Системный Комплаенс | Владимир Волков

KPI, которые создают коррупцию
 
Коррупционный риск возникает не только из-за слабого знания правил или прямого умысла. Иногда его создаёт сама система управления – когда за результат сотрудника вознаграждают, а соблюдение ограничений остаётся вне оценки.
 
План продаж, срок запуска проекта, экономия закупок или размер переменной части вознаграждения сами по себе нейтральны. Риск появляется, когда KPI измеряет результат, но не учитывает способ его достижения.
 
Менеджер получает бонус за заключённые сделки, но проверка посредников влияет только на срок. Закупки оцениваются по экономии, хотя полноценная проверка поставщика может эту экономию уменьшить. Проект должен быть запущен к определённой дате, хотя разрешения или согласования ещё не завершены.
 
Формально сотруднику говорят: соблюдай процедуру. Система мотивации при этом говорит: главное – выполнить показатель.
 
📌 Давление KPI можно увидеть в данных
 
Такое давление проявляется не только в уже совершённых нарушениях. У него есть вполне наблюдаемые признаки.
 
Например, к концу месяца или квартала растёт доля исключений из процедур, ускоренных согласований и сделок «под условием». Срок due diligence сокращается именно в периоды максимального коммерческого давления. Одни и те же подразделения регулярно требуют срочных решений, а ручные обходы контрольных точек концентрируются вокруг отчётных дат.
 
Ещё сильнее сигнал, если высокая результативность подразделения сопровождается повышенной долей исключений, нестандартных платежей, посреднических схем или последующих корректирующих мероприятий.
 
Отдельный вопрос – последствия нарушения для самого KPI.

Если руководитель выполняет финансовый план, получает максимальный бонус, а выявленные нарушения никак не влияют на итоговую оценку, организация фактически показывает, какой результат для неё важнее.
 
📌 Пороговые KPI усиливают давление
 
Особенно рискованны показатели с резким порогом:
99% плана – бонуса нет. 100% – бонус есть.
Проект запущен до установленной даты – показатель выполнен. На день позже – нет.
 
В такой конструкции резко возрастает ценность последней сделки, последнего разрешения или последнего согласования. И именно в этот момент обход контроля может стать экономически рациональным.
 
Сроковые KPI работают похожим образом. Если скорость постоянно измеряется, а качество проверки – нет, возникает предсказуемая адаптация процесса: документы собираются после сделки, проверка переносится на потом, согласование становится формальным, а исключение постепенно превращается в обычный маршрут.
 
📌 Что проверять в системе мотивации
 
При оценке коррупционного риска стоит анализировать не только сами операции, но и связь между KPI, вознаграждением и отклонениями от контроля.
 
Практически полезно смотреть на: KPI-период → рост исключений → ускорение согласований → ручные обходы → итоговый бонус.
 
Если эти элементы регулярно совпадают во времени или концентрируются в одних подразделениях, это уже основание проверять конструкцию мотивации.
 
Полезны и более прямые показатели: доля результатов, за которые был выплачен бонус, но которые позже потребовали корректирующих мер; число исключений на единицу выручки или закупок; доля высокорисковых операций, прошедших по ускоренному маршруту; повторяемость срочных согласований у конкретных руководителей; влияние нарушений на итоговую оценку и переменное вознаграждение.
 
🎯 Контроль должен быть встроен в экономику решения
 
Технически это решается не увеличением числа запретов.
 
Переменное вознаграждение можно связывать не только с финансовым результатом, но и с соблюдением обязательных контрольных условий. Для высокорисковых операций – устанавливать обязательные точки, без прохождения которых результат не учитывается в KPI. Существенные нарушения и необоснованные исключения – включать в оценку руководителя. Вознаграждение за результат, достигнутый с нарушением установленных требований, – корректировать или исключать.
 
Здесь важен сам принцип: если организация вознаграждает результат независимо от способа его достижения, политика почти неизбежно проигрывает системе мотивации.

Контроль начинается с того, чтобы нарушение не становилось рациональным способом выполнить план.

#СистемныйКомплаенс

Теневой ИИ: теперь в повестке совета директоров
 
Ранее я писал о Shadow AI по статье Compliance Podcast Network The 30-Day Shadow AI Amnesty: Turning Hidden Risk Into Governance. Тогда основной тезис был в том, что запрет не устраняет несанкционированное использование ИИ. Он может лишь сделать его менее видимым. Поэтому начинать нужно с выявления реальной практики: кто, для каких задач, с какими данными и с каким влиянием на решения уже использует ИИ.
 
Теперь этой же проблемой озаботились и в российском корпоративном управлении.
 
В статье Сергея Ревякина «Теневой ИИ: риск, который совет директоров может не увидеть» тема рассматривается уже не как локальный вопрос ИТ или информационной безопасности, а как разрыв между фактической работой компании и формальной системой управления.
 
Компания может ещё не иметь ИИ-стратегии, корпоративной платформы или специальных правил, а сотрудники уже используют внешние модели для работы с документами, кодом, клиентскими обращениями, аналитикой и проектами управленческих решений.
 
То есть технология входит в процессы раньше, чем организация успевает определить правила её использования.
 
📌 Управлять нужно сценариями, а не самим фактом использования ИИ
 
Черновик внутреннего письма и использование модели при подготовке кредитного заключения или кадрового решения – это принципиально разные ситуации.
 
Различаются данные, последствия ошибки, требования к проверке результата, допустимая автономность и ответственность.
 
Поэтому управлять нужно не ИИ в общем, а конкретными сценариями его использования:
задача → данные → влияние на решение → автономность → проверка человеком → ответственность → контроль.
 
Именно карта таких сценариев позволяет понять, где использование ИИ действительно существенно для компании.
 
📌 Совет задаёт рамку, менеджмент строит систему
 
Совету директоров не нужно выбирать модели или разбираться в технической архитектуре.
 
Его вопросы находятся на другом уровне: какое значение ИИ имеет для стратегии, какой риск компания готова принять, какие данные нельзя передавать во внешние сервисы, где участие человека обязательно и кто отвечает за результат.
 
От менеджмента требуется уже фактическая картина: где используется ИИ, какие сценарии являются критичными, какие инструменты разрешены, как работают правила с данными, как разбираются инциденты и кому принадлежит ответственность за систему управления.
 
Именно здесь Shadow AI перестаёт быть историей про отдельных сотрудников, которые используют удобный сервис без согласования.
 
Он становится показателем того, насколько система управления успевает за изменением реальных способов работы.
 
🎯 От обнаружения теневого ИИ – к корпоративному управлению
 
Раньше вопрос звучал так: как сделать скрытое использование ИИ видимым, не вытеснив его ещё глубже запретами.
 
Теперь появляется следующий уровень: что делать с этой видимостью на уровне корпоративного управления.
 
Если ИИ уже влияет на данные, процессы и решения, его использование должно быть связано со стратегией, риск-аппетитом, ответственностью и контролем.
 
Теневой ИИ становится проблемой совета директоров не потому, что совет должен контролировать технологии, а потому, что технология уже меняет способы принятия решений внутри компании.