Наиболее заметными изменениями стали:

1. включение в раздел Политики, касающийся возможностей организации по расследованию нарушений, вопросов об использовании сотрудниками личных электронных устройств и платформ обмена сообщениями;

2. дополнение Политики подразделом, в котором рассматриваются вопросы выплаты компенсаций лицами, замешанными в коррупционных нарушениях, и принятия мер по исправлению последствий нарушений.

Каналы коммуникаций

Что касается каналов коммуникаций, которые сотрудники компании используют в рамках реализации ее бизнес-функций, прокурорам предлагается при оценке комплаенс-программы организации анализировать политику и процедуры, регулирующие использование персональных устройств, коммуникационных платформ и приложений для обмена сообщениями, включая приложения для обмена «эфемерными» (исчезающими после просмотра) сообщениями.

Как отмечено в документе, политика, регулирующая использование таких приложений, должна соответствовать профилю риска организации и конкретным деловым потребностям и обеспечивать возможность, когда это требуется, в максимально возможной степени обеспечивать доступность и сохранность электронных данных и сообщений, связанных с бизнесом. В частности, прокуроры должны учитывать следующие факторы:

1. Каналы коммуникации:

• Какие электронные каналы коммуникации компания и ее сотрудники используют или могут использовать для ведения бизнеса?
• Меняется ли подход к этому вопросу в зависимости от юрисдикции, в которой компания ведет деятельность, и реализуемой бизнес-функции и почему?
• Какие механизмы компания создала для управления и сохранения информации, создаваемой в рамках каждого из этих электронных каналов коммуникации?
• Какие настройки сохранения или удаления информации доступны каждому сотруднику по каждому каналу коммуникации, и какие требования предусматривает политика компании в отношении каждого из них? Каково обоснование подхода компании к определению того, какие каналы связи и настройки разрешены?

2. Политики:

• Какие политики и процедуры существуют для обеспечения хранения данных, полученных в процессе коммуникации, и других данных с заменяемых устройств?
• Какие релевантные положения предусмотрены кодексом поведения, законами или политиками в области конфиденциальности, безопасности и занятости в части регулирования возможностей организации обеспечивать безопасность или контролировать/получать доступ к связанным с бизнесом коммуникациям?
• Действует ли в компании политика «принеси свое устройство» (BYOD), каковы ее положения, регулирующие сохранение и доступ к корпоративным данным и полученной в рамках бизнес-коммуникаций информации, хранящейся на личных устройствах сотрудников, включая данные, содержащиеся в платформах обмена сообщениями, и каково обоснование этой политики?
• Как применяются и соблюдаются политики компании в отношении хранения данных и делового поведения в контексте использования персональных устройств и приложений для обмена сообщениями?
• Позволяют ли политики организации проверять деловые коммуникации в случае BYOD и/или в приложениях для обмена сообщениями?
• Какие исключения или ограничения этих политик разрешены в организации?
• Если в компании существует политика в отношении того, должны ли сотрудники переносить сообщения, данные и информацию с личных устройств или приложений для обмена сообщениями в системы учета компании, чтобы сохранить их, соблюдается ли она на практике и как она обеспечивается?

3. Управление рисками:

• Каковы последствия для сотрудников, отказывающихся предоставлять компании доступ к каналам бизнес-коммуникаций?
• Применяла ли когда-либо компания соответствующие меры на практике?
• Применяла ли компания дисциплинарные взыскания к сотрудникам, которые не соблюдают политику или требование предоставить компании доступ к этим каналам коммуникаций?
• Влияло ли каким-либо образом использование персональных устройств или приложений для обмена сообщениями – включая приложения для обмена исчезающими сообщениями – на комплаенс-программу организации или ее способность проводить внутренние расследования или отвечать на запросы правоохранительных или регулирующих органов?
• Как организация управляет безопасностью и осуществляет контроль над каналами коммуникаций, используемыми для ведения деятельности организации?
• Является ли подход организации к разрешению и управлению каналами коммуникаций, включая политику BYOD и использование приложений для обмена сообщениями, разумным в контексте бизнес-потребностей компании и профиля риска?

Следует отметить, что положения, касающиеся использования персональных устройств и сторонних приложений, в качестве одного из направлений оценки комплаенс-программы организации появились в ведомственных документах Минюста еще в прошлом году – в Меморандуме заместителя Генерального прокурора США Лизы О. Монако «Дальнейшие изменения политики корпоративного уголовного правоприменения по итогам обсуждения с Консультационной группой по корпоративным преступлениям».

Однако, как отмечают эксперты, ни Политика, ни Меморандум не дают четкого ответа о том, ожидает ли Министерство юстиции, что компании будут проверять личные устройства сотрудников и приложения для обмена сообщениями. Этот вопрос остается открытым и, как видится, сопряжен с серьезными рисками нарушения конфиденциальности.

Компенсации и исправление последствий

Подраздел Политики «Стимулирующие и дисциплинарные меры» был переименован в «Компенсационные структуры и управление последствиями» и дополнен положениями, касающимися:

1. компенсаций – в частности, согласно обновленному документу, прокурорам рекомендуется рассматривать вопрос о том, стимулировала ли компания соблюдение нормативных требований путем разработки системы компенсации, предусматривающей выплату или отсрочку компенсации в зависимости от соответствия поведения сотрудников ценностям и политике компании. Например, некоторые компании, как отмечено в Политике, вносят в контракты положения, позволяющие компании вернуть ранее присужденную компенсацию, если выясняется, что получатель такой компенсации участвовал в корпоративных правонарушениях или несет за них иную ответственность. Кроме того, прокуроры могут проанализировать, приняла и обеспечивает ли компания соблюдение положений о возмещении ущерба или сокращении компенсации в связи с нарушениями или неправомерными действиями;

2. исправления причин и последствий нарушений – в частности, прокурорам предлагается ответить на такие вопрос:

• Как компания на практике обеспечила эффективное управление последствиями нарушений комплаенс-программы?
• Какие выводы можно сделать на основе данных о функционировании «горячей линии» компании в части комплаенс-культуры и работы с сообщениями о нарушениях?
• Как соотносятся показатели обоснованности раскрытой информации по аналогичным типам сообщений о нарушениях в компании (между двумя или более различными штатами, странами или департаментами) или по сравнению с аналогичными компаниями, если известно?
• Проводила ли компания анализ первопричин в тех областях, в которых поступает больше/меньше сообщений об определенных видах нарушений?
• Каково среднее время завершения расследований, проводимых по сообщениям, полученным по «горячей линии», и какие меры ответственности подразделение принимает в случае, если расследования происходят непоследовательно?
• Какой процент компенсации, назначенной руководителям, уличенным в неправомерных действиях, подлежал отмене или возмещению в связи с нарушением этических норм?
• Принимая во внимание соответствующие законы и локальные особенности регулирования соответствующих частей компенсационной схемы, как организация пыталась обеспечить соблюдение нормативных требований или наказать за нарушение этических норм?
• На какую сумму компенсации фактически повлияла (положительно или отрицательно) деятельность по соблюдению комплаенс-программы?

На практике, однако, реализация предлагаемых Минюстом изменений, касающихся компенсаций, как отмечают эксперты, также может быть сопряжена с определенными сложностями или вовсе нецелесообразна. В частности, правовой режим в разных странах может по-разному воспринимать идею возврата сотрудником всей или части обещанной, заработанной или присужденной компенсации, а бремя доказывания в таких ситуациях, несомненно, ляжет на компанию, создавая для нее дополнительные трудности.

Иные положения

Обновленная Политика содержит и ряд иных дополнений, в том числе:

• в подразделе «Доступность» раздела «Политики и процедуры»: Опубликованы ли [антикоррупционные] политики и процедуры организации в доступном для поиска формате для удобства поиска? Отслеживает ли компания доступ к различным политикам и процедурам, чтобы понять, какие из них привлекают больше внимания соответствующих сотрудников?
• в подразделе «Форма/Содержание/Эффективность обучения» раздела «Обучение и коммуникации» –  Существует ли процедура, предусматривающая возможность сотрудников, лично или онлайн, задавать вопросы, возникающие в связи с обучением?  Проводила ли компания оценку того, в какой степени обучение влияет на поведение или деятельность сотрудников?
• в подразделе «Эффективность механизмов раскрытия информации» раздела «Структура конфиденциального раскрытия информации и процедура расследования» – Принимает ли компания меры для проверки того, осведомлены ли сотрудники о наличии «горячей линии» и чувствуют ли они себя комфортно, пользуясь ею? 
• в подразделе «Обновления» раздела «Непрерывное совершенствование, периодическое тестирование и контроль» – Проводит ли компания анализ и адаптацию своей комплаенс-программы с учетом извлеченных уроков из собственных неправомерных действий и/или действий других компаний, столкнувшихся с аналогичными рисками?

и некоторые другие.

*Руководство разработано для использования прокурорами Минюста при оценке комплаенс-программ организаций в контексте принятия решения о необходимости вынесения обвинений и наложении санкций, в том числе за нарушения Закона о коррупционных практиках за рубежом (FCPA). Последний раз изменения в документ вносились в 2020 году.