#investigations

Сегодня я прошёл курс "How to Build a Whistleblowing System to Counter
Corruption", созданный IACA (International Anti-Corruption Academy).
Курс был посвящен существующим в мире системам сообщения о нарушениях, некоторым особенностям их организации, а также анализу тех или иных положений соответствующих законов.
Немножко информации:
🟢 Что за институт такой - whistleblower?
Переводя на русский это "информатор". Википедия определяет термин как "активного гражданина, предающего гласности имевшие место или предполагаемые незаконные или аморальные действия". Жаль, что реальность оказывается прозаичнее: подавляющее большинство whistleblower'ов, с которыми я имел дело за свою карьеру, вели себя достаточно пассивно, иногда даже чрезмерно осторожно, и очень тяжело шли на контакт (что, безусловно, не умаляет достоинств совершенного ими поступка).
🟢 Основная причина принятия законов, регулирующих процедуру информирования о нарушениях - сложность в выявлении ряда нарушений, особенно если они происходят внутри частных организаций, и именно поэтому информаторы (репортёры) так ценятся. Государство пытается стимулировать людей сообщать о противоправных деяниях, но по ряду причин люди не очень охотно это делают.
🟢 В первую очередь проблема заключается в опасениях за свою жизнь, здоровье и карьеру. Для этого государства вводят системы защиты информаторов. К примеру, во многих юрисдикциях информаторы имеют право на восстановление на телохранителей и даже на смену личности (если докажут необходимость всего этого).
🟢 К счастью, большинство порочных компаний и гос. органов не опускаются до откровенного криминала, и преследуют информаторов более ординарным образом - не давая нормально работать, урезая премии и подвергая остракизму. Информатор может обратиться в суд или компетентные органы за защитой своих прав, в том числе он может быть восстановлен на работе, если его несправедливо уволили (однако и курс, и я подвергаю сомнению целесообразность восстановления на работе при таких обстоятельствах).
🟢 Обучающий курс поднимает несколько интересных вопросов, например:
- можно ли инициировать расследование, если информатор передает информацию, добытую с нарушением закона?
- стоит ли вводить финансовые стимулы ("incentives") для лиц, сообщающих о нарушении, по образу и подобию известного False Claims Act?
- Что лучше: централизованная (когда есть один орган, в который направляются сообщения о нарушениях) или децентрализованная (когда сообщения можно адресовать нескольким органам) модели?
- как оценивать эффективность функционирования системы информирования о нарушениях: будут ли это количественные или качественные критерии, какие именно, что будет взято за основу?
Однозначного ответа на эти вопросы не существует, так как в разных государствах взгляды на них будут отличаться.

Курс я могу смело рекомендовать всем, кто работает в сфере комплаенс, так как многие особенности можно перенять и имплементировать в своей комплаенс-программе с некоторыми оговорками. Отдельно отмечу, что курс полностью бесплатный и достаточно компактный - даже в размеренном темпе его вполне реально завершить за пару-тройку дней.

#thoughts
Как новичку попасть в комплаенс?

Итак, проснувшись ранним утром вы по какой-то неизвестной причине решили, что вам обязательно нужно работать в сфере комплаенс и попасть на стартовую позицию.
Что же делать?

📗 Образование не имеет значения. Практически.
Скорее всего первый вопрос, который вы зададите себе - "а достаточно ли у меня квалификации?". Спешу вас обрадовать: если у вас есть любое высшее образование, то минимум себе вы обеспечили.
Если мы обратимся к классному исследованию компании КЕПТ (ex. KPMG) "Портрет современного комплаенс-специалиста" то увидим, что подавляющее большинство профессионалов в сфере комплаенс имеют либо юридическое (как и ваш покорный слуга), либо финансовое/экономическое образование. И это действительно так, потому что комплаенс очень тесно связан с юриспруденцией и аудитом,
Однако это не означает, что вы не можете работать в комплаенс без диплома юриста/экономиста. Я знаю совершенно потрясающих сотрудников комплаенс-подразделений, имеющих совершенно разный бэкграунд: биохимия, социология, лингвистика... Желание развиваться в сфере важнее базового образования, хотя на многие позиции действительно существует "ценз". К сожалению, поскольку...
🌩 ..."Common sense".
На мой взгляд, взрослому человеку крайне желательно ориентироваться не только на прогноз погоды от Яндекс, но и на собственные органы чувств и базовую логику, определяя, пойдет сегодня дождь или нет. Так и в комплаенс важнейшим навыком является умение "чувствовать" подвохи, зоны повышенного риска или иные показатели того, что происходит или произойдет что-то не очень правильное. Вы можете иметь десяток релевантных сертификаций ICA, CCEP-I, CIPP и т.д., быть магистром Гарвардской школы права и знать наизусть Sapin II (французский закон о противодействии коррупции) но это вам не поможет удержаться в профессии, если мимо вас пролетают очевидные нарушения. Более того, по моему опыту большая часть отбора на стартовые позиции в комплаенс это live решения различных кейсов. Если вы чувствуете, что по этому показателю вам есть, над чем работать - это здорово, ведь осознание проблемы является ключом к ее решению. Просто старайтесь анализировать происходящее вокруг вас с точки зрения рисков, последствий и банальных "хорошо/плохо", "правильно/неправильно" - отличная "школа жизни" при подготовке к работе в комплаенс.
🇬🇧 Let me speak from my heart in English
Буду откровенен - в 21 веке очень сложно претендовать на хорошие карьерные позиции без знания языка. В комплаенсе это сложно вдвойне, а то втройне, по следующим причинам:
- все топовые сертификации и обучение (ICA, SCCE, HCCA) доступны только на английском языке;
- вся учебная литература также доступна только на английском языке (если у вас есть информация о хороших книгах по теме на русском - поделитесь, буду признателен);
- стандарты ISO... некоторые есть на русском, конечно, но самые актуальные выходят на английском, и вам придется переплачивать за перевод;
- самая важная деталь: комплаенс-подразделения это, как правило, прерогатива крупнейших компаний, либо с иностранным участием, либо тесно взаимодействующих с иностранными контрагентами. Безусловно, вы можете пройти отбор и без знания английского вовсе, но это кратно понижает ваши шансы на трудоустройство. На мой взгляд, без знания английского хотя бы на уровне В1 придется туговато.

FEPA: блудный сын Министерства юстиции США
#ABAC

Если загуглить "FCPA vs UKBA", одним из основных отличий этих, не побоюсь этого слова, культовых антикоррупционных законов большинство источников назовут отсутствие ответственности за пассивное взяточничество по FCPA. До 2023 года это было действительно так, но в преддверии Рождества 2023 года президент Байден подписал Foreign Extortion Prevention Act (FEPA), который дополняет собой 18 U.S.C. § 201 и вводит уголовную ответственность иностранного должностного лица за получение взятки от любого лица из США.

Определение "foreign official" в сравнении с FCPA практически не претерпело изменений, кроме одного, но очень важного — "...any person acting, whether in an official or unofficial capacity, for or on behalf of a government, department, agency, instrumentality, or a public international organization". Это означает, что для признания субъекта "должностным лицом" теперь не требуется наличие официальных полномочий на совершение действий, ради которых предоставляется взятка, достаточно лишь, например, предоставленных в устной форме полномочий на совершение того или иного действия.

По FEPA генеральный прокурор США должен ежегодного отчитываться о:
- запросах иностранных должностных лиц на получение взятки от лиц из США;
- дипломатических попытках США защитить американских лиц от иностранной коррупции, и эффективности таких попыток;
- основные действия Минюста США по новому закону;
- ресурсы или юридические действия необходимые Минюсту США для преследования провинившихся.
Все эти отчёты будут публиковаться на официальном сайте Министерства юстиции США, с нетерпением ожидаем первы отчёт в конце этого года.

Что касается лично моего мнения — безусловно, принятие FEPA это знаковое событие для комплаенс-сообщества и для всех заинтересованных в борьбе с коррупцией. Однако не стоит переоценивать данный закон, так как он направлен на иностранных должностных лиц. Если китайский чиновник попадает под расследование DOJ, принудительное исполнение решения будет затруднено, так как чиновник вполне может сидеть "в домике" в своей стране и никуда не выезжать, в том числе не выезжать в страны, где он будет задержан.
Скорее всего, FEPA будет использоваться в качестве рычага давления на должностных лиц, которые будут "сдавать" компании, предлагающие взятки, после чего будет инициирован классический FCPA-кейс с кучей штрафов и громкими заголовками. Перспективы прямого применения FEPA, например, в нашей юрисдикции, с учетом существующий геополитической ситуации примерно равны нулю.

Также интересно будет понабюдать за практикой применения данного закона, ибо по состоянию на сегодняшний день мне не удалось найти даже не то, что кейса — хотя бы упоминания потенциального расследования в СМИ.

OSINT и комплаенс: не KYC единым...
#due_diligence

Свою карьеру в комплаенс я начинал с due diligence/KYC (Know Your Customer), которыми я занимался в российской фарме. Спустя некоторое время все действия были отточены до автоматизма: отчёт СПАРК, отчёт X-Compliance, поиск в Гугл, поиск в Яндекс, поиск по государственным реестрам...
По большому счёту механизм проверки контрагента — поиск информации в открытых источниках, но этот механизм может оказаться полезен не только для KYC.

OSINT — аббревиатура "Open-source intelligence", разведка по открытым источникам. OSINT заключается в процессе сбора и анализа информации из общедоступных источников: интернет-издания, СМИ, форумы.
В моем понимании, OSINT делится на белый (информация в открытом доступе, которую легально можно использовать) и серый (например, поиск паролей от личных аккаунтов в базах утечек). Второй в работе, естественно, использовать не рекомендуется.

Также OSINT имеет свои направления, такие как GEOINT (поиск локации по фотографиям/описанию), SOCINT (разведка по соцсетям) и другие.
Чем все эти инструменты могут быть полезны для комплаенс-специалиста (помимо очевидного KYC)?

🔍 Выявление конфликта интересов: с помощью социальных сетей можно подтвердить факт взаимосвязи сотрудников или параллельного трудоустройства (простой пример: сотрудник вашей компании А параллельно работает в компании Б, и "засветился" в пресс-релизе компании Б);
🔍 Внутренние расследования во многом полагаются на данные, полученные из открытых источников;
🔍 Мониторинг и аудит. Например, фармацевтические компании часто спонсируют научно-просветительские мероприятия в сфере медицины. Используя специальные поисковые операторы в Google или Х можно обнаружить много интересного на спонсируемом мероприятии: от неэтичных выступлений врачей до факта, что мероприятие-то и не проводилось никогда;

OSINT это дисциплина, к которой в полной мере применим принцип "easy to learn, hard to master". Отличной отправной точкой станет курс CyberMentor "Open-Source Intelligence (OSINT) in 5 hours", который я сам когда-то проходил и который втянул меня в мир OSINT, в результате чего я иногда трачу вечера на выполнение развлекательных кейсов в стиле "найди в какой модели поезда и на каком месте сидит девушка с книгой, и какую книгу она читает по отражению в окне вагона".

И самое главное — каждый из нас хотя бы на 1% является специалистом в области OSINT/корпоративной разведки. Если вы когда-нибудь пытались "нагуглить" информацию о себе, то вы уже занимались OSINT 😁

В дополнение к посту выше отмечу, что меня когда-то потряс кейс на стыке OSINT, Data Privacy и INFOSEC, когда с помощью OSINT выяснилось, что робот-пылесос Roomba шпионит за владельцами, делая фото в том числе в будуаре и отправляя на сервера для обучения ИИ-модели, построения карт и т.д.

SEC in the City
#investigations

SEC (Комиссия по ценным бумагам и биржам США) 26 августа опубликовала пресс-релиз, в котором объявила о выплате 24 миллионов долларов двум информаторам, которые содействовали проведению расследования.
Один получил 4 миллиона, второй — 20, потому что предоставленная им информация привела к "критическому успеху" (переводя с языка SEC на более понятный, какая-то компания не смогла или не захотела выстроить эффективную комплаенс-систему и попала на пару сотен миллионов долларов).

"Сегодняшнее вознаграждение подчёркивает невероятную услугу обществу, которую оказали информаторы" говорит Креола Китти, руководитель офиса по работе с информаторами SEC.
С ней сложно не согласиться — на мой взгляд, вознаграждение за информирование о нарушениях это классный инструмент как минимум по следующим причинам:
🌐 Предоставляемые информаторами сведения помогают узнать то, что сами гос. органы никогда не узнали бы;
🌐 Вознаграждение является стимулом для сотрудника, потому что вместо эфемерных "этики" и "честности" он получает солидный профит — будем откровенны, не все люди вообще задумываются о необходимости действовать этично, профессионально и принимать соответствующие решения. А о деньгах — все.
🌐 Вознаграждение также является своеобразным гарантом безопасности сотрудника в случае, если его всё-таки вычислят. Да, по Закону Додда-Франка SEC сохраняет конфиденциальность информаторов, но есть, например, информация, доступ к которой имеет очень ограниченный круг лиц, что делает выявление "корпоративного бунтаря" куда менее сложной задачей, в результате чего данный человек может лишиться работы.

Я всегда выступал и выступаю за введение подобной практики в нашей стране. Увидим ли мы когда-нибудь подобные меры — большой вопрос, но я уверен, что подобное стимулирование является ключом к разгадке многих незаконных и мошеннических действий.
С точки зрения этики как таковой, безусловно, данный институт является спорным, потому что в идеальном мире человек должен поступать правильно вне зависимости от каких-то там материй и низменных желаний приобрести булочку с маком (пламенный привет Канту, Ролзу и Сартру). Реальность же такова, что деньги не могут не влиять не процесс принятия решений людьми.

Более того, я считаю данную практику подходящей и для организаций — коллеги из комплаенс, если вы видите, что сотрудник регулярно демонстрирует этичное поведение, помогает вам в каких-то ситуациях и вообще красавчик, не скупитесь и закажите ему классный мерч (из бюджета подразделения, конечно же).

Кстати, интересный кейс произошел несколько месяцев назад, когда SEC заплатила 2,4 миллиона долларов сотруднику отдела комплаенс, что является достаточно нестандартной практикой (рассуждения Комиссии об этом можете видеть в сносках внизу скриншота).

По сложившейся практике SEC обычно отказывает в выплатах комплаенс-офицерам, мол, "вы должны были делать то, чем сейчас занимаемся мы", однако данный кейс является исключением. К сожалению, из-за мер по защите информаторов, узнать детали кейса не представляется возможным.

#books
Robert Chesnut "Intentional Integrity: How Smart Companies Can Lead an Ethical Revolution"


📖 Добротная книга Chief Ethics Officer и General Counsel Airbnb про важность этики и комплаенса в бизнесе, автор которой, безусловно, имеет огромный практический опыт.
Из того, что понравилось — автор уделяет внимание не только соблюдению политик компании в чистом виде, но и ethical decision-making как процессу. Ещё очень понравились кейс-стади после каждой главы, которые позволяют "примерить" на себя роль комплаенс-офицера. В конце книги есть рассуждения на тему ответов, и во многих случаях единого правильного ответа нет.

😑 Теперь о том, что мне не понравилось (постарался без спойлеров):
1. Этика — очень круто и здорово, но когда ты работаешь в комплаенс ты уже миллион раз, как правило, слышал рассуждения об этике и "поступай правильно в любой ситуации", да и сам доносил эти идеи до коллег. Как-никак этика и высокие ценности это основа, на которой строится вся деятельность комплаенс-подразделения. В результате тебя не так уж и сильно вдохновляет риторика автора;
2. Опять же, комплаенс в США очень отличается от комплаенса в РФ (как и законодательство в обоих юрисдикциях), и во время чтения этой книги я понимал, что во многих описываемых ситуациях, в которых автор одним днём увольнял сотрудника, в России сотрудник получит максимум замечание или выговор. И то постараться надо;
3. Автор ОЧЕНЬ много внимания уделяет sexual harassment как виду нарушений. Это логично, потому что жена Чесната является правозащитницей, плюс книга писалась во времена, когда движение MeToo и сопутствующие скандалы были во всех новостных заголовках, однако не всем интересно так много читать про домогательства, в особенности когда остальные блоки работы (антикоррупция, AML и т.д.) освещаются поверхностно. Безусловно, это важная проблема, о которой можно (и нужно!) говорить, и могу выразить лишь уважение людям, которые поднимают столь острые вопросы.

📖 В целом книгу можно назвать must read для тех, кто не работает в сфере этики и комплаенс, или только начинает свой путь, но для профессионалов из отрасли она слегка скучновата.

Frédéric Pierucci «American trap»
#books

Фредерик Пьеруччи – бывший топ-менеджер (директор по маркетингу и продажам) французской компании Alstom, которая в 2014 году признала вину и заплатила 772 миллиона долларов за коррупцию, нарушив тем самым US Foreign Corrupt Practices Act (FCPA). Книга представляет собой некую смесь автобиографии и авторского взгляда на правоприменительную практику FCPA. Не спойлерить смысла нет, так как вся информация о деле давно есть в свободном доступе, поэтому ниже несколько инсайтов:

💼 Экстерриториальный характер FCPA подвергается решительной критике со стороны автора, он называет его «инструментом давления США на иностранные (прежде всего европейские) компании в целях лоббирования интересов американских компаний». В подтверждение этого Пьеруччи приводит статистику, в соответствии с которой большая часть штрафов была выплачена компаниями не из США. Достаточно интересный взгляд на привычный всем закон, я не в первый раз вижу мнение о том, что экстерриториальность FCPA это too much и сама по себе является интервенцией в дела другого государства (к юрисдикции которого относится нарушитель);
💼 Автор считает, что сделку по продаже части бизнеса Alstom компании General Electric нужна была лишь для одного - CEO Alstom избежал уголовного преследования за коррупцию, которую компания практиковала во время его пребывания на посту руководителя, вдобавок выплатив себе сочную премию в 4 миллиона евро;
💼 Сам факт наличия в компании комплаенс-подразделения не означает, что все будет хорошо: в книге подробно описываются случаи, когда «на бумаге» в договорах с контрагентами содержались антикоррупционные оговорки, а руководство заявляло о высочайших этических стандартах деятельности, хотя параллельно отдел комплаенс(!) помогал контрагенту драфтить поддельные закрывающие документы для прикрытия коррупционных транзакций и придания им легального вида;
💼 Американская пенитенциарная система бесконечно далека от идеала, в ней царят бюрократия и ряд абсолютно нелогичных с точки зрения здравого смысла решений. Например, если одна коррупционная выплата была произведена несколькими транзакциями, то каждая транзакция это отдельное нарушение FCPA. Ничуть не защищаю коррупционеров, конечно, но на мой взгляд это предельно нелогичное решение;
💼 Не могу не отметить «redemption arc» господина Пьеруччи – человек прошел путь от топ-менеджера до заключенного, а затем – от заключенного до партнера консалтинговой компании и одного из авторов французского антикоррупционного закона Sapin II. Интересно, что компания его называется «Ikarian», недвусмысленно отсылая к герою греческой мифологии, который решил высоко полетать, а хард-скиллы для работы в направлении комплаенс-консалтинга он качал в заключении, читая сотни страниц FCPA case law.

Могу смело рекомендовать данное произведение как лицам, интересующимся борьбой с коррупцией, так и просто тем, кому интересна тема корпоративных конфликтов и прочие скандалы-интриги-расследования.
Отмечу, что я читал английскую версию, но книга также доступна к покупке на русском языке в издательстве Noveaux Angles, да и на других ресурсах тоже.
За неимением бумажной версии прикладываю картинку из новости с антикоррупционного портала ВШЭ.

#events

Мы с коллегой будем выступать на кейс-форуме "Комплаенс-система в России" 17-18 октября с докладом про искуственный интеллект в сфере комплаенс, его регулирование на уровне ЛНА компании, а также применение в нашей отрасли.
Будем рады слушателям!