Viktig del av eierstyring og selskapsledelse

Det er nå langt større fokus på anti-korrupsjon og bestikkelser enn noen gang tidligere, og disse temaene er blitt en viktig del av eierstyring og selskapsledelse,* Se Norsk Anbefaling, Eierstyring og Selskapsledelse, 30.10.2014, tilgjengelig på www.nues.no noe som betyr at det offentlige nå forventer mer fra bedriftene når det gjelder forebyggende arbeid. Selskapene må være proaktive og innføre forebyggende tiltak for å redusere de betydelige risikoene som er involvert i bestikkelser og korrupsjon.

Federal Bureau of Investigation (FBI) understreket på en anti-korrupsjonskonferanse i Oslo i 2015 viktigheten av å ha et tilfredsstillende anti-korrupsjons-system på plass i en organisasjon, og understreket også det ansvaret som innehas av toppledelsen:

«Selv om ingen korrupsjon har funnet sted, vil vi straffeforfølge selskaper og toppledelse hvis de ikke har bevis for at de har implementert et tilfredsstillende anti-korrupsjonssystem, da dette er et pålagt lovkrav».

Det er således betydelige krav som stilles til at selskapene og den øverste ledelsen har en policy som understreker at nulltoleranse mot korrupsjon ikke nok; det er mer som må til.

ISO-standard mot korrupsjon

Selskaper over hele verden har i lengre tid etterlyst et effektivt verktøy for å forebygge korrupsjon og bestikkelser og verktøyet er nå tilgjengelig i form av ISO 37 001: 2016 Standard, Anti-Bestikkelser Management System, som er basert på best praksis fra hele verden.* ISO 37001 er godkjent av International Organization for Standardization (ISO) i oktober 2016 og er således akseptert i 164 land. Formålet med denne ISO-standarden er å etablere et robust system for bekjempelse av bestikkelser og korrupsjon i alle typer virksomheter og offentlige og private organisasjoner i alle land. Organisasjonen har lagt ned mye arbeid i ISO 37001-standarden og har lykkes i å etablere et svært nyttig verktøy, basert på best praksis for bekjempelse av bestikkelser og korrupsjon. Denne ISO-standarden åpner opp for sertifisering av bedrifter, organisasjoner og statlige organer innenfor anti-korrupsjon over hele verden, men standarden kan også være et godt verktøy for de som ikke ønsker å ta skrittet helt ut og bli sertifisert innenfor anti-korrupsjon.^{* International Organization for Standardization har ingenting å gjøre med sertifiseringen selv, da dette er utført av et akkreditert organ. Når forfatteren bruker begrepet ISO-sertifisering i denne artikkelen, betyr det sertifisering utført av et akkreditert organ og i tråd med ISO 37001-standarden.}

Skadevirkningene

Bestikkelser og korrupsjon skaper betydelig risiko for selskaper som etterforskning, påtale, bøter, profitt-tap, reduserte aksjekurser, inndragning og tidkrevende og kostbare interne undersøkelser og ikke minst tap av omdømme.

Multinasjonale og nasjonale selskaper, både store og små, må identifisere risiko for bestikkelser og deretter analysere, vurdere, prioritere, evaluere og sist, men ikke minst, redusere denne risikoen. De trenger å etablere tilfredsstillende styringssystemer for anti-korrupsjon og anti-bestikkelser, som kan gjennomføres, forstås og etterleves av hele organisasjonen.

Det er derfor viktigere enn noen gang for bedrifter å være proaktive og innføre forebyggende tiltak for å dokumentere at de etterlever regelverket og redusere de betydelige risikoene for både selskap, ledelse og ansatte.

Foretak som ignorerer risiko for bestikkelser og korrupsjon og ikke er seg bevist sitt ansvar, vil stå overfor betydelige utfordringer. Disse utfordringene kan være umulige å håndtere og kan derfor påvirke virksomheten i flere tiår, se om Rolls Royce nedenfor.

Plasserer ansvaret hos styre og toppledelse

En annen utvikling som toppledelsen bør være klar over, er at flere land vil plassere ansvaret der det hører hjemme, nemlig hos styre og toppledelse. Så langt har mange ledere unngått straffeforfølgelse fordi at de ikke visste om korrupsjonen eller bestikkelsene. Dette er nå i ferd med å endre seg; styremedlemmer og toppledelse er nødt til å ta ansvar for sine virksomheter, ansatte og seg selv. De må være forberedt på spørsmål som: Hva har du gjort for å forhindre bestikkelser? Kan du dokumentere et anti-korrupsjonsprogram som faktisk er implementert og etterlevd? Bevis dine risikovurderinger når det gjelder bestikkelser og korrupsjon osv. Toppledere som ignorerer denne betydelige plikten, kan risikere både etterforskning, tiltale, bøter og/eller fengsel, noe som vil skade deres omdømme og karriere.

Ledere som ikke fullt ut forstår sitt ansvar eller mislykkes i å etablere og gjennomføre et tilfredsstillende anti-korrupsjons- og bestikkelsesprogram, bør kanskje ikke sitte med et lederansvar.

Bot på 671 millioner pund

Et annet velkjent selskap som har hatt en nulltoleranse mot korrupsjon og som ikke har gjennomført et tilfredsstillende anti-korrupsjons-styringssystem, er Rolls-Royce. 17. januar 2017 ila Britisk High Court en formidabel bot til selskapet på GPB 671 millioner for korrupsjon som hadde vart i 25 år.* Dom Royal Court of Justice, Storbritannia: Serious Fraud Office vs Rolls-Royce plc og Rolls Royce Energy Systems Inc. sak nr: U20170036, 17. januar 2017, tilgjengelig på www.judiciary.gov.uk/wp- content / uploads / 2017/01 / SFO-v-rolls-royce.pdf. Den øverste ledelsen hadde ignorert en korrupsjonsvarsler, de hadde mislyktes i å innføre et tilfredsstillende anti-korrupsjonssystem, de hadde utvist dårlig ledelse, de hadde forsømt interessene til sine interessenter, de hadde ikke utført noen relevant compliance-funksjon innenfor anti-korrupsjon, noen enheter hadde mangel på forståelse for sine roller og det var ikke nok ressurser til å bekjempe korrupsjon. Enda verre, selskapet hadde ikke klart å ta vare på investorene sine interesser, og de hadde skadet det ikoniske navnet «Rolls-Royce», et navn som har blitt synonymt med «best of the best» i mer enn et århundre.* Dom Royal Court of Justice, Storbritannia: Serious Fraud Office vs Rolls-Royce plc og Rolls Royce Energy Systems Inc. sak nr: U20170036, 17. januar 2017, tilgjengelig på www.judiciary.gov.uk/wp- content / uploads / 2017/01 / SFO-v-rolls-royce.pdf.

Dommeren uttrykte at «etterforskningen avdekket de mest alvorlige brudd på straffeloven innenfor bestikkelser og korrupsjon»,* Dom Royal Court of Justice, Storbritannia: Serious Fraud Office vs Rolls-Royce plc og Rolls Royce Energy Systems Inc. sak nr: U20170036, 17. januar 2017, tilgjengelig på www.judiciary.gov.uk/wp- content / uploads / 2017/01 / SFO-v-rolls-royce.pdf. eller som DN uttrykte det; «Industrijuvelen som ble skandaleselskap».^{* DN 28.1.2017.}

De fullstendige konsekvensene av dette er ennå ikke helt avklart, men det er ikke utenkelig at Rolls-Royce må bruke mange tiår før effektene av korrupsjonen er over.

Innførte tiltak

Da korrupsjonssaken kom på bordet, satte Rolls-Royce i verk omfattende tiltak for forbedring. De gjorde interne undersøkelser og etterforsking og satte blant annet i gang tiltak for å endre selskapskulturen. De samarbeidet også med myndighetene under etterforskningen, et samarbeid retten definerte som «ekstraordinært». Tiltakene gjorde at domstolen ga selskapet en betydelig strafferabatt.^{* Dom Royal Court of Justice, Storbritannia: Serious Fraud Office vs Rolls-Royce plc og Rolls Royce Energy Systems Inc. sak nr: U20170036, 17. januar 2017, tilgjengelig på www.judiciary.gov.uk/wp- content / uploads / 2017/01 / SFO-v-rolls-royce.pdf.}

Kanskje Rolls Royce’ antikorrupsjonspolitikk og system ble gjenglemt i hanskerommet på den Rolls-Roycen som de ga bort sammen med 12 millioner pund til sønnen til den tidligere presidenten i Indonesia, for å vinne kontrakter for Rolls Royce flymotorer?^{* Dagens Næringsliv Magasinet, Lars Backe Madsen Stolthet og forbannelse, (Stolthet og forbannelse) 28 januar 2017. Side 20-27.}

110 års renommé

Rolls Roys har brukt i overkant av åtte milliarder kroner bare på bøter, etterforskning og opprydding i korrupsjonsskandalen. Da er tap av renommé som selskapet har brukt 110 år på å bygge opp ikke tatt med.* Lexology, Rolls-Royce - Endelig litt selvskryt for britiske Serious Fraud Office? Tilgjengelig på www.lexology.com/library/detail.aspx?g=6530858f-b350-4941-b477-36c9abcd1839. Sist besøkt 2.2.2017. Hadde selskapet i stedet brukt 1 %, eller 0,1 % av dette beløpet i proaktive tiltak for å beskytte seg mot korrupsjon, så hadde de antagelig ikke vært i  denne situasjonen.

Et tilfredsstillende styringssystem for anti-korrupsjon eller anti-bestikkelser krever altså mer enn bare en policy med nulltoleranse for korrupsjon: det krever en reell vilje av toppledelsen til å bekjempe korrupsjon og bestikkelser og en vilje til å gjennomføre et slikt system i hele organisasjonen.

Virksomhetens kontekst

Virksomheten må forstå sin interne og eksterne kontekst, hvem er de interne og eksterne interessentene relatert til anti-korrupsjon og hva kreves av disse? Selskapet må ha oversikt over forhold som størrelse, kompleksitet, lokalisering og lokale forhold, forretningspartnere (herunder agenter), og lovkrav som må etterleves i de forskjellig landene. Anti-korrupsjonsprogrammet må være rimelig og forholdsmessig i forhold til selskapets kontekst. Dette kan høres banalt ut, men det kreves faktisk en grundig øvelse for å stadfeste selskapets kontekst i forbindelse med anti-korrupsjonsprogrammet.

Risikostyring

Risikostyring er bærebjelken i et hvert anti-korrupsjonsprogram og intensjonen må være å danne et solid fundament for anti-korrupsjonsprogrammet. Uten en grundig risikostyring vil selskapet ikke være i stand til å etablere et tilfredsstillende program. ISO 37 001-standarden krever at korrupsjonsrisikoen først identifiseres, og når det er gjort må det foretas en analyse, en vurdering og deretter prioritering av de identifiserte risikoene. Deretter må det gjennomføres en evaluering av interne kontrollrutiner og risikoene for å kunne redusere risikoen for bestikkelser og/eller korrupsjon. Hvordan risikostyringen gjennomføres, er opp til det enkelte selskapet, men selskapet kan bruke spesielle korrupsjonsrisiko-indikatorer, som Transparency International korrupsjonsindeks,* Se www.transparency.org/news/feature/corruption_perceptions_index_2016. det kan være fokus på områder hvor det kreves spesielle lisenser, byggetillatelser eller andre godkjenninger. Det kan også være fokus på eksterne agenter, kickback og bonusavtaler og andre relevante faktorer. Først når selskapet har en klar forståelse for risikoene innenfor bestikkelser og korrupsjon, kan det iverksette tiltak som intern kontroll, risikominimalisering, forbedring av dokumentasjon og rutiner og andre proaktive tiltak. Det er viktig at risikobildet viser de faktiske risikoene og at øvelsen ikke blir for omfattende og kompleks. Det er også viktig at risikobildet oppdateres fortløpende, da en ubetydelig risk i dag kan være en stor risk i morgen.

Lederskap og engasjement

Den øverste ledelsen må vise lederskap og engasjement og ISO 37 001-standarden er antagelig den eneste standarden som pålegger styret et klart ansvar for hvor styret skal vise lederskap i form av godkjenning av anti-korrupsjonspolicy, forsikre seg at selskapets strategi og anti-korrupsjonsprogram er i overensstemmelse med hverandre, følge opp etterlevelse av anti-korrupsjonsarbeidet, sørge for tilstrekkelig ressurser og ha overordnet oppsyn. Også den daglige ledelsen har en del plikter og krav som må etterleves i forbindelse med anti-korrupsjonsprogrammet i virksomheten, et ansvar som ikke må undervurderes. En av ledelsens viktigste oppgaver er å sørge for en kultur hvor det faktisk er nulltoleranse for korrupsjon og hvor dette er implementert og etterlevd.

Anti-korrupsjonspolicy

En anti-korrupsjonspolicy er en annen bærebjelke i anti-korrupsjonsprogrammet og skal gjenspeile selskapets kontekst, inklusive interessenter, risikobilde, regelverk m.m. Elementer som bør inntas i en slik policy, kan være at korrupsjon og bestikkelser er forbudt, at anti-korrupsjonsregelverket skal etterleves, at det oppfordres til varsling og bekymringsmeldinger, at det oppfordres til kontinuerlig forbedring og avviksrapportering og at det opplyses om konsekvenser ved å ikke etterleve policyen.

Roller og ansvar

Det er viktig at roller, ansvarsfordeling og ikke minst fullmakter er tydelige og klare og at det foreligger klare retningslinjer for tildeling av kontrakter og lisenser, innkjøp og salg.

Støttefunksjoner, ressurser, opplæring, bevissthet mv.

For å implementere et anti-korrupsjonsprogram som faktisk virker, kreves det ressurser i form av personell og finansielle ressurser. Det kreves kompetanse og opplæring, intern og ekstern kommunikasjon og ikke minst, det hjelper ikke med en policy om nulltoleranse dersom det mangler bevissthet og en sunn kultur. Når vi ser hvilke konsekvenser det har for Rolls Roys, som ikke hadde brukt ressurser på anti-korrupsjon, viser det at kostnader som kreves for å etablere og etterleve et tilfredsstillende anti-korrupsjonsprogram, anses som en minimal forsikringspremie.

Due diligence og div. kontrollfunksjoner

Enhver organisasjon som kan være utsatt for bestikkelser og korrupsjon og hvor risikoen for dette er medium eller høy, bør gjøre en due diligence med fokus på spesielle prosjekter, spesielle transaksjoner, spesielle aktiviteter, spesielle underleverandører eller agenter eller spesielle land, og kanskje også på personell som er involvert i slike transaksjoner. Det kan også være nødvendig å vurdere renommeet til leverandører og forretningspartnere, og det kan være nødvendig å stadfeste hvem som er reelle eiere.

Videre kan det være et lovkrav om at det skal utøves finansielle kontroller og internkontroll, men også krav til kontroll av ikke-finansiell informasjon i form av godkjenning av kontraktører, tildeling av oppdrag, kvalitetssikring av kontrakter, åpenhet om anbud, kontroll av datterselskaper, bakgrunnssjekk av agenter osv.

Klare retningslinjer for gaver, gjestfrihet, donasjoner og kostnader til tilrettelegging m.m.

Det kan være svært vanskelig å stadfeste hva som er akseptabelt og hva som er uakseptabelt når det gjelder gaver, gjestfrihet, kundepleie etc. Påtalemyndighetene mente i en sak at tre middager til en total verdi av kr 4737 over tre år var korrupsjon. Saken endte opp i Høyesterett som mente at dette var en akseptabel kundepleie. På den andre siden henla påtalemyndighetene saken mot en tidligere ordfører som først takket ja til en dyr cruisetur, men som senere ombestemte seg da det ble påpekt at dette var korrupsjon. Med et slikt diffust regelverk og praksis er det ekstra viktig at selskapene har gode rutiner og retningslinjer som tydeliggjør hva som kan aksepteres og hva som ikke kan aksepteres.

Det er også viktig at selskapene har tydelige regler når det gjelder kostnader til tilrettelegging, eksempelvis hvor en ansatt må betale en utenlandsk offentlig person et mindre beløp for å få tilbake sitt pass. I utgangspunktet er det forbudt, men dersom det skulle skje, så må det være tydelige retningslinjer, som rapportering til overordnede og kanskje myndighetene, at det er åpenhet, at det blir tatt inn i regnskapet og ført som ikke fradragsberettiget utgift etc.

Varsling

Gode og aksepterte varslingsrutiner er alfa og omega og det må være akseptert at ansatte og andre interessenter sender bekymringsmeldinger og varsler om tvilsomme og ulovlige forhold uten å risikere hevn og andre konsekvenser. Dersom det ikke er aksept for varslere, kan det ende opp som det gjorde med Rolls Royce hvor en ansatt forsøkte å varsle over flere år til ingen nytte.

Avvik, korrigerende tiltak og kontinuerlig forbedring

Selskap må ha på plass et avvikssystem hvor det faktisk er oppfordret og akseptert fra ledelsen at det meldes ifra om avvik på anti-korrupsjonsprogrammet. Uten en tilfredsstillende avviksrapportering vil selskapet gå glipp av viktige svakheter og miste muligheten til å utføre korrigerende tiltak. Det er også viktig at selskapet har rutiner for kontinuerlig forbedring av anti-korrupsjonsprogrammet. Det er ikke sikkert at det som fungerte i går fungerer i morgen.