ИСО: Опубликованы новые стандарты системы менеджмента комплайнса

Ранее я уже рассказывала (см. http://rusrim.blogspot.com/2021/06/iso-373012021.html ) о публикации в апреле 2021 года стандарта ISO 37301:2021 «Системы менеджмента комплайнса – Требования и руководство по применению» (Compliance management systems - Requirements with guidance for use, см. https://www.iso.org/standard/75080.html и https://www.iso.org/obp/ui/#!iso:std:75080:en ), подготовленного техническим комитетом ИСО TC 309 «Стратегическое управление организациями» (Governance of organizations).

Позднее, в феврале 2024 года, была опубликована поправка к данному стандарту, отразившая вопросы, связанные с изменением климата - ISO 37301:2021/Amd 1:2024 «Системы менеджмента комплайнса – Требования и руководство по применению – Поправка 1: Изменения, касающиеся борьбы с изменением климата» (Compliance management systems - Requirements with guidance for use - Amendment 1: Climate action changes), см. https://www.iso.org/obp/ui/en/#iso:std:iso:37301:ed-1:v1:amd:1:v1:en 

В августе 2025 года сайт Международной организации по стандартизации (ИСО) сообщил о публикации двух новых стандартов системы менеджмента комплайнса, также разработанных техническим комитетом ИСО TC 309 «Стратегическое управление организациями» (Governance of organizations):

Стандарт ISO 37302:2025 «Системы менеджмента комплайнса – Руководство по оценке эффективности» (Compliance management systems - Guidance for the evaluation of effectiveness) объёмом 50 страниц, см. https://www.iso.org/standard/37302 и https://www.iso.org/obp/ui/en/#!iso:std:75081:en .

Во вводной части документа отмечается:

Что представляет собой стандарт ISO 37302?

Стандарт ISO 37302 предоставляет концептуальную основу для оценки эффективности системы менеджмента комплайнса (т.е. исполнения законодательно-нормативных и иных установленных требований) – compliance management system, CMS. 

Стандарт включает принципы, индикаторы и рекомендации, помогающие организациям вести мониторинг, измерять и анализировать эффективность работы их систем менеджмента комплайнса. Стандарт разработан таким образом, чтобы поддерживать постоянное совершенствование и повышения уровня соответствия требованиями во всех сферах оперативной деятельности.

Чем важен стандарт ISO 37302?

Эффективная система менеджмента комплайнса помогает организациям исполнять законодательно-нормативные требования, соблюдать стандарты этики и укреплять доверие заинтересованных сторон. Стандарт ISO 37302 предлагает структурированный подход к оценке того, насколько хорошо функционирует система менеджмента комплайнса, к выявлению областей для улучшения и к обеспечению того, чтобы исполнение законодательно-нормативных требований стало частью корпоративной культуры организации.

Преимущества стандарта:

• Помогает организациям измерять эффективность своих систем менеджмента комплайнса,
  
  
• Поддерживает постоянное совершенствование и подотчётность,
  
  
• Способствует интеграции комплайнса в культуру и повседневную деятельность организации,
  
  
• Соответствует стандарту ISO 37301 и поддерживает единообразные международные практики,
  
  
• Способствует укреплению доверия регулирующих органов, заинтересованных сторон и общественности.

Содержание документа следующее:

Предисловие.
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Общие принципы
5. Методология оценки
6. Критерии оценки
7. Процесс оценки
Приложение A: Схема концептуальной структуры используемых при оценке индикаторов

Стандарт ISO 37303:2025 «Системы менеджмента комплайнса – Руководство по менеджменту компетенций» (Compliance management systems - Guidance for competence management) объёмом 26 страниц, см. https://www.iso.org/standard/37303 и https://www.iso.org/obp/ui/en/#!iso:std:75076:en .

Во вводной части документа отмечается:

Что представляет собой стандарт ISO 37303?

Стандарт ISO 37303 предоставляет рекомендации по выявлению и развитию компетенций, необходимых для поддержки эффективной системы менеджмента комплайнса. Он помогает организациям формировать и поддерживать штат сотрудников, обладающих необходимыми знаниями, навыками, компетенциями и опытом для исполнения законодательно-нормативных и иных установленных требований, а также для формирования сильной культуры комплайнса.

Чем важен стандарт ISO 37303?

Компетенции играют ключевую роль в функционирующей и надёжной системе менеджмента комплайнса. Стандарт ISO 37303 помогает организациям выявлять необходимые компетенции для исполнителей внутренних ролей и для третьих сторон, обеспечивая, что в центре внимания деятельности в сфере комплайнса находятся не только правила, но и кадры, которые понимают, внедряют и эффективно поддерживают исполнение этих правил.

Преимущества стандарта:

• Помогает обеспечить соответствие компетенций персонала целям менеджмента комплайнса,
  
  
• Поддерживает сильную культуру менеджмента комплайнса в организации,
  
  
• Повышает эффективность и надежность системы менеджмента комплайнса,
  
  
• Может быть интегрирован со стандартом ISO 37301 и другими системами менеджмента,
  
  
• Способствует повышению производительности, улучшению подотчетности и результатов обучения.

Содержание документа следующее:

Предисловие.
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Управление компетенциями
5. Развитие компетенций
6. Оценка программы менеджмента компетенций
Приложение A: Портфель компетенций
Библиография

Также в комитете TC 309 продолжается работа над следующими стандартами:

ISO/CD 37304 «Системы менеджмента комплайнса – Требования к органам, проводящим аудит и сертификацию систем менеджмента комплайнса» (Compliance management systems - Requirements for bodies providing audit and certification of compliance management systems), см. https://www.iso.org/standard/75083.html 

Как отмечается во вводной части, «В настоящем документе рассматриваются дополнительные требования, необходимые для проведения аудита систем менеджмента комплайнса. Он охватывает процесс планирования, первоначальную сертификацию, проведение аудитов, продолжительность аудита и т.д.»

ISO/CD 37401 «Системы менеджмента многообразия — Требования и руководство по применению» (Diversity management systems — Requirements with guidance for use), см. https://www.iso.org/standard/88208.html 

Во вводной части отмечается:

«В настоящем документе определены требования и представлены рекомендации по формированию, разработке, внедрению, оценке, поддержанию и совершенствованию эффективной системы менеджмента многообразия (diversity) в организации. 

В стандарте показано, как стратегическое управление может связать многообразие с получение полезной отдачи и решением задач. 

В данном документе рассматриваются следующие аспекты разнообразия: возраст, пол, степень ограниченности возможностей, этническая принадлежность, жизненная позиция, культурные корни, классовая принадлежность, гендерная идентичность и сексуальная ориентация, различия в образовании, опыте, компетенциях, интересах и семейном положении. Инклюзивность (inclusion) является элементом концепции менеджмента многообразия. 

Данный документ применим в организациях всех типов, в органах, группах и командах, вне зависимо от их размера, организационной структуры или сектора; как в частных, так и в государственных; как в рамках взаимоотношений работодатель-сотрудник, так и за их пределами. 

Стандарт применим для менеджмента многообразия в регионе, стране или сообществе, а также к волонтёрской работе.»

Источники: сайт ИСО
https://www.iso.org/obp/ui/en/#iso:std:iso:37301:ed-1:v1:amd:1:v1:en
https://www.iso.org/standard/37302 
https://www.iso.org/obp/ui/en/#!iso:std:75081:en
https://www.iso.org/standard/37303 
https://www.iso.org/obp/ui/en/#!iso:std:75076:en 
https://www.iso.org/standard/75083.html
https://www.iso.org/standard/88208.html

Энди Поттер: Как компании могут использовать стандарты для инноваций и роста

Данный пост эксперта в области управления электронными документами, эксперт ИСО от США и сотрудника компании MetaArchivist Consulting Энди Поттера (Andy Potter - на фото) был опубликован 5 марта 2025 года в социальной сети LinkedIn в учётной записи технического подкомитета ИСО TC46/SC11 «Управление документами».

Мы, как специалисты по работе с информацией, должны продвигать переход от ориентированного на исполнение законодательно-нормативных требований управления документами к управлению документами, ориентированному на получение деловой отдачи.

В условиях эволюционирующего цифрового ландшафта преуспеют те организации, которые будут рассматривать стандарты не как ограничения, а как описания возможных направлений инноваций и роста. Мы должны спросить себя: занимаемся ли мы просто соблюдением установленных правил или же используем стандарты для формирования более умной и гибкой информационной среды?

Мой комментарий: В своём посте Энди Поттер дал ссылку на опубликованный им для компании MetaArchivist Consulting ( https://metaarchivist.com/ ) 3-страничный аналитический отчёт «Не только соблюдение законодательно-нормативных требований: Как компании могут использовать стандарты для инноваций и роста» (Beyond Compliance: How Businesses Can Leverage Standards for Innovation and Growth), см. https://www.linkedin.com/posts/apotter_value-driven-records-management-activity-7303141503323783168-J3EP . Ниже приведен перевод ключевых разделов этого отчёта.

Преодоление препятствий на пути внедрения

Несмотря на названные преимущества, многие организации не решаются пойти на то, чтобы полностью интегрировать стандарты управления документами в своё стратегическое планирование. Препятствия для этого хорошо знакомы: отсутствие поддержки со стороны высшего руководства, сопротивление изменениям и ошибочное представление о том, что достаточно простого соблюдать существующие законодательно-нормативные требования. Специалисты по работе с информацией должны выступать в качестве пропагандистов, демонстрируя движимое стремлением получить деловую отдачу воздействие хорошо управляемых документов.

1. Сдвиг в мышлении организаций

• Вовлекайте руководство, показывая ему, каким образом управление документами снижает затраты, повышает эффективность и даёт деловую отдачу;
  
  
• Представляйте деятельность по управлению документами как инструмент, способствующий принятию стратегических решений, а не как исполнение требований законодательства.

2. Инвестирование в подходящие технологии

• Используйте ИИ и машинное обучение для интеллектуальной классификации и поиска;
  
  
• Внедряйте блокчейн для обеспечения неизменности документов и доверия к цифровым транзакциям;
  
  
• Обеспечьте соответствие используемых для управления документами облачных решений международным стандартам, чтобы избежать зависимости от поставщика.

3. Формирование культуры стратегического управления информацией

• Развивайте сотрудничество между представителями различных профессий и подразделений - между специалистами по управлению документами, ИТ-специалистами, юридическими службами и службами комплайнса;
  
  
• Встраивайте стандарты управление документами в корпоративные стратегии управления рисками и обеспечения непрерывности деловой деятельности;
  
  
• Отдавайте приоритет непрерывному обучению и повышению квалификации для поддержания вовлечённости людей.

Призыв к действию: Станьте лидерами перехода на ориентированное на деловую отдачу управление документами

Мы, как специалисты по работе с информацией, должны продвигать переход от ориентированного на исполнение законодательно-нормативных требований управления документами к управлению документами, ориентированному на получение деловой отдачи. В условиях эволюционирующего цифрового ландшафта преуспеют те организации, которые будут рассматривать стандарты не как ограничения, а как описания возможных направлений инноваций и роста. Мы должны спросить себя: занимаемся ли мы просто соблюдением установленных правил или же используем стандарты для формирования более умной и гибкой информационной среды? Предпринимая упреждающие шаги, - оценивая текущие практики, выявляя пробелы и внедряя стратегические улучшения, - мы можем добиться того, чтобы управление документами служило не только интересам аудиторов, но и выполнению в более широком плане миссии наших организаций.

Контрольный список для практической деятельности: Внедрение ориентированного на получение деловой отдачи подхода к использованию стандартов

• Оцените текущее состояние своей программы управления документами: Выявите неэффективности и пробелы в исполнении законодательно-нормативных требований,
  
  
• Согласуйте управление документами с целями деловой деятельности: Свяжите стратегическое управление информацией со стратегией организации,
  
  
• Инвестируйте в интеллектуальные / «умные» технологии: Автоматизируйте классификацию, поиск / извлечение и обеспечение безопасности,
  
  
• Вовлекайте руководство и объединенные группы нескольких подразделений: Развивайте культуру стратегического управления, а не только лишь исполнения законодательно-нормативных требований,
  
  
• Мониторинг и непрерывное совершенствование: Регулярно проводите аудит и совершенствуйте процессы, чтобы идти в ногу с эволюционирующими стандартами.

 Будущее управления документами заключается лежит в его стратегическом применении. Давайте выйдем за рамки исполнения законодательно-нормативных требований и воспримем стандарты как инструменты осуществления инноваций, повышения эффективности и обеспечения долгосрочного успеха.

Энди Поттер (Andy Potter)

Источник: сайт LinkedIn
https://www.linkedin.com/posts/apotter_value-driven-records-management-activity-7303141503323783168-J3EP

Интервью с автором: Уильям Саффади об исполнении установленных требований, связанных с информацией

Данная заметка доцента Университета центрального Миссури (University of Central Missouri) д-ра Лорен Хейс (Lauren Hays – на фото) была опубликована 6 июня 2023 года на сайте компании Lucidea.

Уильям Саффади (William Saffady) - независимый консультант и исследователь в области управления документами и стратегического управления информацией (information governance). Он является автором более трёх дюжин книг и множества статей по вопросам управления документами, хранения документов в течение установленных сроков, технологий хранения и извлечения документов и по другим темам управления информацией.

Мой комментарий: На блоге в свое время были выложены переводы двух статей Уильяма Саффади, см. http://rusrim.blogspot.com/2019/02/1_26.html и http://rusrim.blogspot.com/2019/12/1.html

Последняя из написанных им книг называется «Исполнение установленных требований, связанных с информацией: Фундаментальные концепции и передовые практики» (Information Compliance: Fundamental Concepts and Best Practices). Она выйдет в издательстве Rowman & Littlefield в июне 2023 года (см.  https://rowman.com/ISBN/9781538167663/Information-Compliance-Fundamental-Concepts-and-Best-Practices - для доступа может потребоваться VPN/анонимайзер – Н.Х.). Ниже приводится взятое мной у Уильяма Саффади интервью по поводу этой книги.

1. Не могли бы Вы кратко резюмировать содержание книги «Исполнение установленных требований, связанных с информацией: Фундаментальные концепции и передовые практики»?

В книге дан обзор и объяснение нормативно-правовых и иных подлежащих исполнению требований в отношении создания, сбора, хранения, отслеживания сроков хранения, поиска и извлечения, раскрытия, защиты и владения информацией.

В то время как тема исполнения требований (соответствия) в целом обсуждается в тысячах книг, журнальных статей, докладов на конференциях, на многочисленных веб-сайтах и в других источниках, - лишь немногие публикации рассматривают именно специфические требования, относящиеся к информации; а те, которые это делают, как правило, рассматривают только нормативно-правовые требования.

В данной книге используется более широкий подход, признающий всю сложность вопроса о соблюдении установленных требований к информации. В книге обсуждаются обязательные для исполнения требования, которые установлены в законах, в нормативных актах, в контрактах, стандартах, отраслевых нормах, а также в кодексе поведения организации и иных внутренних политиках. Также рассматривается принятие организацией во внимание   социальных и экологических проблемных вопросов, на которые влияют имеющие отношение к информации политики и практики организации.

2. Почему Вы решили написать эту книгу?

Когда я впервые начал работать в сфере управления документами в начале 1970-х годов, в профессиональной практике упор делался на сокращение объёмов устаревшей информации с тем, чтобы сократить количество занимаемых неактивными документами ценных офисных площадей. Именно благодаря этому в 1950-х годах управление документами приобрело известность как профессиональная дисциплина.

Переход на электронные документы в практически положил конец этому образу мыслей. В настоящее время проявляется намного меньший интерес к отслеживанию сроков хранения документов и выполнении по их истечении установленных действий как к методологии экономии места. За последние несколько десятилетий акцент сместился на обеспечение того, чтобы информация сохранялась в течение времени, необходимого для исполнения законодательно-нормативных требований.

Эту тенденцию я наблюдаю каждый день в своей консультационной практике. Законодательно-нормативные требования к хранению и уничтожению информации являются наиболее широко обсуждаемыми проблемами исполнения установленных требований, - но они не единственные.

Организация может быть обязана по контракту хранить или уничтожать информацию в определенных ситуациях. Стандарты и нормы содержат указания по соблюдению требований в отношении информации, поддерживаемой определенными отраслями и профессиями. Во многих организациях кодексы поведения требуют соблюдения внутренних политик хранения и уничтожения информации. И, наконец, внутренние политики организации могут принимать во внимание требования, на соблюдении которых настаивает общество. Это соответствует идеям так называемому «движения ESG», которое призывает организации учитывать экологические, социальные и управленческие соображения (отсюда сокращение ESG – Н.Х.) в своих деловых инициативах.

3. Как связаны управление информационными рисками и исполнение установленных требований в отношении информации?

Исполнение установленных требований (комплаенс) является одним из компонентов так называемой GRC-структуры (сокращение от governance, risk, compliance – Н.Х.), которая объединяет три широко обсуждаемых элемента организационной стратегии, а двумя другими являются стратегическое управление и риск.

Обязанности служб комплаенса и управления рисками тесно взаимосвязаны. Комплаенс касается приверженности организации исполнению как законодательно-нормативных, так и иных обязательных требований. Управление рисками имеет дело с неблагоприятными последствиями неисполнения требований. Неисполнение установленных требований подвергает организацию риску штрафов, взысканий и иных дисциплинарных мер, которые обходятся организации дорого и нарушают нормальный ход определенных деловых операций. Несоблюдение законодательно-нормативных требований может также привести к усилению контроля со стороны государственных органов и, в самых крайних случаях, к уголовному преследованию.

Следует отметить, что данная книга написана в качестве дополнения к моей книге «Управление информационными рисками: Угрозы, уязвимости и реагирование» (Managing Information Risks: Threats, Vulnerabilities, and Responses), которая была опубликована издательством Rowman and Littlefield в 2020 году.

4. Кто является целевой аудиторией книги?

Книга предназначена для специалистов по комплаенсу, стратегическому управлению информацией, управлению (менеджменту) рисками; для юристов, специалистов по управлению документами, ИТ-руководителей и других принимающих решения лиц; и для аналитиков, которым необходимо понимать и соблюдать законодательно-нормативные и иные требования, применимые к информационным активам организации. .

Книгу также можно использовать в качестве учебника в колледжах и университетах, которые предлагают курсы по комплаенсу, управлению рисками, стратегическому управлению информацией, управлению документами и смежным темам на уровне магистратуры или продвинутого бакалавриата.

В частности, книга может быть полезна для учебной программы, которая сочетает тему исполнения требований с вопросами стратегического управления информацией, информационных рисков, управления документами, информатики, медицинской информатики и других связанных с информацией дисциплин.

5. Что, по-Вашему мнению, читатели смогут вынести из этой книги?

Исполнение законодательно-нормативных и иных установленных требований (комплаенс) — это многогранное понятие, которая затрагивает все аспекты обработки информации и управления ею: создание и сбор информации; установление сроков хранения, хранение информации в течение этих сроков и её последующее уничтожение либо передача в другую организацию или на архивное хранение; хранение и обеспечение долговременной сохранности информации; доступ к информации и её раскрытие; обеспечение безопасности и защиты информации; а также права собственности на информацию.

6. Какие Вы ожидаете в будущем изменения в сфере исполнения требований, установленных в отношении информации?

Изменения в законодательстве влекут за собой появление новых требований, которые необходимо соблюдать. Растёт интерес к экологическим и социальным вопросам, которые влияют на связанные с информацией операции и виды деятельности. По большей части эти соображения связаны с вопросами этики и устойчивого развития.

Лорен Хейс (Lauren Hays)

Источник: сайт компании Lucidea
https://lucidea.com/blog/interview-with-the-author-william-saffady-on-information-compliance/

Обязательные для исполнения требования к управлению документами в сравнении с тем, что происходит на самом деле: Что теряется в процессе?

Данный пост австралийского специалиста в области управления документами и информацией Карла Мелроуза (Karl Melrose – на фото) был опубликован 19 июля 2022 года на его блоге Meta-IRM (Мета-управление информацией и документами)

Есть установленные требования к управлению документами, которым нужно соответствовать - и есть то, что происходит в реальном мире.

Эти требования гласят, например, что «всё, что Вы используете, является документами» и что документы «должны храниться в официально одобренной системе управления документами» - и всё же мы знаем, что лишь небольшой процент всех документов когда-либо попадает в официально одобренную систему управления документами.

На практике мы знаем, что подобное требование смехотворно, и так продолжается уже 20 лет. Причина проста: сказать, что некоторые из требований к управлению документами, с которыми мы работаем, нереалистичны - значит сильно преуменьшить проблему.

Последствия этого огромны.

Люди тратят свои жизни и огромное количество энергии, толкая свою организацию к тому, что эта организация просто не видит необходимости делать, и в чём для неё нет никакой отдачи.

Это трагедия эпических масштабов, потому что всё это время и энергия сотрудников могли были быть потрачены на усилия, направленные на повышение качества тех документов, которые они создают и с которыми работают каждый день.

Это ставит всех в ужасное положение.

С одной стороны, у нас есть нормы и правила, которые необходимо исполнять - даже если никто никогда не придёт, чтобы проконтролировать соблюдение; и при этом наши организации этого не хотят.

С другой стороны, польза, которую мы могли бы принести нашим организациям [если бы вместо этого занялись качеством документов – Н.Х.], огромна.

Документы действительно являются «валютой» в большинстве наших организаций, а также основным фактором, определяющим, насколько хорошо мы оказываем осмысленные услуги нашей публике.

Таким образом, выбор, как правило, состоит в следующем: либо обеспечивать соответствие установленным требованиям, либо приносить пользу - и при этом всё время беспокоиться о том, что однажды нас могут привлечь к ответственности за создание, использование и продвижение методов работы, которые не в полной мере отвечают всем требованиям.

Как Вы справляетесь с этой проблемой?

Карл Мелроуз (Karl Melrose)

Источник: блог Meta-IRM
https://metairm.substack.com/p/records-compliance-standards-vs-what

Когда исполнение законодательно-нормативных требований становится важным аспектом Вышей программы управления документами?

Данный пост австралийского специалиста в области управления документами и информацией Карла Мелроуза (Karl Melrose – на фото) был опубликован 18 февраля 2022 года на его блоге Meta-IRM (Мета-управление информацией и документами).

Когда исполнение законодательно-нормативных требований становится важным аспектом Вышей программы управления документами? Я полагаю, что есть две ситуации:

• Когда штрафы за несоблюдение законодательно-нормативных требований перевешивают расходы на их исполнение; и
  
  
• Когда изменения, необходимые для соответствия стандарту соответствия, не вызовут негативных побочных эффектов, которые перевесят любую достигнутую выгоду.

Мой комментарий: Лично я добавила бы и третью ситуацию, характерную для государственных органов и учреждений: когда исполнение законодательно-нормативных требований является важнейшим направлением деятельности службы управления документами, за которое руководитель службы несёт серьёзную персональную ответственность.

Ключевая проблема для всех тех из нас, кто работает с государственными документами, заключается в том, что положения законов о документах и архивах невозможно привести в исполнение [ввиду отсутствия в законодательстве соответствующих мер принуждения – Н.Х.] – и именно поэтому их исполнение никогда не обеспечивалось.

Это означает, что законодательство никогда не предоставит достаточно большую «дубинку», которая позволяла бы заставлять органы исполнительной власти систематически тратить средства на обеспечение соответствия, либо уволить за несоблюдение.

Если Вам нужен сравнительный пример, чтобы понять, что я имею в виду, - если главы органов исполнительной власти лишь на словах уважают законодательство по вопросам управления документами, то ни один банк никогда больше не посмеет только на словах придерживаться требований AUSTRAC.

Мой комментарий: Австралийский центр отчетности и анализа транзакций (Australian Transaction Reports and Analysis Centre, AUSTRAC) - это орган финансовой разведки правительства Австралии, который отвечает за мониторинг финансовых транзакций с целью выявления случаев отмывания денег, финансирования организованной преступности, уклонения от уплаты налогов, мошенничества с социальными пособиями и финансирования терроризма. (Источник: Википедия, https://en.wikipedia.org/wiki/Australian_Transaction_Reports_and_Analysis_Centre )

В отсутствие эффективного правоприменения, стандарты соответствия в большей степени представляет собой проблему, не принося какой-либо пользы. Лично я считаю, что они причинили больше вреда управлению документами в государственных органах, чем какой-либо иной аспект программ управления документами.

Архивные учреждения ведут себя так, как если бы они были согласны с такой точкой зрения. Они не говорят об этом прямо, но в течение последних нескольких лет они усердно понижали планки и стандарты соответствия  - требуя меньше метаданных, меньше статей в перечнях документов с указанием сроков хранения, использование самосертификации и т.д.

Проблема в том, что они более 25 лет твердили о том, что «необходимо соответствовать этим стандартам» - и пока ещё не сделали шаг к тому, чтобы сказать: «нашей целью является не исполнение законодательно-нормативных требований как таковое; мы хотим видеть непрерывную восходящую траекторию роста качества информации и документов – рассматривая соответствие требованиям законодательства как то, к чему нужно стремиться, но только если достижение этой цели имеет смысл».

Проблема использования любой метрики (что как раз и представляет собой соответствие законодательно-нормативным требованиям) заключается в том, что в конце концов люди забывают о том, почему важно то, что измеряет метрика, - и просто сосредотачиваю усилия на достижении заданных показателей метрики. Этот принцип хорошо изучен и даже имеет своё название - закон Гудхарта (Goodharts – об этом законе также см. Википедию, https://ru.wikipedia.org/wiki/Закон_Гудхарта - Н.Х.).

Еще одна вещь, о которой говорит закон Гудхарта, заключается в том, что, когда люди всё своё внимание сосредотачивают на показателях метрики, они будут оптимизировать свою деятельность ради их достижения, вне зависимости от последствий.

Так стоит ли удивляться тому, что у нас есть соответствующие требованиям документные системы, которые, как правило, используются очень мало? Мы сфокусировали внимание на соответствии, а не на использовании – но можно утверждать, что всё самое важное связано как раз с использованием.

Настоящей катастрофой является то, что, сосредоточившись на исполнении законодательно-нормативных требований, мы упустили возможность провести учитывающие нюансы и особенности, содержательные диалоги об уместных уровнях качества информации и о влиянии различных уровней на эффективность и подотчётность.

Внедрив стандарт соответствия в начале своего пути, всё, что мы сделали - это прокляли сами себя и обрекли себя на то, чтобы многие годы заниматься проблемами создания и поддержки системы, которая является чересчур зрелой для её использования людьми.

Со стандартом соответствия всё было бы отлично, если бы наш регулирующий орган обладал полномочиями уровня AUSTRAC и использовал их. Но это не так.

Таким образом, внедряя стандарт соответствия, мы не получаем того, чего хотели, - и также не получают желаемого наши регулирующие органы.

Вместо устойчивой восходящей траектории качества и результатов мы имеем серию безнадежных действий, финансируемых лишь тогда, когда орган исполнительной власти оказывается в кризисе – серию, которая неизбежна, поскольку финансирование неизменно прекращается по завершении кризиса, что неизбежно приводит к следующему кризису.

Таким образом, все факты указывают на то, что акцент на соблюдение законодательно-нормативных даёт для нас суммарный негативный эффект.

Так почему же мы продолжаем фокусировать свой внимание на этом соответствии?

Карл Мелроуз (Karl Melrose)

Мой комментарий: К сказанному Карлом я бы хотела добавить то, что исполнение законодательно-нормативных требований может быть весьма полезно, когда эти требования разумны - уместны, соразмерны и актуальны.

Во многом вследствие быстрых перемен в государстве, обществе, законодательстве и технологиях, сегодня, к сожалению, сплошь и рядом от нас требуют исполнения как давно устаревших требований, соответствие которым равносильно вредительству; так и исполнения непродуманных и непроверенных новых требований, придуманных малокомпетентными людьми с ограниченным кругозором, которые обычно не несут никакой ответственности за последствия своего законотворчества …

Источник: блог Meta-IRM
https://metairm.substack.com/p/when-should-compliance-be-a-factor 

ИСО: Опубликован стандарт ISO 37301:2021 «Системы менеджмента комплайнса – Требования и руководство по применению»

Как я уже не раз отмечала, бизнес-стратегия Международной организации по стандартизации (ИСО) во многом сводится к лозунгу «даёшь больше систем менеджмента, хороших и разных!» - и вот они плодятся и плодятся без конца, хотя по-настоящему «дойной коровой» стали очень немногие из них…

Итак, в апреле 2021 года сайт ИСО сообщил о публикации стандарта ISO 37301:2021 «Системы менеджмента комплайнса – Требования и руководство по применению» (Compliance management systems - Requirements with guidance for use) объёмом 50 страниц, см. https://www.iso.org/standard/75080.html и https://www.iso.org/obp/ui/#!iso:std:75080:en . Стандарт подготовлен техническим комитетом ИСО TC 309 «Стратегическое управление организациями» (Governance of organizations).

Хотя в каталоге ИСО стандарт помечен как «1-я редакция», на самом деле он пришёл на замену стандарту ISO 19600:2014 «Система менеджмента комплайнса – Руководство» (Compliance management systems – Guidelines), о котором я упоминала здесь:  http://rusrim.blogspot.com/2014/02/blog-post_2207.html

Во вводной части документа, в частности, отмечается:

«В настоящем документе установлены требования и даны рекомендации по созданию, разработке, внедрению, оценке, поддержанию и совершенствованию эффективной системы менеджмента комплайнса (обеспечения исполнения законодательно-нормативных и иных установленных требований) внутри организации.

Настоящий документ применим в любых организация независимо от их типа, размера и характера деятельности, а также от того, принадлежит ли организация к государственному, частному или некоммерческому сектору.

Все указанные в настоящем документе требования, в которых упоминается «руководящий орган», в тех случаях, когда в организации нет такого органа в качестве отдельной структуры. применяются в отношении высшего руководства».

Содержание документа следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Условия деятельности (контекст) организации
5. Лидерство
6. Планирование
7. Поддержка
8. Оперативное использование
9. Оценка эффективности и продуктивности
10. Совершенствование
Приложение A: Руководство по применению настоящего документа  
Библиография

Источник: сайт ИСО
https://www.iso.org/standard/75080.html
https://www.iso.org/obp/ui/#!iso:std:75080:en