Антикоррупционные стандарты и ISO 37001

1) Введение: зачем ISO 37001

Коррупционные риски в iGaming/финтехе усиливаются сложными цепочками поставщиков, аффилиатами, лицензиями и маркетингом на разных рынках. ISO 37001 (Anti-Bribery Management System, ABMS) — международный стандарт, который задает управленческую систему предупреждения, выявления и реагирования на подкуп/вымогательство. Его цель — снизить вероятность инцидентов и доказать регуляторам/партнерам, что компания управляет рисками системно.

2) Ключевые принципы ABMS

Тон сверху (tone at the top): совет директоров/топ-менеджмент принимают и демонстрируют нулевую терпимость.
Подход, основанный на рисках: идентификация, оценка, план обработки, приоритизация областей с высокой экспозицией.
Пропорциональные меры: контроли соответствуют масштабу и профилю риска.
Независимость функции комплаенса: достаточно полномочий и ресурсов.
Непрерывное улучшение: мониторинг, аудиты, корректирующие действия.

3) Область охвата коррупционных рисков

Прямой/косвенный подкуп, коммерческий подкуп, «смазка» (facilitation payments, где запрещено), откаты.
Подарки, гостеприимство, спонсорство, благотворительность — как каналы скрытого подкупа.
Аффилиаты/агенты/посредники, консультанты по лицензированию, маркетинговые партнеры.
Госсектор: лицензии, проверки, разрешения, госпартнерства, государственные казино/лотереи.
Конфликт интересов и инсайдерские договоренности.
Слияния и поглощения (M&A) и совместные предприятия (JV).

4) Каркас системы: что требует ISO 37001 на практике

1. Политика и кодекс антикоррупции + политика подарков/конфликтов интересов/донатов и спонсорства.
2. Роль «Антикоррупционного офицера» (ABCO) и распределение ответственности.
3. Оценка рисков по бизнес-линиям, географиям, типам контрагентов.
4. Due diligence третьих сторон (risk-based) с санкционным и судебным скринингом.
5. Контроль транзакций и мониторинг «красных флагов».
6. Обучение и коммуникации для сотрудников и партнеров.
7. Линии информаторов и запрет репрессий (связано с политикой информаторов).
8. Расследования, дисциплинарные меры и ремедиация.
9. Внутренний аудит/мониторинг, менеджмент-ревью и CAPA (Corrective and Preventive Actions).
10. Подготовка к сертификации внешним органом.

5) Матрица рисков (пример)

6) Политика подарков, гостеприимства и расходов (G&H)

Лимиты: денежные эквиваленты и «натура» (например, до X EUR на человека/событие; годовой лимит).
Запрет наличных, подарочных карт, роскошных поездок без служебного обоснования.
Согласование: все превысившие порог — через ABCO; обязательная запись в реестре.
Госсектор: более строгие правила/полный запрет.
Прозрачность: реестры подарков и гостеприимства доступны для внутреннего аудита.

7) Конфликт интересов

Ежегодная декларация у всех руководителей/закупок/BD/маркетинга/юристов.
Событийная декларация при найме/переходе в новую роль/запуске проекта.
Меры: рецузал (самоотвод), ротация, запрет обслуживания «своих» поставщиков.

8) Due diligence третьих сторон (особенно аффилиаты и посредники)

Скрининг: санкции, PEP, правовые кейсы, негативные СМИ, бенефициары.
Анкета и подтверждающие документы: регистрация, лицензии, налоговый статус, политика антикоррупции, кодекс.
Договорные обязательства: антикоррупционная оговорка, право аудита, запрет суб-посредников без согласования, разрыв при нарушении.
Риск-градация: KYC-уровни контрагентов (низкий/средний/высокий), частота пересмотров (например, ежегодно для высокого риска).
Платежные признаки: запрет оплат на офшорные/личные счета, обязательный инвойс/акты.

9) Красные флаги (операционные индикаторы)

«Консультант» без явной экспертизы, требует наличные/высокую комиссию, настаивает на «скорых результатах».
Просьбы разделить платеж или отправить средства на сторонние счета.
Настаивание на аффилиатах/агентах «без имени» и отчетности.
Исключение конкуренции в тендерах под надуманным предлогом.
Активность в странах с высокой коррупционной экспозицией без усиленных контролей.

10) Обучение и коммуникации

Ежегодное обязательное обучение + интерактивные кейсы (G&H, госорганы, аффилиаты, M&A).
Onboarding-модуль для новых сотрудников и «освежающие» тесты для high-risk ролей.
Коммуникации сверху: регулярные письма от СЕО/борда, внутренняя страница ABMS, FAQ.

11) Линии информаторов и расследования

Анонимный канал 24/7, запрет репрессий, SLA подтверждения и ответов (см. отдельную политику информаторов).
Legal hold и консервация доказательств, независимая команда расследования.
Дисциплинарные меры вплоть до увольнения/расторжения контрактов; в тяжелых случаях — обращение к правоохранителям.

12) Мониторинг, аудит и отчетность

KPI ABMS: покрытие обучением, количество/доля закрытых кейсов, время реакции, доля третьих сторон с пройденным DD, результаты тестов соблюдения G&H.
Внутренние аудиты по плану риска (ежеквартально/ежегодно).
Management Review (борд): минимум раз в год — обзор рисков, инцидентов, CAPA, решений по ресурсам.
Непрерывное улучшение: корректировка лимитов, обновление матрицы рисков, новые контроли.

13) Интеграция с iGaming/финтех-процессами

Аффилиаты и маркетинг: жесткая верификация, прозрачная отчетность, аудит сеток и источников трафика.
Лицензирование и регуляторные взаимодействия: протокол встреч, правило «четвертых глаз», запрет подарков чиновникам.
Платежные партнеры/PSP: антикоррупционные оговорки в договорах, право аудита, запрет посредников без согласования.
Поставщики игр/студии: контроли за вознаграждениями, прозрачные скидки/ребейты, исключение «серых» договоренностей.
M&A/JV: антикоррупционный due diligence цели, интеграционный план по ABMS.

14) Дорожная карта внедрения и сертификации (6–9 месяцев)

Этап 0 — Диагностика (0–4 недели): Gap-анализ против ISO 37001, карта процессов, матрица рисков, план проекта, назначение ABCO.
Этап 1 — Политики и дизайн контролей (1–2 месяц): Антикоррупционная политика, G&H, Конфликты интересов, Договорные шаблоны, Процедуры DD, Расследований и Информаторов.
Этап 2 — Внедрение и обучение (2–4 месяц): Реестр подарков, реестр контактов с госорганами, запуск DD-процесса, обучение, дашборд KPI.
Этап 3 — Мониторинг и аудит (4–6 месяц): Пилотные проверки, тест кейсов, внутренний аудит ABMS, CAPA.
Этап 4 — Сертификация (6–9 месяц): Предаудит, затем Stage 1/Stage 2 у внешнего органа сертификации; выпуск сертификата при успешном прохождении.
После — поддержание: ежегодный надзорный аудит, пересмотр рисков и KPI.

15) Матрица контролей (упрощенно)

16) RACI по ABMS

17) Шаблонные оговорки (фрагменты)

Антикоррупционная оговорка в договоре: «Стороны подтверждают соблюдение применимых законов о противодействии подкупу… нарушение является существенным и дает право на немедленное расторжение».
Подарки и гостеприимство: «Подарки/развлечения сверх лимитов или любая форма платежа наличными запрещены. Любые исключения подлежат предварительному письменному согласованию с ABCO».
Посредники/аффилиаты: «Запрещено привлечение суб-посредников без письменного согласия; Сторона предоставляет доступ к документам для выборочного аудита».
Сообщения о нарушениях: «Компания обеспечивает конфиденциальные каналы и запрещает любые репрессии в отношении добросовестных информаторов».

18) Частые ошибки и как их избежать

«Политики на бумаге» без реестров и мониторинга. Решение: дашборд KPI, квартальные проверки.
Отсутствие DD для аффилиатов/агентов. Решение: стандартные анкеты, санкционный скрининг, аудируемые отчеты.
Нет единого владельца ABMS. Решение: назначить ABCO с мандатом и ресурсами.
Генеральные «ноль лимитов» для подарков. Решение: разумные лимиты + исключения через комитет.
Игнор «красных флагов». Решение: автоматизация алертов и эскалация по SLA.

19) Пакет артефактов (держать в репозитории)

Политика АБМС, Политика G&H, Политика конфликтов интересов.
Шаблоны договорных антикоррупционных оговорок.
Реестры подарков/гостеприимства и контактов с госорганами.
Процедура Due Diligence + формы и чек-листы.
План обучения + контент курсов/тесты.
Процедура расследований + Runbook информаторов.
План аудита, отчеты внутреннего аудита, CAPA.
Матрица рисков и Control Matrix (ABMS ↔ ISO 37001).

Вывод

ISO 37001 — это не только сертификат, а устойчивый управленческий контур: риски → политики → due diligence → обучение → мониторинг → расследования → улучшение. Для iGaming/финтех-компании он дисциплинирует работу с аффилиатами, лицензированием и маркетингом, снижает вероятность инцидентов и повышает доверие регуляторов и партнеров. Начните с оценки рисков и базовых политик, затем — внедрение реестров и DD, обучение и внутренний аудит; после «обкатки» процессов выходите на сертификацию.