Що таке ризик-орієнтований due diligence?

Due diligence має репутацію або формальної галочки, або нескінченної анкети — і жоден із цих варіантів не робить того, що обіцяє сам термін. Ризик-орієнтований підхід перебуває між цими двома крайнощами: він спрямовує обмежений час і ресурси компанії на ті впливи й ризики, які найімовірніше виявляться серйозними, а не розподіляє фіксований чекліст рівномірно на все, до чого бізнес має стосунок. Правильне розуміння цієї відмінності важливе далеко за межами комплаєнс-відділів — саме воно визначає, як зараз переписують вимоги до due diligence в межах пакета спрощення ЄС Omnibus, і саме воно визначає, як будь-яка компанія вирішує, які з її контрагентів справді заслуговують на пильніший погляд.

Ключові висновки

• Ризик-орієнтований due diligence означає спрямування уваги на найсерйозніші ризики, повʼязані з діяльністю компанії та її ланцюгом постачання, а не однакову за інтенсивністю оцінку кожної ділянки.
• Процес складається з трьох послідовних кроків: виявити, де найімовірніше сидять найсерйозніші впливи, зрозуміти їх на основі найкращої доступної інформації та визначити, які питання потребують уваги першими.
• Це не чекліст-вправа, не анкетування кожної окремої юридичної особи в пошуках ідеальної інформації і не вимога звести кожен ризик до нуля.
• Той самий базовий процес може одночасно слугувати управлінню ризиками, звітності про вплив і оцінці фінансової суттєвості — компанії не потрібні три окремі системи.
• Там, де ризик сидить глибоко в ланцюгу постачання і жодна окрема компанія не може виправити це самотужки, обґрунтована відповідь — це спільне пом'якшення ризику з реальним моніторингом, а не вимога до прямого постачальника вирішити проблему самостійно.

Що насправді означає ризик-орієнтований due diligence

У своїй основі ризик-орієнтований підхід означає, що компанія спрямовує увагу на ті ризики для людей і довкілля, які найімовірніше є серйозними саме в її власній діяльності, продуктах чи послугах, — а не на загальний список, запозичений із галузевого звіту. Логістична компанія та гірничодобувна компанія мають справді різні профілі ризику, навіть перебуваючи в межах одного регуляторного поля, і процес, що трактує їх однаково, зазвичай робить посередню роботу для обох.

Цей фокус — не спосіб робити менше. Управління впливами, які справді мають значення, зазвичай зміцнює стійкість компанії в її власній діяльності та ланцюгу постачання і дедалі більше впливає на доступ до капіталу й ринків, які тепер очікують від бізнесу переконливих практик стійкого розвитку як умови співпраці. Ризик-орієнтований підхід існує саме тому, що рівномірний розподіл обмежених ресурсів між низько- й високоризиковими ділянками дає гірший результат, ніж концентрація уваги там, де ставки справді найвищі.

Чим він не є

Значна частина плутанини навколо due diligence походить не з того, що процес реально вимагає, а з того, що люди про нього припускають. Це не вказівка оцінювати кожну частину діяльності та ланцюга постачання компанії з однаковою інтенсивністю незалежно від того, наскільки віддаленою чи низькоризиковою є конкретна ділянка. Це не вимога опитувати кожну окрему юридичну особу в ланцюгу постачання через стандартизовану анкету в пошуках повної, ідеальної інформації, якої в більшості глобальних ланцюгів постачання просто не існує. Це не вимога звести кожен виявлений ризик до нуля — що нереалістично і в більшості випадків не є реальним юридичним чи практичним стандартом. І це не мандат контролювати прямих бізнес-партнерів так, ніби саме вони одноосібно відповідають за вирішення структурних проблем, що виходять далеко за межі їхнього контролю.

Пасивне очікування, поки проблема сама себе проявить, — це теж не ризик-орієнтований підхід, хоча його іноді плутають саме з цим. Мета спрямування уваги на найризикованіші ділянки — випередити ймовірні впливи, використовуючи найкращу розумно доступну інформацію зараз, а не сидіти й чекати, поки порушення стане публічним, і лише тоді реагувати. Ризик-орієнтований процес, що реагує лише постфактум, уже провалив те єдине завдання, заради якого існує.

Три кроки: виявити, зрозуміти, визначити пріоритет

Хоч це й звучить абстрактно, процес розкладається на три кроки, які в тій чи іншій формі присутні в більшості авторитетних рамок управління ризиками, звітності про стійкий розвиток та оцінки суттєвості.

Виявити — це перший крок: на основі найкращої інформації, яку компанія може розумно отримати, визначити, які частини її власної діяльності та ланцюга постачання найімовірніше повʼязані з найсерйознішими впливами. Цей крок не вимагає впевненості — він вимагає обґрунтованого судження на основі доказів про те, де ймовірно концентрується ризик.

Зрозуміти — крок, що будує реальне знання про ризики, виявлені на попередньому етапі, спираючись на будь-яке поєднання джерел — країнові оцінки, галузеві дослідження, пряму взаємодію з людьми, ближчими до ситуації на місцях, — яке дає достатньо точну картину для дій. Ризик, який виявили, але не зрозуміли по-справжньому, — це все ще лише здогадка з ярликом.

Визначити пріоритет — останній крок: з урахуванням усього зібраного на перших двох етапах, які питання справді заслуговують найтерміновішої уваги, виходячи з того, наскільки серйозний потенційний вплив і наскільки він імовірний. Саме серйозність і ймовірність разом, а не окремо одне чи інше, мають визначати, куди компанія спрямовує свою обмежену увагу далі.

Оскільки ці три кроки не привʼязані до якоїсь однієї регуляторної мети, той самий базовий процес може одночасно живити управління ризиками компанії, її звітність про вплив на стійкий розвиток і оцінку фінансової суттєвості — результати одного напряму прямо живлять інші, замість того щоб вимагати три паралельні, розʼєднані процеси, які ставлять ті самі питання іншою мовою.

Звідки береться інформація

Стандарт "найкращої доступної інформації" звучить розпливчасто, доки не розкласти його на те, чим компанії реально користуються на практиці. Країнові оцінки впливу та галузеві чи товарні дослідження зазвичай є відправною точкою, оскільки багато вже публічно задокументовано про те, де географічно й структурно концентруються ризики конкретної галузі. Державні та академічні дослідження заповнюють прогалини, які пропускають галузеві дослідження, особливо щодо нових чи швидкозмінних ризиків. Відносини з громадськими організаціями та профспілками додають перспективу, якої кабінетне дослідження саме по собі не досягає, — люди, ближчі до постраждалих громад чи працівників, зазвичай помічають проблеми задовго до того, як ті потраплять у формальний звіт. А дедалі більше галузей об'єднують ресурси через спільні ініціативи, спеціально створені для збору й обміну інформацією про ризики в ланцюгу постачання, що розподіляє вартість дослідження, яке було б надлишковим, якби кожна компанія галузі проводила його окремо.

На цьому етапі проблеми з правами людини та стійким розвитком, типові для конкретної галузі, зазвичай уже добре відомі й відкрито обговорювані, а не приховані чи незрозумілі. Складніша частина — зазвичай не в тому, щоб дізнатися, що якась категорія ризику існує в галузі, а в тому, щоб зрозуміти, як саме вона застосовується до конкретного профілю конкретної компанії, — і саме тут крок "зрозуміти" виправдовує своє місце в процесі, а не залишається формальністю.

Коли ризик сидить глибоко в ланцюгу постачання

Деякі з найсерйозніших ризиків розташовані на кілька рівнів далі від прямих відносин компанії, у частинах ланцюга постачання, які жоден окремий покупець не може чітко побачити чи виправити самотужки. Вимога до постачальника першого рівня самостійно вирішити структурну, галузеву проблему — таку, що існує значно нижче того рівня, де сягає видимість чи вплив цього постачальника, — зазвичай призводить до паперової роботи, а не реальних змін.

Більш обґрунтована відповідь у таких випадках проходить через співпрацю, а не односторонній тиск: галузеві ініціативи, що обʼєднують ресурси кількох покупців, які стикаються з тією самою системною проблемою, цільові програми розбудови спроможності саме в тій точці ланцюга, де ризик реально концентрується, і партнерства з профспілками, громадськими організаціями та державними органами, чий охоплення перевищує можливості однієї компанії. Від будь-якої окремої компанії в такій ситуації розумно очікувати обґрунтовану стратегію пом'якшення ризику, реальний моніторинг того, чи вона працює, і готовність адаптувати підхід у міру надходження нової інформації, — але не гарантію, що базова проблема зникне, і не каскад договірних вимог, перекладених на партнера з найменшою спроможністю їх реально виконати.

Чому суперечка про визначення має значення

Це не суто академічна відмінність. Поки законодавці ЄС опрацьовують пакет спрощення Omnibus і переглядають вимоги до due diligence в межах рамок, повʼязаних із Європейськими стандартами звітності зі стійкого розвитку (ESRS), Глобальною ініціативою зі звітності (GRI), Керівними принципами ООН (UNGPs) та Робочою групою з розкриття фінансової інформації, повʼязаної з кліматом (TCFD), те, як саме "ризик-орієнтований" визначать у фінальному тексті закону, визначить, що компанії реально зобов'язані робити на роки вперед.

Зведення ризик-орієнтованого стандарту до фіксованого процедурного чекліста виглядає простіше на папері, але зазвичай дає протилежний ефект: компанії витрачають реальні ресурси на документування в тих сферах, які найлегше стандартизувати, — а це часто не ті сфери, де реально сидить ризик, — тоді як справді високоризикові напрями отримують порівняно менше уваги, бо не вписуються акуратно в шаблон. Така невідповідність також створює власну юридичну вразливість: компанія, яка формально виконала вузький чекліст у своїй юрисдикції, усе одно може зіткнутися з відповідальністю в інших юрисдикціях, що застосовують змістовний, ризик-орієнтований стандарт, а не процедурний.

Це питання прямо стосується й українського бізнесу, навіть без формального підпадання під юрисдикцію ЄС: директива CSDDD та повʼязані з нею вимоги поширюються не лише на самі компанії ЄС, а й каскадом спускаються на їхніх постачальників поза межами Союзу, включно з українськими виробниками та експортерами в агросекторі, металургії й переробній промисловості. На практиці це вже означає, що європейський покупець дедалі частіше просить українського постачальника заповнити анкету з ризик-орієнтованого due diligence або підтвердити відповідність власного ланцюга постачання — і розуміння того, що ця вимога насправді означає (а не є формальним анкетуванням заради самого анкетування), допомагає українській компанії відповісти по суті, а не витратити ресурси на неправильні пункти.

Досягнення реального спрощення без вихолощення суті due diligence залежить від кількох речей: досить конкретного тексту закону, щоб компанії не здогадувалися, чого саме вимагає "ризик-орієнтований" підхід на практиці, чіткого керівництва щодо початкових кроків процесу, наданого до того, як компанії вже глибоко занурилися у впровадження, і наглядового підходу, який винагороджує реальне, поступове покращення відповідності з часом, а не трактує кожну прогалину як порушення, за яке треба одразу карати.

Де закінчується "найкраща доступна інформація"

Описаний вище трикроковий процес працює настільки добре, наскільки добра інформація, яка в нього надходить, — і саме тут ризик-орієнтований підхід тихо натрапляє на власні межі. Компанія, що добросовісно виконує кроки "виявити" й "зрозуміти", у більшості випадків усе одно спирається на те, що розкриває сам контрагент, що опубліковано у відкритих галузевих і державних джерелах, і що випадково спливає через кілька каналів, заснованих на особистих стосунках, — жоден із яких надійно не виявляє структуру, яку хтось активно намагався приховати.

Візьмімо ситуацію, актуальну для європейського покупця, що оцінює нового українського постачальника другого рівня в аграрному чи металургійному секторі, — регіон чи галузь якого коректно позначено як зону підвищеного ризику через воєнний стан і повʼязані з ним ризики переміщення активів і зміни структури власності. Покупець проходить процес так, як і задумано: виявляє категорію ризику, збирає публічно доступну інформацію про власність і операційну історію постачальника та визначає його як пріоритет для пильнішого моніторингу, а не для одноразової галочки. Власні розкриття постачальника та стандартна перевірка реєстру показують локально зареєстровану операційну компанію без очевидних червоних прапорців. Чого ця перевірка реєстру не показує — те, що юридичну особу реструктуризували вісімнадцять місяців тому, і особа, яка контролювала її до реструктуризації — раніше згадана в регіональному матеріалі про непрозорі оборонні закупівлі в іншому регіоні, — досі утримує неоприлюднену непряму частку через окрему холдингову структуру, зареєстровану в третій юрисдикції. Ще гостріше це питання постає, якщо за такою структурою ховається зв'язок із підсанкційною особою чи активами, повʼязаними з рф, — саме та деталь, яку жодна анкета самодекларації не покаже і яку не виявить стандартна перевірка реєстру на звичайному часовому проміжку. Ніщо з цього не є сфабрикованим чи навіть особливо добре прихованим; воно просто перебуває за межами того, що розумно виявляє пошук за принципом "найкращої доступної інформації" в стандартні терміни, — і саме це перетворює добре спроєктований ризик-орієнтований процес на добре задокументовану сліпу зону.

Закрити цю прогалину — це не про більше due diligence, а про належне виконання рівня перевірки саме для тих контрагентів, яких ризик-орієнтований процес уже позначив як варті пильнішого погляду. Це конкретна робота, яку виконує наша команда перевірки третіх сторін — простежуючи структуру власності за межі зареєстрованих директорів і акціонерів до людей, які реально контролюють юридичну особу, і перевіряючи саме історію цієї власності, а не лише її поточний знімок, за санкційними списками та негативними згадками в медіа через нашу санкційну перевірку та перевірку негативних згадок у медіа. Для контрагента, якого ризик-орієнтована оцінка вже позначила як пріоритетний, це і є різниця між тим, щоб задокументувати, що перевірку провели, і тим, щоб реально знати, що вона показала.

Часті запитання

У чому реальна різниця між ризик-орієнтованим due diligence та чекліст-підходом?

Чекліст-підхід застосовує той самий фіксований набір питань чи процедур до кожного контрагента чи ділянки бізнесу незалежно від того, скільки реального ризику вона несе, що розподіляє обмежені ресурси рівномірно замість концентрації там, де це має значення. Ризик-орієнтований due diligence спочатку визначає, де найімовірніше сидять серйозні ризики, а потім масштабує глибину перевірки відповідно — низькоризикові відносини отримують легшу перевірку, високоризикові — реальну увагу.

Чи означає ризик-орієнтований due diligence, що компанії можуть повністю пропускати ділянки, які вважають низькоризиковими?

Не пропускати повністю, але це означає, що такі ділянки отримують пропорційно менше часу й глибини порівняно з ділянками, позначеними як високоризикові. Початковий крок "виявити" все одно має охопити повну картину на розумному рівні, перш ніж компанія зможе обґрунтовано стверджувати, що ділянка справді низькоризикова, а не просто не досліджена.

Чи є ризик-орієнтований підхід менш ретельним, ніж вимога однакового стандарту для всього?

На практиці зазвичай навпаки. Рівномірний розподіл фіксованих зусиль між низько- й високоризиковими ділянками зазвичай означає, що справді серйозні ризики недостатньо досліджуються, бо ті самі обмежені ресурси розпорошуються ще й на все інше. Концентрація зусиль там, де серйозність і ймовірність реально високі, дає найризикованішим ділянкам той рівень уваги, якого уніфікований стандарт їм рідко забезпечує.

Як компанія визначає, які ризики є для неї "найсерйознішими"?

Зважуючи серйозність і ймовірність разом, спираючись на найкращу розумно доступну інформацію — країнові та галузеві оцінки, державні й академічні дослідження, дані від громадських організацій і профспілок, а також будь-який спільний галузевий обмін інформацією, до якого має доступ компанія. Це обґрунтоване доказами судження, а не здогадка, але водночас це й не пошук абсолютної впевненості перед тим, як діяти.

Чого очікують від компанії, коли ризик сидить на кілька рівнів глибше в ланцюгу постачання?

Обґрунтованої стратегії пом'якшення ризику через співпрацю — галузеві ініціативи, розбудова спроможності саме в тій точці, де концентрується ризик, і партнерства з організаціями, чий охоплення перевищує можливості однієї компанії, — плюс реальний моніторинг того, чи ця стратегія працює, і готовність її коригувати. Це не очікування, що компанія самотужки усуне структурну, галузеву проблему, і не очікування, що постачальник першого рівня візьме на себе відповідальність за ризик, який виникає значно нижче в ланцюгу.

Чому пакет спрощення ЄС Omnibus важливий для того, як визначають ризик-орієнтований due diligence?

Тому що визначення, закладене у фінальний текст закону, визначає, що компанії реально зобов'язані робити на роки вперед. Визначення, зведене до жорстких процедурних кроків, ризикує підштовхнути компанії до надмірних інвестицій у легко стандартизовану документацію за рахунок недоінвестування в справді високоризикові напрями, що не вписуються в шаблон, — і при цьому все одно залишає компанії вразливими до відповідальності в юрисдикціях, що застосовують більш змістовний стандарт.

Чи стосується це українських компаній, які самі не підпадають під юрисдикцію ЄС?

Так, і дедалі частіше на практиці: вимоги CSDDD каскадом спускаються від компаній ЄС до їхніх постачальників за межами Союзу, включно з українськими виробниками й експортерами. Українській компанії, що постачає європейському покупцю, варто очікувати запиту на ризик-орієнтовану оцінку свого власного ланцюга постачання — і розуміння логіки цього процесу допомагає відповісти по суті, а не витрачати ресурси на неправильні пункти анкети.

Чи вимагає ризик-орієнтований підхід повністю усунути кожен виявлений ризик?

Ні — зведення кожного ризику до нуля не є стандартом у більшості рамок, і трактування цього як стандарту зазвичай дає формальне галочкування замість реального зменшення ризику. Загалом очікується обґрунтована стратегія роботи з ризиком, реальний моніторинг її ефективності та адаптація в міру зміни обставин, а не гарантія повністю безризикового результату.

‍