Kratak odgovor

Odgovor na ovo pitanje zavisi od toga da li kompanija već ima uspostavljene politike, procedure i prakse koje ispunjavaju zahtjeve poslovnog partnera. Ukoliko kompanija već ima svoj kodeks ponašanja koji zahtijeva isti standard ponašanja zaposlenih kao i kodeks klijenta, onda potpisivanje kodeksa klijenta neće donositi nove obaveze, osim obaveze da zaposleni budu upoznati sa Kodeksom ponašanja klijenta i da kompanija, kada je to potrebno, može dokazati da je to zaista učinila.

Međutim, ako kompanija nema Kodeks ili Antikorupcionu politiku, ili ako se ove politike znatno razlikuju, onda će to predstavljati dodatnu obavezu da se svo osoblje koje je angažovano za klijenta informiše o obavezi poštovanja politika i procedura klijenta, da im se te politike i procedure dostave i, po potrebi (zavisno od kompleksnosti), pruži i obuka.

Kada je DPA u pitanju, odgovor opet zavisi od postojećih praksi kompanije, razvijenosti tehničkih i sigurnosnih mjera, internih procedura i drugih organizacionih mjera. Ako kompanija već ima uređene procedure zaštite podataka, provodi obuke zaposlenih, zaključuje ugovore o povjerljivosti sa zaposlenima koji imaju pristup podacima i primjenjuje odgovarajuće tehničke i organizacione mjere zaštite, vrlo je vjerovatno da će već ispunjavati značajan dio zahtjeva iz DPA-a. Implementiran sistem upravljanja informacijskom sigurnošću (npr. ISO 27001) može biti dodatna prednost. Ali, ako kompanija nema uspostavljene navedene mjere, onda će obaveze navedene u DPA biti dodatne obaveze za kompaniju.  

Iz prakse

Vrlo smo često vidjeli u praksi da kompanije potpišu dodatne dokumente ovog tipa bez detaljnog i strukturiranog pregleda obaveza koje su preuzele.

Ovi se dokumenti doživljavaju kao standardni prilozi koje “svi potpisuju”. Međutim, upravo u njima se često nalaze obaveze koje zahtijevaju dodatne aktivnosti unutar kompanije. Tek kada klijent najavi provjeru (Audit) ili zahtijeva da kompanija popuni izjavu da se pridržavala ugovornih obaveza (npr. traži potvrdu da su izvršene obuke o zaštiti ličnih podataka ili borbe protiv korupcije), kompanija tada shvati da pojedine ugovorne obaveze uopšte nisu provedene.

Naša preporuka

Prije nego što potpišete ovakve dokumente:

• pročitajte ih jednako pažljivo kao i osnovni ugovor;
• identifikujte sve dodatne obaveze koje iz njih proizlaze;
• procijenite da li su te obaveze provodive prema zakonima Bosne i Hercegovine i da li ih je potrebno pregovarati sa poslovnim partnerom;
• utvrdite ko je unutar kompanije odgovoran za njihovu implementaciju;
• obezbijedite da se njihovo izvršavanje dokumentuje, kako biste u slučaju audita, regulatorne ili poreske kontrole mogli dokazati da su ugovorne obaveze ispunjene.

Posebno obratite pažnju
Ukoliko se ugovor poziva na interne dokumente klijenta (Kodeks ponašanja, Politiku borbe protiv korupcije, Politiku zaštite podataka i sl.), nastojte ugovorom predvidjeti obavezu klijenta da vam dostavlja sve njihove izmjene i dopune. U suprotnom, može doći do promjene standarda kojih ste se obavezali pridržavati, a da za to uopšte ne saznate na vrijeme.

Kratak odgovor

Pravo klijenta na audit znači da je kompanija ugovorom prihvatila mogućnost da klijent provjeri da li se ugovorne obaveze zaista izvršavaju na način na koji su preuzete. Obim audita zavisi od ugovora i procjene rizika klijenta.

U praksi, audit ne podrazumijeva uvijek dolazak klijenta u prostorije kompanije. Vrlo često se provodi dostavljanjem dokumentacije, popunjavanjem upitnika ili održavanjem online sastanaka na kojima kompanija objašnjava kako ispunjava pojedine ugovorne obaveze. Kod ugovora koji podrazumijevaju obradu većih količina ličnih podataka, pristup povjerljivim informacijama ili kritičnim poslovnim sistemima, klijent može ugovoriti i pravo provođenja audita u prostorijama kompanije ili angažovati nezavisnog revizora.

Važno je znati da audit nije nova obaveza koja nastaje kada ga klijent najavi. Obaveza postoji od trenutka potpisivanja ugovora, a audit je samo način na koji klijent provjerava da li se ugovor zaista provodi.

Iz prakse

U praksi smo često vidjeli da kompanije audit doživljavaju kao nešto što će se vjerovatno dogoditi samo velikim dobavljačima ili da ga klijent nikada neće iskoristiti.

Međutim, odluka o provođenju audita najčešće zavisi od procjene rizika. Što je značajniji ugovor, što kompanija ima pristup većoj količini povjerljivih ili ličnih podataka ili što pruža usluge koje su od posebnog značaja za poslovanje klijenta, veća je vjerovatnoća da će klijent iskoristiti svoje ugovorno pravo na audit.

Čak i kada se audit ne provede, klijenti mogu tražiti da kompanija popuni detaljne upitnike ili dostavi izjave i dokaze da ispunjava ugovorene obaveze. Često se dešava da u ovim momentima kompanije shvate da nisu dokumentovali neke od aktivnosti  ili da nisu jasno odredili odgovornost za njihovu implementaciju i da ne mogu dostaviti dokaze izvršenja.

Naša preporuka

Nemojte se za audit pripremati tek kada dobijete najavu da će biti proveden.

Od trenutka potpisivanja ugovora:

• identifikujte sve obaveze koje mogu biti predmet audita;
• odredite ko je odgovoran za njihovu implementaciju i dokumentovanje;
• vodite evidenciju o provedenim obukama, internim kontrolama i drugim aktivnostima koje proizlaze iz ugovora;
• čuvajte dokumentaciju kojom možete dokazati da su ugovorne obaveze izvršene;
• provjerite da li ugovor propisuje rok u kojem ste dužni dostaviti traženu dokumentaciju ili omogućiti provođenje audita.

Posebno obratite pažnju

Prilikom pregovaranja ugovora obratite pažnju na odredbe koje uređuju audit. Pokušajte jasno definisati njegov obim, način provođenja, rokove za najavu, obavezu čuvanja povjerljivosti od strane auditora, kao i ograničenja u pogledu pristupa informacijama koje nisu povezane sa predmetom ugovora.

Audit treba omogućiti klijentu da provjeri ispunjavanje ugovornih obaveza, ali ne bi trebalo da dovede do otkrivanja poslovnih tajni ili drugih povjerljivih informacija koje nisu relevantne za predmet provjere.

Kratak odgovor

Navođenje zakonske odredbe na fakturi samo po sebi nije dokaz da je PDV ispravno obračunat ili da se u konkretnom slučaju primjenjuje član 15. stav (2) tačka 4. Zakona o PDV-u Bosne i Hercegovine.

U slučaju poreske kontrole, Uprava za indirektno oporezivanje će pored fakture provjeravati i stvarni sadržaj poslovnog odnosa – koja je usluga pružena, kome je pružena, gdje je pružena i da li se zaista radi o usluzi za koju se mjesto oporezivanja određuje prema sjedištu primaoca usluge. Takođe, kompanija mora imati i dokumentaciju kako bi se moglo utvrditi da primalac usluge ima sjedište izvan Bosne i Hercegovine i da se na konkretnu uslugu primjenjuju pravila o mjestu oporezivanja iz člana 15. stav (2) tačka 4. Zakona o PDV-u.

Iz prakse

U praksi se manje pažnje posvećuje dokumentaciji koja potvrđuje šta je zaista urađeno.

Međutim, tokom poreske kontrole se vrlo često traži dodatna dokumentacija iz koje se može utvrditi koja je usluga pružena, na koji način je izvršena i da li odgovara opisu iz ugovora i fakture. U zavisnosti od vrste usluge, to mogu biti ugovor, specifikacija usluga, izvještaji o izvršenim aktivnostima, projektna dokumentacija, poslovna korespondencija, radni nalozi ili druga dokumentacija iz koje se može utvrditi da je upravo ta usluga zaista pružena, a ne neka druga.

Naša preporuka

Ako pružate usluge stranim klijentima:

• vodite računa da ugovor jasno definiše predmet usluge;
• čuvajte dokumentaciju koja potvrđuje da je usluga zaista izvršena;
• obezbijedite da opis usluge u ugovoru, fakturi i pratećoj dokumentaciji bude međusobno usklađen;
• pribavite i čuvajte potrebnu dokumentaciju od klijenta (PDV uvjerenje, rješenje o registraciji itd).

Posebno obratite pažnju

Nije svaka usluga obuhvaćena pravilom iz člana 15. stav (2) tačka 4. Zakona o PDV-u Bosne i Hercegovine.

Prije primjene ovog poreskog tretmana potrebno je utvrditi da li se konkretna usluga zaista može podvesti pod usluge za koje se mjesto oporezivanja određuje prema sjedištu primaoca usluge. Ukoliko se ne obračuna PDV na uslugu, a kasnije se utvrdi da za tu uslugu nije moglo biti primijenjeno pravilo određivanja mjesta oporezivanja prema sjedištu primaoca usluge, kompanija rizikuje da joj se naknadno obračunaju dodatne poreske obaveze, čime se izlaže potencijalno značajnom finansijskom riziku.

Kratak odgovor

Ne. U Bosni i Hercegovini ne postoji opšta zakonska obaveza da privatne kompanije moraju imati internu antikorupcijsku politiku.

To, međutim, ne znači da ne postoje zabrane korupcije. Krivični zakoni u Bosni i Hercegovini zabranjuju davanje i primanje mita, zloupotrebu položaja, trgovinu uticajem i druga koruptivna ponašanja. Istovremeno, Strategija za borbu protiv korupcije prepoznaje značaj jačanja integriteta i u privatnom sektoru i podstiče kompanije da razvijaju interne mehanizme za sprečavanje korupcije.

Ako strani partner ugovorom traži da imate antikorupcijsku politiku ili da primjenjujete njegove antikorupcijske standarde, tada to više nije pitanje zakonske obaveze u Bosni i Hercegovini, nego ugovorne obaveze koju dobrovoljno preuzimate potpisivanjem ugovora.

Iz prakse

Ovo je jedno od pitanja koje domaće kompanije najčešće postavljaju kada prvi put počnu raditi sa međunarodnim partnerima.

Prva reakcija obično bude da to kod nas nije zakonska obaveza, pa se samim tim ne mora ni implementirati. Međutim, treba shvatiti da razlog zbog kojeg strani partner postavlja ovakav zahtjev najčešće nije zakon Bosne i Hercegovine, nego propisi kojima je on obavezan u svojoj državi ili interne politike koje je usvojio na nivou cijele grupacije.

Na primjer, međunarodne kompanije često posluju u skladu sa zakonima poput FCPA, UK Bribery Act ili drugim nacionalnim propisima koji od njih zahtijevaju da aktivno upravljaju rizicima korupcije, ne samo unutar vlastite kompanije nego i u odnosima sa dobavljačima, podizvođačima i drugim poslovnim partnerima. Ukoliko ne uspostave odgovarajuće mehanizme za sprečavanje korupcije ili ne izvrše odgovarajući nadzor nad svojim poslovnim partnerima, u određenim slučajevima i same mogu snositi posljedice u svojoj državi.

Zbog toga dio svojih standarda prenose i na poslovne partnere, bez obzira na to u kojoj državi oni posluju. Za njih to nije pitanje formalnosti, nego upravljanja vlastitim pravnim i reputacionim rizikom.

Kod manjih kompanija ponekad je dovoljno da prihvate i primjenjuju antikorupcijsku politiku ili kodeks ponašanja klijenta i da sa tim pravilima upoznaju zaposlene koji rade na tom projektu.

Sa druge strane, kompanije koje sarađuju sa više međunarodnih partnera ili žele dugoročno razvijati poslovanje obično usvajaju vlastitu antikorupcijsku politiku. Time uspostavljaju jedinstven standard poslovanja i izbjegavaju situaciju da se za svakog novog klijenta prilagođavaju drugačijim pravilima.

Naša preporuka

Ako partner postavlja ovakav zahtjev:

• provjerite da li ugovor zahtijeva da imate vlastitu antikorupcijsku politiku ili je dovoljno da prihvatite i primjenjujete standarde poslovnog partnera;
• ukoliko već imate svoju antikorupcijsku politiku, provjerite da li ispunjava zahtjeve partnera ili je potrebno izvršiti određene dopune;
• upoznajte zaposlene koji rade za tog klijenta sa pravilima koja su dužni poštovati;
• obezbijedite dokaz da su zaposleni sa tim pravilima upoznati i da su, kada je to potrebno, prošli odgovarajuću obuku.

Posebno obratite pažnju

Usvajanje antikorupcijske politike samo po sebi nije dovoljno.

Poslovni partneri sve češće ne traže samo kopiju politike, nego i dokaz da se ona zaista primjenjuje. To mogu biti evidencije o provedenim obukama, potpisane izjave zaposlenih da su upoznati sa politikom ili drugi dokazi da je kompanija preduzela razumne mjere kako bi spriječila korupciju u svom poslovanju.

Ovo znači da nije dovoljno imati samo usvojen dokument. Potrebno je moći dokazati da se on zaista primjenjuje u praksi.

Kratak odgovor

Zavisi od toga šta podrazumijevamo pod „background checkom“.

Ako se provjeravaju diplome, prethodno radno iskustvo, reference, profesionalne licence ili druge informacije koje su relevantne za donošenje odgovorne odluke o zapošljavanju, takve provjere mogu biti dio procesa zapošljavanja. Ipak, i za njih mora postojati odgovarajući pravni osnov, a obim provjere treba biti ograničen na podatke koji su potrebni za konkretnu svrhu.

Drugačija je situacija kada se provjeravaju podaci koji se odnose na krivičnu osuđivanost i krivična djela. Član 12. Zakona o zaštiti ličnih podataka propisuje da se obrada ovih podataka na osnovu člana 8. stav (1) može obavljati samo pod nadzorom javnog organa ili kada je obrada propisana posebnim zakonom kojim su propisane odgovarajuće zaštitne mjere za prava i slobode nosioca podataka.

To znači da kod ovakvih provjera nije dovoljno samo to što kompanija ima interes da provjeri zaposlenog ili što je takva provjera zahtjev poslovnog partnera. Potrebno je provjeriti da li za konkretnu obradu postoji osnov koji ispunjava posebne uslove iz člana 12. Zakona.

Iz prakse

Background check se može pojaviti kao dio vlastitog procesa zapošljavanja kompanije, zbog prirode određenog radnog mjesta ili kao zahtjev poslovnog partnera koji želi provjeriti osobe koje će imati pristup njegovim podacima, sistemima ili drugim resursima.

Imali smo situaciju u kojoj je strani klijent od domaće IT kompanije zahtijevao određene provjere zaposlenih kao dio svojih procedura za dobavljače. Problem je bio u tome što su se tražile provjere koje nisu bile uobičajene za IT kompaniju niti su bile neposredno povezane sa poslovima koje su zaposleni obavljali.

U takvoj situaciji obratili smo se Agenciji za zaštitu ličnih podataka BiH i zatražili mišljenje o tome da li se tražena obrada može provesti. Kada postoji dilema da li je određena provjera zaposlenih ili kandidata dozvoljena, upravo je to jedan od načina na koji treba postupiti – prvo utvrditi šta zakon dozvoljava, a kada odgovor nije jasan, zatražiti mišljenje nadležnog organa.

Naša preporuka

Prije uvođenja background checka potrebno je prvo definisati šta tačno želimo provjeravati i zbog čega. Provjera diplome ili prethodnog radnog iskustva nije isto što i provjera krivične osuđivanosti, kao što ni provjera zaposlenog koji ima pristup novcu, povjerljivim podacima ili kritičnim sistemima nije nužno ista kao provjera osobe koja takav pristup nema.

Za svaku vrstu provjere treba utvrditi da li je ona potrebna za konkretnu svrhu, koji je pravni osnov za obradu i da li se prikuplja više podataka nego što je za tu svrhu potrebno. Ako postoji dilema o tome da li je određena obrada dozvoljena, prije nego što se provjera uvede u praksu treba zatražiti odgovarajuće pravno tumačenje ili, kada je to moguće, mišljenje nadležnog organa.

Posebno obratite pažnju

Ako background check zahtijeva strani klijent, činjenica da je takva provjera obavezna prema njegovim internim pravilima ili ugovoru ne znači automatski da je domaća kompanija smije provesti. Strani partner može imati opravdan poslovni razlog za takav zahtjev, ali domaća kompanija mora provjeriti da li način na koji se taj zahtjev provodi odgovara propisima koji se na nju primjenjuju.

Kratak odgovor

Whistleblowing sistem je interni mehanizam putem kojeg zaposleni i druga lica koja rade za kompaniju mogu prijaviti sumnju na korupciju, prevaru, sukob interesa, kršenje zakona, internih pravila ili druge nepravilnosti.

Da li je kompanija zakonski obavezna da uspostavi takav sistem zavisi od toga gdje posluje i koji se propisi na nju primjenjuju. U Republici Srpskoj Zakon o zaštiti lica koja prijavljuju korupciju izričito uređuje zaštitu prijavilaca u javnom i privatnom sektoru i propisuje obaveze odgovornog lica u vezi sa prijavljivanjem korupcije. Između ostalog, odgovorno lice mora omogućiti podnošenje prijave korupcije.

U Federaciji BiH trenutno ne postoji poseban zakon koji na isti način uređuje zaštitu prijavilaca korupcije u privatnom sektoru. To, međutim, ne znači da kompanija ne treba imati mehanizam za prijavljivanje nepravilnosti.

Iz prakse

Kompanije koje žele da znaju šta se zaista dešava unutar organizacije uspostavljaju whistleblowing sistem i kada to nije njihova direktna zakonska obaveza. Dobro postavljen sistem omogućava da se informacije o nepravilnostima dobiju prije nego što problem preraste u finansijsku štetu, regulatorni problem ili reputacioni rizik.

Iz našeg iskustva, veoma je važno omogućiti i anonimno prijavljivanje. Česta je bojazan da će se na taj način kompanija „zatrpati“ lažnim ili neosnovanim prijavama. Takvih prijava će uvijek biti, ali to nije razlog da se zaposlenima onemogući anonimno prijavljivanje. Sistem treba biti postavljen tako da se svaka prijava procijeni, a da se istovremeno štiti povjerljivost i identitet osobe koja je prijavljena.

Važno je i šta se dešava nakon prijave. Kada zaposleni vide da kompanija prijave ozbiljno razmatra, provjerava navode i preduzima odgovarajuće mjere, stvara se povjerenje u sistem. Tada će zaposleni mnogo češće biti spremni da nepravilnosti prijave i pod svojim imenom.

Naša preporuka

Whistleblowing sistem ne treba posmatrati kao još jedan kanal koji kompanija mora formalno uspostaviti, već kao alat koji menadžmentu omogućava da pravovremeno sazna za probleme unutar kompanije.

Sistem treba omogućiti jednostavno podnošenje prijave, uključujući anonimnu prijavu, zaštitu povjerljivosti podataka i jasno definisan način postupanja nakon prijave. Jednako je važno da zaposleni znaju da prijava neće automatski značiti da je neko proglašen krivim, već da će navodi biti provjereni i da će se prema prijavi postupati na objektivan i povjerljiv način.

Posebno obratite pažnju

Najbolji sistem nije onaj u kojem nema prijava, već onaj u kojem zaposleni imaju povjerenje da mogu prijaviti problem i da će kompanija na tu prijavu reagovati.

Kratak odgovor

Najjednostavnije – tako što ćete sačuvati evidenciju o provedenoj obuci. Ako se obuka provodi putem online sistema, dokaz mogu biti elektronski zapisi o tome ko je završio obuku, kada ju je završio i, ako se provodi test, rezultat testa. Ako se obuka provodi uživo, dokaz može biti potpisna lista učesnika, uz materijale korištene na obuci i, po potrebi, rezultate testa nakon obuke.

Iz prakse

Dokaz o obuci ne mora biti komplikovan niti zahtijeva poseban sistem. Važno je da iz dokumentacije bude jasno ko je prošao obuku, kada je obuka održana, koja tema je obrađena i, po potrebi, da li je zaposleni uspješno završio provjeru znanja.

Kod online obuka ovo se uglavnom može automatski evidentirati kroz platformu za obuku. Kod obuka uživo dovoljno je voditi evidenciju učesnika, sačuvati materijal koji je korišten i eventualno provesti kratki test znanja.

Naša preporuka

Ako je obuka ugovorna ili interna compliance obaveza, nemojte čekati da klijent zatraži dokaz da biste razmišljali šta ćete mu pokazati. Odmah prilikom organizovanja obuke predvidite i način njenog dokumentovanja i čuvajte dokaze zajedno sa ostalom dokumentacijom koja potvrđuje ispunjavanje ugovornih obaveza.

Posebno obratite pažnju

Ako ugovor zahtijeva da se obuka provodi periodično, dokazivanje nije završeno jednom potvrdom da je zaposleni nekada prošao obuku. Potrebno je pratiti i rokove za ponavljanje obuke i voditi evidenciju o svakoj provedenoj obuci.