18. kolovoza 2026. stupio je na snagu novi Pravilnik o funkciji usklađenosti u pravnim osobama u vlasništvu Republike Hrvatske. Iako će za dio državnih poduzeća njegova provedba značiti formalno prilagođavanje već postojećih funkcija usklađenosti, stvarni izazov bit će znatno veći, a to je pretvoriti Compliance iz funkcije koja prvenstveno prati propise u učinkovit sustav upravljanja rizicima usklađenosti.

Pravilnik o funkciji usklađenosti u pravnim osobama u vlasništvu Republike Hrvatske, objavljen u Narodnim novinama br. 87/2026, uređuje ustroj, djelokrug rada, poslove, odgovornosti, način izvještavanja te mjere za osiguravanje neovisnosti i učinkovitosti funkcije usklađenosti.

Njegova važnost, međutim, nije samo u tome što propisuje kako funkcija usklađenosti treba biti organizirana. Pravilnik jasno određuje da je osnovna zadaća funkcije usklađenosti upravljanje rizikom usklađenosti kroz uspostavu djelotvornog sustava utvrđivanja, procjene, praćenja i upravljanja rizikom usklađenosti kojem je pravna osoba izložena. Funkcija usklađenosti pritom je definirana kao neovisna kontrolna funkcija, organizacijski i funkcionalno odvojena od poslovnih procesa u kojima rizik usklađenosti nastaje.

Upravo će prelazak s formalno uspostavljene funkcije na takav model upravljanja usklađenošću, predstavljati najveći izazov za državna poduzeća.

1. Od praćenja propisa prema upravljanju Compliance rizicima

Prvi i vjerojatno najveći praktični izazov bit će uspostava stvarnog procesa upravljanja rizicima usklađenosti. U mnogim organizacijama Compliance se još uvijek dominantno povezuje s praćenjem regulatornih promjena, davanjem mišljenja, izradom internih akata, provođenjem edukacija i izvještavanjem Uprave, no novi Pravilnik zahtijeva više.

Potrebno je uspostaviti metodologiju kojom će se rizici usklađenosti sustavno utvrđivati, analizirati, procjenjivati, pratiti i njima upravljati. To podrazumijeva odgovore na vrlo konkretna pitanja, poput koji Compliance rizici proizlaze iz pojedinih poslovnih procesa i obveza, kolika je njihova inherentna izloženost, koje ih kontrole smanjuju, koliko su te kontrole učinkovite i koliki rizik ostaje nakon njihove primjene. Drugim riječima, više neće biti dovoljno znati s kojim propisima organizacija mora biti usklađena. Bit će potrebno znati i gdje i kako može doći do neusklađenosti te upravlja li se tim rizikom učinkovito.

2. Bez jasnog regulatornog okvira nema kvalitetne procjene rizika

Da bi organizacija mogla upravljati Compliance rizicima, prvo mora jasno identificirati svoje Compliance obveze. Državna poduzeća posluju unutar velikog broja horizontalnih i sektorskih zakona, podzakonskih propisa, uredbi Europske unije, regulatornih zahtjeva, standarda, internih akata i drugih izvora obveza.

Zbog toga jedan od prvih koraka treba biti uspostavljanje strukturiranog registra ključnih Compliance obveza.

Takav registar ne bi trebao biti preslika zakonodavstva članak po članak. Njegova svrha nije zamijeniti pravne baze niti stručno znanje osoba odgovornih za pojedina regulatorna područja. Njegova je svrha identificirati ključne Compliance obveze, njihove vlasnike te omogućiti njihovo povezivanje s rizicima, kontrolama i načinima praćenja.

3. Compliance rizici moraju postati dio integriranog upravljanja rizicima

Ovo je posebno važno promatrati zajedno sa Zakonom o sustavu unutarnjih kontrola u javnom sektoru. Izmjenama Zakona iz 2025. uveden je koncept integriranog upravljanja rizicima, koji obuhvaća organizacijsku strukturu, postupke, pravila, procese, sustave i resurse za utvrđivanje, procjenu, postupanje, praćenje i izvještavanje o izloženosti rizicima odnosno upravljanje rizicima u cjelini. Zakon propisuje da odgovorna osoba institucije treba uspostaviti integrirano upravljanje rizicima, a za određena velika trgovačka društva i druge pravne osobe propisuje i politiku i strategiju integriranog upravljanja rizicima te kontrolnu funkciju za integrirano upravljanje rizicima. To znači da državno poduzeće ne bi trebalo sada stvarati još jedan, paralelni sustav upravljanja rizicima samo za potrebe funkcije usklađenosti, nego Compliance rizici trebaju postati sastavni dio već uspostavljenog sustava integriranog upravljanja rizicima.

Izazov će zato biti uskladiti metodologije, kriterije procjene, odgovornosti, registre i izvještavanje tako da Compliance funkcija može kvalitetno upravljati svojim područjem odgovornosti, a da se istodobno ne stvaraju paralelni registri i duplicirani procesi. Upravo će povezivanje funkcije usklađenosti s integriranim upravljanjem rizicima biti jedan od ključnih pokazatelja zrelosti implementacije novog Pravilnika.

4. Tko je zapravo odgovoran za Compliance?

Jedan od najvećih organizacijskih rizika jest očekivanje da će funkcija usklađenosti postati vlasnik svih Compliance rizika u organizaciji. To ne bi smio nikako biti rezultat implementacije Pravilnika.

Rizici nastaju u poslovnim procesima i njima se prvenstveno mora upravljati tamo gdje nastaju. Vlasnici procesa i rukovoditelji moraju razumjeti Compliance obveze i rizike svojeg područja te biti odgovorni za provođenje odgovarajućih kontrola. Funkcija usklađenosti treba uspostaviti metodologiju, koordinirati proces, savjetovati, pratiti, preispitivati, upozoravati i izvještavati. Ako organizacija ovaj odnos ne postavi jasno, vrlo brzo može nastati pogrešna percepcija:

„Imamo Compliance Officera, dakle Compliance je njegov posao.“

Učinkovit sustav upravljanja usklađenošću (Compliance Management System) počiva upravo na suprotnom načelu, a to je da je Compliance odgovornost cijele organizacije, dok funkcija usklađenosti ima posebnu ulogu u uspostavljanju i nadzoru sustava upravljanja tim rizicima.

5. Neovisnost nije samo mjesto u organizacijskoj shemi

Pravilnik funkciju usklađenosti izričito definira kao neovisnu kontrolnu funkciju te propisuje organizacijske zahtjeve kojima se njezina neovisnost treba osigurati. Međutim, formalna neovisnost nije isto što i stvarna neovisnost. Ključno pitanje neće biti samo gdje se Compliance nalazi u organizacijskoj shemi, nego može li voditelj funkcije usklađenosti dobiti sve informacije potrebne za svoj rad, otvoriti osjetljivo pitanje, preispitati odluku poslovodstva, ukazati na neprihvatljiv rizik i, kada je potrebno, eskalirati problem bez straha od negativnih posljedica.

Neovisnost funkcije zato se mora promatrati kroz ovlasti, pristup informacijama, linije izvještavanja, resurse i stvarnu organizacijsku kulturu.

6. Jesu li postojeće kompetencije dovoljne za novu ulogu?

Novi regulatorni okvir dodatno povećava zahtjeve koji se postavljaju pred Compliance stručnjake. Od njih se više ne očekuje samo dobro poznavanje propisa. Potrebno je razumjeti upravljanje rizicima, dizajn i učinkovitost kontrola, monitoring, regulatorne promjene, korporativno upravljanje, sukob interesa, integritet i sprječavanje korupcije, prijavljivanje nepravilnosti, organizacijsku kulturu te izvještavanje Uprave i nadzornih tijela.

To otvara pitanje imaju li postojeće funkcije usklađenosti odgovarajuće kompetencije, ali i dovoljne resurse za ono što se od njih sada očekuje. U nekim organizacijama bit će potrebna dodatna edukacija, a drugima će trebati povećati resurse ili drugačije organizirati funkciju.

7. Poseban izazov: što je „nepravilnost“, a što „nezakonitost“?

Novi Pravilnik uvodi vrlo jasno razlikovanje ova dva pojma.

Prema Pravilniku, nepravilnosti su stanja i postupci koji nisu u skladu s poslovnim politikama, primjenjivim standardima poslovanja ili internim aktima pravne osobe, ali ne predstavljaju kršenje važećih propisa, ali mogu imati financijske, reputacijske ili druge štetne posljedice za Pravnu osobu. Nasuprot tome, nezakonitosti su stanja i postupci koji nisu u skladu s važećim propisima i drugim izvorima prava koji se primjenjuju na pravnu osobu. Takvo razgraničenje samo po sebi ima logiku. Međutim, u praksi bi moglo stvoriti terminološki i procesni izazov zbog već postojećeg Zakona o zaštiti prijavitelja nepravilnosti.

Naime, taj Zakon pojam „nepravilnost“ definira upravo kao radnje ili propuste koji su protupravni i odnose se na područje primjene Zakona ili su u suprotnosti s ciljem ili svrhom tih propisa. Područje primjene pritom obuhvaća, među ostalim, javnu nabavu, financijske usluge, sprječavanje pranja novca, sigurnost proizvoda i prometa, zaštitu okoliša, zaštitu potrošača, zaštitu osobnih podataka, tržišno natjecanje i određene povrede nacionalnog prava kojima se ugrožava javni interes.

U praksi će trebati vrlo jasno urediti interne procedure, kanale prijavljivanja, nadležnosti funkcije usklađenosti, povjerljive osobe i drugih funkcija kako zaposlenici ne bi morali sami procjenjivati pravnu kvalifikaciju onoga što prijavljuju.

8. Od postojanja kontrole prema dokazivanju njezine učinkovitosti

Jedan od najvažnijih pomaka bit će prelazak s pitanja „Imamo li kontrolu?“ na pitanje „Funkcionira li ta kontrola?“

Organizacija može imati politiku sukoba interesa, proceduru za darove, kodeks ponašanja, sustave za prijavu nepravilnosti ili obvezne edukacije. Samo njihovo postojanje, međutim, ne znači da se povezanim Compliance rizicima učinkovito upravlja. Potrebno je pratiti provode li se kontrole, postoje li dokazi njihove provedbe, pojavljuju li se incidenti unatoč kontrolama, postoje li ponavljajući nedostaci i treba li kontrole mijenjati. Compliance monitoring zato bi trebao postati jedan od ključnih elemenata rada funkcije usklađenosti.

Najveća pogreška bila bi implementaciju novog Pravilnika svesti na izmjenu sistematizacije, imenovanje voditelja funkcije usklađenosti, donošenje nekoliko internih akata i izradu godišnjeg plana rada.

Ako se implementira suštinski, novi Pravilnik može biti važan korak prema uspostavljanju zrelog Compliance Management System-a u državnim poduzećima. Prvi korak zato bi trebao biti strukturirana GAP analiza postojećeg sustava. Za svako područje sustava usklađenosti potrebno je utvrditi postojeće stanje, nedostatke, potrebne aktivnosti, odgovornosti i rokove. Jer pravi pokazatelj uspješne implementacije neće biti to da državno poduzeće može pokazati da ima funkciju usklađenosti, nego sposobnost organizacije da pokaže da zna svoje Compliance obveze, razumije gdje nastaju rizici neusklađenosti, zna tko njima upravlja, ima učinkovite kontrole, prati njihovo funkcioniranje i pravodobno reagira kada sustav pokaže slabosti. Upravo je to razlika između formalnog Compliance-a i stvarnog sustava upravljanja usklađenošću.

---

CODUPO Compliance – Vaš pouzdani partner u implementaciji funkcije usklađenosti.

Za dodatne informacije i zakazivanje konzultacija, slobodno nas kontaktirajte putem kontakt forme ili na telefon +385 1 3862 961.