Чим комплаєнс принципово відрізняється від внутрішнього аудиту?

Комплаєнс (2-га лінія захисту за стандартом ISO 37301) є постійною операційною функцією управління, яка встановлює правила, політики та контрольні бар'єри, навчає персонал і супроводжує угоди в реальному часі, щоб не допустити порушень. Внутрішній аудит (3-тя лінія захисту за стандартом ДСТУ ISO 19011) становить незалежну періодичну перевірку, яка оцінює на основі вибірки об'єктивних доказів, чи дійсно ці правила та контролі працюють на практиці.

Які міжнародні стандарти ISO регламентують систему комплаєнсу та аудит?

Базовим міжнародним стандартом для побудови системи управління комплаєнсом є ISO 37301:2021 (який замінив стандарт ISO 19600 і передбачає можливість офіційної сертифікації). Для антикорупційного комплаєнсу застосовується стандарт ДСТУ ISO 37001:2018 (Системи управління протидією корупції), для каналів повідомлень викривачів діє ISO 37002:2021, а правила планування і проведення аудитів систем управління встановлені у стандарті ДСТУ ISO 19011:2019.

Для яких українських компаній антикорупційна програма та комплаєнс є обов'язковими за законом?

Згідно зі статтями 61-62 Закону України «Про запобігання корупції» № 1700-VII, затверджена Антикорупційна програма та штатний Уповноважений з реалізації антикорупційної програми є обов'язковими для державних і комунальних підприємств (із чисельністю понад 50 осіб та обсягом доходу понад встановлений поріг), а також для всіх приватних компаній, які беруть участь у процедурах публічних та оборонних закупівель вартістю від 20 млн грн.

Що таке аудити 1-ї, 2-ї та 3-ї сторони?

За класифікацією ДСТУ ISO 19011: аудит 1-ї сторони позначає внутрішній аудит, який компанія проводить у власних підрозділах (самостійно або із залученням зовнішніх аудиторів-експертів); аудит 2-ї сторони позначає перевірку постачальника або підрядника замовником за умовами контракту; аудит 3-ї сторони позначає офіційний незалежний аудит акредитованим органом сертифікації (наприклад, для отримання сертифіката ISO 9001, FSSC 22000 чи ISO 27001) або інспекцію державного регулятора.

Чи може один фахівець одночасно виконувати роль комплаєнс-офіцера і внутрішнього аудитора?

Ні, стосовно тих самих процесів це створює прямий конфлікт інтересів і порушує принцип незалежності аудиту за ДСТУ ISO 19011. Фахівець, який розробляв комплаєнс-процедуру або погоджував контрагентів, не може об'єктивно аудитувати власну ділянку роботи. Для перевірки роботи служби комплаєнсу та якості залучають або незалежних внутрішніх аудиторів з інших підрозділів, або зовнішніх аудиторів на аутсорсингу.

Як часто потрібно проводити внутрішні аудити системи управління та комплаєнсу?

Періодичність визначається за ризик-орієнтованим підходом (п. 5.3 ДСТУ ISO 19011). Усі процеси, що входять до сфери застосування системи управління (ISO 9001, ISO 14001, ISO 27001, ISO 37001), мають бути перевірені щонайменше один раз протягом року, а процеси з високим комплаєнс-ризиком (закупівлі, тендери, робота з готівкою та персональними даними, критичні виробничі дільниці) аудитуються раз на квартал або півріччя.

З чого почати впровадження системи комплаєнсу та внутрішнього аудиту в середньому бізнесі?

Оптимальний старт включає чотири кроки: 1) проведення діагностичного аудиту (Gap Analysis) для виявлення регуляторних, договірних і податкових вразливостей; 2) складання реєстру комплаєнс-зобов'язань і матриці ризиків; 3) впровадження процедури перевірки контрагентів (Due Diligence) та розмежування фінансових повноважень; 4) навчання команди внутрішніх аудиторів за ISO 19011 і запуск регулярного циклу перевірок.

Назад до ресурсів

Аудит і комплаєнс (Compliance) на підприємстві: різниця за ISO 37301 та ISO 19011, модель 3 ліній захисту і матриця KPI

Різниця між аудитом (ISO 19011) і системою комплаєнсу (ISO 37301, ISO 37001): модель 3 ліній захисту, матриця ризиків, перевірка контрагентів і KPI.

Опубліковано 9 лютого 2026 р.14 хв читання

Автор: Денис Гончар

Генеральний директор Ekontrol

Архітектура системи комплаєнсу (ISO 37301) та внутрішнього аудиту (ISO 19011) на підприємстві за моделлю трьох ліній захисту

Потрібна консультація щодо сертифікації?

Безкоштовна консультація

Зміст сторінки

Що таке комплаєнс (ISO 37301) та аудит систем управління (ISO 19011): інженерне визначення
Модель трьох ліній захисту (IIA Three Lines Model): як не змішувати функції комплаєнсу та аудиту
П'ять обов'язкових контурів комплаєнсу для українського бізнесу при роботі з ЄС та міжнародними тендерами
Класифікація аудитів за ДСТУ ISO 19011: перевірки 1-ї, 2-ї та 3-ї сторони
Вимірювані KPI системи комплаєнсу та внутрішнього аудиту: таблиця індикаторів
П'ятиетапний алгоритм запуску системи комплаєнсу та ризик-орієнтованого аудиту
Шість типових помилок при впровадженні комплаєнсу та аудиту на підприємстві

Питання та відповіді

Знайдіть відповіді на поширені питання з цієї теми

Пов'язані ресурси

Статті, курси та новини за темою: щоб заглибитися далі.