18. kolovoza 2026. stupio je na snagu novi Pravilnik o funkciji usklađenosti u pravnim osobama u vlasništvu Republike Hrvatske. Iako će za dio državnih poduzeća njegova provedba značiti formalno prilagođavanje već postojećih funkcija usklađenosti, stvarni izazov bit će znatno veći, a to je pretvoriti Compliance iz funkcije koja prvenstveno prati propise u učinkovit sustav upravljanja rizicima usklađenosti.

Pravilnik o funkciji usklađenosti u pravnim osobama u vlasništvu Republike Hrvatske, objavljen u Narodnim novinama br. 87/2026, uređuje ustroj, djelokrug rada, poslove, odgovornosti, način izvještavanja te mjere za osiguravanje neovisnosti i učinkovitosti funkcije usklađenosti.

Njegova važnost, međutim, nije samo u tome što propisuje kako funkcija usklađenosti treba biti organizirana. Pravilnik jasno određuje da je osnovna zadaća funkcije usklađenosti upravljanje rizikom usklađenosti kroz uspostavu djelotvornog sustava utvrđivanja, procjene, praćenja i upravljanja rizikom usklađenosti kojem je pravna osoba izložena. Funkcija usklađenosti pritom je definirana kao neovisna kontrolna funkcija, organizacijski i funkcionalno odvojena od poslovnih procesa u kojima rizik usklađenosti nastaje.

Upravo će prelazak s formalno uspostavljene funkcije na takav model upravljanja usklađenošću, predstavljati najveći izazov za državna poduzeća.

1. Od praćenja propisa prema upravljanju Compliance rizicima

Prvi i vjerojatno najveći praktični izazov bit će uspostava stvarnog procesa upravljanja rizicima usklađenosti. U mnogim organizacijama Compliance se još uvijek dominantno povezuje s praćenjem regulatornih promjena, davanjem mišljenja, izradom internih akata, provođenjem edukacija i izvještavanjem Uprave, no novi Pravilnik zahtijeva više.

Potrebno je uspostaviti metodologiju kojom će se rizici usklađenosti sustavno utvrđivati, analizirati, procjenjivati, pratiti i njima upravljati. To podrazumijeva odgovore na vrlo konkretna pitanja, poput koji Compliance rizici proizlaze iz pojedinih poslovnih procesa i obveza, kolika je njihova inherentna izloženost, koje ih kontrole smanjuju, koliko su te kontrole učinkovite i koliki rizik ostaje nakon njihove primjene. Drugim riječima, više neće biti dovoljno znati s kojim propisima organizacija mora biti usklađena. Bit će potrebno znati i gdje i kako može doći do neusklađenosti te upravlja li se tim rizikom učinkovito.

2. Bez jasnog regulatornog okvira nema kvalitetne procjene rizika

Da bi organizacija mogla upravljati Compliance rizicima, prvo mora jasno identificirati svoje Compliance obveze. Državna poduzeća posluju unutar velikog broja horizontalnih i sektorskih zakona, podzakonskih propisa, uredbi Europske unije, regulatornih zahtjeva, standarda, internih akata i drugih izvora obveza.

Zbog toga jedan od prvih koraka treba biti uspostavljanje strukturiranog registra ključnih Compliance obveza.

Takav registar ne bi trebao biti preslika zakonodavstva članak po članak. Njegova svrha nije zamijeniti pravne baze niti stručno znanje osoba odgovornih za pojedina regulatorna područja. Njegova je svrha identificirati ključne Compliance obveze, njihove vlasnike te omogućiti njihovo povezivanje s rizicima, kontrolama i načinima praćenja.

3. Compliance rizici moraju postati dio integriranog upravljanja rizicima

Ovo je posebno važno promatrati zajedno sa Zakonom o sustavu unutarnjih kontrola u javnom sektoru. Izmjenama Zakona iz 2025. uveden je koncept integriranog upravljanja rizicima, koji obuhvaća organizacijsku strukturu, postupke, pravila, procese, sustave i resurse za utvrđivanje, procjenu, postupanje, praćenje i izvještavanje o izloženosti rizicima odnosno upravljanje rizicima u cjelini. Zakon propisuje da odgovorna osoba institucije treba uspostaviti integrirano upravljanje rizicima, a za određena velika trgovačka društva i druge pravne osobe propisuje i politiku i strategiju integriranog upravljanja rizicima te kontrolnu funkciju za integrirano upravljanje rizicima. To znači da državno poduzeće ne bi trebalo sada stvarati još jedan, paralelni sustav upravljanja rizicima samo za potrebe funkcije usklađenosti, nego Compliance rizici trebaju postati sastavni dio već uspostavljenog sustava integriranog upravljanja rizicima.

Izazov će zato biti uskladiti metodologije, kriterije procjene, odgovornosti, registre i izvještavanje tako da Compliance funkcija može kvalitetno upravljati svojim područjem odgovornosti, a da se istodobno ne stvaraju paralelni registri i duplicirani procesi. Upravo će povezivanje funkcije usklađenosti s integriranim upravljanjem rizicima biti jedan od ključnih pokazatelja zrelosti implementacije novog Pravilnika.

4. Tko je zapravo odgovoran za Compliance?

Jedan od najvećih organizacijskih rizika jest očekivanje da će funkcija usklađenosti postati vlasnik svih Compliance rizika u organizaciji. To ne bi smio nikako biti rezultat implementacije Pravilnika.

Rizici nastaju u poslovnim procesima i njima se prvenstveno mora upravljati tamo gdje nastaju. Vlasnici procesa i rukovoditelji moraju razumjeti Compliance obveze i rizike svojeg područja te biti odgovorni za provođenje odgovarajućih kontrola. Funkcija usklađenosti treba uspostaviti metodologiju, koordinirati proces, savjetovati, pratiti, preispitivati, upozoravati i izvještavati. Ako organizacija ovaj odnos ne postavi jasno, vrlo brzo može nastati pogrešna percepcija:

„Imamo Compliance Officera, dakle Compliance je njegov posao.“

Učinkovit sustav upravljanja usklađenošću (Compliance Management System) počiva upravo na suprotnom načelu, a to je da je Compliance odgovornost cijele organizacije, dok funkcija usklađenosti ima posebnu ulogu u uspostavljanju i nadzoru sustava upravljanja tim rizicima.

5. Neovisnost nije samo mjesto u organizacijskoj shemi

Pravilnik funkciju usklađenosti izričito definira kao neovisnu kontrolnu funkciju te propisuje organizacijske zahtjeve kojima se njezina neovisnost treba osigurati. Međutim, formalna neovisnost nije isto što i stvarna neovisnost. Ključno pitanje neće biti samo gdje se Compliance nalazi u organizacijskoj shemi, nego može li voditelj funkcije usklađenosti dobiti sve informacije potrebne za svoj rad, otvoriti osjetljivo pitanje, preispitati odluku poslovodstva, ukazati na neprihvatljiv rizik i, kada je potrebno, eskalirati problem bez straha od negativnih posljedica.

Neovisnost funkcije zato se mora promatrati kroz ovlasti, pristup informacijama, linije izvještavanja, resurse i stvarnu organizacijsku kulturu.

6. Jesu li postojeće kompetencije dovoljne za novu ulogu?

Novi regulatorni okvir dodatno povećava zahtjeve koji se postavljaju pred Compliance stručnjake. Od njih se više ne očekuje samo dobro poznavanje propisa. Potrebno je razumjeti upravljanje rizicima, dizajn i učinkovitost kontrola, monitoring, regulatorne promjene, korporativno upravljanje, sukob interesa, integritet i sprječavanje korupcije, prijavljivanje nepravilnosti, organizacijsku kulturu te izvještavanje Uprave i nadzornih tijela.

To otvara pitanje imaju li postojeće funkcije usklađenosti odgovarajuće kompetencije, ali i dovoljne resurse za ono što se od njih sada očekuje. U nekim organizacijama bit će potrebna dodatna edukacija, a drugima će trebati povećati resurse ili drugačije organizirati funkciju.

7. Poseban izazov: što je „nepravilnost“, a što „nezakonitost“?

Novi Pravilnik uvodi vrlo jasno razlikovanje ova dva pojma.

Prema Pravilniku, nepravilnosti su stanja i postupci koji nisu u skladu s poslovnim politikama, primjenjivim standardima poslovanja ili internim aktima pravne osobe, ali ne predstavljaju kršenje važećih propisa, ali mogu imati financijske, reputacijske ili druge štetne posljedice za Pravnu osobu. Nasuprot tome, nezakonitosti su stanja i postupci koji nisu u skladu s važećim propisima i drugim izvorima prava koji se primjenjuju na pravnu osobu. Takvo razgraničenje samo po sebi ima logiku. Međutim, u praksi bi moglo stvoriti terminološki i procesni izazov zbog već postojećeg Zakona o zaštiti prijavitelja nepravilnosti.

Naime, taj Zakon pojam „nepravilnost“ definira upravo kao radnje ili propuste koji su protupravni i odnose se na područje primjene Zakona ili su u suprotnosti s ciljem ili svrhom tih propisa. Područje primjene pritom obuhvaća, među ostalim, javnu nabavu, financijske usluge, sprječavanje pranja novca, sigurnost proizvoda i prometa, zaštitu okoliša, zaštitu potrošača, zaštitu osobnih podataka, tržišno natjecanje i određene povrede nacionalnog prava kojima se ugrožava javni interes.

U praksi će trebati vrlo jasno urediti interne procedure, kanale prijavljivanja, nadležnosti funkcije usklađenosti, povjerljive osobe i drugih funkcija kako zaposlenici ne bi morali sami procjenjivati pravnu kvalifikaciju onoga što prijavljuju.

8. Od postojanja kontrole prema dokazivanju njezine učinkovitosti

Jedan od najvažnijih pomaka bit će prelazak s pitanja „Imamo li kontrolu?“ na pitanje „Funkcionira li ta kontrola?“

Organizacija može imati politiku sukoba interesa, proceduru za darove, kodeks ponašanja, sustave za prijavu nepravilnosti ili obvezne edukacije. Samo njihovo postojanje, međutim, ne znači da se povezanim Compliance rizicima učinkovito upravlja. Potrebno je pratiti provode li se kontrole, postoje li dokazi njihove provedbe, pojavljuju li se incidenti unatoč kontrolama, postoje li ponavljajući nedostaci i treba li kontrole mijenjati. Compliance monitoring zato bi trebao postati jedan od ključnih elemenata rada funkcije usklađenosti.

Najveća pogreška bila bi implementaciju novog Pravilnika svesti na izmjenu sistematizacije, imenovanje voditelja funkcije usklađenosti, donošenje nekoliko internih akata i izradu godišnjeg plana rada.

Ako se implementira suštinski, novi Pravilnik može biti važan korak prema uspostavljanju zrelog Compliance Management System-a u državnim poduzećima. Prvi korak zato bi trebao biti strukturirana GAP analiza postojećeg sustava. Za svako područje sustava usklađenosti potrebno je utvrditi postojeće stanje, nedostatke, potrebne aktivnosti, odgovornosti i rokove. Jer pravi pokazatelj uspješne implementacije neće biti to da državno poduzeće može pokazati da ima funkciju usklađenosti, nego sposobnost organizacije da pokaže da zna svoje Compliance obveze, razumije gdje nastaju rizici neusklađenosti, zna tko njima upravlja, ima učinkovite kontrole, prati njihovo funkcioniranje i pravodobno reagira kada sustav pokaže slabosti. Upravo je to razlika između formalnog Compliance-a i stvarnog sustava upravljanja usklađenošću.

CODUPO Compliance – Vaš pouzdani partner u implementaciji funkcije usklađenosti.

Za dodatne informacije i zakazivanje konzultacija, slobodno nas kontaktirajte putem kontakt forme ili na telefon +385 1 3862 961.

Jučer je u Narodnim novinama (NN 87/2026 od 10. kolovoza 2026.) objavljen Pravilnik o funkciji usklađenosti u pravnim osobama u vlasništvu Republike Hrvatske i time je, rekla bih, započela jedna nova era Compliance-a i korporativnog upravljanja u državnim poduzećima od posebnog interesa za Republiku Hrvatsku.

Pravilnik stupa na snagu osmoga dana od dana objave, a pravne osobe na koje se primjenjuje imaju rok od 120 dana od njegova stupanja na snagu za uspostavu funkcije usklađenosti odnosno usklađivanje postojeće funkcije s novim zahtjevima. To nije dug rok ako se uzme u obzir opseg promjena koje Pravilnik donosi. Naime, neće biti dovoljno promijeniti naziv postojećeg radnog mjesta, dopuniti nekoliko odredbi internog akta i formalno imenovati odgovornu osobu. Pravilnik detaljno uređuje ustroj, položaj, neovisnost, ovlasti, odgovornosti i način rada funkcije usklađenosti, ali i obveze Uprave, Nadzornog odbora, višeg rukovodstva i drugih organizacijskih jedinica.

Pred državnim poduzećima zato nije samo zadatak usklađivanja jednog internog akta, nego uspostave funkcionalnog sustava upravljanja usklađenošću.

Od „praćenja usklađenosti“ do Funkcije usklađenosti

Već je promjena naziva važna. Više ne govorimo o funkciji praćenja usklađenosti, kako je bila nazivana u ranijim Smjernicama, nego o funkciji usklađenosti.

Novi Pravilnik pritom jasno definira i osobe koje obavljaju poslove te funkcije. Pod pojmom službenici za usklađenost podrazumijevaju se voditelj funkcije usklađenosti i, ako ih ima, druge osobe koje obavljaju poslove funkcije usklađenosti. Voditelj funkcije usklađenosti je službenik za usklađenost koji rukovodi radom zasebne organizacijske jedinice zadužene za obavljanje poslova funkcije usklađenosti u Pravnoj osobi u kojoj je takva organizacijska jedinica ustrojena, odnosno službenik za usklađenost koji je zadužen za samostalno vođenje i obavljanje poslova funkcije usklađenosti u Pravnoj osobi u kojoj nije ustrojena zasebna organizacijska jedinica za obavljanje poslova funkcije usklađenosti.

Pravilnik tako razlikuje voditelja funkcije usklađenosti, koji je odgovoran za vođenje funkcije, od drugih službenika za usklađenost koji mogu obavljati pojedine poslove iz njezina djelokruga.

Promjena, međutim, nije samo terminološka. Novi naziv odražava i znatno širi djelokrug funkcije. Funkcija usklađenosti više nije usmjerena samo na praćenje regulatorne usklađenosti. Njezine zadaće uključuju utvrđivanje, procjenu i praćenje rizika usklađenosti, praćenje promjena propisa i drugih izvora prava, savjetovanje Uprave, višeg rukovodstva i zaposlenika, provjeru internih akata i poslovnih procesa, provođenje dubinskih analiza u propisanim područjima, edukaciju zaposlenika, razvoj i praćenje etičkih i antikorupcijskih mjera te izvještavanje Uprave i Nadzornog odbora.

Riječ je, dakle, o znatno široj ulozi od tradicionalnog praćenja regulatorne usklađenosti.

Organizacijski položaj funkcije ovisi o veličini i složenosti Društva

Pravilnik organizacijski položaj funkcije usklađenosti uređuje prema načelu proporcionalnosti. Velike pravne osobe dužne su ustrojiti zasebnu organizacijsku jedinicu za obavljanje poslova funkcije usklađenosti. Za njih to može značiti potrebu za izmjenom organizacijske strukture, sistematizacije radnih mjesta, linija odgovornosti i postojećih internih akata.

Pravne osobe koje se ne smatraju velikima mogu poslove funkcije usklađenosti povjeriti jednom službeniku za usklađenost ili organizacijskoj jedinici koja obavlja i druge poslove, pod uvjetom da takav model ne dovodi do sukoba interesa i da omogućuje trajno, učinkovito i neovisno obavljanje poslova funkcije.

Bez obzira na odabrani organizacijski model, svaka pravna osoba mora imati najmanje jednog službenika za usklađenost koji ispunjava uvjete propisane za voditelja funkcije usklađenosti. Ključno pitanje zato nije samo gdje je funkcija formalno smještena, nego omogućuje li joj organizacijski položaj stvarnu neovisnost, odgovarajuće resurse, pristup potrebnim informacijama i dokumentaciji te neposrednu komunikaciju s Upravom i Nadzornim odborom.

Službenik za usklađenost postaje jasno definirana stručna funkcija

Pravilnik sada jasnije određuje i tko može biti Službenik za usklađenost. Propisani su zahtjevi povezani s obrazovanjem, radnim iskustvom, stručnim znanjima, ugledom i integritetom, čime se dodatno profesionalizira funkcija. Compliance nije administrativni posao koji se može jednostavno pridodati postojećem radnom mjestu. Od Službenika za usklađenost očekuje se razumijevanje propisa, poslovnih procesa, rizika, kontrola, korporativnog upravljanja, etike, antikorupcijskih mehanizama, regulatornih promjena i načina funkcioniranja same organizacije.

Istodobno, Pravilnik zahtijeva da funkcija raspolaže odgovarajućim resursima za obavljanje svojih poslova. Za Upravu to znači da više neće biti dovoljno formalno imenovati Službenika za usklađenost. Trebat će moći pokazati da je funkciji osigurala organizacijske, ljudske i druge resurse potrebne za učinkovito obavljanje propisanih poslova.

Upravljanje rizicima usklađenosti postaje jedna od ključnih zadaća

Vjerojatno jedna od operativno najzahtjevnijih novina odnosi se na rizike usklađenosti.

Pravilnik zahtijeva da Funkcija usklađenosti:

1. analizira usklađenost internih procesa i poslovnih aktivnosti s važećim propisima i drugim izvorima prava te utvrđuje eventualne nezakonitosti ili nepravilnosti
2. utvrđuje i procjenjuje rizik usklađenosti tako da se za pojedine utvrđene rizike procijene vjerojatnost njihova nastanka i očekivani učinak na Društvo i njegove odgovorne osobe
3. prati rizik usklađenosti kroz periodične analize i dodatne provjere u slučaju relevantnih promjena propisa te na temelju tih analiza ažurira procjenu rizika.

Pravilnik pritom izričito određuje da se utvrđivanje, procjena i praćenje rizika usklađenosti provodi u suradnji s drugim organizacijskim jedinicama. Upravo će ovaj dio zahtijevati pažljivo operativno uređenje. Rizici usklađenosti nisu samo korupcija, podmićivanje, sukob interesa ili druga područja koja tradicionalno povezujemo s Compliance funkcijom. Rizik usklađenosti može nastati zbog neusklađenosti s bilo kojim propisom relevantnim za poslovanje Društva.

Porezni rizik nastaje u financijskom procesu, rizik neusklađenosti s propisima o radu u području ljudskih potencijala, rizik zaštite osobnih podataka u procesima u kojima se osobni podaci obrađuju, dok se rizici korupcije ili sukoba interesa mogu pojaviti u nabavi, zapošljavanju, investicijama, upravljanju trećim stranama i nizu drugih procesa. Zbog toga će biti iznimno važno jasno urediti odnos između Službenika za usklađenost, vlasnika procesa, vlasnika rizika i kontrolne funkcije za upravljanje rizicima.

Vlasnici rizika već prema postojećem okviru upravljanja rizicima imaju odgovornost identificirati i procjenjivati rizike iz svojeg djelokruga, definirati i provoditi mjere te pratiti njihovu izloženost. Novi Pravilnik tu odgovornost ne bi trebao operacionalizirati na način da se ona prenese na Službenika za usklađenost. Službenik za usklađenost treba imati cjelovit pregled rizika usklađenosti, sudjelovati u njihovoj procjeni, provoditi potrebne provjere i pratiti njihovu izloženost, ali vlasništvo nad rizikom mora ostati tamo gdje rizik nastaje. U protivnom bismo umjesto integriranog sustava mogli dobiti paralelne registre i procjene rizika u različitim funkcijama, upravo ono što suvremeni sustavi korporativnog upravljanja nastoje izbjeći.

Compliance postaje odgovornost cijele organizacije

Pravilnik jasno pokazuje još jednu važnu stvar: usklađenost nije odgovornost samo Službenika za usklađenost. Uprava mora osigurati uvjete za učinkovito funkcioniranje funkcije, njezinu neovisnost, odgovarajuće resurse i pristup informacijama. Nadzorni odbor dobiva važnu ulogu u nadzoru funkcioniranja sustava i mora dobivati informacije potrebne za izvršavanje svoje nadzorne uloge. Rukovoditelji i druge organizacijske jedinice moraju surađivati s Funkcijom usklađenosti, omogućiti pristup potrebnim informacijama i sudjelovati u identificiranju, procjeni i praćenju rizika usklađenosti.

To je ujedno područje u kojem novi hrvatski regulatorni okvir pokazuje veliku podudarnost s normom ISO 37301 Compliance Management Systems. ISO 37301 polazi od vrlo jasnog načela: Compliance funkcija odgovorna je za funkcioniranje sustava upravljanja usklađenošću, ali njezine odgovornosti ne oslobađaju management i druge zaposlenike odgovornosti za usklađenost u području njihove nadležnosti.

U praksi je upravo ta raspodjela odgovornosti jedan od najvažnijih preduvjeta učinkovitog Compliance programa.

Godišnji plan rada mora proizlaziti iz rizika

Pravilnik donosi i jasnije zahtjeve u pogledu planiranja rada Funkcije usklađenosti. Godišnji plan rada više ne bi trebao biti samo popis aktivnosti koje će Službenik za usklađenost provesti tijekom godine. Plan mora biti povezan s utvrđenim i procijenjenim rizicima usklađenosti.

To znači da procjena rizika mora imati stvarnu operativnu svrhu. Rezultati procjene trebaju određivati gdje će Compliance usmjeriti svoje resurse, koje će procese provjeravati, gdje su potrebne dodatne kontrole, koje teme zahtijevaju edukaciju i koja područja zahtijevaju intenzivnije praćenje.

Time se uvodi puno jasniji risk-based Compliance pristup.

Praćenje regulatornih promjena mora postati sustavan proces

Pravilnik od Funkcije usklađenosti očekuje i sustavno praćenje promjena propisa relevantnih za poslovanje Društva. To u praksi znači da organizacija mora imati uspostavljen proces kojim se regulatorne promjene pravodobno identificiraju, procjenjuje njihov utjecaj na poslovanje, određuju odgovorne osobe za provedbu potrebnih promjena te prati jesu li nove ili izmijenjene obveze implementirane. Drugim riječima, neće biti dovoljno imati popis zakona koji se primjenjuju na Društvo. Trebat će moći pokazati vezu između propisa, konkretne obveze, odgovorne organizacijske jedinice, rizika neusklađenosti, kontrola i dokaza o provedbi.

Znatno konkretniji zahtjevi za etiku i sprječavanje korupcije

Jedno od područja koje je konačnim Pravilnikom dodatno naglašeno jesu etički standardi i antikorupcijske mjere. Funkcija usklađenosti dobiva važnu ulogu u razvoju, praćenju i procjeni učinkovitosti mehanizama kojima Društvo upravlja rizicima korupcije i narušavanja integriteta. To uključuje pitanja sukoba interesa, darova i drugih pogodnosti, korupcije i podmićivanja, favoriziranja, nepotizma i kronizma, donacija i sponzorstava, odnosa s ključnim poslovnim partnerima te drugih okolnosti koje mogu dovesti u pitanje integritet poslovnog odlučivanja.

Posebno je važan zahtjev da se ne promatra samo postojanje internih akata, nego i njihova primjerenost i učinkovitost. Drugim riječima, više nije dovoljno pokazati Etički kodeks, Antikorupcijsku politiku ili Pravilnik o sukobu interesa. Treba moći pokazati kako se oni provode, tko prati njihovu primjenu, koje se evidencije vode, koje su kontrole uspostavljene, što pokazuju prijave i provedene provjere, postoje li ponavljajuće nepravilnosti i jesu li poduzete mjere učinkovite.

Izvještavanje Uprave i Nadzornog odbora postaje puno sadržajnije

Pravilnik značajno jača i izvještajnu ulogu Funkcije usklađenosti. Uprava i Nadzorni odbor trebaju dobivati informacije koje im omogućuju razumijevanje stanja usklađenosti i donošenje odgovarajućih odluka. To znači da Compliance izvještavanje ne bi trebalo ostati na razini broja provedenih edukacija, izrađenih mišljenja ili obavljenih aktivnosti. Izvještavanje mora omogućiti uvid u ključne rizike usklađenosti, utvrđene nezakonitosti i nepravilnosti, provedene provjere, status preporuka i korektivnih mjera, regulatorne promjene te druga pitanja koja mogu značajno utjecati na Društvo ili njegove odgovorne osobe.

Posebno je važna sljedivost preporuka Funkcije usklađenosti i postupanja managementa po tim preporukama. Time Compliance izvještavanje postaje pravi alat korporativnog upravljanja, a ne samo dokaz da je Funkcija tijekom godine obavljala određene aktivnosti.

Eksternalizacija ostaje moguća, ali pod jasnijim uvjetima

Jedno od pitanja o kojem se dosta raspravljalo još tijekom javnog savjetovanja bilo je može li se funkcija usklađenosti eksternalizirati. Konačni Pravilnik omogućuje korištenje vanjskih stručnjaka odnosno eksternalizaciju određenih poslova pod propisanim uvjetima, što je posebno važno kada Društvo interno nema određena specijalistička znanja. Međutim, angažiranje vanjskog stručnjaka ne prenosi odgovornost za usklađenost izvan Društva. Službenik za usklađenost i Uprava moraju zadržati odgovarajuću kontrolu nad sustavom, a vanjska stručna podrška treba nadopunjavati, a ne zamijeniti odgovornost koja mora postojati unutar organizacije.

Što sada trebaju napraviti državna poduzeća?

Rok za usklađivanje ne bi trebalo potrošiti samo na izradu novog Pravilnika o funkciji usklađenosti. Prvi korak trebala bi biti ozbiljna GAP analiza postojećeg sustava prema zahtjevima novog Pravilnika. Treba provjeriti organizacijski položaj Funkcije usklađenosti, imenovanje i uvjete koje ispunjava Službenik za usklađenost, resurse, ovlasti i pristup informacijama, raspodjelu odgovornosti između Compliance-a i poslovnih funkcija, način identificiranja obveza usklađenosti, metodologiju procjene rizika, sustav praćenja regulatornih promjena, godišnji plan rada, monitoring i provjere, način izvještavanja, etičke i antikorupcijske mehanizme te postojeće registre, evidencije i dokumentaciju kojima se može dokazati provedba. Tek nakon toga ima smisla mijenjati interne akte. Jer najveća bi pogreška bila novi Pravilnik implementirati tako da se izradi još jedan interni pravilnik koji će formalno zadovoljiti regulatorni zahtjev, a da način upravljanja usklađenošću u organizaciji ostane isti.

Novi standard za Compliance u državnim poduzećima

Novi Pravilnik donosi puno više od promjene naziva funkcije. Donosi jasniji položaj i veću neovisnost Funkcije usklađenosti, profesionalizira ulogu Službenika za usklađenost, uvodi strukturiraniji pristup upravljanju rizicima usklađenosti, jača odgovornost Uprave i Nadzornog odbora, zahtijeva suradnju poslovnih funkcija, povezuje godišnje planiranje s procjenom rizika te stavlja veći naglasak na etiku, integritet, sprječavanje korupcije, praćenje učinkovitosti i kvalitetno izvještavanje.

Za dio državnih poduzeća to će zahtijevati značajne promjene. Ali postoje i hrvatska državna poduzeća koja su posljednjih godina već napravila velik dio tog puta, osobito ona koja su svoje Compliance programe razvijala prema zahtjevima međunarodne norme ISO 37301 Compliance Management Systems.

Upravo ćemo zato o novom Pravilniku i njegovoj praktičnoj implementaciji govoriti na Compliance konferenciji 2026. „Novi standardi, nove odgovornosti“, koja će se održati 29. rujna 2026. u Zagrebu.

Nećemo govoriti samo o tome što Pravilnik propisuje. Predstavit ćemo primjere najbolje prakse iz državnih poduzeća koja su zahtjeve upravljanja usklađenošću već implementirala u praksi, uključujući rješenja razvijena u skladu s normom ISO 37301. Jer sada, kada je regulatorni okvir donesen, najvažnije pitanje više nije što treba propisati.

Najvažnije pitanje postaje kako sve te zahtjeve pretvoriti u sustav koji stvarno funkcionira.

CODUPO Compliance – Vaš pouzdani partner u praćenju usklađenosti.

Za dodatne informacije i zakazivanje konzultacija, slobodno nas kontaktirajte putem kontakt forme ili na telefon +385 1 3862 961.

Ministarstvo financija Republike Hrvatske predstavilo je 19. lipnja 2026. godine prvi paket provedbenih propisa vezanih uz reformu korporativnog upravljanja u pravnim osobama u vlasništvu Republike Hrvatske.

Predstavljeni paket obuhvaća pet važnih akata: Vlasničku politiku, Odluku o pravnim osobama od posebnog interesa za Republiku Hrvatsku, Uredbu o izboru i imenovanju članova uprava i nadzornih odbora, Pravilnik o izvještavanju o poslovanju te Pravilnik o funkciji usklađenosti.

Iz perspektive compliance zajednice, posebno značajnim smatramo predstavljanje Pravilnika o funkciji usklađenosti, kojim se nastavlja operacionalizacija zahtjeva predviđenih Zakonom o pravnim osobama u vlasništvu Republike Hrvatske.

Prema novom regulatornom okviru, compliance funkcija ne bi trebala biti samo formalna zakonska obveza, već neovisna i savjetodavna funkcija koja Upravi i Nadzornom odboru pomaže razumjeti regulatorne zahtjeve, upravljati rizicima neusklađenosti, jačati integritet organizacije i donositi kvalitetnije poslovne odluke.

Takav pristup ujedno je usklađen i s međunarodnim dobrim praksama, OECD Smjernicama za korporativno upravljanje društava u državnom vlasništvu te načelima sadržanim u normi ISO 37301 – Sustav upravljanja usklađenošću.

Za organizacije koje već imaju uspostavljene compliance programe, novi podzakonski okvir predstavlja priliku za daljnje jačanje neovisnosti i položaja compliance funkcije, preciznije definiranje njezinih odgovornosti, potrebnih kompetencija te učinkovitiju integraciju u procese upravljanja, upravljanja rizicima i donošenja odluka.

Za organizacije koje su tek u procesu uspostave compliance funkcije, predstojeće razdoblje zasigurno će zahtijevati dodatne aktivnosti vezane uz definiranje organizacijskog ustroja, izvještajnih linija, metodologije rada, planiranja aktivnosti, procjene rizika neusklađenosti, edukacija te izvještavanja Uprave i Nadzornog odbora.

Osim Pravilnika o funkciji usklađenosti, predstavljeni paket provedbenih propisa obuhvaća i niz drugih važnih akata koji će imati značajan utjecaj na daljnji razvoj korporativnog upravljanja, transparentnosti poslovanja i profesionalizacije upravljačkih struktura u pravnim osobama u vlasništvu Republike Hrvatske.

Upravo zato veseli nas što ćemo o ulozi i budućem razvoju compliance funkcije, praktičnim izazovima njezine uspostave te iskustvima organizacija koje su već prošle taj put imati priliku razgovarati i na Compliance konferenciji 2026. „Novi standardi, nove odgovornosti“, koja će se održati 29. rujna 2026. godine, u hotelu Hilton Garden Inn u Zagrebu.

Objavom Direktive (EU) 2026/1021 o borbi protiv korupcije u Službenom listu Europske unije otvoreno je novo poglavlje europskog pristupa integritetu, odgovornosti i korporativnom upravljanju. Direktiva je objavljena 11. svibnja 2026., a na snagu stupa dvadeset dana nakon objave. Države članice imat će 24 mjeseca za njezino prenošenje u nacionalna zakonodavstva, dok je za odredbe koje se odnose na nacionalne strategije i procjene korupcijskih rizika predviđen dulji rok od 36 mjeseci.

Na prvi pogled, riječ je o još jednom europskom kaznenopravnom instrumentu. Međutim, stvarni značaj ove Direktive mnogo je širi. Ona ne uređuje samo pitanje kaznenih djela korupcije, nego mijenja način na koji će se korupcijski rizik morati razumjeti, procjenjivati i upravljati unutar organizacija.

Drugim riječima, korupcija više neće biti promatrana samo kao pitanje etike, reputacije ili pojedinačnog incidenta. Ona ulazi u istu kategoriju regulatornih rizika u kojoj se već nalaze zaštita osobnih podataka, umjetna inteligencija, kibernetička sigurnost, sprječavanje pranja novca i ESG. To je možda najvažnija poruka ove Direktive.

Od organizacija se više neće očekivati samo da formalno zabrane korupciju, nego da mogu dokazati da su rizike stvarno identificirale, procijenile, nadzirale i smanjivale kroz konkretne kontrole.

Do sada su organizacije često antikorupcijske sustave gradile kroz politike, kodekse ponašanja, edukacije i procedure koje su, u boljim slučajevima, bile dio šireg Compliance okvira. Nova Direktiva taj okvir podiže na znatno višu razinu. Od organizacija se više neće očekivati samo da formalno zabrane korupciju, nego da mogu dokazati da su rizike stvarno identificirale, procijenile, nadzirale i smanjivale kroz konkretne kontrole.

Direktiva pomiče fokus s pitanja „tko je počinio djelo” na pitanje „kakav je sustav organizacija imala da takvo djelo spriječi”.

Posebno je važan dio Direktive koji se odnosi na odgovornost pravnih osoba. Kompanije će biti odgovorne kada je kazneno djelo počinjeno u njihovu korist, od strane osoba na vodećim položajima ili kada je do kaznenog djela došlo zbog nedostatka odgovarajućeg nadzora ili kontrole. Upravo ova posljednja formulacija ima najveću praktičnu težinu. Ona pomiče fokus s pitanja „tko je počinio djelo” na pitanje „kakav je sustav organizacija imala da takvo djelo spriječi”.

Kazne potvrđuju ozbiljnost tog zaokreta. Pravne osobe moći će se suočiti s novčanim kaznama od 3 % do 5 % ukupnog svjetskog godišnjeg prometa, odnosno s fiksnim iznosima od 24 do 40 milijuna eura, ovisno o vrsti kaznenog djela. Time se korupcijski rizik po svojoj financijskoj ozbiljnosti približava regulatornim režimima poput GDPR-a, AI Acta i propisa o kibernetičkoj sigurnosti.

No financijska kazna neće biti jedina posljedica. Direktiva predviđa i druge mjere koje za pojedine organizacije mogu biti jednako ozbiljne, ako ne i ozbiljnije: zabranu sudjelovanja u javnim natječajima, gubitak prava na javno financiranje, povlačenje dozvola ili druga regulatorna ograničenja. Za društva koja posluju s javnim sektorom, sudjeluju u javnim nabavama ili ovise o regulatornim odobrenjima, takve posljedice mogu biti poslovno presudne.

Jednako važna je i osobna odgovornost fizičkih osoba. Članovi uprava, menadžment i druge odgovorne osobe mogu biti izloženi kaznama zatvora u trajanju od najmanje tri do pet godina, ovisno o kaznenom djelu. Uz to, moguće su i dodatne mjere, poput zabrane obnašanja određenih funkcija, profesionalnih ograničenja i osobnih novčanih kazni. Time se jasno potvrđuje da antikorupcijski Compliance više nije administrativna tema, nego pitanje osobne odgovornosti upravljačkih struktura.

Upravo zbog toga ne iznenađuje da se nova Direktiva već počinje promatrati u istom regulatornom kontekstu u kojem se godinama analiziraju UK Bribery Act, američki FCPA, francuski Sapin II ili Brazilian Clean Company Act. Naravno, njezin stvarni doseg ovisit će o načinu prenošenja u nacionalna zakonodavstva i budućoj provedbenoj praksi država članica. No po svojoj ambiciji, širini zahvata i visini mogućih sankcija, Direktiva jasno pokazuje da Europska unija želi korupcijski rizik podići na razinu strateškog compliance prioriteta.

Ova Direktiva neće samo pogoditi organizacije koje imaju problem, nego one koje nemaju sustav.

Ova Direktiva zato neće najviše pogoditi organizacije koje imaju problem, nego one koje nemaju sustav. Jer u novom regulatornom okruženju neće biti dovoljno reći da korupcija nije dopuštena. Bit će potrebno pokazati kako se procjenjuju treće strane, kako se upravlja darovima i reprezentacijom, kako se nadziru donacije i sponzorstva, kako se provode interne istrage, kako se štite prijavitelji nepravilnosti i kako se upravi dostavljaju informacije o stvarnim rizicima.

Posebno će važna postati kvaliteta dokumentiranja. U svijetu regulatornog nadzora ono što nije dokumentirano često izgleda kao da nije ni provedeno. Zato će organizacije morati voditi računa ne samo o postojanju internih pravila, nego i o tome jesu li ona živa, razumljiva, primjenjiva i redovito provjeravana.

Direktiva pritom ne uvodi samo strože kazne, nego i zreliji pogled na Compliance. Učinkoviti programi usklađenosti, interne kontrole, etički standardi, suradnja s nadležnim tijelima i korektivne mjere mogu se uzeti u obzir kao olakotne okolnosti. To je važna poruka. Regulator ne očekuje savršenstvo, ali očekuje ozbiljnost, dosljednost i dokazivu namjeru da se rizicima upravlja odgovorno.

U tom smislu, nova Direktiva nije samo prijetnja sankcijama. Ona je i prilika da se antikorupcijski Compliance konačno postavi ondje gdje pripada, a to je u središte sustava korporativnog upravljanja.

Za uprave i nadzorne odbore to znači da korupcijski rizik više ne može ostati tema koja se pojavljuje samo nakon incidenta. On mora biti dio redovitih procjena rizika, internih kontrola, izvještavanja, edukacija i strateških odluka. Funkcija usklađenosti, pravna funkcija, interna revizija, upravljanje rizicima, nabava, financije i ljudski resursi morat će djelovati povezano, ali uz jasno razgraničene odgovornosti.

Možda je najvažnije reći sljedeće, a to je da ova Direktiva neće promijeniti samo zakonodavstvo, ona će promijeniti očekivanja i to prije svega regulatora, poslovnih partnera, investitora i javnosti.

Organizacije koje na vrijeme razumiju tu promjenu imat će priliku izgraditi sustav koji ih ne štiti samo od kazni, nego i od pogrešnih odluka, reputacijskih rizika i gubitka povjerenja. Oni koji Direktivu shvate kao još jednu formalnu obvezu vjerojatno će prekasno shvatiti da se europski standard integriteta promijenio.

Objavljenoj Direktivi (EU) 2026/1021 o borbi protiv korupcije možete pristupiti na linku: https://eur-lex.europa.eu/legal-content/HR/TXT/PDF/?uri=OJ:L_202601021

CODUPO Compliance – Vaš pouzdani partner u praćenju usklađenosti.

Implementacija i dizajn Compliance programa – programa usklađenosti

Provedba GAP analize i evaluacija Compliance programa

Upravljanje rizikom korupcije

Certified ISO 37001 Anti-bribery Management Systems – Lead Implementer

Tvrtka CODUPO Compliance i ove je godine službeno potvrđena kao Authorized Silver Partner organizacije PECB, čime nastavljamo uspješnu suradnju s jednom od vodećih međunarodnih organizacija za edukaciju i certifikaciju u području sustava upravljanja, compliancea i međunarodnih ISO standarda.

Status PECB Authorized Silver Partner dodjeljuje se organizacijama koje provode akreditirane edukacije prema PECB programima te kontinuirano razvijaju stručnost u području međunarodnih standarda.

CODUPO je specijaliziran za edukacije i savjetovanje u području usklađenosti (compliance) te provodi međunarodno priznate edukacije vezane uz standarde i profesionalne certifikate kao što su:

• ISO 37301 – Compliance Management System
• ISO 37001 – Anti-Bribery Management System
• ISO 31000 – Risk Management
• Certified Data Protection Officer

Do sada je akreditiranu edukaciju za Certified ISO 37301 Compliance Management System uspješno prošlo više od 70 compliance profesionalaca iz Hrvatske i regije, čime CODUPO aktivno doprinosi razvoju compliance zajednice i profesionalnih standarda u ovom području.

CODUPO Compliance je danas vodeći pružatelj edukacija u području compliance-a u Hrvatskoj i regiji. Samo tijekom 2025. godine kroz naše edukacije prošlo je više od 1500 sudionika, što potvrđuje rastući interes organizacija za jačanje sustava usklađenosti i etike, upravljanja rizicima i dobrog korporativnog upravljanja.

Posebno smo ponosni što je CODUPO Compliance ovo priznanje dobio četvrtu godinu zaredom, što dodatno potvrđuje kvalitetu naših edukacija i dugoročnu suradnju s PECB-om.

Zahvaljujemo svim našim klijentima i polaznicima na povjerenju te nastavljamo razvijati edukacije koje organizacijama pomažu u jačanju sustava usklađenosti, funkcije praćenja usklađenosti, upravljanja rizicima i dobrog korporativnog upravljanja.

Dr. sc. Silvija Vig stekla je status PECB Gold Trainer za 2025. godinu za područje ISO 37301 – Compliance Management Systems, čime je potvrđen njezin kontinuirani rad na razvoju i jačanju prakse upravljanja usklađenošću te edukaciji stručnjaka koji se u organizacijama bave Compliance-om.

Kroz edukaciju ISO 37301 Compliance Management Systems Lead Implementer koju provodi dr. sc. Silvija Vig do sada je prošlo više od 70 Compliance profesionalaca iz Hrvatske i regije, čime aktivno doprinosi razvoju stručne zajednice u području upravljanja usklađenošću.

Uz edukacije, dr. sc. Silvija Vig aktivno sudjeluje u savjetodavnim projektima vezanim uz uspostavu i razvoj Compliance Management sustava, uključujući implementaciju zahtjeva norme ISO 37301, kao i razvoj funkcije praćenja usklađenosti (Compliance function) u organizacijama.

Iskustvo u ovom području stjecala je radeći na projektima u državnim poduzećima i privatnom sektoru, u Hrvatskoj i šire u regiji. Trenutno sudjeluje u više projekata implementacije ISO 37301, razvoja Compliance programa te uspostave funkcije praćenja usklađenosti u poduzećima.

Svojim radom dr. sc. Silvija Vig kontinuirano doprinosi razvoju profesionalne Compliance zajednice te jačanju integriteta i kulture usklađenosti u organizacijama.

Agencija za komercijalnu djelatnost (AKD), trgovačko društvo od posebnog interesa za Republiku Hrvatsku, postala je prvo poduzeće u Hrvatskoj koje je uspješno završilo certifikacijski audit prema međunarodnoj normi ISO 37301 – Compliance Management System (CMS) i time dobilo certifikat prema ovom globalno priznatom standardu.

Implementacija norme ISO 37301 u AKD započela je u rujnu 2024. godine kao strateški projekt usmjeren na jačanje korporativnog upravljanja, integriteta i transparentnosti poslovanja. Uvođenjem sustava upravljanja usklađenošću AKD je istodobno ispunio i novu zakonsku obvezu — uspostavu funkcije praćenja usklađenosti koja je od 1. listopada 2025. propisana Zakonom o pravnim osobama u vlasništvu Republike Hrvatske.

Norma ISO 37301 postavlja zahtjeve za uspostavu, provedbu, održavanje i kontinuirano poboljšavanje sustava upravljanja usklađenošću, čime organizacija sustavno prepoznaje, upravlja i kontrolira rizike usklađenosti s propisima, internim politikama i etičkim standardima.

Certifikacija potvrđuje da je AKD uspostavio ključne elemente djelotvornog sustava usklađenosti — od identifikacije i upravljanja rizicima usklađenosti, preko jasnih politika, procedura i edukacija, do sustava izvještavanja i kontinuiranog poboljšanja.

Kao rezultat, AKD se pozicionira kao predvodnik dobre prakse u Republici Hrvatskoj i postavlja referentni okvir za druga poduzeća u pogledu uspostave učinkovitih sustava upravljanja usklađenošću, jačanja integriteta i transparentnog upravljanja poslovanjem.

U ovom projektu implementacije norme ISO 37301 Codupo Compliance kao savjetodavni partner imao je aktivnu ulogu u pružanju stručne podrške pri uspostavi sustava i pripremi organizacijskog okvira za uspješan certifikacijski audit, s ciljem osnaživanja funkcije praćenja usklađenosti kako bi zadovoljavala i najviše međunarodne standarde.

Ovaj iskorak predstavlja snažnu poruku compliance zajednici i javnosti o dugoročnoj predanosti integritetu, zakonitom i održivom poslovanju, ali i poticaj drugim državnim poduzećima da ozbiljno razmotre certificiranje svojih sustava usklađenosti te time unaprijede korporativno upravljanje i povjerenje dionika.

S ponosom objavljujemo da se timu CODUPO Compliance pridružuje Ljiljana Hrastinski Jurčec, mag. iur., sutkinja Vrhovnog suda Republike Hrvatske u mirovini, kao vanjska suradnica.

Ljiljana Hrastinski Jurčec iza sebe ima više od četrdeset godina iznimno bogatog sudačkog iskustva u svim pravnim granama, s posebnim naglaskom na trgovačko, ovršno i stečajno pravo. Tijekom svoje karijere obnašala je dužnost sutkinje Građanskog odjela Vrhovnog suda Republike Hrvatske te sutkinje Visokog trgovačkog suda Republike Hrvatske, gdje je u određenim razdobljima bila predsjednica Odjela nadležnog za trgovačke sporove te Odjela za praćenje i nadzor sudske prakse.

Diplomirala je na Pravnom fakultetu Sveučilišta u Osijeku, položila pravosudni ispit te pohađala poslijediplomski studij Poslovno pravo i transakcije. Tijekom rada u pravosuđu aktivno je sudjelovala u radu brojnih pravosudnih i stručnih tijela, uključujući Sudačko vijeće trgovačkih sudova, Programsko vijeće Pravosudne akademije te niz radnih skupina Ministarstva pravosuđa za izradu i izmjene zakonodavnog okvira.

Također je bila predsjednica Povjerenstva za polaganje stečajno-upraviteljskih ispita te članica Povjerenstva za polaganje javnobilježničkih ispita. Nalazi se na listi arbitara Hrvatske gospodarske komore, certificirani je medijator te autorica više stručnih radova i publikacija iz područja ovršnog i stečajnog prava. Dugogodišnja je voditeljica edukacija i stručnih radionica za suce i pravosudne vježbenike.

Kao suradnica CODUPO Compliance, bit će zadužena za davanje stručnih mišljenja i rješavanje složenih pravnih pitanja, s posebnim fokusom na tumačenje i primjenu propisa, regulatorni okvir te pravnu podršku u složenim pravnim i Compliance izazovima.

Ovim proširenjem dodatno jačamo našu stručnost i kapacitete u pružanju vrhunske, integrirane pravne i Compliance podrške klijentima, u skladu s najvišim profesionalnim standardima.

U praksi se posljednjih godina sve češće govori o „novoj generaciji” usklađenosti. Ne zato što su politike, procedure i kontrole prestale biti važne, nego zato što su postale nedovoljne. Organizacije koje su formalno usklađene i imaju uredno dokumentiran sustav sve češće otkrivaju da i dalje ostaju izložene incidentima, ne zato što pravila ne postoje, nego zato što se rizici razvijaju brže nego što ih sustav uspije prepoznati.

Upravo stoga u međunarodnoj praksi kompanije se sve više okreću risk-based i data-driven Compliance pristupu koji se ovisno o industriji i regulatornom kontekstu naziva još: compliance analytics, advanced compliance analytics, compliance monitoring & surveillance framework, integrated GRC, conduct risk management, ili u nešto širem smislu Compliance Intelligence. Razlike u terminologiji nisu presudne; ono što je zajedničko svim tim pristupima jest da usklađenost prestaje biti periodična provjera „jesmo li u redu”, i postaje kontinuirani sustav ranog upozoravanja: „gdje se rizik upravo sada povećava”.

Od Compliance-a se očekuje da bude ex-ante,  a ne samo ex-post.

U suvremenom regulatornom i tržišnom okruženju učinkovit Compliance Management System više se ne promatra kao mehanizam koji reagira nakon što je kršenje već nastupilo. Ono što se danas očekuje od Uprave i Nadzornog odbora jest sposobnost da pravodobno prepoznaju, razumiju i upravljaju Compliance rizicima prije nego što se oni materijaliziraju u regulatorni, financijski ili reputacijski događaj. Drugim riječima, očekuje se da Compliance bude forward-looking (ex-ante), a ne isključivo backward-looking (ex-post).

Tu se pojavljuje ključni zaokret jer risk-based & data-driven Compliance nije nadogradnja kroz dodatne dokumente, nego promjena logike upravljanja. Umjesto da se sustav prvenstveno oslanja na retrospektivno dokazivanje da su pravila postojala i da su se provodila, on se oslanja na kontinuirano upravljanje rizikom kroz podatke, trendove i upravljačke odluke. Compliance se time pomiče iz sfere dokazivanja u sferu upravljanja.

U središtu ovog pristupa nalazi se razlika koju klasični sustavi često zamagljuju, a to je razlika između učinkovitosti sustava i razvoja rizika. Ono što primjećujemo u praksi, organizacije mogu imati uredno provedene treninge i ažurirane procedure, a ipak imati rastuće rizike. Mogu provesti istrage u roku, a ipak bilježiti sve više pritisaka ili ponašanja koja ukazuju na normalizaciju devijacija („tako se to kod nas radi“). Upravo zato risk-based i data-driven Compliance uvodi jasnu podjelu upravljačkih informacija kroz dvije komplementarne skupine pokazatelja: KPI (Key Performance Indicators) i KRI (Key Risk Indicators).

KPI-jevi su pokazatelji koji Upravi daju uvid u to kako sustav radi u operativnom smislu. Oni pokazuju provodi li se plan edukacija, jesu li kontrole testirane, odgovara li se na prijave i provode li se istrage u predviđenim rokovima te ažuriraju li se politike i procedure. KPI-jevi su nužni jer omogućuju dokazivost i disciplinu sustava.

Međutim, KPI-jevi sami po sebi ne odgovaraju na pitanje koje postaje ključno u modernoj regulatornoj praksi, a to je da organizacija sazna razvija li se negdje rizik koji još nije prerastao u incident? Upravo tu ulogu preuzimaju KRI-jevi. KRI-jevi su dizajnirani da otkrivaju rane signale rasta Compliance rizika, često prije formalne povrede. Oni ne mjere je li sustav odradio ono što je trebao, nego mjere gdje se u organizaciji pojavljuju obrasci koji povećavaju vjerojatnost buduće povrede: porast iznimaka, promjene u obrascima prijava, povećan broj ponovljenih kršenja, koncentracija rizika u određenoj jedinici, promjene u strukturi trećih strana ili ubrzani poslovni rast u područjima s višim regulatornim očekivanjima.

Upravo zbog toga risk-based & data-driven Compliance u praksi funkcionira kao radar i daje Upravi signal kada se organizacija približava zoni povećane izloženosti rizika. U takvom modelu sustav sustavno prikuplja i povezuje informacije o ponašanju zaposlenika, obrascima odlučivanja, iznimkama od pravila, pritiscima na poslovne linije, odnosima s trećim stranama i promjenama poslovnog modela. Ti se signali kroz KPI i KRI okvir analiziraju i pretvaraju u upravljive informacije, informacije koje Upravi omogućuju da intervenira na vrijeme, prilagodbom kontrola, promjenom bonusa/incentiva, dodatnim nadzorom, češćim edukacijama ili što je često najvažnije jačanjem organizacijske kulture.

Risk-based i data-driven Compliance u potpunoj je korelaciji s COSO logikom upravljanja rizikom.

U kontekstu ISO 37301, upravo je ta sposobnost razlika između formalno uspostavljenog sustava i sustava koji je doista učinkovit. ISO 37301 zahtijeva praćenje, mjerenje, analizu i stalno poboljšavanje, ali risk-based i data-driven Compliance daje Upravi operativni mehanizam kojim se ti zahtjevi pretvaraju u stvarno, prediktivno upravljanje Compliance rizikom što je također u potpunoj korelaciji s COSO logikom upravljanja rizikom.

Zato se u regulatornom i tržišnom kontekstu ovaj pristup sve češće smatra novim standardom. On šalje jasnu poruku da organizacija ne samo da ima formalni sustav usklađenosti, nego posjeduje upravljačku inteligenciju potrebnu da taj sustav doista štiti vrijednost, reputaciju i dugoročnu održivost poslovanja.

Takav smjer potvrđuju i recentne međunarodne analize (npr. Thomson Reuters Institute) koje naglašavaju potrebu da se organizacije sustavno pripreme za neočekivano. Iako nije moguće predvidjeti svaki pojedini rizik, razvoj scenarija, analitičkih modela te sustava ranog upozoravanja omogućuje smanjenje neizvjesnosti i pravodobno upravljanje rizicima. Compliance i risk timovi koji na vrijeme prihvate ovaj zaokret bit će u znatno boljoj poziciji za snalaženje u sve složenijem regulatornom okruženju 2026. godine i nadalje.

CODUPO Compliance – Vaš pouzdani partner u praćenju usklađenosti.

Za dodatne informacije i zakazivanje konzultacija, slobodno nas kontaktirajte putem kontakt forme ili na telefon +385 1 3862 961.

Analiza odgovornosti Uprave u kontekstu Prijedloga Pravilnika o funkciji praćenja usklađenosti koji je trenutačno u postupku javnog savjetovanja (e-Savjetovanje).

Stupanjem na snagu Zakona o pravnim osobama u vlasništvu Republike Hrvatske 1. listopada 2025. godine, Pravne osobe od posebnog interesa za RH ulaze u novu fazu razvoja sustava korporativnog upravljanja. Jedna od ključnih novina je obveza uspostave funkcije praćenja usklađenosti, čime se po prvi put na sustavan način normativno jača preventivna uloga Compliance-a u tim organizacijama.

Iako zakon i Prijedlog pravilnika o funkciji praćenja usklađenosti (Članak 16.) definiraju obveze Uprave, međunarodni standardi pružaju znatno širi i dublji okvir za razumijevanje stvarne odgovornosti (accountability) upravljačkih tijela, osobito u složenim i regulatorno zahtjevnim okruženjima kakva karakteriziraju državna poduzeća.

U našim in-house edukacijama „Uloga Uprave i menadžmenta u funkciji praćenja usklađenosti i izgradnji integriteta“, poseban naglasak stavljamo na jasno razgraničenje pojmova accountability i responsibility. Iako se u hrvatskom jeziku ti pojmovi često koriste kao sinonimi, razlike među njima postaju osobito važne na razini upravljačkih tijela, gdje imaju izravne implikacije na način donošenja odluka, delegiranja ovlasti i preuzimanja odgovornosti za ishode.

Kako bismo mogli bolje analizirati odgovornosti Uprave u kontekstu Prijedloga Pravilnika o funkciji praćenja usklađenosti, nužno je najprije jasno razgraničiti dva temeljna pojma koji čine okosnicu suvremenog korporativnog upravljanja: odgovornost za izvršenje, zaduženje (responsibility) i preuzimanje odgovornosti za ishod (accountability).

U praksi se često miješaju pojmovi odgovornosti responsibility i accountability ali ISO standardi jasno razgraničavaju ta dva koncepta. Operativna odgovornost može se delegirati, primjerice na rukovoditelje organizacijskih jedinica, direktore funkcija te vlasnike procesa i rizika, dok accountability ili odgovornost za ishod ostaje trajno vezana uz upravljačko tijelo kao cjelinu. Iako vlasnici rizika i rukovoditelji organizacijskih jedinica mogu imati razinu accountabilityja za rezultate unutar svojeg delegiranog područja odgovornosti, ukupna i konačna odgovornost za ishod uspostave, funkcioniranja i učinkovitosti sustava upravljanja usklađenošću ostaje na razini upravljačkog tijela.

Drugim riječima, Uprava može delegirati izvršenje pojedinih aktivnosti i kontrola, ali ne može delegirati konačnu odgovornost za posljedice odluka, propuštanja ili nepostojanja odgovarajućih sustava. Upravo ta sposobnost da se odgovara za cjelinu sustava, uključujući i ono što nije učinjeno, čini samu srž accountabilityja u suvremenom korporativnom upravljanju.

Uloga upravljačkih tijela u sustavu praćenja usklađenosti

ISO 37301 Compliance Management Systems dodatno operacionalizira tu odgovornost. Standard jasno polazi od pretpostavke da Compliance (Funkcija praćenja usklađenosti) nije izolirana funkcija niti tehnički dodatak poslovanju, već sastavni dio sustava upravljanja koji mora biti usklađen sa strateškim smjerom organizacije.

Upravljačka tijela i najviše rukovodstvo imaju ključnu ulogu u stvaranju okruženja u kojem sustav upravljanja usklađenošću može ostvariti svoju svrhu. To uključuje postavljanje jasnog smjera kroz politike i ciljeve usklađenosti, osiguravanje odgovarajućih resursa, integraciju zahtjeva usklađenosti u poslovne procese te jasno dodjeljivanje uloga, ovlasti i odgovornosti svim relevantnim funkcijama. Istodobno, osiguravanje neovisnosti Compliance funkcije, njezina izravnog pristupa Upravi i Nadzornom odboru te sustava pravovremenog izvještavanja i reagiranja ključno je za jačanje preventivne, savjetodavne i upravljačke uloge Compliance-a.[1]

Accountability kao temelj povjerenja i legitimnosti

ISO standardi također naglašavaju da accountability nije samo pravni ili organizacijski zahtjev, već ključni element povjerenja i legitimnosti. U kontekstu državnih poduzeća, gdje su očekivanja javnosti, vlasnika i drugih dionika osobito visoka, transparentno i odgovorno upravljanje ima izravan utjecaj na reputaciju, održivost i dugoročnu vrijednost organizacije.

Zakon o pravnim osobama u vlasništvu Republike Hrvatske jasno postavlja održivost kao sastavni dio korporativnog upravljanja, zahtijevajući da pravne osobe u državnom vlasništvu integriraju financijske i nefinancijske ciljeve, uključujući čimbenike održivosti poput zaštite okoliša, poštivanja ljudskih prava i borbe protiv korupcije (prema Prijedlogu Pravilnika) u svoje strateške odluke i upravljanje rizicima.

Demonstriranje takve odgovornosti za ishod (accountability) očituje se kroz kvalitetno, pravodobno i transparentno izvještavanje, jasno i razumljivo obrazlaganje donesenih odluka i njihovih učinaka, kao i kroz sustavno razumijevanje rizika, pri čemu je cjelokupan sustav upravljanja izgrađen na risk-based pristupu i međusobnoj ovisnosti poslovnih procesa, rizika i kontrola. Ključni element takve odgovornosti je i spremnost upravljačkih tijela da preuzmu odgovornost ne samo za donesene odluke, već i za propuštanja i nečinjenja, osobito kada su ista imala ili su mogla imati značajan utjecaj na organizaciju.

Funkcija praćenja usklađenosti ne pozicionira se kao retrospektivni kontrolni mehanizam (ex post, backward-looking), već kao strateški alat koji omogućuje informirano, etično i dugoročno održivo odlučivanje (ex ante, forward-looking).

U tom kontekstu, članak 20. Prijedloga Pravilnika dodatno osnažuje koncept accountabilityja propisujući da, u slučaju kada više rukovodstvo odstupi od preporuka ili procjena koje je izdao službenik za praćenje usklađenosti, takvo odstupanje mora biti dokumentirano i uključeno u izvješće o usklađenosti. Time se osigurava sljedivost odluka te jasno razgraničenje odgovornosti na najvišoj razini upravljanja. Posljedično, funkcija praćenja usklađenosti ne pozicionira se kao retrospektivni kontrolni mehanizam (ex post, backward-looking), već kao strateški alat koji omogućuje informirano, etično i dugoročno održivo odlučivanje (ex ante, forward-looking). Takav pristup, usklađenost integrira u sam proces donošenja odluka, jača kulturu odgovornosti i povjerenja te potvrđuje njezinu ulogu kao ključne preventivne funkcije unutar suvremenog sustava korporativnog upravljanja.

Zakonski okvir u Republici Hrvatskoj postavlja nužan minimum. Međutim, međunarodni standardi poput ISO 37301 Compliance Management Systems, nude priliku da se ide korak dalje od formalnog ispunjavanja obveza prema izgradnji zrelog sustava upravljanja usklađenošću, u kojem su uloge, ovlasti i odgovornosti jasno definirane, a odgovornost za ishod (accountability) upravljačkih tijela stvarno je zaživljena u praksi.

U tom smislu, funkcija praćenja usklađenosti postaje alat koji omogućuje upravljačkim tijelima da ispune svoju temeljnu zadaću, a to je da djeluju trajno u najboljem interesu organizacije, uzimajući u obzir pravne, etičke, reputacijske i društvene implikacije svojih odluka.

Upravo takav proaktivan pristup, integriran i usmjeren na dugoročnu vrijednost i održivost predstavlja stvarnu dodanu vrijednost novog regulatornog okvira i priliku za podizanje standarda korporativnog upravljanja u državnim poduzećima Republike Hrvatske.

[1] ISO (2021) Sustavi upravljanja usklađenošću – Zahtjevi sa smjernicama za uporabu (ISO 37301:2021). Hrvatski zavod za norme. Zagreb.

CODUPO Compliance – Vaš pouzdani partner u praćenju usklađenosti.

Za dodatne informacije i zakazivanje konzultacija, slobodno nas kontaktirajte putem kontakt forme ili na telefon +385 1 3862 961.