Normy antykorupcyjne i ISO 37001

1) Wprowadzenie: dlaczego ISO 37001

Ryzyko korupcji w iGaming/fintech są wzmacniane przez złożone łańcuchy dostaw, oddziały, licencje i marketing na różnych rynkach. ISO 37001 (Anti-Bribery Management System, ABMS) to międzynarodowy standard, który definiuje system zarządzania w celu zapobiegania przekupstwom/wymuszeniom, ich wykrywania i reagowania na nie. Jego celem jest zmniejszenie prawdopodobieństwa wystąpienia incydentów i udowodnienie regulatorom/partnerom, że spółka systematycznie zarządza ryzykiem.

2) Kluczowe zasady ABMS

Ton na górze: zarząd/top akceptuje i wykazuje zerową tolerancję.
Podejście oparte na ryzyku: identyfikacja, ocena, plan leczenia, priorytetowe traktowanie obszarów wysokiego narażenia.
Środki proporcjonalne: Kontrole są zgodne ze skalą i profilem ryzyka.
Niezależność funkcji zgodności: wystarczające uprawnienia i zasoby.
Ciągła poprawa: monitorowanie, audyty, działania naprawcze.

3) Zakres ryzyka korupcji

Przekupstwo bezpośrednie/pośrednie, przekupstwo handlowe, „smarowanie” (płatności ułatwiające, tam gdzie jest to zabronione), kickbacks.
Prezenty, gościnność, sponsoring, charytatywność - jako kanały ukrytej przekupstwa.
Partnerzy/agenci/pośrednicy, konsultanci licencyjni, partnerzy marketingowi.
Sektor publiczny: licencje, inspekcje, zezwolenia, partnerstwa państwowe, kasyna państwowe/loterie.
Konflikty interesów i ustalenia poufne.
Fuzje i przejęcia (M&A) oraz wspólne przedsięwzięcia (JV).

4) Ramy systemowe: czego ISO 37001 wymaga w praktyce

1. Polityka antykorupcyjna i kodeks + prezent/konflikt interesów/polityka darowizny i sponsorowania.
2. Rola „urzędnika antykorupcyjnego” (ABCO) i podział obowiązków.
3. Ocena ryzyka według linii biznesowych, geografii, rodzajów kontrahentów.
4. Należyta staranność osób trzecich (opartych na ryzyku) w zakresie sankcji i kontroli sądowej.
5. Kontrola transakcji i monitorowanie czerwonej bandery.
6. Szkolenia i komunikacja dla pracowników i partnerów.
7. Linie informacyjne i zakaz represji (związane z polityką informacyjną).
8. Dochodzenie, postępowanie dyscyplinarne i naprawa.
9. Audyt wewnętrzny/monitorowanie, przegląd zarządzania i CAPA (działania naprawcze i zapobiegawcze).
10. Przygotowanie do certyfikacji przez zewnętrzną jednostkę.

5) Macierz ryzyka (przykład)

6) Polityka prezentów, gościnności i wydatków (G&H)

Limity: ekwiwalenty środków pieniężnych i „rzeczowe” (np. do X EUR za osobę/wydarzenie; roczny limit).
Zakaz gotówki, karty upominkowe, luksusowe wycieczki bez oficjalnego uzasadnienia.
Zatwierdzenie: wszyscy, którzy przekroczyli próg - poprzez ABCO; obowiązkowy wpis do rejestru.
Sektor publiczny: bardziej rygorystyczne przepisy/całkowity zakaz.
Przejrzystość: Rejestry prezentów i gościnności są dostępne do audytu wewnętrznego.

7) Konflikt interesów

Roczne oświadczenie wszystkich kierowników/zamówienia/BD/marketing/prawnicy.
Oświadczenie o zdarzeniu podczas zatrudniania/przechodzenia do nowej roli/rozpoczęcia projektu.
Środki: retsuzal (self-withdrawal), rotacja, zakaz obsługi „ich” dostawców.

8) Należyta staranność osób trzecich (zwłaszcza podmiotów powiązanych i pośredników)

Badanie przesiewowe: sankcje, PEP, sprawy prawne, negatywne media, beneficjenci.
Kwestionariusz i dokumenty uzupełniające: rejestracja, licencje, status podatkowy, polityka antykorupcyjna, kod.
Zobowiązania umowne: klauzula antykorupcyjna, prawo do audytu, zakaz stosowania podwykonawców bez zgody, złamanie w przypadku naruszenia.
Stopień ryzyka: poziom KYC kontrahentów (niski/średni/wysoki), częstotliwość korekt (na przykład corocznie w przypadku wysokiego ryzyka).
Funkcje płatności: zakaz płatności na konta offshore/osobiste, obowiązkowa faktura/czynności.

9) Czerwone flagi (wskaźniki operacyjne)

„Konsultant” bez wyraźnego badania, wymaga gotówki/wysokiej prowizji, nalega na „wczesne wyniki”.
Żądania podziału płatności lub wysłania pieniędzy na konta osób trzecich.
Naleganie na „brak nazwy” podmiotów stowarzyszonych/agentów i sprawozdawczości.
Wykluczenie konkurencji w przetargach pod dalekosiężnym pretekstem.
Działalność w krajach o wysokiej ekspozycji na korupcję bez zwiększonej kontroli.

10) Szkolenia i komunikacja

Roczne obowiązkowe szkolenia + interaktywne przypadki (G&H, agencje rządowe, oddziały, M&A).
Moduł pokładowy dla nowych pracowników i testy orzeźwiające dla ról wysokiego ryzyka.
Komunikaty z powyższego: regularne listy CEO/board, strona wewnętrzna ABMS, FAQ.

11) Linie informacyjne i dochodzenia

Kanał anonimowy 24 godziny na dobę, 7 dni w tygodniu, brak odwetów, potwierdzenia i odpowiedzi SLA (patrz odrębna polityka whistleblower).
Legalne przechowywanie i przechowywanie dowodów, niezależny zespół śledczy.
działania dyscyplinarne do rozwiązania umów włącznie; w poważnych przypadkach - odwołanie się do funkcjonariuszy organów ścigania.

12) Monitorowanie, audyt i sprawozdawczość

ABMS KPI: zakres szkolenia, liczba/odsetek przypadków zamkniętych, czas reakcji, odsetek osób trzecich z przeniesionym DD, wyniki testu zgodności G & H.
Audyty wewnętrznego planu ryzyka (kwartalne/roczne).
Przegląd zarządzania: co najmniej raz w roku - przegląd ryzyka, incydentów, umów CAPA, decyzji dotyczących zasobów.
Ciągła poprawa: dostosowanie limitów, aktualizacja matrycy ryzyka, nowe kontrole.

13) Integracja z procesami iGaming/fintech

Podmioty zależne i marketingowe: ścisła weryfikacja, przejrzysta sprawozdawczość, audyt sieci i źródeł ruchu.
Koncesje i interakcje regulacyjne: protokoły posiedzeń, zasada czwartego oka, zakaz prezentów dla urzędników.
Partnerzy płatniczy/PSP: klauzule antykorupcyjne w umowach, prawa audytu, zakaz stosowania pośredników bez zgody.
Dostawcy gier/studio: kontrola nagród, przejrzyste rabaty/rabaty, wyłączenie „szare” umowy.
M & A/JV: cele antykorupcyjne w zakresie należytej staranności, plan integracji ABMS.

14) Plan realizacji i certyfikacji (6-9 miesięcy)

Etap 0 - Diagnostyka (0-4 tygodnie): Analiza luk kontra ISO 37001, mapa procesu, matryca ryzyka, plan projektu, przydział ABCO.
Etap 1 - Polityka i kontrola projektu (1-2 miesiące): Polityka antykorupcyjna, G&H, Konflikty interesów, Szablony umowne, Procedury DD, Śledztwa i Whistleblowers.
Etap 2 - Wdrażanie i szkolenie (2-4 miesiące): Rejestr prezentów, rejestr kontaktów z agencjami rządowymi, uruchomienie procesu DD, szkolenie, deska rozdzielcza KPI.
Etap 3 - Monitorowanie i audyt (4-6 miesięcy): kontrole pilotażowe, badanie przypadku, audyt wewnętrzny ABMS, CAPA.
Etap 4 - Certyfikacja (6-9 miesięcy): Audyt wstępny, następnie etap 1/Stage 2 w zewnętrznej instytucji certyfikującej; wystawienie certyfikatu po pomyślnym wypełnieniu.
Po - utrzymanie: roczny audyt nadzorczy, przegląd ryzyka i KPI.

15) Matryca kontrolna (uproszczona)

16) RACI przez ABMS

17) Klauzule wzoru (fragmenty)

Klauzula antykorupcyjna w umowie: "Strony potwierdzają zgodność z obowiązującymi przepisami antykorupcyjnymi... naruszenie jest istotne i uprawnia do natychmiastowego zakończenia"

Prezenty i gościnność: "Upominki/rozrywka powyżej limitów lub jakiejkolwiek formy płatności gotówkowej są zabronione. Wszelkie wyjątki podlegają uprzedniemu pisemnemu zatwierdzeniu przez ABCO"

Pośrednicy/podmioty powiązane: "Zabrania się angażowania podwykonawców bez pisemnej zgody; Strona zapewnia dostęp do dokumentów do selektywnego audytu"

Whistleblowing: „Firma zapewnia poufne kanały i zabrania wszelkiego odwetu przeciwko bona fide whistleblowers”.

18) Częste błędy i jak ich uniknąć

„Polityka na papierze” bez rejestrów i monitorowania. Rozwiązanie: deska rozdzielcza KPI, kwartalne kontrole.
Brak DD dla podmiotów powiązanych/agentów. Rozwiązanie: standardowe kwestionariusze, kontrola sankcji, sprawozdania z audytu.
Nie ma jednego właściciela ABMS. Rozwiązanie: Powołanie ABCO z mandatem i zasobami.
Ogólne „zerowe limity” dla prezentów. Rezolucja: rozsądne limity + wyłączenia za pośrednictwem komisji.
Ignorując "czerwone flagi. "Rozwiązanie: Automatyzacja alarmowa i eskalacja SLA.

19) Artifact Pack (przechowywać w repozytorium)

Polityka ABMS, polityka G&H, polityka konfliktów interesów.
Szablony klauzuli kontraktowej antykorupcyjnej.
Rejestry prezentów/gościnności i kontaktów z agencjami rządowymi.
Procedura Due Diligence + formularze i listy kontrolne.
Plan szkolenia + treść/testy kursu.
Postępowanie wyjaśniające + Informator Runbook.
Plan audytu, sprawozdania z audytu wewnętrznego, CAPA.
Matryca ryzyka i matryca kontrolna (ABMS i ISO 37001).

Wyjście

ISO 37001 to nie tylko certyfikat, i stały kontur administracyjny: ryzyko → politycy → due diligence → szkolenie → monitorowanie → dochodzenia → poprawa. Dla firmy iGaming/fintech dyscyplina współpracuje z partnerami, licencjonuje i marketinguje, zmniejsza prawdopodobieństwo incydentów i zwiększa zaufanie regulatorów i partnerów. rozpocząć od oceny ryzyka i podstawowych polityk, a następnie wdrożenia rejestru i DD, szkoleń i audytu wewnętrznego; po „uruchomieniu” procesów, przejdź do certyfikacji.