Карта коррупционных рисков для МСБ: методика Минтруда за один вечер

Кратко

Что такое карта коррупционных рисков и зачем она бизнесу

Карта коррупционных рисков отвечает на один вопрос: где в вашей компании кто-то может злоупотребить полномочиями ради выгоды. Это таблица, где по каждому бизнес-процессу расписаны критические точки, возможные схемы и меры, которые эти точки закрывают. Не абстрактный документ «для галочки», а рабочая картина уязвимостей — с неё начинается любая система предупреждения коррупции.

Необходимость её иметь вытекает из статьи 13.3 ФЗ-273. Закон обязывает организации разрабатывать и принимать меры по предупреждению коррупции. Оценка рисков стоит в основании почти всех этих мер: чтобы назначить ответственных, написать регламенты и урегулировать конфликт интересов, сначала нужно понять, где риск.

Отсюда и смысл упражнения. Политику против коррупции можно подписать и убрать в стол — и тишина продлится ровно до первой проверки. А проверяют не наличие бумаги, а работает ли система по существу. Карта рисков — это доказательство, что компания посмотрела на себя честно и знает свои слабые места. Как оценка рисков встраивается в остальную систему, разобрано в статье про антикоррупционный комплаенс для малого и среднего бизнеса.

Обязан ли малый бизнес оценивать риски — или это для госсектора?

Меры принимать — обязан. Статья 13.3 распространяется на все организации независимо от формы собственности, отрасли и размера, и это подтверждают разъяснения прокуратуры. Сама оценка рисков законом отдельным пунктом не предписана — это рекомендованное Минтрудом основание для этих мер: без неё меры повисают в воздухе. Отсюда и главная боль практика МСБ: обязанность у всех одинаковая, а плечо ресурсов — несопоставимое.

Здесь важно не перепутать документы Минтруда. В выдаче поиск часто подсовывает методички для федеральных госорганов, написанные языком «реализации государственных функций», — они пугают объёмом и к малому бизнесу отношения почти не имеют. Для организаций есть свой, более простой документ.

И сам Минтруд снимает страх «неподъёмного» комплаенса: методика прямо допускает оценивать риски последовательно, по отдельным процессам — «в целях рационального использования ограниченных ресурсов». Начать с одного самого рискового процесса и разложить его за вечер методика прямо санкционирует.

Из чего состоит методика Минтруда: семь этапов оценки

Методика раскладывает оценку на семь последовательных этапов — это и есть готовый план вечера. Ни один не требует специального софта или консультанта: всё делается на основе локальных актов, которые у компании уже есть.

1. Подготовка. Руководитель решает провести оценку (приказ), назначает ответственного и собирает документы: устав, штатную структуру, положения о подразделениях, должностные инструкции. В малом бизнесе «рабочая группа» — это обычно один человек, совмещающий роли.
2. Описание бизнес-процессов. Разложите деятельность на процессы и подпроцессы. Пример самого Минтруда: закупки — это процесс, а формирование потребности, выбор поставщика, приёмка — его подпроцессы.
3. Идентификация рисков. В каждом процессе выделите критические точки — подпроцессы, где по объективным причинам возможно злоупотребление.
4. Анализ рисков. Для каждой точки опишите возможную коррупционную схему и перечислите должности, которые могут быть в неё вовлечены.
5. Ранжирование. Оцените по каждому риску вероятность и ущерб, посчитайте значимость и расставьте приоритеты.
6. Меры минимизации. Предложите меры — в первую очередь для самых значимых рисков.
7. Оформление и утверждение. Сведите всё в реестр (карту) рисков и перечень рисковых должностей, утвердите у руководителя.

Порядок логичный: сначала описываете, как всё устроено, потом ищете слабые места, потом взвешиваете и закрываете. Пропустить этап описания процессов и сразу «накидать рисков» — типичная ошибка: без карты процессов оценка получается умозрительной и на проверке рассыпается.

Как найти критические точки: три вопроса и взгляд «глазами нарушителя»

Критическая точка — это подпроцесс, устройство которого создаёт возможность для злоупотребления. Минтруд определяет её так же и даёт простой способ найти такие точки, не будучи следователем: пройтись по каждому подпроцессу с тремя вопросами.

Второй приём методики ещё нагляднее — посмотреть на процесс глазами потенциального нарушителя: «если бы участник процесса захотел извлечь из своих полномочий неправомерную выгоду, как бы он это сделал?». Этот угол сразу высвечивает точки, где решение принимается единолично, где нет контроля и где полномочия дают доступ к деньгам, имуществу или нужному кому-то решению.

Признаки критической точки Минтруд формулирует прямо: у работника есть полномочие совершить действие, дающее выгоду ему самому, подразделению или внешнему лицу, — либо работник взаимодействует с органом, чьё решение важно для процесса. Если подпроцесс подходит хотя бы под один признак, его берут в карту.

Где у малого бизнеса риск выше всего: типовые зоны

Начинать стоит с процессов, которые Минтруд относит к наиболее коррупционноёмким, — там критические точки почти гарантированы. Для малого бизнеса это несколько узнаваемых зон, и почти в каждой компании работает хотя бы одна.

Возьмём самую частую зону — выбор поставщика в коммерческой закупке. Критические точки здесь классические: заявку «своего» исполнителя проводят при формально более выгодных условиях у других; закупку дробят, чтобы уйти от согласования; работают с единственным поставщиком без сравнения альтернатив. По наблюдениям профильного сообщества, характерные индикаторы риска в закупке — размытые требования к предмету, необоснованное укрупнение заказа и сведение выбора к одному поставщику.

Вторая недооценённая зона — премии. Схема, которую разбирает практика: руководитель завышает премии подчинённым и требует вернуть часть наличными, либо назначает премии сам себе. Для МСБ, где директор часто и распорядитель бюджета, это реальная критическая точка.

Как оценить риск: вероятность × ущерб по методике Минтруда

Значимость риска Минтруд считает по простой формуле: вероятность, умноженная на ущерб. Это классическая двухфакторная оценка — тот же принцип лежит в основе тепловой карты рисков и совпадает с логикой оценки в стандарте ISO 37001. Оба множителя методика раскрывает через понятные шкалы.

Вероятность оценивают по трёхуровневой шкале — низкая, средняя, высокая. Её поднимают конкретные факторы: возможность получить существенную личную выгоду, простота схемы (мало участников), слабый внутренний контроль в точке, недостаточная регламентация подпроцесса. Чем больше таких факторов сошлось — тем выше вероятность.

Ущерб тоже оценивают в трёх уровнях — незначительный, средний, значительный. Минтруд учитывает материальный ущерб (утрата активов, рост расходов на закупки, штрафы, упущенная выгода) и репутационный (публикации в СМИ, резонансные разбирательства, жалобы). Если риск способен остановить деятельность компании — ущерб максимальный.

По итогу все риски делятся на три категории — критические, существенные и незначительные. Практический вывод методики: при нехватке ресурсов меры внедряют сначала для критических и существенных рисков, а незначительные держат под наблюдением. Для малого бизнеса это прямое разрешение не пытаться закрыть всё сразу.

Оценка рисков — это ровно то, что вы делаете руками в таблице и теряете на проверке: пересобрать по разрозненным файлам, кто и как оценил каждый риск, за три дня почти нереально. В платформе Pryven риски живут как тепловая карта: значимость складывается из ответов работников по каждому процессу и пересчитывается сама, а история оценок остаётся. Данные — на российских серверах.

Как выглядит готовая карта: пример по методике Минтруда

Готовая карта — это таблица из пяти колонок, и Минтруд публикует типовой пример её заполнения. Структура одинакова для любой организации: процесс, критическая точка, возможная схема, рисковая должность и меры. Ниже — несколько строк из типового примера Минтруда, обезличенных и переложенных на язык малого бизнеса.

Обратите внимание: колонка «меры» всегда конкретна — не «усилить контроль», а «согласование при единственной заявке», «участие второго работника». Карта, где меры расписаны общими словами, на проверке не работает: методика требует, чтобы у каждой меры были ответственный, срок и документальное подтверждение.

Какие меры минимизации закрывают риск

Меры минимизации Минтруд группирует в три блока — под каждую критическую точку подбирают своё сочетание. Работает это как конструктор: чем выше значимость риска, тем плотнее набор мер.

1. Регламентация и автоматизация. Опишите порядок, сроки и ответственных в критической точке; сократите единоличные решения — добавьте согласующего; разведите исполнение и контроль на разных людей. Где возможно — автоматизируйте (выбор из закрытых перечней, встроенные ограничители).
2. Контроль и мониторинг. Настройте индикаторы (сигналы о признаках нарушения), сверяйте данные о связях работников с контрагентами, ведите канал сообщений о нарушениях — горячую линию, чтобы о проблеме можно было сообщить, даже когда вовлечён руководитель.
3. Обучение и информирование. Проводите разбор для работников на рисковых должностях, информируйте контрагентов об ответственности, фиксируйте, что обучение прошло.

Ключевой тезис, который отделяет рабочую карту от формальной: качество меры важнее их количества. Каждая мера должна быть сформулирована конкретно, иметь срок и ответственного, а её выполнение — подтверждаться документом. Частый критический фактор здесь — неурегулированный конфликт интересов работника; как его выявлять и закрывать, разобрано в статье про конфликт интересов на практике.

Что должно лежать в папке после вечера работы

После оценки на руках остаётся три документа — это и есть материальный результат вечера, который вы покажете проверяющему. Минтруд называет их прямо.

1. Реестр (карта) коррупционных рисков — та самая таблица по всем оценённым процессам. Главный документ.
2. Перечень рисковых должностей — должности, чьи полномочия связаны с распределением выгоды, подготовкой таких решений или контролем.
3. План мер по минимизации — что, кто и в какой срок делает по каждому значимому риску. Может войти отдельной частью в общий план противодействия коррупции.

Все три утверждает руководитель. В крупной организации проекты согласуют с юристами и контролем; в малом бизнесе цепочка упрощается до согласования с директором или собственником. Отсюда и реалистичность обещания: первая версия карты по одному-двум процессам — это действительно объём одного сосредоточенного вечера, а не многомесячный проект.

Карта рисков в системе, а не в Excel

Пока рисков немного, карта живёт в таблице. Проблема всплывает на проверке: собрать по разрозненным файлам, кто оценил каждый риск, когда карту обновляли в последний раз и какие меры уже выполнены, — за отведённые дни почти нереально. Таблица не хранит историю и не пересчитывает значимость сама.

123

1. 1Цвет плитки — уровень риска: значимость каждого риска видно с одного взгляда, без ручного пересчёта
2. 2Сводка сверху: сколько всего рисков и сколько критических — картина по компании целиком
3. 3Фильтр по отделам: риск раскладывается по процессам — закупки, персонал, продажи и остальные

Это та же методика Минтруда — вероятность × ущерб, критические точки, зоны по процессам, — но карта пересобирается сама и хранит историю. Оценка по каждому риску складывается из ответов работников, поэтому картина не устаревает вместе с одним файлом на одном компьютере. На проверку вы приходите с актуальной тепловой картой вместо распечатки годичной давности.

Частые вопросы

Источники

Материал носит информационный характер и не заменяет юридическую консультацию по конкретной ситуации. Нормы и методические рекомендации проверяйте в актуальной редакции: они меняются.