Карта комплаенс-рисков малого бизнеса: как составить и контролировать
Комплаенс-карта — это не папка законов, а рабочий реестр обязательств компании: что требуется, при каком событии, кто отвечает, каким документом подтверждается выполнение и что произойдёт при нарушении. Малому бизнесу достаточно начать с налогов, труда, персональных данных, потребителей, рекламы и специальных требований своей отрасли.
- Что такое комплаенс для малого бизнеса
- Сначала опишите периметр бизнеса
- Структура реестра обязательств
- Восемь направлений для стартовой карты
- Блок персональных данных
- Блок работы с потребителями
- Блок рекламы и маркетинга
- Налоги, контрагенты и трудовые процессы
- Как оценить и приоритизировать риск
- Как распределить ответственность
- Как поддерживать карту в актуальном состоянии
- Ошибки при создании комплаенса
- Чек-лист первой карты
- Вопросы и ответы
Что такое комплаенс для малого бизнеса
Комплаенс — организованное соблюдение внешних требований и внутренних правил. Его практическая цель — не запомнить все законы, а вовремя обнаруживать обязанность, назначать владельца, сохранять доказательство выполнения и реагировать на изменение.
В малой компании функции распределены между директором, бухгалтером, кадровиком, маркетологом, IT-специалистом и подрядчиками. Отсутствие отдельного юриста не отменяет ответственность, а договор с бухгалтерским сервисом не передаёт ему все обязанности руководителя.
Сначала опишите периметр бизнеса
Один и тот же закон создаёт разные обязанности для офиса, интернет-магазина, образовательного центра и производства. До списка рисков соберите карту деятельности:
- организационно-правовая форма и налоговые режимы;
- виды товаров и услуг, лицензии и обязательная маркировка;
- физические точки, склады, сайт и приложения;
- работники, подрядчики, иностранные лица;
- клиенты-физлица и клиенты-организации;
- кассы, эквайринг, наличные и посредники;
- персональные данные и информационные системы;
- реклама, рассылки и публичные площадки;
- опасные работы, оборудование, транспорт и отходы;
- страны поставщиков, покупателей и сервисов.
Риск формулируют через конкретный процесс: не «152-ФЗ», а «заявка на сайте передаёт имя и телефон в CRM и сервис обратного звонка». Тогда становятся видны цель, системы, получатели и ответственный.
Структура реестра обязательств
| Поле | Что записать |
|---|---|
| Процесс и событие | Приём сотрудника, запуск формы, реклама, возврат товара |
| Требование | Конкретное действие, запрет, срок или документ |
| Основание | Норма, официальный сервис или разъяснение |
| Владелец | Должность, которая обеспечивает выполнение |
| Контроль | Проверка, согласование, автоматическое уведомление |
| Доказательство | Запись, отчёт, акт, журнал, версия политики |
| Частота | По событию, ежемесячно, ежегодно |
| Риск | Вероятность, последствия, срочность |
| Статус | Выполнено, разрыв, план исправления |
Не ограничивайтесь ссылкой на закон. Сотруднику нужен проверяемый глагол: зарегистрировать кассу, получить согласование, направить уведомление, выдать документ, удалить данные или обновить реестр.
Восемь направлений для стартовой карты
| Направление | Типовые триггеры | Пример доказательства |
|---|---|---|
| Налоги и учёт | Сделка, выплата, отчётность, новый режим | Первичка, регистр, квитанция приёма |
| Труд и охрана труда | Приём, изменение условий, обучение, инцидент | Договор, приказ, журнал, протокол |
| Персональные данные | Форма сайта, CRM, видеозапись, подрядчик | Политика, основание, реестр обработки |
| Потребители | Продажа физлицу, оферта, претензия, возврат | Информация о товаре, ответ, возврат денег |
| Реклама | Публикация, блогер, рассылка, акция | Макет, договор, маркировка, отчёт |
| Касса и платежи | Расчёт, предоплата, возврат, агентская схема | Чек, отчёт кассы, признак расчёта |
| Лицензии и товарные требования | Новая услуга, категория, импорт | Лицензия, декларация, код маркировки |
| Информация и безопасность | Доступ, подрядчик, инцидент, резервная копия | Матрица доступа, журнал, акт восстановления |
Дополните список отраслевыми блоками: антимонопольные ограничения, финансовый мониторинг, экология, пожарная безопасность, транспорт, медицина, образование или государственные закупки.
Углубите один из блоков комплаенса — взаимодействие с Роскомнадзором
Общий комплаенс охватывает больше направлений, чем один курс. Курс «Взаимодействие с Роскомнадзором: от основ до защиты прав» помогает глубже проработать одну часть карты: персональные данные, документы, проверки и взаимодействие с ведомством.
Блок персональных данных
Начните не с шаблона согласия, а с реестра обработок. Для каждой цели запишите категории людей и данных, основание, источник, операции, системы, получателей, сроки хранения и удаления. Затем сравните фактический процесс с политикой, уведомлением Роскомнадзора и договорами.
Роскомнадзор указывает, что организация, собирающая на сайте данные, по которым можно прямо или косвенно определить человека, является оператором. До начала обработки оператор обычно уведомляет ведомство, кроме предусмотренных законом исключений. См. официальное разъяснение Роскомнадзора.
В карту включите:
- формы сайта и цели каждого поля;
- CRM, телефонию, аналитику и рассылки;
- кадровые данные и доступ сотрудников;
- поручение обработки подрядчикам;
- локализацию и передачу за границу;
- сроки хранения и сценарий удаления;
- порядок ответа субъекту и инцидента;
- регулярную проверку факта против документов.
Отдельно проверьте нейросети: сотрудник может незаметно загрузить в публичный сервис резюме, договор или клиентское обращение. Политика должна перечислять разрешённые данные и сервисы.
Блок работы с потребителями
Для продажи физическим лицам карта должна охватывать информацию о продавце, товаре или услуге, цену, оплату, сроки, гарантию, правила возврата и ответы на претензии. Текст оферты должен совпадать с фактическим checkout и работой поддержки.
Роспотребнадзор в разъяснении от 18 марта 2026 года напоминает: при продаже через интернет покупатель вправе отказаться от товара до передачи и, как правило, в течение семи дней после неё; если письменная информация о порядке и сроке возврата не дана при доставке, срок может увеличиться до трёх месяцев. См. официальное сообщение. Для отдельных товаров и услуг действуют особенности.
Контроль — не только наличие страницы «Возврат». Сделайте тестовую покупку, проверьте подтверждение заказа, чек, доставку информации, канал претензии и реальный срок возврата денег.
Блок рекламы и маркетинга
До публикации определите, является ли сообщение рекламой, кто рекламодатель и распространитель, нужны ли идентификатор и передача сведений, есть ли обязательные предупреждения и доказательства утверждений. Маркетолог не должен самостоятельно решать юридическую квалификацию сложной акции после запуска.
- введите карточку согласования макета;
- храните исходный текст, визуал и дату размещения;
- проверяйте обещания, цены, сравнения и ограничения;
- закрепите роли рекламодателя, площадки и блогера;
- контролируйте идентификатор и отчётность интернет-рекламы;
- отделяйте сервисные сообщения от рассылки продвижения;
- планируйте удаление или исправление материалов.
Практический контур интернет-размещений разобран в статье о маркировке рекламы. В комплаенс-карте он превращается в повторяемый процесс с владельцем и доказательствами.
Налоги, контрагенты и трудовые процессы
Налоговый блок включает календарь отчётности и платежей, первичные документы, полномочия подписантов, проверку контрагентов и риск блокировки счёта. ФНС развивает сервис «Как меня видит налоговая»: в личном кабинете доступны показатели, которые могут указывать на риск нарушения и приостановления операций. См. разъяснение ФНС от 27 мая 2026 года.
В трудовом блоке события важнее календаря: приём, перевод, изменение оплаты, отпуск, командировка, дисциплинарная процедура, увольнение и несчастный случай. Для каждого события подготовьте маршрут документов и контроль срока. Проверьте, кто получает уведомление, если кадровик отсутствует.
Как оценить и приоритизировать риск
Используйте простую шкалу от 1 до 5 для вероятности и последствий. Произведение помогает ранжировать разрывы, но не заменяет здравый смысл.
| Уровень | Пример действия |
|---|---|
| 20–25 | Немедленно остановить опасный процесс и назначить владельца исправления |
| 12–19 | Исправить в ближайшем цикле, установить временный контроль |
| 6–11 | Включить в план и проверять статус |
| 1–5 | Наблюдать и сохранять доказательство контроля |
Автоматически высокий приоритет получают риск остановки деятельности, утечки данных, вреда человеку, крупного налогового искажения и повторяющегося массового нарушения. Добавьте показатель скорости: сколько времени остаётся до необратимого события.
Как распределить ответственность
У каждой обязанности должен быть один владелец, даже если участвуют несколько специалистов. Бухгалтер отвечает за расчёт, руководитель подразделения — за первичные факты, IT — за техническую настройку, а директор — за решение по существенному риску.
Подрядчику можно поручить действие, но компания должна контролировать результат. В карточке обязательства укажите основной и резервный контакт, срок эскалации и лицо, имеющее право остановить публикацию, выплату или запуск.
Как поддерживать карту в актуальном состоянии
- Назначьте ежемесячный обзор событий: новые продукты, люди, каналы и подрядчики.
- Проверяйте официальные источники по закреплённым направлениям.
- Проводите квартальную выборку доказательств, а не только статусов.
- После инцидента обновляйте контроль и обучение.
- Раз в год пересматривайте весь периметр и архивируйте старые версии.
Новость о законе ещё не равна новой обязанности: выясните дату вступления, переходные положения и применимость. И наоборот, изменение интерфейса сервиса может потребовать действия без отдельного федерального закона.
Ошибки при создании комплаенса
- копировать чужой перечень без карты своих процессов;
- собирать законы, но не назначать действия;
- ставить ответственным «всех»;
- хранить статус «выполнено» без доказательства;
- считать подрядчика единственным владельцем;
- не учитывать сайт, рекламу и облачные сервисы;
- обновлять документы, но не менять фактический процесс;
- оценивать только размер штрафа и игнорировать остановку операций;
- проводить аудит раз в год без событийного контроля.
Чек-лист первой карты
- описаны продукты, каналы, люди, данные и деньги;
- выделены минимум восемь базовых направлений;
- обязанности сформулированы действиями;
- для каждой указан источник и дата проверки;
- назначены владелец и резервный сотрудник;
- определены доказательство и место хранения;
- риски оценены по одной шкале;
- критические разрывы имеют временный контроль;
- событийные и календарные проверки заведены;
- руководитель видит верхние риски и сроки.
Профессиональный комплаенс малого бизнеса начинается с прозрачности: какой процесс создаёт обязанность, кто её исполняет и чем компания это докажет. Компактная живая карта полезнее большого положения, которое не связано с реальной работой.
Вопросы и ответы
- Нужен ли малому бизнесу отдельный комплаенс-менеджер?
Не обязательно. Функции можно распределить между директором и специалистами, но у каждой обязанности должен быть один владелец, понятный контроль и регулярная эскалация существенных рисков.
- С каких рисков начать составление карты?
С налогов и учёта, труда, персональных данных, потребителей, рекламы, касс, лицензий и информационной безопасности, затем добавить требования конкретной отрасли и продукта.
- Чем карта рисков отличается от юридического аудита?
Аудит фиксирует состояние на дату и даёт правовую оценку. Карта превращает выводы в постоянный процесс: владельцев, сроки, доказательства, события обновления и контроль выполнения.
- Можно ли передать комплаенс бухгалтеру или подрядчику?
Можно поручить отдельные действия, но компания сохраняет обязанности и должна контролировать результат. В договоре и карте разделяют подготовку, утверждение, передачу и проверку.
- Как часто обновлять карту комплаенс-рисков?
При каждом новом продукте, канале, сотруднике, подрядчике или системе и в регулярном цикле. Полезны ежемесячный обзор событий, квартальная выборка доказательств и годовой пересмотр периметра.
- Что считать доказательством соблюдения требования?
Документ или системную запись, которые подтверждают конкретное действие: квитанцию приёма, журнал доступа, версию политики, чек, акт обучения, согласованный макет или протокол проверки.