinje promatrati u istom regulatornom kontekstu u kojem se godinama analiziraju UK Bribery Act, američki FCPA, francuski Sapin II ili Brazilian Clean Company Act. Naravno, njezin stvarni doseg ovisit će o načinu prenošenja u nacionalna zakonodavstva i budućoj provedbenoj praksi država članica. No po svojoj ambiciji, širini zahvata i visini mogućih sankcija, Direktiva jasno pokazuje da Europska unija želi korupcijski rizik podići na razinu strateškog compliance prioriteta.

Ova Direktiva neće samo pogoditi organizacije koje imaju problem, nego one koje nemaju sustav.

Ova Direktiva zato neće najviše pogoditi organizacije koje imaju problem, nego one koje nemaju sustav. Jer u novom regulatornom okruženju neće biti dovoljno reći da korupcija nije dopuštena. Bit će potrebno pokazati kako se procjenjuju treće strane, kako se upravlja darovima i reprezentacijom, kako se nadziru donacije i sponzorstva, kako se provode interne istrage, kako se štite prijavitelji nepravilnosti i kako se upravi dostavljaju informacije o stvarnim rizicima.

Posebno će važna postati kvaliteta dokumentiranja. U svijetu regulatornog nadzora ono što nije dokumentirano često izgleda kao da nije ni provedeno. Zato će organizacije morati voditi računa ne samo o postojanju internih pravila, nego i o tome jesu li ona živa, razumljiva, primjenjiva i redovito provjeravana.

Direktiva pritom ne uvodi samo strože kazne, nego i zreliji pogled na Compliance. Učinkoviti programi usklađenosti, interne kontrole, etički standardi, suradnja s nadležnim tijelima i korektivne mjere mogu se uzeti u obzir kao olakotne okolnosti. To je važna poruka. Regulator ne očekuje savršenstvo, ali očekuje ozbiljnost, dosljednost i dokazivu namjeru da se rizicima upravlja odgovorno.

U tom smislu, nova Direktiva nije samo prijetnja sankcijama. Ona je i prilika da se antikorupcijski Compliance konačno postavi ondje gdje pripada, a to je u središte sustava korporativnog upravljanja.

Za uprave i nadzorne odbore to znači da korupcijski rizik više ne može ostati tema koja se pojavljuje samo nakon incidenta. On mora biti dio redovitih procjena rizika, internih kontrola, izvještavanja, edukacija i strateških odluka. Funkcija usklađenosti, pravna funkcija, interna revizija, upravljanje rizicima, nabava, financije i ljudski resursi morat će djelovati povezano, ali uz jasno razgraničene odgovornosti.

Možda je najvažnije reći sljedeće, a to je da ova Direktiva neće promijeniti samo zakonodavstvo, ona će promijeniti očekivanja i to prije svega regulatora, poslovnih partnera, investitora i javnosti.

Organizacije koje na vrijeme razumiju tu promjenu imat će priliku izgraditi sustav koji ih ne štiti samo od kazni, nego i od pogrešnih odluka, reputacijskih rizika i gubitka povjerenja. Oni koji Direktivu shvate kao još jednu formalnu obvezu vjerojatno će prekasno shvatiti da se europski standard integriteta promijenio.

Objavljenoj Direktivi (EU) 2026/1021 o borbi protiv korupcije možete pristupiti na linku: https://eur-lex.europa.eu/legal-content/HR/TXT/PDF/?uri=OJ:L_202601021

CODUPO Compliance – Vaš pouzdani partner u praćenju usklađenosti.

Implementacija i dizajn Compliance programa – programa usklađenosti

Provedba GAP analize i evaluacija Compliance programa

Upravljanje rizikom korupcije

Certified ISO 37001 Anti-bribery Management Systems – Lead Implementer

Agencija za komercijalnu djelatnost (AKD), trgovačko društvo od posebnog interesa za Republiku Hrvatsku, postala je prvo poduzeće u Hrvatskoj koje je uspješno završilo certifikacijski audit prema međunarodnoj normi ISO 37301 – Compliance Management System (CMS) i time dobilo certifikat prema ovom globalno priznatom standardu.

Implementacija norme ISO 37301 u AKD započela je u rujnu 2024. godine kao strateški projekt usmjeren na jačanje korporativnog upravljanja, integriteta i transparentnosti poslovanja. Uvođenjem sustava upravljanja usklađenošću AKD je istodobno ispunio i novu zakonsku obvezu — uspostavu funkcije praćenja usklađenosti koja je od 1. listopada 2025. propisana Zakonom o pravnim osobama u vlasništvu Republike Hrvatske.

Norma ISO 37301 postavlja zahtjeve za uspostavu, provedbu, održavanje i kontinuirano poboljšavanje sustava upravljanja usklađenošću, čime organizacija sustavno prepoznaje, upravlja i kontrolira rizike usklađenosti s propisima, internim politikama i etičkim standardima.

Certifikacija potvrđuje da je AKD uspostavio ključne elemente djelotvornog sustava usklađenosti — od identifikacije i upravljanja rizicima usklađenosti, preko jasnih politika, procedura i edukacija, do sustava izvještavanja i kontinuiranog poboljšanja.

Kao rezultat, AKD se pozicionira kao predvodnik dobre prakse u Republici Hrvatskoj i postavlja referentni okvir za druga poduzeća u pogledu uspostave učinkovitih sustava upravljanja usklađenošću, jačanja integriteta i transparentnog upravljanja poslovanjem.

U ovom projektu implementacije norme ISO 37301 Codupo Compliance kao savjetodavni partner imao je aktivnu ulogu u pružanju stručne podrške pri uspostavi sustava i pripremi organizacijskog okvira za uspješan certifikacijski audit, s ciljem osnaživanja funkcije praćenja usklađenosti kako bi zadovoljavala i najviše međunarodne standarde.

Ovaj iskorak predstavlja snažnu poruku compliance zajednici i javnosti o dugoročnoj predanosti integritetu, zakonitom i održivom poslovanju, ali i poticaj drugim državnim poduzećima da ozbiljno razmotre certificiranje svojih sustava usklađenosti te time unaprijede korporativno upravljanje i povjerenje dionika.

U praksi se posljednjih godina sve češće govori o „novoj generaciji” usklađenosti. Ne zato što su politike, procedure i kontrole prestale biti važne, nego zato što su postale nedovoljne. Organizacije koje su formalno usklađene i imaju uredno dokumentiran sustav sve češće otkrivaju da i dalje ostaju izložene incidentima, ne zato što pravila ne postoje, nego zato što se rizici razvijaju brže nego što ih sustav uspije prepoznati.

Upravo stoga u međunarodnoj praksi kompanije se sve više okreću risk-based i data-driven Compliance pristupu koji se ovisno o industriji i regulatornom kontekstu naziva još: compliance analytics, advanced compliance analytics, compliance monitoring & surveillance framework, integrated GRC, conduct risk management, ili u nešto širem smislu Compliance Intelligence. Razlike u terminologiji nisu presudne; ono što je zajedničko svim tim pristupima jest da usklađenost prestaje biti periodična provjera „jesmo li u redu”, i postaje kontinuirani sustav ranog upozoravanja: „gdje se rizik upravo sada povećava”.

Od Compliance-a se očekuje da bude ex-ante,  a ne samo ex-post.

U suvremenom regulatornom i tržišnom okruženju učinkovit Compliance Management System više se ne promatra kao mehanizam koji reagira nakon što je kršenje već nastupilo. Ono što se danas očekuje od Uprave i Nadzornog odbora jest sposobnost da pravodobno prepoznaju, razumiju i upravljaju Compliance rizicima prije nego što se oni materijaliziraju u regulatorni, financijski ili reputacijski događaj. Drugim riječima, očekuje se da Compliance bude forward-looking (ex-ante), a ne isključivo backward-looking (ex-post).

Tu se pojavljuje ključni zaokret jer risk-based & data-driven Compliance nije nadogradnja kroz dodatne dokumente, nego promjena logike upravljanja. Umjesto da se sustav prvenstveno oslanja na retrospektivno dokazivanje da su pravila postojala i da su se provodila, on se oslanja na kontinuirano upravljanje rizikom kroz podatke, trendove i upravljačke odluke. Compliance se time pomiče iz sfere dokazivanja u sferu upravljanja.

U središtu ovog pristupa nalazi se razlika koju klasični sustavi često zamagljuju, a to je razlika između učinkovitosti sustava i razvoja rizika. Ono što primjećujemo u praksi, organizacije mogu imati uredno provedene treninge i ažurirane procedure, a ipak imati rastuće rizike. Mogu provesti istrage u roku, a ipak bilježiti sve više pritisaka ili ponašanja koja ukazuju na normalizaciju devijacija („tako se to kod nas radi“). Upravo zato risk-based i data-driven Compliance uvodi jasnu podjelu upravljačkih informacija kroz dvije komplementarne skupine pokazatelja: KPI (Key Performance Indicators) i KRI (Key Risk Indicators).

KPI-jevi su pokazatelji koji Upravi daju uvid u to kako sustav radi u operativnom smislu. Oni pokazuju provodi li se plan edukacija, jesu li kontrole testirane, odgovara li se na prijave i provode li se istrage u predviđenim rokovima te ažuriraju li se politike i procedure. KPI-jevi su nužni jer omogućuju dokazivost i disciplinu sustava.

Međutim, KPI-jevi sami po sebi ne odgovaraju na pitanje koje postaje ključno u modernoj regulatornoj praksi, a to je da organizacija sazna razvija li se negdje rizik koji još nije prerastao u incident? Upravo tu ulogu preuzimaju KRI-jevi. KRI-jevi su dizajnirani da otkrivaju rane signale rasta Compliance rizika, često prije formalne povrede. Oni ne mjere je li sustav odradio ono što je trebao, nego mjere gdje se u organizaciji pojavljuju obrasci koji povećavaju vjerojatnost buduće povrede: porast iznimaka, promjene u obrascima prijava, povećan broj ponovljenih kršenja, koncentracija rizika u određenoj jedinici, promjene u strukturi trećih strana ili ubrzani poslovni rast u područjima s višim regulatornim očekivanjima.

Upravo zbog toga risk-based & data-driven Compliance u praksi funkcionira kao radar i daje Upravi signal kada se organizacija približava zoni povećane izloženosti rizika. U takvom modelu sustav sustavno prikuplja i povezuje informacije o ponašanju zaposlenika, obrascima odlučivanja, iznimkama od pravila, pritiscima na poslovne linije, odnosima s trećim stranama i promjenama poslovnog modela. Ti se signali kroz KPI i KRI okvir analiziraju i pretvaraju u upravljive informacije, informacije koje Upravi omogućuju da intervenira na vrijeme, prilagodbom kontrola, promjenom bonusa/incentiva, dodatnim nadzorom, češćim edukacijama ili što je često najvažnije jačanjem organizacijske kulture.

Risk-based i data-driven Compliance u potpunoj je korelaciji s COSO logikom upravljanja rizikom.

U kontekstu ISO 37301, upravo je ta sposobnost razlika između formalno uspostavljenog sustava i sustava koji je doista učinkovit. ISO 37301 zahtijeva praćenje, mjerenje, analizu i stalno poboljšavanje, ali risk-based i data-driven Compliance daje Upravi operativni mehanizam kojim se ti zahtjevi pretvaraju u stvarno, prediktivno upravljanje Compliance rizikom što je također u potpunoj korelaciji s COSO logikom upravljanja rizikom.

Zato se u regulatornom i tržišnom kontekstu ovaj pristup sve češće smatra novim standardom. On šalje jasnu poruku da organizacija ne samo da ima formalni sustav usklađenosti, nego posjeduje upravljačku inteligenciju potrebnu da taj sustav doista štiti vrijednost, reputaciju i dugoročnu održivost poslovanja.

Takav smjer potvrđuju i recentne međunarodne analize (npr. Thomson Reuters Institute) koje naglašavaju potrebu da se organizacije sustavno pripreme za neočekivano. Iako nije moguće predvidjeti svaki pojedini rizik, razvoj scenarija, analitičkih modela te sustava ranog upozoravanja omogućuje smanjenje neizvjesnosti i pravodobno upravljanje rizicima. Compliance i risk timovi koji na vrijeme prihvate ovaj zaokret bit će u znatno boljoj poziciji za snalaženje u sve složenijem regulatornom okruženju 2026. godine i nadalje.

CODUPO Compliance – Vaš pouzdani partner u praćenju usklađenosti.

Za dodatne informacije i zakazivanje konzultacija, slobodno nas kontaktirajte putem kontakt forme ili na telefon +385 1 3862 961.

Analiza odgovornosti Uprave u kontekstu Prijedloga Pravilnika o funkciji praćenja usklađenosti koji je trenutačno u postupku javnog savjetovanja (e-Savjetovanje).

Stupanjem na snagu Zakona o pravnim osobama u vlasništvu Republike Hrvatske 1. listopada 2025. godine, Pravne osobe od posebnog interesa za RH ulaze u novu fazu razvoja sustava korporativnog upravljanja. Jedna od ključnih novina je obveza uspostave funkcije praćenja usklađenosti, čime se po prvi put na sustavan način normativno jača preventivna uloga Compliance-a u tim organizacijama.

Iako zakon i Prijedlog pravilnika o funkciji praćenja usklađenosti (Članak 16.) definiraju obveze Uprave, međunarodni standardi pružaju znatno širi i dublji okvir za razumijevanje stvarne odgovornosti (accountability) upravljačkih tijela, osobito u složenim i regulatorno zahtjevnim okruženjima kakva karakteriziraju državna poduzeća.

U našim in-house edukacijama „Uloga Uprave i menadžmenta u funkciji praćenja usklađenosti i izgradnji integriteta“, poseban naglasak stavljamo na jasno razgraničenje pojmova accountability i responsibility. Iako se u hrvatskom jeziku ti pojmovi često koriste kao sinonimi, razlike među njima postaju osobito važne na razini upravljačkih tijela, gdje imaju izravne implikacije na način donošenja odluka, delegiranja ovlasti i preuzimanja odgovornosti za ishode.

Kako bismo mogli bolje analizirati odgovornosti Uprave u kontekstu Prijedloga Pravilnika o funkciji praćenja usklađenosti, nužno je najprije jasno razgraničiti dva temeljna pojma koji čine okosnicu suvremenog korporativnog upravljanja: odgovornost za izvršenje, zaduženje (responsibility) i preuzimanje odgovornosti za ishod (accountability).

U praksi se često miješaju pojmovi odgovornosti responsibility i accountability ali ISO standardi jasno razgraničavaju ta dva koncepta. Operativna odgovornost može se delegirati, primjerice na rukovoditelje organizacijskih jedinica, direktore funkcija te vlasnike procesa i rizika, dok accountability ili odgovornost za ishod ostaje trajno vezana uz upravljačko tijelo kao cjelinu. Iako vlasnici rizika i rukovoditelji organizacijskih jedinica mogu imati razinu accountabilityja za rezultate unutar svojeg delegiranog područja odgovornosti, ukupna i konačna odgovornost za ishod uspostave, funkcioniranja i učinkovitosti sustava upravljanja usklađenošću ostaje na razini upravljačkog tijela.

Drugim riječima, Uprava može delegirati izvršenje pojedinih aktivnosti i kontrola, ali ne može delegirati konačnu odgovornost za posljedice odluka, propuštanja ili nepostojanja odgovarajućih sustava. Upravo ta sposobnost da se odgovara za cjelinu sustava, uključujući i ono što nije učinjeno, čini samu srž accountabilityja u suvremenom korporativnom upravljanju.

Uloga upravljačkih tijela u sustavu praćenja usklađenosti

ISO 37301 Compliance Management Systems dodatno operacionalizira tu odgovornost. Standard jasno polazi od pretpostavke da Compliance (Funkcija praćenja usklađenosti) nije izolirana funkcija niti tehnički dodatak poslovanju, već sastavni dio sustava upravljanja koji mora biti usklađen sa strateškim smjerom organizacije.

Upravljačka tijela i najviše rukovodstvo imaju ključnu ulogu u stvaranju okruženja u kojem sustav upravljanja usklađenošću može ostvariti svoju svrhu. To uključuje postavljanje jasnog smjera kroz politike i ciljeve usklađenosti, osiguravanje odgovarajućih resursa, integraciju zahtjeva usklađenosti u poslovne procese te jasno dodjeljivanje uloga, ovlasti i odgovornosti svim relevantnim funkcijama. Istodobno, osiguravanje neovisnosti Compliance funkcije, njezina izravnog pristupa Upravi i Nadzornom odboru te sustava pravovremenog izvještavanja i reagiranja ključno je za jačanje preventivne, savjetodavne i upravljačke uloge Compliance-a.[1]

Accountability kao temelj povjerenja i legitimnosti

ISO standardi također naglašavaju da accountability nije samo pravni ili organizacijski zahtjev, već ključni element povjerenja i legitimnosti. U kontekstu državnih poduzeća, gdje su očekivanja javnosti, vlasnika i drugih dionika osobito visoka, transparentno i odgovorno upravljanje ima izravan utjecaj na reputaciju, održivost i dugoročnu vrijednost organizacije.

Zakon o pravnim osobama u vlasništvu Republike Hrvatske jasno postavlja održivost kao sastavni dio korporativnog upravljanja, zahtijevajući da pravne osobe u državnom vlasništvu integriraju financijske i nefinancijske ciljeve, uključujući čimbenike održivosti poput zaštite okoliša, poštivanja ljudskih prava i borbe protiv korupcije (prema Prijedlogu Pravilnika) u svoje strateške odluke i upravljanje rizicima.

Demonstriranje takve odgovornosti za ishod (accountability) očituje se kroz kvalitetno, pravodobno i transparentno izvještavanje, jasno i razumljivo obrazlaganje donesenih odluka i njihovih učinaka, kao i kroz sustavno razumijevanje rizika, pri čemu je cjelokupan sustav upravljanja izgrađen na risk-based pristupu i međusobnoj ovisnosti poslovnih procesa, rizika i kontrola. Ključni element takve odgovornosti je i spremnost upravljačkih tijela da preuzmu odgovornost ne samo za donesene odluke, već i za propuštanja i nečinjenja, osobito kada su ista imala ili su mogla imati značajan utjecaj na organizaciju.

Funkcija praćenja usklađenosti ne pozicionira se kao retrospektivni kontrolni mehanizam (ex post, backward-looking), već kao strateški alat koji omogućuje informirano, etično i dugoročno održivo odlučivanje (ex ante, forward-looking).

U tom kontekstu, članak 20. Prijedloga Pravilnika dodatno osnažuje koncept accountabilityja propisujući da, u slučaju kada više rukovodstvo odstupi od preporuka ili procjena koje je izdao službenik za praćenje usklađenosti, takvo odstupanje mora biti dokumentirano i uključeno u izvješće o usklađenosti. Time se osigurava sljedivost odluka te jasno razgraničenje odgovornosti na najvišoj razini upravljanja. Posljedično, funkcija praćenja usklađenosti ne pozicionira se kao retrospektivni kontrolni mehanizam (ex post, backward-looking), već kao strateški alat koji omogućuje informirano, etično i dugoročno održivo odlučivanje (ex ante, forward-looking). Takav pristup, usklađenost integrira u sam proces donošenja odluka, jača kulturu odgovornosti i povjerenja te potvrđuje njezinu ulogu kao ključne preventivne funkcije unutar suvremenog sustava korporativnog upravljanja.

Zakonski okvir u Republici Hrvatskoj postavlja nužan minimum. Međutim, međunarodni standardi poput ISO 37301 Compliance Management Systems, nude priliku da se ide korak dalje od formalnog ispunjavanja obveza prema izgradnji zrelog sustava upravljanja usklađenošću, u kojem su uloge, ovlasti i odgovornosti jasno definirane, a odgovornost za ishod (accountability) upravljačkih tijela stvarno je zaživljena u praksi.

U tom smislu, funkcija praćenja usklađenosti postaje alat koji omogućuje upravljačkim tijelima da ispune svoju temeljnu zadaću, a to je da djeluju trajno u najboljem interesu organizacije, uzimajući u obzir pravne, etičke, reputacijske i društvene implikacije svojih odluka.

Upravo takav proaktivan pristup, integriran i usmjeren na dugoročnu vrijednost i održivost predstavlja stvarnu dodanu vrijednost novog regulatornog okvira i priliku za podizanje standarda korporativnog upravljanja u državnim poduzećima Republike Hrvatske.

[1] ISO (2021) Sustavi upravljanja usklađenošću – Zahtjevi sa smjernicama za uporabu (ISO 37301:2021). Hrvatski zavod za norme. Zagreb.

CODUPO Compliance – Vaš pouzdani partner u praćenju usklađenosti.

Za dodatne informacije i zakazivanje konzultacija, slobodno nas kontaktirajte putem kontakt forme ili na telefon +385 1 3862 961.

Pitanje je opravdano, jer Prijedlog Pravilnika o funkciji praćenja usklađenosti izričito zahtijeva da velike pravne osobe uspostave zasebnu i neovisnu funkciju praćenja usklađenosti, pa u njihovom slučaju odgovor je jasan. Istodobno, isti članak (Članak 5.) omogućuje pravnim osobama koje se ne smatraju velikim pravim osobama  veću fleksibilnost. Primjenjujući načelo proporcionalnosti, male i srednje pravne osobe mogu povjeriti poslove praćenja usklađenosti osobi ili organizacijskoj jedinici koja obavlja i druge poslove uz uvjet da nisu u sukobu interesa između odgovornosti koja se odnosi na obavljanje funkcije praćenja usklađenosti poslovanja i drugih odgovornosti.

Ovaj tekst ne daje jedinstven odgovor, već predstavlja analitički pregled temeljen na modelu Tri linije, standardu ISO 37301 Compliance Management Systems i ISO 31000 Risk Management. Cilj mu je ponuditi smjernice koje pravnim osobama mogu pomoći u razmišljanju o tome kako proporcionalno i učinkovito ustrojiti funkciju praćenja usklađenosti unutar svojih sustava.

Dugi niz godina model Tri linije obrane služio je kao temelj za strukturiranje rizika i kontrolnih mehanizama. Jasno je razdvajao poslovne jedinice kao prvu liniju, nadzorne funkcije poput Compliance-a i upravljanja rizicima kao drugu liniju te internu reviziju kao treću, neovisnu liniju. Iako je taj model postavio nužne okvire odgovornosti, u praksi je često stvarao organizacijske silose. Zato je Institute of Internal Auditors 2020. modernizirao ovaj okvir u model Tri linije, koji zadržava razdvajanje uloga, ali snažnije naglašava suradnju, koordinaciju i stvaranje vrijednosti kao zajednički cilj svih linija.

Slika 1. Razlika između modela Tri linije obrane (2013.) i Tri linije (2020.)

Izvor: Di Schino, N. (2020) Does the New Three Lines Model Give Short Shrift to Compliance? Corporate Compliance Insights. In Compliance, Featured, Internal Audit. Dostupno na: https://www.corporatecomplianceinsights.com/three-lines-model-short-shrift-compliance/

Upravo kroz taj modernizirani okvir postaje jasnije zašto određene funkcije u organizaciji moraju ostati razdvojene. Kada bi se uloga prve linije, koja oblikuje i provodi procese, spojila s ulogom druge linije, koja te iste procese treba neovisno nadzirati, nastao bi izravni sukob interesa, tj. osoba bi istovremeno donosila odluke i nadzirala vlastiti rad. Međutim, kada se razmatra spajanje uloga unutar druge linije, situacija nije tako jednostavna. Funkcije praćenja usklađenosti i upravljanja rizicima dijele stratešku perspektivu i nadzornu ulogu, ali im priroda posla nije ista. Risk Management u velikoj je mjeri koordinatorska[1], dok je Compliance neovisno nadzorna funkcija[2]. Stoga se tek nakon razumijevanja tih razlika i procjene stvarne zrelosti sustava može procijeniti je li spajanje funkcija održivo ili bi narušilo neovisnost i učinkovitost nadzora.

U tom kontekstu potrebno je sagledati odnos između službenika za usklađenost i menadžera za rizike. U velikim sustavima, gdje su regulatorni zahtjevi i složenost procesa visoki, te su dvije uloge namjerno razdvojene. Prema ISO 31000, menadžer za rizike ima koordinatorsku ulogu u organizaciji: pruža metodologiju i alate, podržava operativne jedinice u upravljanju rizicima, promatra rizike i daje prijedloge vlasnicima rizika (mada u bankama i financijskim institucijama mogu i sami upravljati rizicima)[3]. Vlasnici rizika su ti koji identificiraju, upravljaju i prate rizike, provode mjere ublažavanja i određuju načine rješavanja temeljnih uzroka[4]. Compliance, s druge strane, neovisno nadzire sustav usklađenosti, prati provedbu propisa, politika i internih kontrola te izvještava Upravu i Nadzorni odbor.

U malim i srednjim pravnim osobama kontekst je nešto drugačiji. Upravljanje rizicima često je manje formalizirano, opseg procesa manji, a organizacijske strukture manje složene.

Kada se razmatra mogućnost spajanja ovih funkcija u jednoj osobi, ključno je procijeniti stvarni rizik sukoba interesa između njihovih uloga i odgovornosti. U malim i srednjim pravnim osobama taj je rizik znatno manji jer menadžer za rizike ne kreira sustav koji Compliance nadzire, već pruža operativnu podršku vlasnicima rizika. Drugim riječima, ako je koordinacija prvenstveno operativna i usmjerena na podršku vlasnicima rizika, koji prema ISO 31000 identificiraju, upravljaju i prate rizike te provode mjere ublažavanja i određuju načine rješavanja temeljnih uzroka, kao što je ranije spomenuto, a Compliance zadržava nadzornu ulogu nad rizikom usklađenosti, tada spajanje ovih uloga u jednoj osobi ne predstavlja sukob interesa, uz preduvjet da su odgovornosti jasno razgraničene i formalno definirane u internom aktu.

[1] PECB (2021.) Edukacija Certified ISO 31000 Lead Risk Manager. PECB, Canada

[2] PECB (2021.) Edukacija Certified ISO 37301 Compliance Management Systems – Lead Implementer. PECB, Canada

[3] PECB (2021.) Edukacija Certified ISO 31000 Lead Risk Manager. PECB, Canada

[4] Ibid.

CODUPO Compliance – Vaš pouzdani partner u praćenju usklađenosti.

Vezano za Funkciju praćenja usklađenosti u ponudi imamo:

Usluge:

Implementacija i dizajn Compliance programa – programa usklađenosti

Provedba GAP analize i evaluacija Compliance programa

Eksternalizirana funkcija usklađenosti

Izrada etičkog kodeksa

Certifikaciju:

Certified ISO 37301 Compliance Management Systems – Lead Implementer

Certified ISO 31000 Lead Risk Manager

Certified ISO 37001 Anti-bribery Management Systems – Lead Implementer

Edukacije:

Funkcija praćenja usklađenosti/ Compliance officer

Procjena i upravljanje rizicima usklađenosti

Dubinska analiza trećih strana

Praćenje i revizija usklađenosti

Upravljanje rizikom korupcije

Sustav za prijavu nepravilnosti – ISO 37002 Whistleblowing Management Systems

Izrada etičkog kodeksa

Napredne Compliance vještine

Za dodatne informacije i zakazivanje konzultacija, slobodno nas kontaktirajte putem kontakt forme ili na telefon +385 1 3862 961.

U novom Prijedlogu Pravilnika o funkciji praćenja usklađenosti Ministarstva financija nalazi se odredba koja je kod pojedinih službenika za usklađenost izazvala nedoumicu. U članku 12., točka 10. propisano je da funkcija praćenja usklađenosti sudjeluje u izradi i ažuriranju politika i procedura koje pokrivaju ključne aspekte usklađenosti, uključujući zaštitu osobnih podataka i privatnosti, sigurnost i zaštitu informacija, ESG rizike, financijsko izvještavanje, sprječavanje pranja novca i druga područja od regulatornog značaja.

Na prvu, ovakva formulacija može djelovati kao da se funkcija praćenja usklađenosti proteže na različita specijalizirana područja i da preuzima dio odgovornosti stručnih nositelja, poput DPO-a, CISO-a, ESG stručnjaka ili AML specijalista. Međutim, upravo je suprotno, Prijedlog Pravilnika time ne proširuje ulogu funkcije praćenja usklađenosti na stručna područja, nego potvrđuje njezinu sustavnu ulogu.

Drugim riječima, funkcija praćenja usklađenosti ne preuzima sadržaj, nego nadzire okvir u kojem se sadržaj pravilno primjenjuje.

To možemo pojasniti na primjeru službenika za zaštitu podataka (DPO) koji je odgovoran za informiranje i savjetovanje voditelja i izvršitelja obrade te zaposlenika o njihovim obvezama, nadzor nad usklađenošću organizacije s GDPR-om, podršku u edukaciji zaposlenika, savjetovanje o transparentnosti obrade i sudjelovanje u procesima poput DPIA-e. Također prati aktivnosti obrade, procjenjuje usklađenost i pruža smjernice za postupanje sa zahtjevima ispitanika. DPO nije odgovoran za operativno provođenje politika i postupaka usklađenosti, niti za samo provođenje DPIA-e. Njegova je uloga savjetodavna i nadzorna, a ne izvršna.[1]

Upravo ta priroda uloge ključna je za razumijevanje razlike između DPO-a i funkcije praćenja usklađenosti. Dok DPO djeluje kao stručni nositelj sadržaja u području zaštite osobnih podataka, funkcija praćenja usklađenosti ima sustavnu i horizontalnu ulogu, ona osigurava da su politike svih stručnih područja pravilno uspostavljene, dokumentirane, komunicirane i integrirane u procese upravljanja rizicima usklađenosti. Drugim riječima, Compliance funkcija ne ulazi u stručnu interpretaciju GDPR-a, niti preuzima zadatke DPO-a, nego nadzire okvir u kojem se ti stručni zadaci provode. Time se izbjegava preklapanje i osigurava da DPO zadrži nezavisnu poziciju propisanu regulatornim zahtjevima.

Ako promatramo organizacije iz perspektive Modela tri linije (Institute of Internal Auditors), tradicionalno, a posebno u financijskom sektoru, DPO se često smatra dijelom druge linije. Nedavno godišnje izvješće IAPP-EY o upravljanju privatnošću za 2022. pružilo je opipljive dokaze ove prakse: u bankarskom i osiguravajućem sektoru polovica organizacija smjestila je funkcije zaštite osobnih podataka u drugu liniju, dok ih je 15 % pozicioniralo u prvu liniju, a tek 2 % u treću liniju. Ovakav trend potvrđuje da je DPO prvenstveno funkcija nadzora i savjetovanja, a ne operativnog izvršavanja.[2]

Razumijevanje položaja DPO-a zahtijeva i razumijevanje koncepta sukoba interesa unutar IIA modela (Model tri linije). Kako je DPO zadužen za praćenje usklađenosti s propisima o zaštiti podataka, sukob može nastati ako bi istovremeno imao ovlasti određivanja svrha i sredstava obrade. WP29 je to jasno formulirao: „službenik za zaštitu podataka ne može imati položaj unutar organizacije koji ga vodi do određivanja svrha i sredstava obrade osobnih podataka“. Isto je potvrdio i Sud EU u presudi iz veljače 2023. (C-453/21), navodeći da sukob interesa može nastati kada DPO „određuje ciljeve i metode obrade osobnih podataka“.[3]

Do sukoba interesa moglo bi doći i između DPO-a i funkcije praćenja usklađenosti kada bi Compliance preuzeo ovlasti ili odgovornosti koje su svojstvene DPO-u, primjerice informiranje i savjetovanje o obvezama iz GDPR-a, nadzor nad usklađenošću obrade, davanje smjernica o transparentnosti obrade, sudjelovanje u DPIA procesima ili procjenjivanje usklađenosti aktivnosti obrade. U takvom bi slučaju Compliance djelovao kao operativni ili stručni nositelj GDPR sadržaja, dok bi DPO istovremeno morao nadzirati pravilnost tih odluka čime bi bio stavljen u poziciju da nadzire rad funkcije koja djeluje umjesto njega. Upravo iz tog razloga uloga Compliance-a mora ostati sustavna i horizontalna, bez preuzimanja stručnih zadaća iz domene zaštite podataka.

Spomenuta sudska i regulatorna praksa dodatno naglašava zašto je važno razlikovati vertikalne stručne funkcije poput DPO-a, koje posjeduju specijalističko znanje, od horizontalnih nadzornih funkcija poput Compliance-a, koje osiguravaju jedinstven, strukturiran i neovisan okvir upravljanja usklađenošću. Upravo zato nema preklapanja jer svaka funkcija ima svoj jedinstvenu odgovornost, a zajedno čine komplementaran sustav upravljanja rizicima usklađenosti.

Vertikalne funkcije predstavljaju usko specijalizirane stručne uloge koje dubinski pokrivaju jedno regulirano područje, poput zaštite podataka ili informacijske sigurnosti. Horizontalna funkcija, poput Compliance-a, djeluje kroz cijelu organizaciju, ne ograničava se na jedno specijalizirano područje, nego pokriva sve relevantne procese i osigurava da su pravila, kontrole i postupci usklađeni na razini cijelog sustava, tj. osigurava sustavni okvir usklađenosti neovisno o pojedinim stručnim područjima.

U međunarodnoj praksi jasno se razlikuje stručna i sustavna razina usklađenosti. Stručnu razinu čine funkcije poput zaštite osobnih podataka, informacijske sigurnosti, sprječavanja pranja novca, financijskog izvještavanja, ESG-a ili upravljanja sukobima interesa. One definiraju što je regulatorno ispravno, koje aktivnosti treba poduzeti i kako se specifični propisi tumače i implementiraju. One su nositelji sadržaja.

S druge strane, funkcija praćenja usklađenosti djeluje na sustavnoj razini. Ona osigurava da sve te stručne politike i procedure budu formalno uspostavljene, dokumentirane, integrirane u poslovne procese, pravilno komunicirane zaposlenicima i praćene kroz kontrole. Compliance je odgovoran za arhitekturu usklađenosti, a ne za njezin tehnički dizajn.

Dok funkcija praćenja usklađenosti osigurava horizontalni pregled nad time radi li se prema pravilima, postoje li kontrole i provode li se, ostale spomenute funkcije iako neovisne, predstavljaju vertikalne stručne nositelje.

Ovakav odnos nije slučajan. Međunarodni standardi, poput ISO 37301 Compliance Management Systems definira Compliance kao drugu liniju (obrane), odgovornu za okvir, ne za stručnu interpretaciju pojedinih propisa, a ISO 27701 Information security, cybersecurity and privacy protection traži jasnu neovisnost između DPO-a i operativnih funkcija. ISO 27001 Information Security Management System naglašava da sigurnosne politike mora oblikovati stručna funkcija, a ne nadzorna. OECD Smjernice za državna poduzeća i europski nadzorni standardi inzistiraju na razdvajanju stručnih i nadzornih uloga radi izbjegavanja sukoba interesa i osiguranja transparentnosti.

Zbog toga je „sudjelovanje funkcije praćenja usklađenosti u izradi politika“, kako navodi Prijedlog Pravilnika, nužno razumjeti u širem smislu upravljanja. Sudjelovanje znači osiguravanje sustavne konzistentnosti, formalne uspostave, pravilnog evidentiranja, redovitog ažuriranja i učinkovite provedbe. Ne znači preuzimanje stručnog sadržaja ili tehničkih analiza.

U velikim i složenim organizacijama, a posebice u državnim poduzećima od posebnog interesa za Republiku Hrvatsku, ova razlika postaje presudna. Stručne funkcije, poput DPO-a, CISO-a, AML-a ili ESG-a imaju dubinske i specifične uloge koji zahtijevaju stručno znanje. Funkcija praćenja usklađenosti ima ulogu koja nadilazi pojedina područja i gradi horizontalni nadzorni okvir koji povezuje sve te funkcije.

U takvoj organizacijskoj strukturi sve funkcije zadržavaju svoju neovisnost, ali istovremeno djeluju kao dio jedinstvenog sustava upravljanja rizicima usklađenosti. Compliance brine da organizacija vidi cijelu sliku. Stručne funkcije brinu da njezini sastavni dijelovi rade kako treba.

Za kraj, važno je istaknuti da prema normi ISO 37301 Compliance Management Systems sve aktivnosti navedene u članku 12., točka 10. predstavljaju samo dio šireg skupa obveza usklađenosti koje organizacija mora sustavno identificirati, dokumentirati i njima upravljati. Te obveze potrebno je evidentirati u registru obveza usklađenosti, čije održavanje i nadzor čini jednu od ključnih odgovornosti funkcije praćenja usklađenosti.

[1] PECB (2021.) Edukacija GDPR – Certified Data Protection Officer. PECB, Canada

[2] Sullivan, M. (2023.) The Role of the Data Protection Officer (GDPR) in the Three Lines Model. Dostupno na: https://papers.ssrn.com/sol3/papers.cfm?abstract_id=5443574#:~:text=Because%20of%20its%20oversight%20nature%2C%20the%20DPO,a%20manner%20compliant%20with%20data%20protection%20laws.

[3] Ibid.

CODUPO Compliance – Vaš pouzdani partner u praćenju usklađenosti.

Vezano za Funkciju praćenja usklađenosti u ponudi imamo:

Usluge:

Implementacija i dizajn Compliance programa – programa usklađenosti

Provedba GAP analize i evaluacija Compliance programa

Eksternalizirana funkcija usklađenosti

Izrada etičkog kodeksa

Certifikaciju:

Certified ISO 37301 Compliance Management Systems – Lead Implementer

Edukacije:

Funkcija praćenja usklađenosti/ Compliance officer

Procjena i upravljanje rizicima usklađenosti

Dubinska analiza trećih strana

Praćenje i revizija usklađenosti

Upravljanje rizikom korupcije

Sustav za prijavu nepravilnosti – ISO 37002 Whistleblowing Management Systems

Izrada etičkog kodeksa

Napredne Compliance vještine

Za dodatne informacije i zakazivanje konzultacija, slobodno nas kontaktirajte putem kontakt forme ili na telefon +385 1 3862 961.

U novom Prijedlogu Pravilnika o funkciji praćenja usklađenosti Ministarstva financija nalazi se odredba (Članak 7.) koja bi mogla bitno utjecati na način na koji državna poduzeća i druge pravne osobe oblikuju svoje sustave usklađenosti. Riječ je o mogućnosti djelomičnog izdvajanja (eksternalizacije) pojedinih zadaća funkcije praćenja usklađenosti, uz obvezu da barem jedan zaposlenik ostane imenovan službenikom za usklađenost.

Naizgled, radi se tek o tehničkoj mogućnosti. Međutim, u stvarnosti je to mehanizam koji može podržati profesionalizaciju sustava, omogućiti pristup specijaliziranom znanju i osnažiti funkciju u organizacijama koje se suočavaju s povećanim regulatornim zahtjevima i pritiskom na kvalitetu upravljanja.

No, kao i kod svake fleksibilnosti unutar sustava kontrola, ključ je razumjeti što eksternalizacija jest, a što nije i kako izbjeći da delegiranje preraste u gubitak nadzora.

Eksternalizacija nije zamjena za funkciju nego njezin produžetak

Pravilnik jasno ističe da se eksternalizirati može samo dio zadaća, a ne i funkcija kao takva. To znači da organizacija ne može outsourcingom zamijeniti službenika za usklađenost. Mora postojati najmanje jedna osoba koja je formalno imenovana, odgovorna i smještena unutar same pravne osobe.

Ovaj pristup postoji i na međunarodnoj razini, od europskih nadzornih smjernica do standarda ISO 37301 Compliance Management Systems ili OECD-ovih zahtjeva, koji svi naglašavaju da je odgovornost za usklađenost neotuđiva. Prijenos tereta nije moguć, nego prenijeti se može isključivo provedba aktivnosti, ali ne i nadležnost.

Eksternalizacija može nadopuniti kapacitete, ubrzati implementaciju i omogućiti pristup ekspertizi, ali nikada ne smije zamijeniti unutarnju odgovornost i upravljačku kontrolu.

Što se zapravo može eksternalizirati?

Kada se pogleda sama narav posla funkcije praćenja usklađenosti, vrlo brzo postaje jasno da se određeni elementi logično mogu povjeriti vanjskom pružatelju usluga. Riječ je o zadacima koji zahtijevaju specijalističko znanje, metodološku sofisticiranost ili analitičku neovisnost.

Primjerice, regulatorno praćenje, izradu ili reviziju pravilnika, politika i kodeksa, metodološku i operativnu podršku kod procjena rizika, izradu matrica i registara, pružanje neovisne analize ili davanje „drugog mišljenja“ na postojeće procjene, kontrole, sukob interesa ili druga osjetljiva područja, razvoj edukacija ili neovisne provjere usklađenosti, predstavljaju dijelove funkcije koji se u mnogim organizacijama, osobito onima iz visoko reguliranih sektora već dugo realiziraju u suradnji s vanjskim ekspertima. Uloga eksternaliziranih partnera često uključuje i savjetodavnu podršku službeniku za usklađenost, primjerice, metodološku pomoć ili pripremu analitičkih priloga koji se koriste u njegovim izvješćima prema Upravi ili nadzornim odborima. Takvi zadaci nisu prijenos odgovornosti, nego način da funkcija dobije na širini, dubini i učinkovitosti, osobito u fazama implementacije ili kada je potrebno brzo ojačati kapacitete bez narušavanja interne neovisnosti.

S druge strane, elementi koji su povezani s nadzornom ulogom, izravnim izvještavanjem Upravi, odlučivanjem o prioritetima rizika, donošenjem zaključaka ili procjenom potencijalnih povreda ostaju isključivo u domeni interne funkcije. To je logično, jer u Compliance sustavu uvijek postoji linija odgovornosti koja ne može biti delegirana i koja čini samu srž funkcije i njezine neovisnosti.

Rizici pogrešne eksternalizacije

Pravilnik vrlo jasno navodi da izdvajanje pojedinih procesa ne smije narušiti kvalitetu, neovisnost ni sposobnost upravljanja rizikom usklađenosti. To je presudna odredba i nije samo pravno-tehničko upozorenje već praktično pravilo upravljanja.

Ako se vanjskom pružatelju prepusti prevelik obujam posla, organizacija riskira:

• gubitak uvida u vlastite rizike,
• slabiju kontrolu nad ključnim procesima,
• operativne troškove koji prelaze korist,
• a u najgorem slučaju situaciju u kojoj funkcija postaje formalna, bez suštinske uloge u upravljanju.

Upravo zato Pravilnik uvodi obvezu provođenja dubinske analize prije angažmana vanjskog pružatelja. Nije to samo administrativni korak, nego provjera može li određeni partner biti produžena ruka organizacije bez stvaranja novih rizika.

S obzirom na regulatorni zaokret koji donosi novi Zakon o pravnim osobama u vlasništvu RH te paralelno jačanje OECD zahtjeva, državna i javna poduzeća ulaze u razdoblje redefiniranja svojih governance modela. U takvom okruženju funkcija praćenja usklađenosti postaje strateška, a ne operativna uloga.

Upravo zato mogućnost djelomične eksternalizacije treba promatrati kao priliku, a ne kao oslobađanje obveza. To je način da funkcija dobije ekspertizu koju možda nema, da ubrza razvoj sustava i da održava profesionalne standarde i u trenucima kada unutarnji resursi to ne mogu.

No jednako tako, to je i test zrelosti organizacije jer eksternalizacija uspijeva samo onoliko koliko je uspješan njezin sustav upravljanja. Ako unutarnja funkcija ima jasne odgovornosti, neovisnost i pristup upravi, eksternalizacija postaje alat. Ako nema, prerasta u rizik.

CODUPO Compliance – Vaš pouzdani partner u praćenju usklađenosti.

Vezano za Funkciju praćenja usklađenosti u ponudi imamo:

Usluge:

Implementacija i dizajn Compliance programa – programa usklađenosti

Provedba GAP analize i evaluacija Compliance programa

Eksternalizirana funkcija usklađenosti

Izrada etičkog kodeksa

Certifikaciju:

Certified ISO 37301 Compliance Management Systems – Lead Implementer

Edukacije:

Funkcija praćenja usklađenosti/ Compliance officer

Procjena i upravljanje rizicima usklađenosti

Dubinska analiza trećih strana

Praćenje i revizija usklađenosti

Upravljanje rizikom korupcije

Sustav za prijavu nepravilnosti – ISO 37002 Whistleblowing Management Systems

Izrada etičkog kodeksa

Napredne Compliance vještine

Za dodatne informacije i zakazivanje konzultacija, slobodno nas kontaktirajte putem kontakt forme ili na telefon +385 1 3862 961.