ISO 37301: usklađenost kao upravljački sustav

Upravo tu postaje zanimljiv ISO 37301, relativno nova i u Hrvatskoj još uvijek slabo poznata norma za sustav upravljanja usklađenošću. Njezina je vrijednost u tome što usklađenost promatra kao sustav upravljanja obvezama, rizicima, odgovornostima, kontrolama i nadzorom unutar organizacije, a ne samo kao pitanje formalne pokrivenosti propisima i internim aktima.

Iz pravne i upravljačke perspektive ISO 37301 posebno je važan jer pomaže organizaciji uspostaviti dokaziv i provjerljiv sustav odgovornosti: tko prati obveze, tko procjenjuje rizike, tko provodi kontrole, tko reagira na nepravilnosti i tko o svemu tome izvještava. To je osobito važno u velikim i složenim organizacijama, u javnom i privatnom sektoru, gdje formalni postupci često postoje, ali je stvarna odgovornost raspršena, nejasna ili se naknadno rekonstruira tek kada problem već nastane.

Zašto ISO 37301 uopće treba pravnicima?

Kada se u pravničkim krugovima spomenu ISO norme, prva je asocijacija neka tehnička specifikacija, sustav kvalitete (ISO 9001), zaštita okoliša (ISO 14001), informacijska sigurnost (ISO/IEC 27001) ili neki drugi certifikat koji se nalazi na zidu sobe za sastanke ili se prilaže u postupku javne nabave. ISO norme se doživljavaju kao područje inženjera, konzultanata, internih auditora i osoba koje u organizaciji brinu o “procedurama”.

Međutim, sve veći dio suvremene ISO normizacije bavi se upravljanjem organizacijama, odgovornošću, rizicima, etikom, integritetom i dokazivim postupanjem. Te norme više ne propisuju samo tehničke parametre proizvoda ili procesa, nego uređuju način na koji organizacija prepoznaje svoje obveze, raspoređuje odgovornosti, nadzire provedbu i reagira na nepravilnosti.

Jedna je od takvih novijih normi ISO 37301 – sustav upravljanja usklađenošću (Compliance management systems – Requirements with guidance for use). Riječ je o normi koja uređuje zahtjeve i daje smjernice za uspostavu, razvoj, provedbu, vrednovanje, održavanje i stalno poboljšavanje sustava upravljanja usklađenošću u organizaciji. Norma je primjenjiva na sve vrste organizacija, neovisno o njihovoj veličini, djelatnosti ili pravnom obliku, uključujući javni, privatni i neprofitni sektor.

Posebno je važno naglasiti da je ISO 37301 prihvaćen i kao hrvatska norma. Hrvatski zavod za norme prihvatio je međunarodnu normu ISO 37301:2021 u izvorniku na engleskom jeziku kao hrvatsku normu HRN ISO 37301:2021, pod nazivom Sustavi upravljanja usklađenošću – Zahtjevi sa smjernicama za uporabu. Obavijest o prihvaćanju objavljena je u HZN Glasilu 5/2021 od 31. svibnja 2021. Njezino prihvaćanje kao hrvatske norme znači da se ona može koristiti kao relevantan stručni i organizacijski standard u hrvatskom pravnom, poslovnom i upravnom okruženju.

ISO 37301 je posebno zanimljiv zato što se ne bavi samo pitanjem je li organizacija formalno upoznata s propisima koji je obvezuju. Njezino je polazište znatno zahtjevnije: organizacija mora imati sustav kojim svoje obveze prepoznaje, procjenjuje njihove rizike, dodjeljuje odgovornosti, uspostavlja kontrole, prati provedbu, dokumentira rezultate i poduzima korektivne radnje.

U hrvatskom kontekstu to je osobito važno. Mnoge organizacije, i u javnom i u privatnom sektoru, imaju formalne procedure, pravilnike, odluke, obrasce i informacijske sustave, no i dalje vlada ono naše poznato: „Mi tako radimo!“. Međutim, kada nastane problem, često se pokaže da nije bilo jasno tko je stvarno bio odgovoran, tko je trebao nadzirati postupanje, kome se nepravilnost trebala prijaviti, tko je trebao analizirati rizik i tko je morao pokrenuti korektivnu radnju.

Uzmimo, primjerice, javnu ustanovu ili trgovačko društvo s 500 zaposlenih, više ustrojstvenih jedinica, postupcima javne nabave, radnim odnosima, obradom osobnih podataka, ugovorima s vanjskim pružateljima usluga, financijskim odlukama i svakodnevnom operativom. Formalno, velik broj akata na kraju potpisuje jedna ili dvije osobe: ravnatelj, dekan, direktor, predsjednik uprave ili druga ovlaštena osoba. U pravnom smislu potpis je važan, ali organizacijski gledano on ne može biti zamjena za sustav odgovornosti. Čak i kada bi potpisnik bio osobno iznimno savjestan i stručan, ne može stvarno znati sve okolnosti svakog predmeta koji mu se stavlja na potpis, od putnog naloga do standarda protupožarne zaštite.

Zato je ključno pitanje što se dogodilo prije potpisa: tko je pripremio predmet, tko je provjerio pravnu osnovu, tko je utvrdio financijske učinke, tko je procijenio rizik, tko je provjerio usklađenost s internim pravilima i tko je imao ovlast zaustaviti postupanje. Upravo tu nastupa ISO 37301. Sustav mora pokazati kako su obveze raspoređene po organizaciji, koje su kontrole ugrađene u procese, kako se informacije prenose prema donositeljima odluka i kako se dokazuje da je odluka prošla razumnu stručnu, pravnu, financijsku ili operativnu provjeru.

Isto vrijedi i za inspekcijski nadzor ili druge oblike unutarnje i vanjske kontrole. Nije ključno samo koliko je nadzora provedeno, nego jesu li oni bili usmjereni na stvarne rizike, jesu li utvrdili relevantne nepravilnosti, jesu li mjere bile provedive i jesu li njihovi nalazi doveli do stvarne promjene u nadziranom području. Sama brojka provedenih nadzora malo govori o stvarnoj usklađenosti ako se ne prati njihova učinkovitost: što je utvrđeno, koje su mjere naložene, jesu li provedene, je li drugostupanjsko tijelo potvrdilo ili ukinulo donesena rješenja i je li se nakon toga smanjio broj istovrsnih nepravilnosti.

Spomenimo i kako je u međuvremenu prihvaćen i amandman HRN ISO 37301:2021/A1:2025, kojim se u standard dodaje obveza da organizacija utvrdi jesu li klimatske promjene relevantno pitanje za njezin kontekst, no time se, opsežnosti radi, nećemo baviti u ovom članku.

Ukratko, ISO 37301 je norma koja prostor između formalnog postojanja procedure i stvarne organizacijske odgovornosti pokušava pretvoriti u sustav. Ona pomaže organizaciji urediti način na koji organizacija postojeće obveze prepoznaje, raspoređuje, provodi, nadzire i dokazuje.

Što je sustav upravljanja usklađenošću?

Sustav upravljanja usklađenošću nije isto što i opća tvrdnja organizacije da “radi po zakonu”. Svaka će organizacija, barem formalno, reći da posluje zakonito, da poštuje propise, da radi po Zakonu o općem upravnom postupku, Uredbi o uredskom poslovanju i drugim propisima. Međutim, u stvarnom radu organizacije postavlja se pitanje: kako organizacija zna koje su njezine obveze, tko ih prati, tko je za njih odgovoran, kako se nadzire njihova provedba i što se događa kada se utvrdi odstupanje?

Upravo se time bavi ISO 37301. Norma polazi od toga da usklađenost nije jednokratna aktivnost, nego trajan proces upravljanja. Organizacija mora sustavno utvrđivati svoje obveze usklađenosti, procjenjivati rizike neusklađenosti, dodjeljivati odgovornosti, uspostavljati kontrole, voditi dokumentirane informacije, pratiti učinkovitost sustava, izvješćivati odgovorne razine upravljanja i provoditi poboljšanja. Norma pritom ne govori samo o tome da organizacija mora poznavati propise, nego traži da se compliance obveze povežu s njezinim stvarnim aktivnostima, procesima, uslugama, proizvodima i odnosima s trećim stranama.

Napominjemo kako u hrvatskome jeziku još uvijek nemamo potpuno dobar i općeprihvaćen prijevod za riječ „compliance“, iako se u praksi najčešće koristi izraz usklađenost. Najkraće, riječ je o tome da organizacija zna koje obveze mora poštovati, tko je za njih odgovoran, kako se njihova provedba nadzire i kako se dokazuje da se po njima doista postupa, i to na konkretnoj razini praćenja postupaka, odstupanja i korektivnih mjera.

Uzmimo primjer. Mogući pokazatelj mogao bi biti, primjerice, udio inspekcijskih rješenja ukinutih zbog procesnih nedostataka zapisnika, u ukupnom broju osporenih inspekcijskih rješenja. Ako je taj udio jedne godine nizak i odnosi se na mali broj izdvojenih predmeta, moguće je govoriti o pojedinačnim pogreškama. Međutim, ako se iz godine u godinu povećava, tada više nije riječ o slučajnosti, nego o jasnom signalu sustavne slabosti. Organizacija u tom trenutku ne bi smjela ostati na objašnjenju da su “pojedini službenici pogriješili” ili na objašnjenju da se „tako radi po ZUP-u“, nego mora utvrditi zašto se ista vrsta pogreške ponavlja i zašto postojeće kontrole ne djeluju, te provesti korektivne radnje.

Norma je razvijena upravo zato što se u praksi neusklađenost rijetko pojavljuje kao potpuno nepoznat problem. Mnogo češće problem nastane zato što je organizacija imala propis, proceduru, ali nije imala funkcionalan sustav. Netko je trebao nešto provjeriti, ali nije bilo jasno tko. Netko je trebao upozoriti na rizik, ali nije bilo jasno kome. Netko je trebao zaustaviti postupanje, ali nije imao ovlast ili nije znao da je ima. Netko je trebao izvijestiti upravu, ravnatelja, dekana, direktora ili nadzorni odbor, ali informacija nikada nije izašla iz operativne razine, jer „ne treba talasati“.

ISO 37301 pokušava upravo taj prostor učiniti vidljivim i upravljivim. Zato norma traži da organizacija odredi svoj kontekst, relevantne zainteresirane strane, opseg sustava upravljanja usklađenošću, compliance obveze i compliance rizike. Sustav upravljanja usklađenošću obuhvaća način na koji se obveze prepoznaju, procjenjuju, prevode u organizacijske procese i nadziru. Ako provodi javnu nabavu, nije dovoljno da ima pravilnik o nabavi. Mora znati tko planira nabavu, tko provjerava procijenjenu vrijednost, tko kontrolira sukob interesa, tko odobrava dokumentaciju, tko prati izvršenje ugovora i tko izvješćuje o odstupanjima.

Propis ostaje polazište, ali upravni ili poslovni sustav koji primjenjuje ISO 37301 mora odgovoriti na praktična pitanja provedbe. Tko je odgovoran? Kojim postupkom? Na temelju koje dokumentirane informacije? Kojom kontrolom? Kojim pokazateljem? Kome se izvješćuje? Što se događa ako kontrola pokaže odstupanje?

Zbog toga je posebno važna uloga vodstva. ISO 37301 traži da upravljačko tijelo i najviše rukovodstvo osiguraju da su odgovornosti i ovlasti za relevantne uloge dodijeljene i komunicirane unutar organizacije. Najviše rukovodstvo mora osigurati resurse, učinkovite sustave pravodobnog izvješćivanja o compliance učinku, usklađenost strateških i operativnih ciljeva s compliance obvezama te mehanizme odgovornosti, uključujući disciplinske mjere i posljedice.

ISO 37301 je zanimljiv upravo zato što ne dopušta da se organizacija sakrije iza rečenice “imamo proceduru”. Sustav mora pokazati je li procedura javne nabave, odobravanja putnih naloga ili neka treća poznata, provediva, nadzirana, dokumentirana i popravljana kada se pokaže da ne daje rezultat.

Compliance nije isto što i obveze pravne službe

Jedna od čestih zabluda jest da je compliance zapravo drugi naziv za obveze pravne službe, jednako kao što postoji zabluda da je uredsko poslovanje „nešto za pisarnicu“. Pravna služba može biti jedan od ključnih sudionika compliance sustava, ali ga ne može sama zamijeniti.

Pravna služba u pravilu tumači propise, izrađuje ili pregledava ugovore, daje pravna mišljenja, sudjeluje u izradi internih akata, upozorava na pravne rizike i pomaže organizaciji da razumije svoje pravne obveze. Međutim, organizacija može imati izvrsnu pravnu službu, a ipak loš sustav usklađenosti. Može imati kvalitetno pravno mišljenje koje nitko nije ugradio u proces. Može imati pravilnik koji nitko ne primjenjuje. Može imati proceduru koju zaposlenici ne poznaju ili sustav koji ne bilježi odstupanja.

Sjetimo se samo sporova povezanih s kreditima u švicarskim francima. Banke su svakako imale pravne službe, interne akte i ugovornu dokumentaciju. Međutim, kasniji sporovi pokazali su da pravni rizik nije bio dovoljno preveden u sustavnu procjenu proizvoda, informiranje potrošača, nadzor prodajne prakse i upravljačke kontrole. Posljedice su bile velike: sudski postupci, financijski troškovi i ozbiljna šteta za ugled.

Pravnik može napisati proceduru, ali netko mora osigurati da se ona provodi. To je u hrvatskoj praksi posebno važno. Kod nas se često očekuje da pravna služba “pokrije” gotovo sve: zakonitost odluke, pravilnost procedure, ugovorne rizike, rokove, odgovore nadzornim tijelima, zaštitu osobnih podataka, javnu nabavu, radne odnose, pristup informacijama, arhivsko gradivo i još ponešto. No čak i najbolja pravna služba ne može biti operativna kontrola za svaki proces u organizaciji.

Ako voditelj ustrojstvene jedinice ne razumije obveze usklađenosti u svojem procesu, ako zaposlenici nisu educirani, ako informacijski sustav ne bilježi relevantne podatke, ako uprava ne dobiva izvješća i ako se nepravilnosti ne analiziraju, pravna služba dolazi prekasno, tek kada treba popravljati štetu.

Uzmimo primjer javne nabave. Pravna služba može pregledati dokumentaciju ili ugovor, ali ne može sama zamijeniti planiranje nabave, tehničku pripremu, procjenu potreba, istraživanje tržišta, kontrolu sukoba interesa, praćenje izvršenja ugovora i evidentiranje odstupanja. Ako se problem pojavi u fazi izvršenja ugovora, primjerice kroz isporuku robe ili usluge koja odstupa od ugovorenog, pravno mišljenje neće pomoći ako organizacija nema osobu koja prati izvršenje, zapisnike, kontrolne točke i mehanizam eskalacije.

Pravo daje sadržaj obveze, ali sustav upravljanja usklađenošću daje organizacijski odgovor na pitanje kako se ta obveza provodi. Upravo zato ISO 37301 pravnicima može biti vrlo koristan. Umjesto da pravnik samo kaže “ovo nije usklađeno sa zakonom”, može postaviti pitanja koja su za organizaciju mnogo korisnija: gdje je ta obveza evidentirana, tko je vlasnik procesa, koja kontrola postoji, kako se mjeri provedba, kada se izvješćuje uprava, što se događa ako se utvrdi odstupanje i kako se provjerava je li korektivna radnja bila učinkovita. A uz pravilno postavljen sustav može i detektirati problem prije nego što postane ozbiljan, primjerice dok je u razini povećanja broja prigovora, a ne broja sudskih sporova.

Operativna razina: kako usklađenost postaje stvarni proces

U ovom tekstu nećemo analizirati cijelu normu ISO 37301, nego ćemo kao primjer uzeti smjernice iz njezina Informativnog dodatka (dijela norme koji ne sadržava samostalne zahtjeve, nego objašnjenja i primjere za lakšu primjenu zahtjeva norme), koje se odnose na operativno postupanje, odnosno dio A.8 (Operation). Riječ je o smjernicama za primjenu zahtjeva norme u stvarnim organizacijskim procesima: planiranje i kontrolu postupaka, uspostavu kontrola, omogućavanje prijave nepravilnosti i provedbu istraga.

ISO 37301 traži da organizacija planira, provodi i kontrolira procese potrebne za ispunjavanje zahtjeva i za provedbu mjera određenih u fazi planiranja. Organizacija mora utvrditi kriterije za procese, provoditi kontrolu tih procesa, upravljati planiranim promjenama, preispitati posljedice neplaniranih promjena i, kada je potrebno, poduzeti mjere radi ublažavanja štetnih učinaka. Norma također zahtijeva da organizacija kontrolira vanjski osigurane procese, proizvode ili usluge koji su relevantni za sustav upravljanja usklađenošću, pri čemu outsourcing sam po sebi ne oslobađa organizaciju njezinih pravnih odgovornosti i compliance obveza.

To je važno jer se u mnogim organizacijama usklađenost još uvijek pogrešno shvaća kao pitanje postojanja pravilnika. ISO 37301 na operativnoj razini postavlja pitanje: kako znamo da se ono što piše u pravilniku doista događa u stvarnom radu? Ako na to pitanje nema odgovora, organizacija nema sustav upravljanja usklađenošću, nego samo normativnu formu. Navest ćemo nekoliko primjera.

Primjer 1: javna nabava

Javna nabava dobar je primjer područja u kojem se formalna uređenost vrlo lako zamijeni sa stvarnom usklađenošću. Organizacija može imati službu javne nabave, pravilnik, plan nabave, interne obrasce i osobe ovlaštene za provedbu postupaka. No to još uvijek ne znači da je proces usklađen.

Sustav mora znati tko pokreće nabavu, tko provjerava je li nabava predviđena planom, tko utvrđuje i kontrolira procijenjenu vrijednost, tko provjerava postojanje mogućeg sukoba interesa, tko priprema tehničku specifikaciju, tko odobrava dokumentaciju o nabavi, tko prati izvršenje ugovora i tko izvješćuje o odstupanjima.

Posebno je važno pitanje izvršenja ugovora, jer se u praksi često zaboravlja da compliance rizik ne prestaje završetkom postupka nabave i potpisom ugovora. Dapače, problemi se često pojavljuju tek nakon toga: isporuka nije potpuna, rokovi se produžuju, kvaliteta odstupa, zgrada prokišnjava, dodatni radovi postaju pravilo ili se ugovor mijenja bez jasne kontrole uz objašnjenje da se “naknadno pojavila dodatna potreba”.

U skladu s logikom ISO 37301, javna nabava ne bi se trebala promatrati samo kao izolirani postupak, nego kao niz povezanih kontrolnih točaka. Operativna kontrola znači da organizacija zna gdje nastaje rizik, tko ga treba uočiti, tko ga može zaustaviti i kako se dokumentira da je kontrola provedena.

Primjer 2: izrada inspekcijskih rješenja

Drugi primjer koji navodimo nalazi se u području inspekcijskog postupanja i izrade inspekcijskih rješenja. Nije dovoljno da inspekcijsko tijelo ima propise, ovlasti i obrasce rješenja. Zakon o općem upravnom postupku daje opći postupovni okvir, ali ne može opisati konkretno postupanje u svakoj organizaciji, za svaku vrstu nadzora, svaki obrazac zapisnika, svaku kontrolnu točku i svaku internu odgovornost. To mora učiniti sama organizacija kroz vlastite procese.

U praksi se rješenje često ukida ne zato što nepravilnost na terenu nije postojala, nego zato što postupak nije dao dostatan dokazni i postupovni temelj za zakonito odlučivanje. Manjkavo sastavljen zapisnik osobito je rizičan ako ne omogućuje jasno razlikovanje neposrednih opažanja službene osobe, izjava stranke, izvedenih dokaza, primjedbi stranke i zaključaka tijela. U takvoj situaciji nedostatak nije samo u pojedinačnom zapisniku, nego u postupku koji nije osigurao njegovu dokaznu uporabljivost.

Iz perspektive ISO 37301 to nije samo pravni problem pojedinog predmeta. To je mogući znak slabosti procesa. Ako se takvi nedostaci ponavljaju, organizacija mora prestati govoriti o “pojedinačnim pogreškama” i početi mjeriti obrazac. U takvoj situaciji korektivne mjere ne bi smjele ostati na općoj uputi da službenici “ubuduće budu pažljiviji”.

Organizacija treba doraditi obrazac zapisnika, uvesti obvezna polja, izraditi kontrolnu listu za inspektore, provesti ciljanu edukaciju o dokazivanju i utvrđivanju činjenica, uvesti pravnu ili stručnu provjeru u složenijim predmetima i nakon određenog razdoblja provjeriti je li se broj takvih poništenja smanjio. To je bit operativne logike ISO 37301: nepravilnost se ne tretira samo kao pogreška pojedinca, nego kao informacija o procesu. Ako proces proizvodi ponavljajuće pogreške, treba popravljati proces.

Za potrebe ovoga članka prikazujemo jednostavan demonstracijski primjer u kojem se zapisnik promatra kao kontrolna točka usklađenosti:

Ovakva tablica dobro pokazuje zašto operativna kontrola nije teorijsko pitanje. Svi znaju da zapisnik mora biti uredan. Sustav upravljanja usklađenošću počinje tek onda kada organizacija zna kako osigurava da zapisnik doista bude uredan, kako otkriva kada nije i što poduzima da se ista pogreška ne ponavlja.

Primjer 3: ugovoreni vanjski pružatelj usluge

Organizacije često ugovaraju vanjske usluge: računovodstvo, IT podršku, zaštitu na radu, čišćenje, održavanje, stručne konzultantske usluge, tehničke preglede, sigurnosne usluge ili pojedine projektne aktivnosti. Pritom se ponekad stvara pogrešan dojam da je ugovaranjem usluge prenesena i odgovornost.

ISO 37301 tu je vrlo jasan: outsourcing ne oslobađa organizaciju njezinih pravnih odgovornosti i compliance obveza. To u praksi znači da nije dovoljno imati ugovor u registratoru ili danas na mrežnom disku. Potrebna je prethodna provjera pružatelja usluge, jasno definirane ugovorne obveze, razina usluge, izvješćivanje, pravo nadzora, način postupanja u slučaju odstupanja i odgovorna osoba unutar organizacije koja prati izvršenje.

Ako se vanjskom pružatelju povjeri vođenje ili čuvanje dokumentacije, primjerice računovodstvenom servisu, organizacija mora znati gdje se dokumentacija nalazi, tko joj pristupa, kako se čuva, kako se vraća, kako se evidentiraju zahtjevi i što se događa u slučaju gubitka ili oštećenja.

U smjernicama uz A.8 kao elementi dobro oblikovanog outsourcing procesa navode se početna i trajna dubinska provjera, odgovarajuće kontrole, stalno praćenje, pregled pravnih i ugovornih aranžmana, razmatranje ugovora o razini usluge (SLA) i korištenje trećih strana certificiranih prema standardu kada je to prikladno.

Ako vanjski pružatelj pogriješi, može li organizacija pokazati da ga je razumno odabrala, jasno ugovorno obvezala, nadzirala i reagirala kada se pojavilo odstupanje? Ako ne može, to znači manjkavost u sustavu upravljanja usklađenošću same organizacije.

Kontrole moraju biti dio stvarnog procesa

Posebno je važno naglasiti da ISO 37301 kontrole ne shvaća kao mrtve dokumente. Kontrole moraju biti ugrađene u organizacijske procese. Ako kontrola postoji samo kao pravilnik, ali nema osobe koja je provodi, zapisa koji dokazuje provedbu, pokazatelja koji se prati i posljedice kada se kontrola preskoči, tada ona nije stvarna kontrola.

U smjernicama uz A.8.2 kao moguće kontrole navode se jasne i praktične dokumentirane politike, procesi, procedure i radne upute, sustavi i izvješća o iznimkama, odobrenja, razdvajanje nespojivih uloga i odgovornosti, automatizirani procesi, godišnji planovi usklađenosti, planovi radnog učinka, procjene usklađenosti i auditi, pokazana predanost menadžmenta te aktivna komunikacija očekivanog ponašanja zaposlenika.

ISO 37301 u javnom sektoru

Iako se compliance često povezuje s privatnim sektorom, financijskim institucijama i velikim trgovačkim društvima, ISO 37301 jednako je primjenjiv i na javni sektor. Javnopravna tijela nisu izvan prostora compliancea. Dapače, ona često djeluju u još zahtjevnijem normativnom okruženju od privatnih organizacija. Njihovo postupanje uređuju zakoni, podzakonski propisi, opći akti, proračunska pravila, pravila javne nabave, propisi o radu i službeničkim odnosima, pravila o pristupu informacijama, propisi o uredskom poslovanju, sektorski propisi, interni akti i odluke nadležnih tijela.

U javnom sektoru zato nije dovoljno reći da tijelo „postupa po zakonu”. To je temeljna obveza svakog javnopravnog tijela, ali nije dovoljan odgovor na organizacijsko pitanje: kako tijelo osigurava da se zakon doista provodi u svakodnevnom radu, da se nepravilnosti prepoznaju na vrijeme i da se ostvaruje svrha zbog koje je tijelo osnovano?

Kada se promijeni propis, mora biti jasno tko tu promjenu prati, tko procjenjuje njezin utjecaj na postojeće postupke, tko mijenja obrasce rješenja, zapisnike, pozive, obavijesti ili interne kontrolne liste, tko obavještava i educira službenike te tko provjerava je li nova praksa uvjetovana novim pravilima zaživjela.

Slično tome, ako tijelo učestalo ili iz ponavljajućih razloga gubi upravne sporove, tada to više nije samo problem pojedinog službenika ili pojedinog predmeta. U takvoj situaciji ozbiljna organizacija ne bi trebala samo čekati nove presude, nego analizirati uzroke, izmijeniti obrasce, provesti ciljanu edukaciju, uvesti kontrolne točke i nakon određenog vremena provjeriti jesu li mjere dale rezultat.

Upravo se tu vidi moguća vrijednost ISO 37301 u javnoj upravi. Norma ne mijenja zakonske ovlasti javnopravnih tijela, ne preuzima ulogu posebnih upravnih postupaka i ne propisuje sadržaj javnih politika. Njezina je vrijednost u tome što javnom tijelu može pomoći da vlastite obveze pretvori u pregledan sustav odgovornosti, kontrola, izvješćivanja i poboljšavanja. Javno tijelo može pratiti broj odluka koje su ukinute u žalbenom postupku, broj izgubljenih upravnih sporova, broj predmeta riješenih izvan roka, broj osnovanih pritužbi stranaka, ponavljajuće pogreške u pojedinim ustrojstvenim jedinicama ili vrijeme potrebno za provedbu korektivnih mjera. Takvi pokazatelji služe tome da tijelo prepozna obrasce pogrešaka i provjeri daju li poduzete mjere stvaran učinak.

ISO 37301 može javnim tijelima pomoći i u jasnijem razlikovanju formalne i stvarne odgovornosti. U javnoj upravi često postoji završni potpis čelnika tijela ili ovlaštene osobe, ali to ne znači da ta osoba stvarno može provjeriti svaku činjenicu, svaki dokaz, svaki rok i svaku procesnu radnju u stotinama ili tisućama predmeta. Zato sustav mora pokazati što se događa prije potpisa ministra, ravnatelja, dekana ili druge ovlaštene osobe. Završni potpis pokazuje tko je akt formalno odobrio, ali ne pokazuje uvijek kako je odluka stvarno nastala. U složenijim predmetima prije potpisa mogu postojati mišljenja stručnih službi, očitovanja drugih tijela, preporuke povjerenstava, mišljenja kolektivnih tijela, nalazi vanjskih stručnjaka, financijske procjene ili tehničke analize.

Stoga ISO 37301 ne treba promatrati kao „korporativni” standard koji javnopravnim tijelima i ustanovama nije potreban. Naprotiv, javni sektor često obavlja širi i raznovrsniji krug poslova od većine trgovačkih društava, pri čemu istodobno odlučuje o pravima i obvezama stranaka, upravlja javnim sredstvima, sklapa ugovore, obrađuje osobne podatke i djeluje pod pojačanim javnim i drugim nadzorom. Upravo zato ima osobito snažan interes za sustavno upravljanje usklađenošću, jer se njegova legitimnost temelji na zakonitom, predvidljivom, obrazloženom i dokazivom postupanju.

Zaključak

ISO 37301 ne treba mistificirati. On nije čarobni štit od pogrešaka, nadzora, sudskih postupaka, odgovornosti ili loših odluka. Certifikat ili pozivanje na standard ne znači da je organizacija automatski zakonita, odgovorna ili dobro vođena.

Njegova je vrijednost u nečemu drugome. ISO 37301 pomaže organizaciji da usklađenost postane upravljački sustav. Umjesto pitanja “imamo li pravilnik”, postavlja se pitanje “funkcionira li proces”. Umjesto pitanja “tko je potpisao”, postavlja se pitanje “kako je odluka pripremljena, provjerena i nadzirana”. Umjesto pitanja “jesmo li znali za propis”, postavlja se pitanje “kako smo osigurali da se propis doista provodi”.

Dobar sustav upravljanja usklađenošću ne jamči da pogrešaka neće biti. Slaba organizacija pogrešku tretira kao incident koji treba zaboraviti ili personalizirati. Ozbiljna organizacija pita: zašto se to dogodilo, postoji li obrazac, gdje je kontrola zakazala, tko je trebao reagirati, što mijenjamo i kako ćemo provjeriti da se isto ne ponavlja. Upravo tu ISO 37301 može biti vrlo koristan. On pravnu obvezu prevodi u jezik procesa, odgovornosti, kontrola, dokumentiranih informacija, izvješćivanja i poboljšavanja.

ISO 37301 zato treba promatrati kao koristan upravljački alat. Riječ je o relativno novoj normi za sustav upravljanja usklađenošću, u hrvatskom normizacijskom sustavu prihvaćenoj kao HRN ISO 37301:2021, koja je naknadno dopunjena amandmanom HRN ISO 37301:2021/A1:2025. Njezina primjena nije sama po sebi obvezna za javnopravna tijela ili druge organizacije, ali može poslužiti kao relevantan stručni okvir za uspostavu, provjeru i poboljšavanje sustava upravljanja usklađenošću.

HRN ISO 37301:2021 može biti vrijedan alat za hrvatsku javnu upravu, uključujući tijela državne uprave, javne ustanove, agencije, lokalnu i područnu (regionalnu) samoupravu te javna trgovačka društva. Ne kao dodatni sloj formalizma niti kao zamjena za postojeći normativni okvir, nego kao sustavan okvir za ono u čemu hrvatska praksa tradicionalno pokazuje najveće slabosti: dosljednu, odgovornu i dokazivu provedbu već postojećih pravila.

prof. dr. sc. Goran Vojković