Zarządzanie ESG wymaga nie tylko podejścia strategicznego, ale także zaangażowania zespołów w organizacji, szczególnie HR.

Zrównoważony rozwój nie ogranicza się do działań ekologicznych.

To także troska o różnorodność, inkluzję, transparentność płac oraz budowanie kultury organizacyjnej opartej na wartościach społecznych. HR w tym procesie ma fundamentalną rolę – od rekrutacji, przez szkolenia, po budowanie systemów motywacyjnych, które wspierają realizację celów ESG​. W ramach projektu „Pracownicy – najlepsza inwestycja dla firmy”, w którym opracowaliśmy 120 już strategii HR dla MŚP, widzimy jak istotna jest rola działów personalnych w procesie transformacji ESG.

Jednym z kluczowych wyzwań dla działów HR w 2024 roku będzie wdrażanie raportowania zgodnie z Dyrektywą CSRD. Te działania wymagają zebrania danych nie tylko z obszarów finansowych, ale także z obszarów społecznych i pracowniczych. Dobrze przygotowana strategia HR, wspierająca ESG, może pomóc firmie przyciągnąć talenty, które coraz częściej zwracają uwagę na wartości firm w obszarach społecznych i środowiskowych​.

Transformacja ESG to także okazja dla HR do przegrupowania swoich zasobów i automatyzacji procesów. Umożliwia to poświęcenie większej uwagi strategicznym działaniom, które realnie wpłyną na rozwój zrównoważonych praktyk w firmie. Wprowadzanie zielonych rekrutacji oraz edukacja pracowników w zakresie ESG to nie tylko odpowiedź na wymogi prawne, ale także inwestycja w przyszłość organizacji. Wraz z rosnącą świadomością na temat ESG, firmy, które wcześnie podejmą działania, zyskają przewagę na rynku​.

Co obejmuje obszar S w raportowaniu ESG?

Raportowanie ESG oparte na European Sustainability Reporting Standards (ESRS) obejmuje kilka obszarów dotyczących kwestii społecznych, które w ramach ESG określa się jako „S”. Standardy te pomagają firmom zrozumieć, jakie dane społeczne powinny być raportowane, aby spełniać wymogi unijnej Dyrektywy CSRD.

Główne obszary raportowania „S” to:

 S1: Pracownicy firmy (Own Workforce)

Ten obszar obejmuje wszystkie zagadnienia związane z bezpośrednio zatrudnionymi pracownikami przedsiębiorstwa. W ramach tego standardu firmy muszą raportować m.in.:

• Warunki pracy, takie jak zdrowie i bezpieczeństwo w miejscu pracy, wynagrodzenia, godziny pracy i work-life balance.
• Różnorodność i inkluzję, czyli działania na rzecz równości płci, równości płacowej, różnorodności etnicznej i włączania pracowników z różnych środowisk.
• Rozwój zawodowy i możliwości awansu, w tym szkolenia i programy rozwoju kariery dla pracowników.
• Dialog społeczny, w tym współpraca z organizacjami pracowniczymi i związkami zawodowymi.
• Dobrostan pracowników, obejmujący zarówno zdrowie fizyczne, jak i psychiczne.

S2: Pracownicy w łańcuchu wartości (Workers in the Value Chain)

Obszar ten odnosi się do warunków pracy osób zatrudnionych przez dostawców i inne podmioty w łańcuchu wartości firmy. Firma powinna raportować, jakie kroki podejmuje w celu zapewnienia odpowiednich warunków pracy dla tych pracowników. W ramach tego standardu raportowanie obejmuje:

• Ocenę i monitorowanie przestrzegania praw pracowniczych przez dostawców, w tym przeciwdziałanie przymusowej pracy i pracy dzieci.
• Działania podejmowane na rzecz zapewnienia sprawiedliwych wynagrodzeń i bezpiecznych warunków pracy w łańcuchu dostaw.
• Inicjatywy mające na celu poprawę warunków socjalnych i ekonomicznych pracowników u dostawców i partnerów biznesowych.

S3: Społeczności lokalne (Affected Communities)

Ten obszar dotyczy wpływu działalności przedsiębiorstwa na społeczności lokalne. Raportowanie obejmuje m.in.:

• Ocenę wpływu działalności firmy na społeczności w regionach, w których działa, w tym na kwestie zdrowia, bezpieczeństwa, dostępu do zasobów i infrastruktury.
• Działania związane z angażowaniem społeczności lokalnych, tworzeniem miejsc pracy, wspieraniem edukacji i innymi inicjatywami społecznymi.
• Ochronę praw człowieka w kontekście lokalnym, np. w regionach zagrożonych konfliktami, ubóstwem czy dyskryminacją.

S4: Konsumenci i użytkownicy produktów oraz usług (Consumers and End-users)

Ten obszar obejmuje zagadnienia związane z ochroną praw konsumentów i użytkowników produktów oraz usług oferowanych przez firmę. Raportowanie w tym zakresie może obejmować:

• Bezpieczeństwo produktów i usług oraz działania firmy w celu zapewnienia zgodności z normami i regulacjami.
• Odpowiedzialny marketing i etyczne praktyki sprzedaży.
• Inicjatywy na rzecz ochrony prywatności i danych osobowych konsumentów.
• Działania edukacyjne i transparentność informacji o produktach, szczególnie w kontekście ich wpływu na zdrowie i środowisko.

Raportowanie tych obszarów ma na celu nie tylko ocenę działalności firmy, ale również pokazanie, jak przedsiębiorstwa podejmują działania na rzecz zrównoważonego rozwoju społecznego i przestrzegania praw człowieka w całym swoim łańcuchu wartości.

ESG, czyli zarządzanie kwestiami środowiskowymi, społecznymi i ładem korporacyjnym, staje się kluczowym elementem strategii wielu firm. Choć zazwyczaj kojarzy się z dużymi organizacjami, jego znaczenie dla małych i średnich przedsiębiorstw (MŚP) rośnie w szybkim tempie.

Jako doradca strategiczny oraz szef zespołu ekspertów w projekcie „Pracownicy – najlepsza inwestycja dla firmy”, mam możliwość współpracy z MŚP w regionie Małopolski, gdzie opracowaliśmy już 120 strategii HR (a przed nami kolejne 80). Pracując z naszymi klientami, widzimy, jak regulacja ESG wpłynie na przyszłość tych firm, nawet jeśli same jeszcze tego nie dostrzegają.

Dlaczego MŚP powinny działać już teraz?

Na poziomie unijnym Dyrektywa CSRD wprowadza wymóg raportowania działań niefinansowych w określonym standardzie.

Choć niektóre MŚP, szczególnie te notowane na giełdzie, będą musiały dostosować się do tych wymagań dopiero w 2026 roku (z raportem w 2027), warto, aby już teraz podejmować odpowiednie kroki. Po pierwsze, ESG przynosi korzyści, takie jak zwiększona atrakcyjność dla inwestorów, lepsza reputacja, efektywniejsze zarządzanie ryzykiem i poprawa operacyjna. Co więcej, więksi partnerzy biznesowi już teraz oczekują od swoich dostawców wiarygodnych danych ESG, aby móc spełniać własne zobowiązania raportowe.

ESG w MŚP – na co realnie wpływa nowy model opowiadania o biznesie?

Zarządzanie środowiskowe (E)

Włączenie standardów ESG do zarządzania środowiskowego może wpływać na koszty funkcjonowania firmy (a dla niektórych firm z sektora GOZ zarządzanie środowiskowe stanowi trzon modelu biznesowego).

Przykładem wpływu ESG na model biznesu może być też np. obliczanie śladu węglowego: w firmach produkcyjnych zmniejszenie emisji CO₂ i optymalizacja zużycia zasobów naturalnych to nie tylko wymagania regulacyjne, ale także sposób na obniżenie kosztów operacyjnych. Z kolei w firmach usługowych, redukcja emisji może być osiągnięta poprzez zmiany w logistyce, pracę zdalną i bardziej efektywne zarządzanie energią. Ślad węglowy to okazja do strategicznego przekształcenia nie tylko postrzeganie firmy przez klientów, ale także na zmiany układu sił na rynkach, gdzie zrównoważone działania są coraz bardziej wymagane.

Zarządzanie społeczne (S) i HR

Poważne podejście do ESG i transparentność w zakresie społecznej odpowiedzialności (S) znacząco zwiększają atrakcyjność firmy w procesach HR, zarówno pod kątem rekrutacji, jak i motywacji pracowników. Obecnie wielu kandydatów wybiera pracodawców, których wartości są zgodne z ich własnymi przekonaniami. Firmy promujące różnorodność, równość płacową i dbające o dobrostan pracowników, mogą łatwiej przyciągać talenty.

ESG w procesach HR ma jednak nie tylko wpływ na rekrutację talentów, ale również na motywację i retencję pracowników – co jest szczególnie istotne na dzisiejszym rynku pracy, gdzie dobry pracownik jest „dobrem rzadkim”.

ESG w kontekście motywacji i retencji pracowników to przede wszystkim:

Długofalowe zaangażowanie

Pracownicy, którzy widzą i mogą sprawdzić (weryfikowalność twardych danych w raportach ESG to inny poziom, niż deklaracje z raportów CSR), że ich firma działa zgodnie z deklarowanymi wartościami, są bardziej zmotywowani do długoterminowej współpracy i zaangażowania wykraczającego poza rutynowe wykonywanie zadań. Firmy, które promują różnorodność, równość / transparentność płacową, dbałość o prawa pracowników i ich dobrostan budują silniejsze więzi z zespołem. Zrównoważona i społecznie odpowiedzialna kultura organizacyjna sprawia, że pracownicy utożsamiają się z misją firmy, co przekłada się na wyższy poziom zaangażowania. Organizacje te mają także mniejszą rotację pracowników, ponieważ osoby czują się doceniane i rozumieją, że ich praca ma realny wpływ na społeczeństwo i środowisko

Równość i włączenie społeczne

Firmy, które aktywnie wdrażają polityki związane z ESG, zwłaszcza te promujące różnorodność i włączenie społeczne, oferują środowisko pracy, w którym pracownicy czują się akceptowani, niezależnie od ich pochodzenia, wieku, płci czy orientacji. Zwiększenie transparentności w kwestiach takich jak równość wynagrodzeń i dostępność awansów eliminują poczucie niesprawiedliwości, co sprzyja lojalności. Badania pokazują, że organizacje, które realizują zasady równości i transparentności, notują wyższą satysfakcję pracowników oraz lepsze wyniki biznesowe. Znajduje też to regularne potwierdzenie w firmach, dla których przygotowujemy strategie HR – transparentność wzmacnia retencję, nawet jeżeli wiadomości nie są optymistyczne!

Wellbeing i zrównoważone warunki pracy

Zrównoważony rozwój, w tym troska o warunki pracy i wellbeing, staje się kluczowym elementem ESG, który wpływa na retencję pracowników. Firmy, które w ramach swojej strategii ESG promują zdrowie psychiczne i fizyczne, elastyczne formy pracy oraz work-life balance, mają niższe wskaźniki wypalenia zawodowego i absencji. Przykładem może być wdrożenie programów wsparcia psychologicznego, dodatkowych dni wolnych lub elastycznych godzin pracy, co pozwala pracownikom lepiej zarządzać swoimi obowiązkami zawodowymi i prywatnymi. Firmy takie stają się bardziej atrakcyjne dla obecnych pracowników, którzy nie tylko zostają w firmie dłużej, ale także stają się jej ambasadorami na rynku pracy.

Szkolenia i rozwój w duchu ESG

Pracownicy oczekują dziś nie tylko atrakcyjnych wynagrodzeń, ale także możliwości rozwoju i zdobywania nowych kompetencji. Firmy, które w ramach ESG inwestują w rozwój pracowników poprzez programy szkoleniowe, np. dotyczące zrównoważonego rozwoju, innowacji ekologicznych czy różnorodności, mogą liczyć na większe zaangażowanie ze strony zespołu. Dbanie o rozwój zawodowy i osobisty w kontekście ESG sprawia, że pracownicy widzą perspektywę długoterminowego rozwoju w firmie i czują się bardziej związani z organizacją.

Kultura odpowiedzialności

Tworzenie kultury organizacyjnej opartej na zasadach odpowiedzialności i transparentności buduje silniejsze relacje z pracownikami. Kiedy firmy stosują uczciwe praktyki biznesowe i jasno komunikują cele ESG, pracownicy czują, że są częścią czegoś większego, dlatego komunikacja wartości firmy jest absolutnie kluczowa od etapu rekrutacji aż po exbording. Uczestnictwo w wolontariatach, inicjatywach ekologicznych czy działaniach na rzecz lokalnych społeczności nie tylko motywuje, ale także wzmacnia poczucie przynależności i wspólnoty wśród pracowników.

Innym wymiarem nieoczywistego wejścia zarządzania ESG w obszary HR jest praca zdalna – mimo że obniża ślad węglowy związany z dojazdami do biura, to w modelu raportowania ESG może pojawić się wyzwanie związane z liczeniem emisji związanej z użytkowaniem energii w gospodarstwach domowych pracowników. Odpowiednie narzędzia mogą pomóc w bilansowaniu tego wpływu, co z kolei wpłynie na pełniejsze raportowanie ESG, ale postawi też przed HRami nowe pytanie o opłacalność modelu pracy zdalnej.

Zarządzanie ładem korporacyjnym (G)

Wdrożenie zasad ESG w obszarze ładu korporacyjnego znacząco zwiększa wiarygodność firmy w oczach partnerów biznesowych, inwestorów oraz instytucji finansowych. Przejrzyste struktury zarządzania i odpowiedzialności mogą istotnie obniżyć koszty finansowania firmy np. przez instytucje finansowe. Tradycyjnie w MŚP, zwłaszcza w firmach zarządzanych przez właścicieli, gdzie decyzje są podejmowane w sposób hierarchiczny, gdzie „szef ma zawsze rację”, wdrożenie zasad transparentności wynikających z ESG oznacza niekiedy radykalne zmiany, ale skutkujące przejrzystością procesu decyzyjnego, większym zaangażowaniem zespołu w zarządzanie i monitorowanie wyników działań. Zazwyczaj przynosi to bardzo szybko wymierne korzyści i buduje zaufanie wśród kluczowych interesariuszy.

Czego dotyczy zmiana w obszarze zarządzania?

Po pierwsze trzeba pamiętać, że ESG to nie jest wymóg prowadzenia biznesu w taki czy inny sposób. Nadal nikt nie dyktuje nam jak prowadzić własną firmę. ESG to jedynie (lub aż) obowiązek pokazania w uporządkowany sposób jak ten model zarządzania wygląda.

W obszarze G (Governance – Ład Korporacyjny) w ramach raportowania ESG, zgodnie z europejskimi standardami ESRS (European Sustainability Reporting Standards), firmy muszą dostarczać informacji na temat zasad zarządzania oraz praktyk, które wpływają na ich działanie. Obszar ten dotyczy transparentności procesów decyzyjnych, odpowiedzialności za prowadzenie firmy i relacji z interesariuszami.

Zatem raportowanie w obszarze G obejmuje:

Struktura i skład zarządu oraz rady nadzorczej

Firmy muszą przedstawić strukturę zarządzania, w tym o składzie zarządu, rady nadzorczej oraz komitetów (o ile je mają). Ważne informacje do umieszczenia w raporcie obejmują:

• Różnorodność w organach korporacyjnych (np. różnorodność płci, wieku, doświadczeń, wykształcenia).
• Kwalifikacje i kompetencje członków zarządu oraz rady nadzorczej, w kontekście wyzwań ESG.
• Role i odpowiedzialności poszczególnych członków organów korporacyjnych oraz ich zaangażowanie w zarządzanie ESG.

Procesy decyzyjne i nadzorcze

Raportowanie obejmuje sposób w jaki firma podejmuje decyzje strategiczne, jakie procesy decyzyjne i nadzorcze są stosowane, oraz jak zarządzanie ESG jest włączone w te procesy.
Kluczowe kwestie to:

• Jak firma monitoruje swoje wyniki w zakresie ESG.
• Jakie procesy decyzyjne dotyczące ESG są stosowane na poziomie zarządu i rady nadzorczej.
• Sposoby angażowania interesariuszy w procesy zarządzania i podejmowania decyzji.

Ryzyko i zarządzanie ryzykiem

Firmy przedstawiają mechanizmy zarządzania ryzykiem jakich używają, szczególnie w kontekście ryzyk związanych z ESG. To może obejmować:

• Identyfikację i ocenę ryzyk związanych z klimatem, prawami człowieka, zmianami społecznymi czy technologicznymi.
• Mechanizmy zarządzania ryzykiem, w tym polityki przeciwdziałania korupcji, oszustwom czy nieetycznym praktykom.
• Ocena ryzyka i sposoby reagowania na zagrożenia zewnętrzne i wewnętrzne, w tym te wynikające z działalności operacyjnej oraz z łańcucha dostaw.

Etyka i integralność

Raportowanie obejmuje też zasady etyczne i wartości, których firma przestrzega w swojej działalności. W tym kontekście raporty ESG obejmują:

• Zasady dotyczące przeciwdziałania korupcji, oszustwom oraz konfliktom interesów (np. czy mamy politykę dotyczącą zakupów ograniczającą możliwości korupcji)
• Polityki i kodeksy etyczne obowiązujące w firmie oraz działania mające na celu ich wdrażanie i egzekwowanie
• Sposoby monitorowania i zgłaszania naruszeń zasad etyki (np. czy firma wdrożyła wymagany od 25 września 2024 roku system obsługi sygnalistów)

Polityki i procedury dotyczące ESG

Firmy będę też przedstawiać informacje o zasadach (politykach i procedurach), które wprowadzają w celu zarządzania kwestiami ESG, w tym:

• Sposoby integrowania ESG w strategii firmy.
• Konkretne polityki dotyczące zarządzania środowiskowego, społecznego i ładu korporacyjnego.
• Mechanizmy wdrażania i monitorowania realizacji celów ESG.

Relacje z interesariuszami i transparentność

Raportowanie obejmuje sposób, w jaki firma angażuje swoich interesariuszy, w tym pracowników, klientów, dostawców, społeczności lokalne oraz inwestorów. Ważne kwestie to:

• Jakie mechanizmy komunikacji są stosowane.
• Transparentność w zakresie udostępniania informacji o działaniach ESG.
• Reakcje na uwagi i potrzeby interesariuszy, szczególnie w kontekście zarządzania zrównoważonym rozwojem.

Zgodność z regulacjami (compliance)

Firmy muszą przedstawić w raporcie, w jaki sposób przestrzegają przepisów i regulacji, w tym tych związanych z ESG, oraz jak monitorują zgodność swoich działań z obowiązującymi standardami prawnymi:

• Przestrzeganie krajowych i międzynarodowych przepisów dotyczących praw człowieka, środowiska i odpowiedzialności społecznej.
• Polityki zgodności (compliance) oraz procedury monitorowania zgodności działań z regulacjami.

Wynagrodzenia i polityka motywacyjna

Firmy muszą opisywać swoje systemy wynagrodzeń i motywacji powiązanych z realizacją celów ESG:

• Informacje na temat wynagrodzeń zarządu i kadry kierowniczej (nie kwoty, ale zasady wyliczenia), szczególnie jeśli są one związane z realizacją strategii ESG.
• Zasady wynagradzania, które promują działania proekologiczne i prospołeczne, np. programy motywacyjne zależne od wyników ESG.

Raportowanie w obszarze G pozwala inwestorom, klientom i innym interesariuszom ocenić, na ile firma działa zgodnie z zasadami dobrego ładu korporacyjnego, a także jak efektywnie zarządza ryzykiem oraz integruje wartości ESG w swoje procesy decyzyjne.

Dużo? No dużo, ale „krew pot i łzy” poleją się tylko w firmach, które zostawią ten temat na ostatnią chwilę. Pozostałe, które podejdą do tego zagadnienia z wyprzedzeniem i procesowo, raportowanie ESG nie spowoduje trzęsienia ziemi tylko będzie świetną okazją do gruntownej rewizji strategii i modelu biznesowego.

Podstawy prawne obowiązku raportowania ESG

W Unii Europejskiej kluczowym aktem prawnym jest Dyrektywa CSRD (Corporate Sustainability Reporting Directive), która wprowadza jednolite standardy raportowania ESG. Zastępując wcześniejszą Dyrektywę NFRD, CSRD znacząco rozszerza zakres firm zobowiązanych do raportowania i podnosi standardy raportowania. Obowiązek ten obejmie również wybrane MŚP notowane na giełdzie, które będą musiały raportować zarówno wpływ swojej działalności na środowisko, kwestie społeczne, jak i zarządzanie korporacyjne.

Kluczowe elementy dyrektywy to:

• Zakres podmiotów

Dyrektywa CSRD rozszerza obowiązek raportowania na duże przedsiębiorstwa oraz niektóre MŚP, głównie te notowane na giełdzie. Terminy wprowadzenia obowiązku raportowania ESG w poszczególnych grupach są następujące:

Za 2024 (raportowanie w 2025 roku): duże jednostki interesu publicznego (JIP) – firmy, które obecnie podlegają dyrektywie NFRD, takie jak banki, ubezpieczyciele oraz duże spółki giełdowe zatrudniające ponad 500 pracowników.

Za 2025 (raportowanie w 2026 roku): duże przedsiębiorstwa, czyli takie, które spełniają co najmniej dwa z trzech kryteriów:

• Przychody powyżej 40 milionów €.
• Suma bilansowa pow. 20 milionów €
• Zatrudnienie pow. 250 pracowników.

Za 2026 (raportowanie w 2027 roku): małe i średnie przedsiębiorstwa notowane na giełdzie, a także małe i niezłożone instytucje kredytowe oraz zakłady ubezpieczeń.

Za 2028 (raportowanie w 2029 roku): firmy spoza Unii Europejskiej, które prowadzą działalność na rynku unijnym i generują ponad 150 milionów euro przychodów w UE.

• Zakres raportowania

Firmy muszą raportować dane dotyczące wpływu ich działalności na środowisko, społeczeństwo oraz zarządzanie, w tym emisje gazów cieplarnianych, różnorodność zatrudnienia, przestrzeganie praw człowieka i standardy ładu korporacyjnego.

• Audyt i certyfikacja

Raporty ESG będą musiały być audytowane przez niezależne podmioty, co zapewni ich rzetelność (ustawa wprowadzająca zasady audytu podobno już wkrótce!).

Zapraszamy do lektury artykułu „Równoważenie zarządzania ryzykiem z polityką zgodności stron trzecich” przygotowanego przez Srebrnego Sponsora 10. Konferencji Compliance & AML, firmę Dun & Bradstreet.

Tekst omawia znaczenie polityki zgodności dla stron trzecich w kontekście zarządzania ryzykiem w firmach, niezależnie od branży. Współpraca z podmiotami trzecimi, takimi jak dostawcy czy sprzedawcy, jest nieodłączna dla większości organizacji, ale niesie ze sobą ryzyko, które może być coraz większe w dzisiejszym złożonym i regulowanym środowisku biznesowym.

Polityka zgodności dla stron trzecich służy jako normatywne wytyczne dotyczące oceny ryzyka związanego z partnerami biznesowymi. Umożliwia to określenie, czy dany podmiot trzeci jest odpowiednią współpracą, która przyniesie korzyści organizacji bez szkody dla jej reputacji czy rentowności.

W kontekście pandemii COVID-19, ryzyko zerwania łańcucha dostaw stało się kluczowym zmartwieniem wielu firm. Jednakże, nawet w obliczu poprawy sytuacji gospodarczej, zarządzanie ryzykiem stron trzecich pozostaje istotne.

Polityka dotycząca ryzyka stron trzecich może przyczynić się do przekształcenia modelu linii obrony w firmie. Jest to istotne, ponieważ podejście do zarządzania ryzykiem stron trzecich obejmuje wszystkie działy, które współpracują z zewnętrznymi podmiotami, a nie tylko zespół ds. zgodności.

Stworzenie spójnego podejścia do zarządzania ryzykiem stron trzecich opiera się na standaryzacji ocen ryzyka w całej firmie, co eliminuje podejście ad hoc oraz różnice w podejściu do oceny ryzyka między różnymi działami.

Zalety wprowadzenia solidnej polityki zgodności dla stron trzecich obejmują tworzenie relacji z wiarygodnymi partnerami, minimalizację niekorzystnych skutków prawnych i finansowych, oraz poprawę efektywności procesu sprawdzania i monitorowania podmiotów trzecich.

Ostatecznie, opracowanie polityki zarządzania ryzykiem stron trzecich może przynieść organizacji korzyści materialne i niematerialne, poprawiając zarówno jej reputację, jak i efektywność operacyjną.

Więcej na ten temat podczas 10. Konferencji Compliance & AML 16 i 17 marca 2024 w Warszawie.

E-book „Jak stworzyć skuteczną politykę zarządzania ryzykiem stron trzecich” oferuje praktyczne wskazówki dotyczące tworzenia i utrzymania polityki zgodności dla podmiotów trzecich, odpowiadając na kluczowe pytania związane z tym tematem.

Dziedzina sztucznej inteligencji szybko ewoluuje w różnych sektorach i branżach, pozostawiając specjalistów ds. technologicznych i zarządzania bez wspólnej terminologii używanej w zarządzaniu sztuczną inteligencją.

Nawet wyszukiwanie definicji „sztucznej inteligencji” zwraca szereg definicji i przykładów. Od filmowych, takich jak HAL 9000 z „2001: Odysei kosmicznej”, przez kreatywne, takie jak Midjourney i sztuka generatywna DALL-E, po powszechne, takie jak autokorekta wiadomości e-mail i mapy mobilne, przypadki użycia i zastosowania sztucznej inteligencji wciąż rosną i rozszerzają się na wszystkie aspekty życia.

Dzięki zgodzie Międzynarodowego Stowarzyszenia Specjalistów ds. Prywatności (IAPP) udostępniamy wszystkim osobom zainteresowanym rozwojem swoich kompetencji w obszarze sztucznej inteligencji „Kluczowe terminy dotyczące zarządzania sztuczną inteligencją” opracowane przez IAPP. Niniejszy glosariusz pierwotnie ukazał się w Centrum Zasobów IAPP i został udostępniony za ich zgodą.

Tłumaczenie zostało wykonane przez Langas Regtech zostało opublikowane w 20 lipca 2023 roku.

Niniejszy glosariusz, opracowany w oparciu o liczne materiały, ma na celu zapewnienie zwięzłych, ale zniuansowanych definicji i wyjaśnień niektórych z najpopularniejszych terminów związanych obecnie ze sztuczną inteligencją.

Powyższe tłumaczenie zweryfikował Maciej Biesek – Data Scientist zajmujący się problematyką przetwarzania języka naturalnego, uczenia maszynowego i uczenia głębokiego. Pasjonat rozwoju sztucznej inteligencji, mentor i nauczyciel technik programowania i wykorzystywania uczenia maszynowego do rozwiązywania realnych problemów.

Dziękujemy!

Key Terms for AI Governance produced by the International Association of Privacy Professionals originally appeared in the IAPP Resource Center. It is reprinted with permission.

The translation has not been provided by the IAPP and was published on 20/07/2023.

Współczesne organizacje wykorzystują kluczowe wskaźniki efektywności (KPI) do oceny swojej skuteczności w różnych obszarach działalności. KPI są miarami, które pozwalają monitorować i mierzyć stopień realizacji celów organizacji oraz ocenić jej postępy. W obszarze compliance również istnieje wiele sprawdzonych metod opracowywania tych wskaźników i zasad skutecznego zarządzania przez cele.

Kluczowe wskaźniki efektywności, są istotne dla oceny organizacji, ponieważ umożliwiają jasne rozstrzygnięcie, czy cele są osiągane i na jakim etapie się znajdują. W przypadku compliance, KPI pozwalają śledzić skuteczność działań związanych z przestrzeganiem przepisów i minimalizować ryzyko naruszeń.

Zarządzanie przez cele jest kluczowym podejściem, które wiąże się z wyznaczaniem celów strategicznych i operacyjnych, a następnie monitorowaniem ich realizacji za pomocą odpowiednio dobranych KPI. Działania podejmowane w obszarze compliance, takie jak szkolenia czy audyty, wymagają innych nakładów środków i zasobów niż cele długoterminowe. Skuteczne zarządzanie przez cele i wykorzystanie odpowiednich KPI pozwala na monitorowanie postępów w realizacji celów compliance oraz identyfikację czynników ryzyka.

Kluczowe wskaźniki efektywności w obszarze compliance obejmują między innymi liczbę otwartych przypadków naruszeń, średni czas odkrycia i rozwiązania problemów, całkowite wydatki związane z przestrzeganiem regulacji, koszt przestrzegania regulacji na jeden przypadek, średni koszt postępowań prawnych związanych z przestrzeganiem regulacji, liczba nierozwiązanych problemów po audycie, kompozytowy wskaźnik ryzyka, różnica w powadze ryzyka oraz retencję pracowników.

Przyjrzyjmy się tym wskaźnikom.

#1 Liczba otwartych przypadków naruszeń compliance

Liczba otwartych przypadków naruszeń compliance oznacza po prostu całkowitą liczbę przypadków, w których organizacja naruszyła wymogi regulacyjne lub nie przestrzegała odpowiednich praw, polityk lub standardów. Te naruszenia mogą różnić się pod względem wielkości i nasilenia, dlatego ważne jest śledzenie tej liczby wraz z kosztami compliance i postępowań sądowych, aby uzyskać pełne zrozumienie swoich problemów związanych z przestrzeganiem przepisów.

Jak śledzić liczbę otwartych przypadków naruszeń compliance?

Aby śledzić to KPI, wystarczy zidentyfikować wszystkie przypadki naruszeń przez określony okres (rok daje pełniejszy obraz) i zsumować je. Jest to kolejny wskaźnik, który warto monitorować przed i po wdrożeniu szkoleń compliance lub podjęciu większej inicjatywy związanej z compliance.

#2 Średni czas odkrycia przypadków naruszeń

Średni czas odkrycia przypadków naruszeń, znany również jako średni czas wykrycia (MTTD), oznacza po prostu czas, jaki upływa od wystąpienia problemu lub zdarzenia do jego odkrycia. Krótszy średni czas odkrycia oznacza, że problemy są wykrywane szybciej (co jest korzystne), a dłuższy średni czas odkrycia oznacza, że problemy są wykrywane wolniej (co jest niekorzystne). Średni czas odkrycia może dotyczyć różnych potencjalnych problemów, takich jak:

• Błędy oprogramowania
• Naruszenia w zakresie zdrowia i bezpieczeństwa
• Problemy związane z urządzeniami
• Ograniczenia obsługi klienta
• Wąskie gardła w przechowywaniu informacji

Jak śledzić średni czas odkrycia przypadków naruszeń?

To bardzo łatwy KPI do śledzenia, wystarczy skorzystać z prostego obliczenia: średni czas odkrycia przypadku = ogólny czas między pojawieniem się problemu a jego wykryciem dla wszystkich przypadków / liczba wystąpień problemów. Pozwoli to uzyskać średni czas, jaki organizacja potrzebuje na wykrycie problemów, co jest pierwszym krokiem do ich naprawienia.

#3 Średni czas rozwiązania przypadków naruszeń

Średni czas rozwiązania przypadków naruszeń często jest używany razem z średnim czasem odkrycia. Średni czas rozwiązania przypadków oblicza się jako średni czas między zgłoszeniem problemu a całkowitym jego rozwiązaniem. Podobnie jak w przypadku średniego czasu odkrycia, krótszy średni czas rozwiązania jest korzystny, a dłuższy – niekorzystny.

Jak śledzić średni czas rozwiązania przypadków naruszeń?

Podobne obliczenie można zastosować do średniego czasu rozwiązania przypadków naruszeń: średni czas rozwiązania przypadku = ogólny czas między pierwszym zgłoszeniem problemu a całkowitym jego rozwiązaniem dla wszystkich przypadków / liczba przypadków. Ważne jest, aby zauważyć, że „całkowite rozwiązanie” oznacza, że problem już nie występuje w żadnej formie, a nie tylko to, że opracowano i testujemy rozwiązanie.

#4 Całkowite wydatki związane z przestrzeganiem regulacji

Całkowite wydatki związane z przestrzeganiem regulacji (znane również jako koszty przestrzegania regulacji) obejmują wszystkie koszty, jakie firma lub organizacja ponosi, aby utrzymać zgodność z przepisami. Obejmuje to wynagrodzenia pracowników pracujących w dziale compliance, koszty oprogramowania, koszty raportowania, koszty audytów oraz koszt szkoleń z zakresu compliance, które są wymagane dla uzyskania statusu zgodności. Średnie całkowite wydatki związane z przestrzeganiem regulacji różnią się w zależności od branży. Im bardziej regulowana jest branża, tym wyższe są przewidywane koszty przestrzegania regulacji przez organizację.

Jak śledzić całkowite wydatki związane z przestrzeganiem regulacji?

Aby śledzić całkowite wydatki związane z przestrzeganiem regulacji, ważne jest, aby przeprowadzić szeroko zakrojony audyt wydatków, nie zapominając o wynagrodzeniach i abonamentach na oprogramowanie. Warto skorzystać z pomocy zespołu finansowego w celu kompleksowej analizy wydatków. Całkowite wydatki związane z przestrzeganiem regulacji oblicza się jako suma wszystkich kosztów związanych z przestrzeganiem przepisów.

#5 Koszt przestrzegania regulacji na jeden przypadek

Koszt przestrzegania regulacji na jeden przypadek to wskaźnik mierzący efektywność budżetu na przestrzeganie przepisów. Można obliczyć koszt przestrzegania regulacji na jeden przypadek na poziomie organizacji jako całości, jak również dla różnych podsekcji szkoleń z zakresu compliance, na przykład:

• Koszt przestrzegania regulacji związanych z RODO na jeden przypadek
• Koszt przestrzegania regulacji związanych z bezpieczeństwem i higieną pracy na jeden przypadek
• Koszt przestrzegania regulacji związanych z cyberbezpieczeństwem na jeden przypadek

W ten sposób można śledzić, jakie naruszenia compliance kosztują najwięcej i gdzie może być konieczne większe inwestowanie w rozwiązania.

Jak śledzić koszt przestrzegania regulacji na jeden przypadek?

Koszt przestrzegania regulacji na jeden przypadek można śledzić za pomocą poniższego wzoru: koszt przestrzegania regulacji na jeden przypadek = budżet na compliance / liczba przypadków, na które ten budżet jest przeznaczony. Jak wspomniano wcześniej, można to obliczyć dla organizacji jako całości lub dla mniejszych podsekcji szkoleń z zakresu compliance, aby uzyskać bardziej szczegółowy obraz.

#6 Średni koszt postępowań prawnych związanych z przestrzeganiem regulacji

Średni koszt postępowań prawnych związanych z przestrzeganiem regulacji to metryka mierząca średnią wartość kosztów postępowań prawnych związanych z przestrzeganiem regulacji. Pozwala to śledzić zmiany w tej metryce po wdrożeniu szkoleń z zakresu compliance. Jeśli średni koszt postępowań prawnych związanych z przestrzeganiem regulacji maleje po inwestycji w szkolenia z zakresu compliance, można przypuszczać, że podjęto odpowiednie działania.

Jak śledzić średni koszt postępowań prawnych związanych z przestrzeganiem regulacji?

Średni koszt postępowań prawnych związanych z przestrzeganiem regulacji można obliczyć za pomocą poniższego wzoru: średni koszt postępowań prawnych związanych z przestrzeganiem regulacji = ogólne koszty prawne związane z problemami compliance / liczba postępowań prawnych związanych z przestrzeganiem regulacji. Ten wskaźnik najlepiej śledzić w dłuższym okresie, ponieważ istotne jest zmniejszanie go z roku na rok.

#7 Liczba nierozwiązanych problemów po audycie

Liczba nierozwiązanych problemów po audycie oznacza procent problemów, które nie zostały rozwiązane podczas audytu, co podkreśla skuteczność audytów związanych z compliance. Im niższy procent nierozwiązanych problemów po audycie, tym lepiej, co świadczy o tym, że audyty są skuteczne w wykrywaniu problemów związanych z przestrzeganiem przepisów.

Jak śledzić liczbę nierozwiązanych problemów po audycie?

Liczba nierozwiązanych problemów po audycie można śledzić za pomocą poniższego wzoru: liczba nierozwiązanych problemów po audycie = (liczba nierozwiązanych problemów po zakończeniu audytu / ogólna liczba zidentyfikowanych problemów) * 100. Ten wskaźnik wyraża się jako procent i doskonale nadaje się do śledzenia wyników wielu audytów w celu poprawy efektywności.

#8 Ważony wskaźnik ryzyka

Ważony wskaźnik ryzyka jest liczbową metodą oceny stopnia ryzyka i prawdopodobieństwa jego wystąpienia. Daje to organizacji listę priorytetów dotyczących ryzyka, na które należy się przygotować.

Jak śledzić ważony wskaźnik ryzyka?

Zacznij od spisania wszystkich potencjalnych ryzyk związanych z przestrzeganiem przepisów, z którymi organizacja może się zmierzyć w nadchodzącym roku. Następnie przypisz każdemu ryzyku wynik od 1 do 5 dla prawdopodobieństwa wystąpienia i wynik od 1 do 5 dla powagi dla firmy, jeśli ryzyko wystąpiło. To pozwoli zmapować wszystkie ryzyka compliance na siatce, z jedną osią skupiającą się na wadze, a drugą na prawdopodobieństwie. Ryzyko o wysokiej wadze i wysokim prawdopodobieństwie wymaga większej uwagi i większego budżetu niż ryzyko niskie na ważonym wskaźniku ryzyka z niskim prawdopodobieństwem i powagą.

#9 Różnica w powadze ryzyka

Różnica w powadze ryzyka to jeden z bardziej zaawansowanych wskaźników KPI na tej liście, ale jest stosunkowo prosty do zrozumienia, jeśli wyjaśni się go w prostych słowach. Różnica w powadze ryzyka odnosi się do różnicy między przewidywanym narażeniem na ryzyko a faktycznym narażeniem na ryzyko, co oznacza, że jest to doskonały wskaźnik do mierzenia, czy jesteś zbyt ostrożny czy też potencjalnie niewystarczająco ostrożny.

Jak śledzić różnicę w powadze ryzyka?

Ten wskaźnik wymaga pewnego planowania i przemyślenia. Najpierw musisz przeprowadzić tzw. analizę ryzyka compliance, aby ocenić przyszłe ryzyka biznesowe związane z przestrzeganiem przepisów, na przykład prawodawstwo dotyczące firmy w przypadku niewłaściwego przestrzegania przepisów. Następnie ryzyka te będą oceniane pod kątem prawdopodobieństwa wystąpienia ryzyka, zazwyczaj w skali od 1 do 5. Możesz wtedy zobaczyć obraz potencjalnych ryzyk na dany rok. Po zakończeniu roku można ocenić różnicę w powadze ryzyka, analizując najnowszą Analizę Ryzyka Compliance i sprawdzić, gdzie przeszacowano lub niedoszacowano ryzyko na dany rok, co umożliwia przekierowanie zasobów i budżetu.

#10 Retencja pracowników

Retencja pracowników odnosi się do tego, ile pracowników pozostaje w firmie przez okres roku. Wyższa retencja pracowników oznacza, że pracownicy zostają w firmie dłużej i zazwyczaj jest to oznaka satysfakcji z ich stanowiska i silnej kultury organizacyjnej. Retencja pracowników jest również wpływana przez compliance, ponieważ pracownicy, którzy czują się bezpieczni, docenieni i nie martwią się o problemy z przestrzeganiem przepisów, są bardziej skłonni pozostać na tym samym stanowisku przez dłuższy czas. Oznacza to również, że organizacja ma niższe koszty regulacyjne, co oznacza większy budżet na inicjatywy pracownicze i podwyżki płac, co z kolei zwiększa retencję pracowników.

Jak śledzić wskaźnik retencji pracowników?

Wskaźnik retencji pracowników można śledzić za pomocą poniższego wzoru: wskaźnik retencji pracowników = 100 – wskaźnik rotacji. Wskaźnik rotacji można śledzić za pomocą poniższego wzoru: wskaźnik rotacji = liczba zwolnień pracowników / całkowita liczba pracowników * 100.

Poprzez wykorzystanie tych kluczowych wskaźników efektywności, organizacje mogą ocenić skuteczność swoich działań compliance, identyfikować obszary wymagające poprawy i dostosowywać swoje strategie w celu minimalizacji ryzyka naruszeń przepisów. Efektywne wykorzystanie KPI wpływa również na kulturę organizacyjną, zwiększa jasność oczekiwań wobec pracowników i umożliwia podejmowanie szybkich decyzji na podstawie istotnych informacji.

W obszarze compliance istnieje wiele kluczowych wskaźników, które mogą pomóc w monitorowaniu i ocenie skuteczności procesów przestrzegania przepisów. Przytoczone powyżej przykłady to jedynie kilka z najczęściej występujących: liczba otwartych przypadków naruszeń, średni czas odkrycia i rozwiązania problemów, całkowite wydatki związane z przestrzeganiem regulacji, koszt przestrzegania regulacji na jeden przypadek, średni koszt postępowań prawnych związanych z przestrzeganiem regulacji, liczba nierozwiązanych problemów po audycie, złożony wskaźnik ryzyka, różnica w powadze ryzyka, retencja pracowników – to wszystko są wskaźniki, które warto monitorować i analizować w celu doskonalenia procesów compliance i minimalizowania ryzyka. Świadomość tych wskaźników i skuteczne ich wykorzystanie mogą przyczynić się do budowania silnej kultury przestrzegania przepisów i osiągnięcia sukcesu organizacyjnego.

Wiedza na temat kluczowych wskaźników efektywności w obszarze compliance jest istotna dla specjalistów ds. compliance, compliance officerów oraz AMLRO (odpowiedzialnych za przeciwdziałanie praniu pieniędzy). Pozwala to na skuteczne monitorowanie procesów przestrzegania przepisów, minimalizację ryzyka i zapewnienie, że organizacja działa zgodnie z obowiązującymi regulacjami.

KYC Officer to profesjonalista odpowiedzialny za przestrzeganie procedur identyfikacji klientów w firmach finansowych. Odpowiedzialności KYC Officera obejmują: przeprowadzanie weryfikacji tożsamości klientów, analizę dokumentów i informacji, monitorowanie transakcji pod kątem podejrzanych działań oraz raportowanie wszelkich nieprawidłowości.

Ponadto, KYC Officer musi być świadomy i przestrzegać przepisów prawa, zasad regulacji oraz wewnętrznych polityk firmy. Jego zadaniem jest również prowadzenie bieżących szkoleń dla pracowników dotyczących procedur KYC i współpraca z organami regulacyjnymi.

Posiadanie certyfikatu KYC Officer zapewnia wiele korzyści. KYC Officer to specjalista w zakresie identyfikacji i weryfikacji tożsamości klientów. Dzięki temu certyfikatowi można rozpoznawać i minimalizować ryzyko prania brudnych pieniędzy, oszustw i finansowania terroryzmu. KYC Officer pomaga w utrzymaniu zgodności z przepisami prawnymi oraz w budowaniu zaufania klientów poprzez właściwe zarządzanie informacjami i danymi. To także zwiększa skuteczność działań antykorupcyjnych i chroni przed reputacyjnymi szkodami. Posiadanie certyfikatu KYC Officer jest więc ważnym atutem dla profesjonalistów działających w branży finansowej i biznesowej.

Zatrudnianie Certyfikowanego KYC Officer niesie wiele korzyści instytucjom obowiązanym do realizacji procedur AML. Przede wszystkim pomaga w zapobieganiu oszustwom i praniu pieniędzy, chroniąc reputację i wiarygodność instytucji. Dodatkowo, KYC Officer poprawia procesy identyfikacji klientów, co skraca czas potrzebny na otwarcie konta czy udzielenie pożyczki. Dzięki temu wzrasta efektywność operacyjna. Również ryzyko nałożenia kar przez organy regulacyjne zostaje ograniczone. Wreszcie, obecność certyfikowanego KYC Officera wzmacnia zaufanie klientów i zwiększa ich poczucie bezpieczeństwa.

Jak zdobyć certyfikat KYC Officer?

Certyfikat KYC Officer można zdobyć poprzez ukończenie specjalistycznego certyfikowanego szkolenia oferowanego przez Langas oraz zdanie egzaminu przygotowanego przez Stowarzyszenie Compliance Polska. Niezbędne są wiedza i umiejętności związane z obszarem Know Your Customer (KYC), czyli zidentyfikowaniem klienta, zarządzaniem ryzykiem i przeciwdziałaniem praniu pieniędzy. Szkolenie i egzamin obejmuje zagadnienia prawne, regulacyjne i procedury związane z KYC.

Jakie są wymagania do uzyskania certyfikatu KYC Officer?

W celu uzyskania certyfikatu KYC Officer, wymagane są konkretne kwalifikacje: kandydat musi posiadać wiedzę na temat procedur KYC (Know Your Customer) oraz zagadnień związanych z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu. Ponadto, wymaga się doświadczenia w obszarze compliance oraz znajomości aktualnych regulacji i przepisów związanych z KYC. Osoba starająca się o certyfikat KYC Oficer powinna być również w stanie skutecznie identyfikować i oceniać ryzyko związane z klientami. Kwalifikacje należy potwierdzić egzaminem certyfikowanym przez Stowarzyszenie Compliance Polska składającym się z ok 50 pytań, uzyskując co najmniej 70% punktów. Egzamin można zdać na stronie https://langas.pl/egzaminy.

Gdzie można znaleźć szkolenia i kursy związane z certyfikacją KYC Officer?

Informacje na temat szkoleń i kursów związanych z certyfikacją KYC Officer w Polsce można znaleźć m.in. na tej stronie oraz stronie Stowarzyszenia Compliance Polska.

Langas jest organizacją specjalizującą się w szkoleniach z obszaru compliance, w tym również w zakresie KYC. Oferta szkoleniowa obejmuje kursy i szkolenia dotyczące procedur KYC, przeciwdziałania praniu pieniędzy oraz zagadnień związanych z bezpieczeństwem finansowym. Stowarzyszenie Compliance Polska jest instytucją certyfikującą, organizująca egzaminy i wydającej certyfikaty KYC Officer. Na stronach tych instytucji można znaleźć informacje o terminach i lokalizacjach szkoleń, a także o treści programów i wymaganiach certyfikacyjnych.

Jakie są podstawowe zasady i procedury KYC?

Podstawowe zasady i procedury KYC to procesy stosowane przez instytucje finansowe w celu identyfikacji, weryfikacji i oceny klientów w celu zapobiegania praniu pieniędzy i finansowaniu terroryzmu. KYC ma na celu gromadzenie i sprawdzanie informacji o tożsamości klientów oraz ocenę ryzyka związanych z ich transakcjami. Procedury KYC obejmują: identyfikację klienta na podstawie dokumentów tożsamości, weryfikację źródła pochodzenia funduszy, ocenę ryzyka, monitorowanie i raportowanie podejrzanych transakcji. Celem KYC jest zapewnienie uczciwości, bezpieczeństwa i zgodności instytucji finansowej z przepisami prawnymi.

Zostały ono szczegółowo opisane w tym artykule.

Jakie dokumenty są wymagane do weryfikacji tożsamości klienta?

W celu weryfikacji tożsamości konieczne może być przedstawienie następujących dokumentów: dowodu osobistego, paszportu lub prawa jazdy, wraz z aktualnym adresem zamieszkania, np. poprzez przedstawienie rachunku za media lub wyciągu bankowego. Organizacje muszą również zbierać informacje o działalności gospodarczej klienta, takie jak dokumenty rejestracyjne firmy, umowy partnerskie czy dokumenty potwierdzające pełnomocnictwa. Ważne jest, aby każdy dokument był aktualny, ważny i niepodrobiony.

Więcej na ten temat znajdziesz w tym artykule.

Jakie są ryzyka związane z nieprzestrzeganiem zasad KYC?

Ryzyka związane z nieprzestrzeganiem zasad KYC (Know Your Customer) to:

1. Naruszenie przepisów prawa – brak weryfikacji tożsamości klientów może prowadzić do niezgodności z przepisami AML i przepisami sankcyjnymi.
2. Wprowadzenie do firmy nieuczciwych klientów – brak weryfikacji tożsamości zwiększa ryzyko pozyskania klientów związanych z praniem pieniędzy, oszustwami czy finansowaniem terroryzmu.
3. Szkody finansowe i reputacyjne – niewłaściwie przeprowadzone procesy KYC mogą prowadzić do strat finansowych, utraty klientów i uszczerbku dla reputacji firmy.
4. Poważne sankcje prawne – nieprzestrzeganie zasad KYC może skutkować nakładaniem kar i sankcji ze strony organów regulacyjnych, co wpływa negatywnie na działalność firmy.
5. Utrudnienia w raportowaniu – brak kompletnych danych i dokumentacji utrudnia raportowanie transakcji, co prowadzi do problemów z audytem wewnętrznym i zewnętrznym.

Zostały ono szczegółowo opisane w tym artykule.

Jakie są obowiązujące przepisy i regulacje dotyczące KYC?

KYC (Know Your Customer) to procedura, której celem jest identyfikacja i weryfikacja tożsamości klienta w sektorze finansowym. W Polsce obowiązujące przepisy dotyczące KYC są głównie określone w ustawach takich jak: Ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu oraz Ustawa o działalności instytucji pieniądza elektronicznego. W Unii Europejskiej regulacje dotyczące KYC obejmują przede wszystkim Dyrektywę AML (Anti-Money Laundering) IV oraz V, a także Rozporządzenie o ochronie danych osobowych (RODO). Wymagania KYC obejmują zbieranie i weryfikację danych osobowych, sprawdzanie listy sankcji, weryfikację źródeł dochodów i celów transakcji. Przedsiębiorstwa finansowe są zobowiązane do prowadzenia skrupulatnej analizy ryzyka i monitorowania transakcji klientów. Celem tych przepisów jest zapobieganie praniu pieniędzy, finansowaniu terroryzmu oraz oszustwom finansowym.

Jakie są najnowsze trendy i wyzwania w obszarze KYC?

Najnowsze trendy i wyzwania w obszarze KYC (Know Your Customer) to procesy i regulacje mające na celu identyfikację klientów w celu przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu. W ostatnich latach rozwinięcie technologii, takich jak biometria i sztuczna inteligencja, wpływa na rozwój narzędzi KYC. Ponadto, wprowadzenie Ogólnego Rozporządzenia o Ochronie Danych Osobowych (RODO) stawia większy nacisk na ochronę danych klientów. Wyzwaniem jest zatem dostosowanie się do nowych przepisów i zachowanie zgodności, jednocześnie zapewniając wygodę i skuteczność w procesach KYC.

​​Jedną z najistotniejszych zmian, jakie wprowadza Pakiet AML, jest utworzenie nowego Urzędu ds. Przeciwdziałania Praniu Pieniędzy i Finansowaniu Terroryzmu (“AMLA”).

Organ ten będzie centralnie koordynował działania organów krajowych, przyczyniając się do rozwoju spójnej i jednolitej praktyki rynkowej. Ponadto będzie on pomagał poszczególnym organom krajowym w przeprowadzaniu analiz, przyczyniając się do usprawnienia gromadzenia danych wywiadu finansowego – kluczowego materiału dla organów ścigania.

AMLA będzie koncentrować się na następujących obszarach:

• wprowadzeniu zintegrowanego systemu nadzoru AML/CFT w całej UE opartego na ujednoliconych metodologiach i standardach nadzorczych;
• bezpośredni nadzór nad najbardziej ryzykownymi instytucjami finansowymi, które działają w dużej liczbie państw członkowskich lub w odniesieniu do tych, w których może być wymagane natychmiastowe działanie w celu ograniczenia ryzyka AML/CFT
• monitorowanie i koordynowanie działań krajowych organów nadzorczych odpowiedzialnych zarówno za podmioty finansowe, jak i niefinansowe
• promowanie współpracy między krajowymi FIU oraz ułatwianie koordynacji ich pracy, jak również wspólnych analiz w celu poprawy wykrywania nielegalnych transgranicznych przepływów finansowych.

AMLA ma działać jako koordynator działań organów nadzoru krajowych oraz instytucji UE w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu. Jego głównym celem będzie zapewnienie jednolitych standardów i zasad działania w UE w zakresie AML/CTF.

AMLA będzie posiadał szerokie uprawnienia nadzorcze, w tym możliwość przeprowadzania inspekcji w firmach z sektorów ryzykownych, takich jak sektor bankowy czy sektor kryptowalut. Urząd będzie miał również możliwość nakładania sankcji na firmy, które nie spełnią wymogów dotyczących przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu.

AMLA będzie działał we współpracy z organami nadzoru krajowych oraz innymi instytucjami UE, takimi jak Europol czy Europejski Urząd ds. Zwalczania Nadużyć Finansowych (OLAF). Ma to zapewnić lepszą koordynację działań oraz wymianę informacji w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu. Urząd ma zostać utworzony do 2024 roku, a jego wdrożenie będzie wymagało współpracy państw członkowskich UE.

Pakiet AML obejmuje przepisy:

• Rozporządzenie UE („jednolity zbiór przepisów”, „single rulebook”)

• VI Dyrektywa AML

• Rozporządzenie ustanawiające nowy unijny organ ds. przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu – AMLA ( z ang. Anti-Money Laundering Authority)

Europejska Rada Ochrony Danych powołała grupę roboczą ds. ChatGPT w celu monitorowania i zbadania kwestii jego zgodności z unijnymi regulacjami dotyczącymi ochrony danych osobowych przy m.in. generowaniu tekstów i rozmów z ludźmi.

Głównym celem grupy ds. ChatGPT jest opracowanie wytycznych dotyczących ochrony danych osobowych w związku z wykorzystaniem systemów sztucznej inteligencji do generowania tekstów i rozmów. Grupa będzie badać różne aspekty związane z ochroną danych, takie jak przetwarzanie danych osobowych, prawa użytkowników, bezpieczeństwo i odpowiedzialność za szkody wynikające z wykorzystania ChatGPT.

W skład grupy ds. ChatGPT wchodzą eksperci ds. ochrony danych osobowych, przedstawiciele różnych organów nadzorczych oraz innych zainteresowanych stron. Grupa ta będzie działać we współpracy z innymi organami i grupami roboczymi Europejskiej Rady Ochrony Danych Unii Europejskiej aby zapewnić koordynację działań i osiągnięcie celów wyznaczonych przez Radę.

Zagrożenia związane z wykorzystaniem ChatGPT do generowania tekstów i rozmów zostały zidentyfikowane przez Europejską Radę Ochrony Danych Unii Europejskiej  i mogą obejmować:

• Naruszenie prywatności i ochrony danych osobowych: ChatGPT może zbierać i przetwarzać dane osobowe użytkowników, takie jak informacje o preferencjach, zachowaniach i intencjach. W związku z tym istnieje ryzyko naruszenia prywatności i ochrony danych osobowych.
• Ryzyko dyskryminacji i uprzedzeń: ChatGPT może wprowadzać błędne założenia i uprzedzenia, na przykład w zakresie płci, rasy, orientacji seksualnej czy wyznania, co może prowadzić do dyskryminacji.
• Ryzyko dezinformacji i fałszywych informacji: ChatGPT może generować nieprawdziwe lub mylące informacje, co może prowadzić do dezinformacji i manipulacji opinii publicznej.
• Bezpieczeństwo cybernetyczne: ChatGPT może być podatny na ataki cybernetyczne, które mogą prowadzić do naruszenia bezpieczeństwa danych i prywatności użytkowników.
• Odpowiedzialność za decyzje podejmowane przez ChatGPT: ChatGPT może podejmować decyzje, na przykład w zakresie rekomendacji produktów lub usług, co może prowadzić do odpowiedzialności prawnej za szkody wynikające z tych decyzji.

Organy publiczne na całym świecie zajmujące się ochroną danych osobowych i prywatności podejmują działania w sprawie ChatGPT.

Na poziomie europejskim, już w 2020 roku Europejska Rada Ochrony Danych Unii Europejskiej wydała wytyczne dotyczące wykorzystania sztucznej inteligencji, w tym systemów generujących teksty i rozmowy, z uwzględnieniem kwestii ochrony prywatności i danych osobowych. EDPB również powołała grupę roboczą ds. ChatGPT, o której powyżej mowa, aby badać zagadnienia związane z ochroną danych w kontekście tego systemu.

Na poziomie krajowym, w wielu krajach istnieją organy i agencje ds. ochrony prywatności, które także podejmują działania w kwestii ChatGPT. Na przykład w Stanach Zjednoczonych Federalna Komisja Handlu (Federal Trade Commission, FTC) wydała wezwanie do złożenia raportów od dziewięciu firm, które oferują narzędzia oparte o działanie sztucznej inteligencji, w tym ChatGPT, celem zbadania kwestii związanych z prywatnością i bezpieczeństwem.

Polska

W Polsce organem odpowiedzialnym za ochronę danych osobowych jest Urząd Ochrony Danych Osobowych (UODO). Zgodnie z informacjami dostępnymi na stronie internetowej UODO, w 2021 roku urząd ten wydał rekomendacje dotyczące wykorzystania sztucznej inteligencji, w tym ChatGPT, z uwzględnieniem kwestii ochrony prywatności i danych osobowych. Urząd Ochrony Danych Osobowych wystąpił ostatnio do włoskiej agencji ochrony danych (Garante per la protezione dei dati personali) w sprawie ChatGPT. UODO chce zbadać, czy ChatGPT przestrzega europejskiej regulacji o ochronie prywatności, a także potencjalne ryzyko naruszania prywatności użytkowników.

UODO nie otrzymał do tej pory (kwiecień 2023) skarg dotyczących korzystania z ChatGPT i nie przeprowadził kontroli w związku z jego funkcjonowaniem, ale bada sprawę. Urząd liczy na uregulowanie kwestii sztucznej inteligencji na poziomie unijnym i organizuje inicjatywy edukacyjne oraz naukowe w celu lepszego zrozumienia wspomnianej technologii, a także, potencjalnych zagrożeń. UODO poprosił także włoską agencję ochrony danych o udostępnienie informacji dotyczących wykorzystania ChatGPT przez instytucje publiczne i prywatne we Włoszech.

Włochy

We Włoszech organem odpowiedzialnym za ochronę danych osobowych jest Garante per la protezione dei dati personali, czyli urząd ochrony danych osobowych. Garante zajmuje się ochroną danych osobowych oraz podejmuje działania w zakresie regulacji i nadzoru w tym obszarze.

W kontekście ChatGPT, Garante wskazuje na zagrożenia związane z wykorzystaniem sztucznej inteligencji, w tym systemów generujących teksty i rozmowy, pod kątem prywatności i ochrony danych. W związku z tym, Garante opublikował wytyczne dotyczące wykorzystania sztucznej inteligencji w grudniu 2020 roku, w których dostrzegł konieczność ochrony danych osobowych i prywatności użytkowników oraz wskazał, że przed wdrożeniem takich systemów należy dokładnie zbadać ich wpływ na prywatność i ochronę danych.

Ponadto, we wrześniu 2021 roku Garante wszczął postępowanie wyjaśniające w sprawie wykorzystania przez Facebook systemu sztucznej inteligencji w tzw. smart glasses, który może naruszać prywatność i ochronę danych osobowych użytkowników. Postępowanie to ma na celu zbadać, czy Facebook przestrzega przepisów dotyczących ochrony danych osobowych i czy jego system respektuje prywatność użytkowników. Warto również dodać, że we Włoszech tematem zajmuje się również krajowe centrum ds. cyberbezpieczeństwa (Centro Nazionale Cyber ​​Difesa), które monitoruje zagrożenia związane z bezpieczeństwem cybernetycznym, w tym zagrożenia wynikające z wykorzystania sztucznej inteligencji.

Niemcy

W Niemczech organem nadzorującym ochronę danych osobowych jest Federalny Komisarz do spraw Ochrony Danych i Wolności Informacyjnej (BfDI). BfDI jest niezależnym organem nadzorczym, który zajmuje się ochroną danych osobowych, a także promuje świadomość w zakresie prywatności i bezpieczeństwa danych dla wszystkich organów publicznych rządu federalnego.

W kontekście ChatGPT, BfDI wskazuje na konieczność ochrony danych osobowych użytkowników oraz na zagrożenia związane z wykorzystaniem sztucznej inteligencji, w tym systemów generujących teksty i rozmowy. W związku z tym, BfDI opublikował wytyczne dotyczące wykorzystania sztucznej inteligencji w maju 2021 roku, w których zwrócił uwagę na konieczność przestrzegania przepisów dotyczących ochrony danych osobowych oraz na potrzebę wyjaśnialności w stosowaniu sztucznej inteligencji.

BfDI również podejmuje konkretne działania w sprawie ChatGPT. W 2021 roku, BfDI wszczął postępowanie przeciwko platformie Clubhouse, która wykorzystuje system generowania tekstów w celu automatycznego generowania transkrypcji rozmów. Postępowanie to ma na celu zbadać, czy Clubhouse przestrzega przepisów dotyczących ochrony danych osobowych oraz czy jego system generowania tekstów respektuje prywatność użytkowników. Ponadto, w Niemczech istnieje również Federalne Biuro ds. Bezpieczeństwa Sieci Informacyjnych (BSI), które jest odpowiedzialne za monitorowanie i przeciwdziałanie zagrożeniom związanym z bezpieczeństwem cybernetycznym, w tym zagrożenia wynikające z wykorzystania sztucznej inteligencji.

Francja

W kontekście ChatGPT, władze francuskie podjęły kilka działań dotyczących ochrony prywatności i danych osobowych użytkowników. Jeden z organów zajmujących się ochroną danych w Francji to Komisja ds. Informacji i Wolności (Commission nationale de l’informatique et des libertés, CNIL). W maju 2021 roku, CNIL opublikowała swoje wytyczne dotyczące sztucznej inteligencji, w których podkreśla konieczność ochrony prywatności i danych osobowych użytkowników, a także na potrzebę przejrzystości i odpowiedzialności w stosowaniu sztucznej inteligencji.

Ponadto, w lipcu 2021 roku CNIL wszczęła postępowanie przeciwko platformie do nauki języków, Duolingo, która wykorzystuje system generowania tekstu, w tym ChatGPT, do automatycznego tłumaczenia tekstów użytkowników. Postępowanie to ma na celu zbadać, czy Duolingo przestrzega przepisów dotyczących ochrony danych osobowych i prywatności użytkowników, a także czy jego system generowania tekstu respektuje prywatność użytkowników. W tym samym okresie francuski organ nadzorczy ochrony danych osobowych wydał również decyzję nakładającą na Google karę w wysokości 500 milionów euro za naruszanie przepisów dotyczących prywatności i danych osobowych użytkowników w związku z wykorzystaniem plików cookie.

W sierpniu 2021 roku, francuski rząd przedstawił projekt ustawy dotyczącej sztucznej inteligencji, który ma na celu regulację stosowania sztucznej inteligencji i ochronę danych użytkowników. Projekt ustawy zakłada, że systemy oparte na sztucznej inteligencji, w tym ChatGPT, będą musiały być transparentne i odpowiedzialne, a także przestrzegać przepisów dotyczących ochrony danych osobowych użytkowników.

Co dalej?

Jako model językowy, ChatGPT nie jest bezpośrednio regulowany przez Europejską Radę Ochrony Danych ale może podlegać przepisom dotyczącym ochrony danych osobowych. W związku z tym, kolejne kroki Rady wobec ChatGPT mogą obejmować:

1. Monitorowanie działań ChatGPT w odniesieniu do ochrony danych osobowych, aby upewnić się, że model spełnia wymogi regulacyjne.
2. Przeprowadzanie audytów bezpieczeństwa w celu upewnienia się, że ChatGPT przestrzega wymogów dotyczących bezpieczeństwa i prywatności danych.
3. Współpraca z dostawcami technologii i twórcami modelu, aby zapewnić zgodność z regulacjami dotyczącymi ochrony danych.
4. Podejmowanie działań w przypadku naruszenia prywatności lub bezpieczeństwa danych przez ChatGPT, w tym na przykład nałożenie kar lub innych sankcji.
5. Przeprowadzanie badań dotyczących wpływu modeli językowych na prywatność i bezpieczeństwo danych, w tym na przykład badania dotyczące wykorzystania danych wrażliwych lub kwestii związanych z identyfikacją osobistą.
6. Opracowywanie i aktualizowanie wytycznych dotyczących prywatności i bezpieczeństwa danych dla modeli językowych, takich jak ChatGPT, aby pomóc w zapewnieniu zgodności z regulacjami dotyczącymi ochrony danych i prywatności.

Posiadanie strategii ESG nie jest już rzeczą opcjonalną dla firm. Zagadnienie zrównoważonego rozwoju staje się strategicznym priorytetem dla firm na całym świecie. Wyjaśniamy, jak zidentyfikować zagrożenia związane z ESG we własnym łańcuchu dostaw.

Kto sprzedaje najwięcej samochodów lub osiąga największe zyski? Można powiedzieć, że przez dziesiątki lat te dane liczbowe determinowały branżę motoryzacyjną. Wielkość emisji CO2 albo rodzaj energii wykorzystywanej do zasilania fabryki – przez długi czas aspekty te nie były uważane za istotne. Dzisiaj producenci samochodów, na przykład Mercedes Benz, stawiają sobie inne cele, takie jak: zmniejszenie o połowę śladu CO2 do 2030 roku. Ten cel jest częścią strategii ESG i odzwierciedla globalny trend przechodzenia na zrównoważoną gospodarkę.

Znaczenie ESG

ESG oznacza Environment, Social, Governance, czyli środowisko naturalne, politykę społeczną i ład korporacyjny). Zagadnienia powiązane z ESG, na przykład odpowiedzialność społeczna, świadomość ekologiczna i zrównoważony rozwój, jak również przejrzyste zarządzanie przedsiębiorstwem, mają związek z działalnością biznesową. Strategia ESG obejmuje cele i działania w tych obszarach tematycznych. Co więcej, duże przedsiębiorstwa nie tylko przykładają coraz większą wagę do wykrywania i ograniczania zagrożeń ESG w obrębie własnej grupy, lecz także coraz częściej oceniają czynniki ESG u partnerów biznesowych. W związku z tym – zgodnie z niemiecką ustawą o dochowaniu należytej staranności przedsiębiorcy w łańcuchu dostaw (niem. LkSG) – przedsiębiorstwa mają obowiązek kontroli własnych dostawców pod kątem zagrożeń związanych z ESG.

Strategiczne podejście bazuje tutaj na tym, że wspomniane działania muszą być długofalowe i w wielu przypadkach wymagają również transformacji procesów istniejących w przedsiębiorstwie.

Ze względu na rosnące wymogi regulacyjne firmy na całym świecie muszą wykazać w oparciu o konkretne dane liczbowe, na ile dobrze spełniają kryteria ESG.

Indywidualne znaczenie kryteriów ESG  

„Dzisiaj przedsiębiorstwa potrzebują strategii ESG opartej na prawidłowych danych. W zależności od wielkości firmy i branży istnieją różne wymagania, które należy spełnić podczas nakreślania strategii i nadawania znaczenia kryteriom ESG”

wyjaśnia Carsten Ettmann, starszy konsultant ds. ryzyka i  zgodności w Dun & Bradstreet.

Podczas gdy w przypadku koncernu chemicznego duże znaczenie mają zwłaszcza aspekty środowiskowe, dostawca usług personalnych ukierunkuje swoją strategię zrównoważonego rozwoju na aspekty społeczne.

Kryteria ESG podstawą strategii przedsiębiorstw w zakresie zrównoważonego rozwoju 

Aby móc zmierzyć i ocenić zrównoważony rozwój, odpowiedzialność społeczną i ład korporacyjny oparty na wartościach, potrzebne są zdefiniowane kryteria. Do takich kryteriów zalicza się na przykład wielkość emisji CO2, wprowadzenie zasady równości szans w przedsiębiorstwie lub certyfikacja w obszarach takich jak ochrona zdrowia lub gospodarka o obiegu zamkniętym. Na podstawie tego rodzaju czynników można zmierzyć i ocenić zrównoważony rozwój przedsiębiorstwa i porównać go z konkurencją.

SASB

Czym jest Sustainability Accounting Standards Board (SASB)?

SASB to niezależna organizacja non-profit, która określa globalne zasady dotyczące publikowania informacji na temat zrównoważonego rozwoju. Istnieją już standardy dla 77 branż, podzielone według obszarów tematycznych, takich jak środowisko naturalne, polityka społeczna i  ład korporacyjny.

Dun & Bradstreet klasyfikuje dane ESG w 13 obszarach tematycznych

W oparciu o SASB i inne standardy międzynarodowe (GRI, TCFD itd.) agencja Dun & Bradstreet sklasyfikowała swoje dane ESG w 13 obszarach tematycznych. Zasoby naturalne, emisje gazów cieplarnianych i zagrożenia związane z klimatem, zagrożenia i szanse związane z ochroną środowiska, kapitał ludzki, produkty i usługi, utrzymanie klientów, zaangażowanie społeczne, zaangażowanie dostawców, certyfikaty, ład korporacyjny i odporność przedsiębiorstwa. Te obszary tematyczne dzielą się na dalsze podtypy danych.

„Dokonując klasyfikacji, kierowaliśmy się przepisami ustawowymi, np. ustawą o dochowaniu należytej staranności przedsiębiorcy w łańcuchu dostaw w celu przestrzegania praw człowieka, oraz Taksonomią UE. Obecnie przedsiębiorstwa są zobowiązane na przykład do pozyskiwania informacji dotyczących śladu CO2 partnerów biznesowych, warunków pracy lub zaangażowania społecznego. Oferując D&B ESG Intelligence, Dun & Bradstreet dostarcza rozwiązanie, które ułatwia dostępność tych danych”

dodaje Ettmann.

Ranking ESG na rzecz zwiększenia przejrzystości  

Ranking ESG opracowany przez Dun & Bradstreet określa, w jakim stopniu dana firma zaangażowana jest w działanie związane ze zgodnością ESG, które może skutkować stratą finansową. Do pomiaru ryzyka stosuje się skalę od 1 do 5, przy czym 1 oznacza najmniejsze, a 5 największe ryzyko. W przypadku gdy firma współpracuje z dostawcą o rankingu ESG 5, można z tego wywnioskować, że ryzyko jest bardzo wysokie.

Z rankingu ESG można również dowiedzieć się, w jakim obszarze firma posiada dobry ranking. Ranking „E” koncentruje się na ochronie środowiska, ranking „S” na polityce społecznej, a ranking „G” na aspektach związanych z ładem korporacyjnym. Dodatkowo dostępne są również branżowe dane porównawcze i informacje na temat zastosowanych danych źródłowych, dzięki czemu można bardzo dokładnie oszacować zagrożenia.

„D&B ESG Intelligence pomaga przedsiębiorstwom w identyfikacji partnerów biznesowych z dobrymi wynikami ESG, co ułatwia podejmowanie właściwych decyzji handlowych oraz umożliwia wykrywanie zagrożeń, takich jak zła reputacja albo szkody wynikające z niedostosowania do regulacji lub straty operacyjne w łańcuchu dostaw”,

mówi Carol Ettmann.

Narzędzie D&B wpisuje się w cały arsenał dostępnych na runku narzędzi wspierających procesy transparentności biznesowej, takie jak ESG  czy AML.
Inne narzędzia i technologie stosowane w AML obejmują:

1. Systemy zarządzania ryzykiem – służą do identyfikacji, oceny i monitorowania ryzyka prania pieniędzy.
2. Filtrowanie i analiza transakcji – wykorzystuje się narzędzia do przetwarzania dużej ilości danych transakcyjnych, identyfikacji podejrzanych wzorców i wykrywania nieprawidłowości.
3. Weryfikacja tożsamości – technologie biometryczne, rozpoznawanie twarzy i odcisków palców pomagają w uwierzytelnianiu klientów.
4. Rozpoznawanie tekstu – stosuje się techniki OCR (Optical Character Recognition), aby automatycznie odczytywać i analizować dokumenty identyfikacyjne.
5. Analiza sieciowa – wykorzystuje się algorytmy do analizy powiązań między różnymi podmiotami w celu identyfikacji podejrzanych wzorców i struktur.
6. Sztuczna inteligencja i uczenie maszynowe – wspomagają automatyczną analizę danych, identyfikację ryzyka oraz wykrywanie anomalii i nieprawidłowości.
7. Raportowanie i monitorowanie – narzędzia do generowania raportów oraz monitorowania i raportowania transakcji podejrzanych.