درآمدی بر Compliance

حلقه مفقوده بانکی در پساتحریم

دکتر حمید قنبری

یکی از مسائل مهمی که بانک‌ها و موسسات اعتباری کشور در فضای پس از برجام با آن روبه‌رو هستند، مساله Compliance است. هنگامی که بانک‌های ایرانی به بانک‌های خارجی مراجعه می‌کنند و از آنها درخواست می‌کنند که روابط کارگزاری خود را با آنها با توجه به رفع تحریم‌ها از سر بگیرند، به جای آنکه مستقیما به بخش‌های عملیاتی بانک‌ها ارجاع داده شوند، به بخش Compliance ارجاع داده می‌شوند یا اینکه اسناد و مدارک متعددی از بانک‌های ایرانی درخواست می‌شود و فرم‌های متعددی برای پر کردن به آنها تحویل داده می‌شود و در پاسخ به این پرسش که چرا این همه اسناد و مدارک تقاضا می‌شود، گفته می‌شود که واحد Compliance وجود این اطلاعات و مدارک را ضروری دانسته است.

دکتر حمید قنبری

یکی از مسائل مهمی که بانک‌ها و موسسات اعتباری کشور در فضای پس از برجام با آن روبه‌رو هستند، مساله Compliance است. هنگامی که بانک‌های ایرانی به بانک‌های خارجی مراجعه می‌کنند و از آنها درخواست می‌کنند که روابط کارگزاری خود را با آنها با توجه به رفع تحریم‌ها از سر بگیرند، به جای آنکه مستقیما به بخش‌های عملیاتی بانک‌ها ارجاع داده شوند، به بخش Compliance ارجاع داده می‌شوند یا اینکه اسناد و مدارک متعددی از بانک‌های ایرانی درخواست می‌شود و فرم‌های متعددی برای پر کردن به آنها تحویل داده می‌شود و در پاسخ به این پرسش که چرا این همه اسناد و مدارک تقاضا می‌شود، گفته می‌شود که واحد Compliance وجود این اطلاعات و مدارک را ضروری دانسته است. علاوه بر این، بانک‌های خارجی انتظار دارند در بانک‌های ایرانی نیز واحد Compliance وجود داشته باشد و کارکرد خود را به درستی انجام دهد و گاه از نبود چنین واحدی در ساختار بانک‌های ایرانی اظهار تعجب می‌کنند. حقیقت این است که کارکرد Compliance و واحد Compliance در صنعت بانکداری در چند سال اخیر بسیار رشد کرده و توسعه‌یافته است و متاسفانه، این چند سال همان زمانی بوده که بانک‌های ایرانی از فضای بین‌المللی غایب بوده‌اند. بانک‌های ایرانی باید به هر سختی که شده این شکاف و فاصله را پر کنند تا بتوانند نقش مطلوبی در نظام مالی بین‌المللی ایفا کنند. نخستین گام، آشنایی با مفهوم Compliance است. در این نوشته تلاش شده است، مفهوم Compliance، استانداردهای بین‌المللی مربوط به آن و مدل‌های آن توضیح داده شود و همچنین به این مطلب پرداخته شده است که مسوولیت Compliance در هر بانک یا شرکت، بر عهده چه کسی است؟‌

مفهوم Compliance

مفهوم Compliance در موارد متعددی استفاده می‌شود. افراد بسیاری در سازمان‌ها و ادارت، خصوصا در بانک‌ها و موسسات مالی وجود دارند که شغل آنها Compliance Officer است. اداراتی در سازمان‌ها وجود دارند که به آنها Compliance Department می‌گوییم. این ادارات، کارکردی را در این سازمان‌ها بر عهده دارند که به آن Compliance Function گفته می‌شود و در سازمان باید فرهنگی وجود داشته باشد که به آن Compliance Culture گفته می‌شود. از این‌رو، واژه Compliance در بسیاری موارد به کار می‌رود و باید گفت که در مورد هیچ‌کدام از آنها تعریف پذیرفته شده و مورد قبول جهانی وجود ندارد.

اگر در یک فرهنگ لغت به دنبال تعریف مفهوم Compliance بگردیم، به این نتیجه می‌رسیم که Compliance عبارت است از «متابعت از یک قاعده». به عبارت دیگر، اگر قاعده‌ای وجود داشته باشد و از آن اطاعت شود و مفاد آن رعایت شود، آن قاعده Comply شده است. از همین رو، برخی Compliance را در زبان فارسی معادل «رعایت» ترجمه کرده‌اند. با این حال، این تعریف لغت‌نامه‌ای به ما درک دقیقی از مفهوم Compliance آنگونه که امروزه در ادبیات مالی و بانکی بین‌المللی رایج است نمی‌دهد. در این ادبیات، Compliance چارچوبی از رویه‌ها و کنترل‌ها در سازمان و جزئی از فرهنگ آن است. یکی از مهم‌ترین تعاریف از Compliance در سال ۲۰۰۵ توسط کمیته نظارت بانکی بازل ارائه شده است. این تعریف، از خود مفهوم Compliance نیست، بلکه از ریسک Compliance است اما در هر حال، راهگشا است و مفهوم Compliance را روشن می‌کند. براساس این تعریف: ریسک Compliance عبارت است از ریسک مجازات‌هایی که براساس قانون یا مقررات وضع می‌شوند؛ یا ریسک زیان‌های عملیاتی یا ریسک لطمه به حسن شهرت بانک در نتیجه عدم متابعت از قوانین و مقررات، قواعد، استانداردهایی که نهادهای خود انتظام وضع کرده‌اند و ضوابط رفتاری که حاکم بر فعالیت‌های بانکی هستند و به همه آنها در مجموع قوانین، مقررات و استانداردهای Compliance گفته می‌شود.

با توجه به این تعریف می‌توان گفت کار کسی که به او Compliance officer می‌گوییم و اداره‌ای که به آن Compliance Department می‌گوییم عبارتست از شناسایی، مدیریت و کاهش ریسک‌های Compliance. بنابراین، Compliance چیزی فراتر از متابعات از قوانین و مقررات است و نمی‌توان آن را به رعایت قوانین و مقررات فروکاست. شرکت‌ها برای کسب سود ایجاد می‌شوند نه برای رعایت قوانین و مقررات؛ اما باید فعالیت‌های خود برای به‌دست آوردن سود را به‌گونه‌ای انجام دهند که براساس قوانین و مقررات عمل کنند. آنچه که میان این دو امر ظاهرا زاویه‌دار (یعنی کسب سود و رعایت قوانین و مقررات) پلی ایجاد می‌کند و آنها را به هم نزدیک می‌کند، Compliance است. از این رو Compliance را یک فرهنگ و یک کارکرد هم دانسته‌اند. تا این فرهنگ و این کارکرد وجود نداشته باشد، شرکت در هر جایی که ناچار باشد قوانین را رعایت می‌کند و در هر جایی که بتواند از اجرای قوانین طفره می‌رود. از این رو معمولا گفته می‌شود که اداره Compliance به تنهایی نمی‌تواند تضمین کند که قوانین و مقررات در شرکت رعایت می‌شوند و برای این امر نیاز به فرهنگ Compliance در شرکت وجود دارد. در تعریف دیگری از کارکرد Compliance گفته شده است کارکرد Compliance در موسسات مالی عبارتست از شناسایی الزامات قانونی، مقرراتی و رویه‌هایی که اجرای آنها در شرکت لازم است و اجرای ترتیبات، سیستم‌ها و کنترل‌های لازم برای تسهیل اجرای این تعهدات و الزامات.

در استاندارد ۸۴۵۳ انگلستان که در ادامه این متن بیشتر در مورد آن توضیح داده شده است نیز قید شده است که Compliance عبارت است از اجرای الزامات سیستم نظارتی در رابطه با موسسه مالی و افرادی که در آن فعالیت می‌کنند و همچنین اجرای آن الزامات درخصوص فعالیت‌‌های مشمول نظارت که موسسه مالی و اشخاص مشغول به کار در آن انجام می‌دهند. یکی از مسائل جالب در رابطه با تعریف Compliance این است که اگرچه در اسناد متعددی کارکرد Compliance و فرهنگ Compliance تعریف شده‌اند اما واحد و مسوول Compliance کمتر تعریف شده‌اند و در مورد آنها صرفا گفته شده است که واحد Compliance واحدی است که وظیفه اجرا و اعمال کارکرد Compliance را به‌طور روزمره بر عهده دارد و مسوول Compliance نیز کسی است که مسوولیت اداره Compliance بر عهده وی نهاده شده است. در تعریفی از مسوول Compliance گفته شده کسی است که مسوول آن است که از دیدگاه نظارتی خطایی واقع نشود یا اگر چنین خطایی رخ داد، آثار آن را جبران کنند.

استانداردهای بین‌المللی مربوط به Compliance استاندارد ۸۴۵۳ بریتانیا

در انگلستان استانداردی وجود دارد که به آن استاندارد 8453 گفته می‌شود. موضوع این استاندارد، چارچوب Compliance برای شرکت‌های خدمات مالی تحت نظارت است. در این استاندارد که در سال 2011 منتشر شده، قید شده است که مدیران ارشد شرکت باید فرهنگ Compliance را در شرکت ایجاد کنند و این کار از طریق ایجاد ارزش‌هایی در شرکت ایجاد می‌شود که رابطه شرکت با مشتریان، طرفین تجاری، مقامات نظارتی، صنعت و بازار را تنظیم و کنترل می‌کنند. در این استاندارد آمده است که فرهنگ Compliance که مبتنی بر ارزش‌ها می‌باشد باید در عملیات، تصمیم‌گیری‌ها، ارتباطات و عملکرد مدیران و کارکنان شرکت مشهود باشد.

کمیته نظارت بانکی بازل

کمیته نظارت بانکی بازل در سال ۲۰۰۵ گزارشی را در مورد Compliance و کارکرد Compliance در بانک‌ها منتشر کرد. در این گزارش، تعریفی از ریسک Compliance و ۱۰اصلی که باید در اجرای موفق کارکرد Compliance در بانک‌ها مورد توجه قرار گیرد بیان شده است.

سازمان بین‌المللی کمیسیون‌های اوراق بهادار

سازمان بین‌المللی کمیسیون‌های اوراق بهادار یا International Organization of Securities Commissions (IOSCO) در سال 2006 گزارشی را در رابطه با کارکرد Compliance در رابطه با واسطه‌گران بازار منتشر کرد. در این گزارش قید شده است که برای ارزیابی کارکرد Compliance 8 امر باید در نظر گرفته شوند.

دستورالعمل اجرایی اتحادیه اروپا در رابطه با ابزارهای مالی

در ماده 6 این دستورالعمل قید شده است که شرکت‌های سرمایه‌گذاری باید یک کارکرد Compliance داشته باشند. در این ماده علاوه بر این، مسوولیت‌های واحد Compliance بیان شده است و شرایط مشخصی که باید وجود داشته باشند تا کارکرد Compliance بتواند به نحو مطلوب وظایف و مسوولیت‌های خود را به درستی انجام دهد مشخص شده است.

مقررات وضع شده توسط ناظران بانکی و مالی در انگلستان

در انگلستان دو بخش از هندبوک‌های FCA و PRA به کارکرد Compliance پرداخته‌اند. این دو بخش تحت این عناوین در هندبوک‌ها قابل مشاهده هستند:

• The Senior Management Agreements, Systems and Controls Manual

• The Supervision Manual

علاوه بر این، در سال 2007 مقام نظارت مالی یا FSA نامه‌ای را به مدیران‌عامل شرکت‌ها نوشت که عنوان آن «مدیریت ریسک Compliance در بهترین بانک‌های سرمایه‌گذاری - بهترین رویه‌ها» بود. در این نامه مشخص شده بود که ناظران مالی چگونه انتظاراتی را از بانک‌های سرمایه‌گذاری درخصوص فعالیت‌های Compliance آنها خواهند داشت.

مسوولیت Compliance در شرکت یا سازمان بر عهده کیست؟

ممکن است در پاسخ به این پرسش که چه کسی مسوول Compliance است گفته شود که همانطور که اداره IT مسوولیت IT را بر عهده دارد و اداره منابع انسانی مسوولیت منابع انسانی را بر عهده دارد، اداره Compliance نیز وظیفه Compliance را بر عهده دارد و مسوول Compliance یا همان Compliance Officer نیز مسوولیت اداره مزبور را بر عهده دارد. با این حال، استانداردهای بین‌المللی چیز دیگری می‌‌گویند. می‌توان گفت نوعی اجماع در اسناد و استانداردهای بین‌المللی وجود دارد که مدیران ارشد هر بانک یا شرکت (یا بانک‌ها و موسسات مالی)‌ مسوولیت Compliance را بر عهده دارند. این مطلب در استاندارد FCA در رابطه با اصول نظارت صحیح،‌ راهنمای اجرایی شماره ۸/ ۲ FCA، گزارش مورخ ۲۰۰۶ IOSCO درخصوص کارکرد Compliance در رابطه با واسطه‌گران بازار، استاندارد بانکی شماره ۸۴۵۳ انگلیس و گزارش کمیته نظارت بانکی بازل درخصوص Compliance در بانک‌ها که در سال ۲۰۰۵ منتشر شده است، مورد تصریح قرار گرفته است و همه این اسناد در این نکته اتفاق‌نظر دارند که مدیران ارشد یا Senior Management مسوولیت اصلی Compliance را بر عهده دارند.

به عبارت دیگر، در هیچ سندی گفته نشده است که واحد Compliance یا مدیر Compliance شرکت یا بانک، مسوولیت این امر را بر عهده دارد و حتی در بسیاری از اسناد بین‌المللی نامی از واحد یا مدیر Compliance برده نشده است. پرسشی که در اینجا مطرح می‌شود این است که اگر این امر بر عهده مدیران ارشد قرار دارد چرا همه بانک‌ها و شرکت‌های مهم اقدام به ایجاد واحد Compliance کرده‌اند و تا این حد به واحد مزبور اهمیت می‌دهند؟ پاسخ این است که Compliance و جزئیات آن اگرچه در ظاهر ساده به نظر می‌رسند اما بسیار مفصل و پیچیده هستند و مدیران ارشد نمی‌توانند راسا این کار را انجام دهند، از این‌رو در این خصوص اختیارات و وظایف خود را تفویض می‌کنند. واحد و مدیر Compliance محصول چنین تفویض اختیاری است. بنابراین، مسوولیت Compliance بر عهده مدیران ارشد است اما در عمل، واحد و مدیر Compliance این کار را انجام می‌دهد. با این حال، باید به این نکته توجه داشت که از سال ۲۰۰۸ به این‌سو، نقش و اهمیت واحد و مدیر Compliance روزبه‌روز بیشتر شده است و به موازات اینکه استانداردهای ملی و بین‌المللی، انتظار پاسخگویی بیشتری را از مدیران ارشد دارند، مدیران ارشد نیز انتظار پاسخگویی بیشتری را از واحد و مدیر Compliance دارند. به‌طور کلی، تقسیم وظایف میان مدیران ارشد و مدیر Compliance در بانک‌ها و شرکت‌ها غالبا به شکل زیر است:

مدل‌های Compliance

برای انجام کارکرد Compliance در هر شرکت، به‌طور کلی دو مدل وجود دارد. مدل نخست، مدل متمرکز یا Centralized است و مدل دوم مدل Decentralized است. در ادامه هر یک از این دو مدل و منافع و معایب هر کدام توضیح داده می‌شود. در مدل متمرکز، اکثریت امور مربوط به Compliance توسط اداره یا واحد Compliance انجام می‌شود. به‌عنوان مثال، اگر قرار باشد هدیه‌ای توسط کارکنان هر بخش گرفته شود، باید واحد Compliance آن را تصویب کند. همچنین اگر شکایتی از عملکرد کارکنان دریافت شود، واحد Compliance به آن رسیدگی می‌کند. در مدل غیرمتمرکز، اداره یا واحد Compliance وظایف روزمره مربوط به این امر را به بخش‌‌های مرتبط واگذار می‌کند. در این مدل، کار واحد Compliance عبارت است از نظارت بر آنچه واحدهای مربوطه در رابطه با Compliance انجام داده‌اند و ارزیابی و اصلاح رویه‌های Compliance در شرکت. به عبارت دیگر، در مدل متمرکز، واحد Compliance به‌طور عملیاتی درگیر Compliance خواهد بود، اما در مدل غیرمتمرکز، واحد Compliance نظارت بر اجرای Compliance در شرکت را برعهده خواهد داشت. نمی‌توان گفت که یکی از این دو مدل درست است و مدل دیگر نادرست. هر مدل ممکن است برای شرکتی مناسب و برای شرکت دیگر نامناسب باشد. مدیران ارشد هر شرکت، سازمان یا بانک، باید تصمیم بگیرند که با توجه به عوامل مختلف حاکم بر فعالیت‌های آنها کدام مدل برای آنها مناسب‌تر است.

در عمل، در اکثر بانک‌ها و شرکت‌ها ترکیبی از هر دو مدل را استفاده می‌کنند. به این صورت که برخی از امور مربوط به Compliance به‌صورت متمرکز انجام می‌شوند و برخی دیگر به‌صورت غیرمتمرکز انجام می‌شوند. اینکه کدام امور به‌صورت متمرکز انجام شوند و کدام یک به‌صورت غیرمتمرکز، بستگی به امور خاصی دارد که در هر شرکت می‌تواند متفاوت با سایر شرکت‌ها باشد. مثلا ممکن است یک بانک، Compliance درخصوص کار کردن با مشتریان سابق را به‌صورت غیرمتمرکز انجام دهد، اما وقتی پای مشتریان جدید و برقراری روابط کارگزاری جدید به میان می‌آید، اخذ نظر از واحد Compliance را ضروری بداند.