Почему совет директоров должен управлять регуляторными рисками в ОАЭ

Главное

Управление регуляторными рисками в Объединённых Арабских Эмиратах — это не функция комплаенс-отдела. Это прямая обязанность совета директоров.

Регуляторное поле ОАЭ — одно из самых динамичных и строгих в регионе. Ошибки здесь не ограничиваются репутационными потерями. Они ведут к личной, в том числе уголовной, ответственности директоров, блокировке бизнеса, аресту активов и немедленной остановке деятельности.

Поэтому главный вопрос не в том, знает ли менеджмент о рисках. Главный вопрос — осуществляет ли совет директоров реальный надзор за тем, чтобы эти риски были выявлены, оценены и управляемы.

Эффективное управление регуляторными рисками на уровне совета начинается с трех фундаментальных проверок:

• Понимает ли совет, какой именно регуляторный режим применяется к компании — материковый (on-shore), свободная зона (free zone) или финансовая зона (DIFC/ADGM).
• Существует ли в компании работающая система комплаенс, подконтрольная совету, а не существующая лишь на бумаге.
• Обеспечена ли защита самих директоров от персональной ответственности за нарушения, которые произошли без их ведома, но в период их полномочий.

Если эти три вопроса не решены, совет директоров несёт риски, которые могут материализоваться в любой момент — при проверке регулятора, сделке с новым контрагентом или изменении санкционных списков.

Когда совет директоров должен активно управлять регуляторными рисками

Управление регуляторными рисками становится критически важной функцией совета, если:

• компания впервые выходит на рынок ОАЭ или меняет структуру присутствия (переход из free zone на материк или наоборот);
• бизнес подпадает под действие правил экономического присутствия (Economic Substance Regulations, ESR) или требований к раскрытию бенефициарных владельцев (UBO);
• регулятор — Central Bank of the UAE, Securities and Commodities Authority (SCA), Dubai Financial Services Authority (DFSA) или Financial Services Regulatory Authority (FSRA) — инициировал проверку или запрос;
• деятельность связана с секторами повышенного риска: финансовые услуги, торговля драгоценными металлами, логистика, транзитные поставки через ОАЭ;
• компания вовлечена в международные сделки, где применимы режимы санкций ООН, OFAC, ЕС или местные списки террористов;
• произошло изменение в законодательстве, способное повлиять на правовой статус бизнеса (например, введение корпоративного налога в 2023 году и правил трансфертного ценообразования);
• проводится сделка M&A, реструктуризация или привлечение финансирования, при которых регуляторные риски могут стать препятствием или источником ответственности для директоров.

Ошибка, которую совершают большинство советов директоров

Практически все проблемы начинаются с одной и той же ошибки: совет директоров рассматривает регуляторные риски как зону ответственности менеджмента и комплаенс-службы.

Это заблуждение опасно по двум причинам. Во-первых, по законодательству ОАЭ директора несут личную ответственность за ущерб, причинённый компании, акционерам или кредиторам вследствие недобросовестных действий, грубой небрежности или нарушения закона (статья 24 Федерального декрета-закона № 32 от 2021 года «О коммерческих компаниях»). Делегирование управления рисками не снимает этой ответственности.

Во-вторых, в случае регуляторного расследования или обвинений в нарушении антиотмывочного законодательства (Federal Decree-Law No. 20 of 2018 on AML/CFT с последующими поправками) следственные органы оценивают именно тон сверху — был ли реальный контроль со стороны совета. Отсутствие контроля расценивается как согласие с нарушениями.

Правильный подход: совет не подменяет менеджмент, но задаёт стандарты, утверждает политики, регулярно заслушивает отчёты и имеет независимый канал информации о состоянии регуляторного комплаенс.

Шаг 1. Определить применимый регуляторный режим

Первое, что обязан сделать совет, — чётко зафиксировать, под чьей регуляторной юрисдикцией находится компания.

Режим в ОАЭ зависит от места регистрации:

• On-shore (материк) — применяется федеральное законодательство, надзор осуществляют Central Bank, SCA, Министерство экономики и иные федеральные органы. Здесь наиболее широкий спектр требований по AML, лицензированию, корпоративному управлению.
• Free zone (свободная зона) — у каждой зоны свой регулятор (например, DMCC, JAFZA, DAFZA), применяется собственное законодательство, но требования по AML/CFT и международным санкциям действуют в полном объёме.
• Финансовые зоны (DIFC, ADGM) — собственные правовые системы на основе английского общего права, независимые регуляторы (DFSA, FSRA) с высокими стандартами комплаенс и надзора.

Ошибка на этом этапе — например, применение упрощённого подхода free zone к бизнесу, который по факту ведётся на материке, — может привести к серьёзным претензиям, вплоть до ликвидации лицензии.

Шаг 2. Оценить персональную ответственность директоров

В ОАЭ персональная ответственность директора — это не гипотетический риск, а юридическая реальность.

Директор может быть привлечён:

• к гражданско-правовой ответственности за убытки компании, акционеров или третьих лиц вследствие небрежности, нарушения обязанностей или превышения полномочий;
• к уголовной ответственности по AML-законодательству (штрафы до 5 миллионов дирхамов и лишение свободы);
• к ответственности за нарушение санкционного режима (вплоть до уголовного преследования за финансирование терроризма);
• к субсидиарной ответственности при банкротстве компании, если будет доказано, что оно наступило из-за действий или бездействия совета.

Совет должен чётко понимать: даже если конкретное нарушение допустил сотрудник, директор может нести ответственность за отсутствие системы, которая могла бы это нарушение предотвратить.

Шаг 3. Внедрить систему комплаенс, подконтрольную совету

Система комплаенс не должна быть формальным набором документов. Совет обязан обеспечить:

• назначение независимого Compliance Officer или Money Laundering Reporting Officer (MLRO) с прямым доступом к совету;
• регулярную (не реже раза в квартал) отчётность перед советом о регуляторных рисках, инцидентах и изменении законодательства;
• утверждение и ежегодный пересмотр политик AML/CFT, санкционного комплаенс, процедур due diligence контрагентов;
• обязательное проведение независимого аудита комплаенс-программы;
• протоколирование всех решений совета, касающихся управления рисками, — это ключевая защита при последующей проверке.

Шаг 4. Обеспечить проактивный мониторинг регуляторных изменений

Регуляторная среда ОАЭ меняется стремительно. Совет должен гарантировать, что компания отслеживает не только вступившие в силу законы, но и проекты, способные повлиять на бизнес.

Ключевые зоны мониторинга сегодня:

• требования Economic Substance Regulations (ESR) — особенно для холдинговых, финансовых и логистических компаний;
• режим раскрытия Ultimate Beneficial Owners (UBO) и административные штрафы за неисполнение;
• правила корпоративного налога (9% с 2023 года) и документация по трансфертному ценообразованию;
• изменения в регулировании виртуальных активов и финтеха;
• обновления санкционных списков и требования FATF.

Проактивность означает, что вопросы об этих изменениях инициирует не менеджмент, а сам совет.

Шаг 5. Управлять санкционными и международными рисками

ОАЭ — глобальный торговый хаб, и совет обязан учитывать пересечение местного регулирования с экстерриториальными санкционными режимами. Нарушение вторичных санкций США или ограничений ЕС способно отрезать компанию от банковской системы даже при формальном соблюдении законов ОАЭ.

Совет должен убедиться, что компания:

• применяет автоматический санкционный скрининг всех контрагентов, бенефициаров и цепочек поставок;
• имеет процедуру действий при «красных флагах» — запросах оплаты через третьи страны, нестандартной логистике, участии лиц из санкционных юрисдикций;
• не полагается исключительно на заверения локального партнёра — собственная проверка обязательна.

Шаг 6. Быть готовым к регуляторным расследованиям

Даже при идеальной системе комплаенс расследование может начаться. Совет директоров должен заранее утвердить протокол реагирования, который включает:

• немедленное уведомление юридических консультантов;
• обеспечение сохранности документов и электронных данных;
• определение спикера для взаимодействия с регулятором;
• параллельную внутреннюю проверку инцидента под руководством совета (или комитета по аудиту).

Ошибка здесь — пытаться урегулировать проблему неформальными контактами без участия квалифицированных юристов. В ОАЭ это может быть расценено как попытка воспрепятствовать правосудию.

Распределение ответственности за регуляторные риски: менеджмент против совета директоров

Как усилить позицию совета директоров до возникновения проблем

Проактивная защита начинается не в момент кризиса, а в момент формирования совета. Наиболее эффективные меры:

• Юридический аудит комплаенс-системы с привлечением внешних консультантов, специализирующихся на ОАЭ, — не реже одного раза в год.
• Регулярное обучение директоров по специфике ответственности и изменениям в регулировании ОАЭ.
• Страхование ответственности директоров и должностных лиц (D&O) с покрытием на территории ОАЭ и, желательно, с покрытием расходов на юридическую защиту при уголовных расследованиях.
• Документирование добросовестности: подробные протоколы обсуждения комплаенс-вопросов, фиксация вопросов к менеджменту и полученных ответов.
• Наличие в составе совета независимых неисполнительных директоров с опытом работы в регулируемой среде ОАЭ или DIFC/ADGM.

Типичные ошибки советов директоров в ОАЭ

1. Игнорирование различий между материком, free zone и финансовыми зонами. Стандарты комплаенс, работающие в одной юрисдикции, не всегда достаточны в другой.
2. Отсутствие письменных политик AML/CFT и санкционного комплаенс. Устные заверения менеджмента не защитят директора в ходе расследования.
3. Слепое доверие локальному партнёру или спонсору. Даже при наличии местного участника ответственность совета не делегируется.
4. Игнорирование требований ESR и UBO. Штрафы и приостановка лицензии применяются всё чаще.
5. Затягивание с информированием регулятора о нарушениях. В ОАЭ добровольное раскрытие и сотрудничество часто смягчают последствия.
6. Надежда на то, что связи решат проблему. В сегодняшнем ОАЭ регуляторы действуют жёстко и предсказуемо, особенно в части финансовой прозрачности и санкций.

Чек-лист для члена совета директоров

Перед утверждением годового отчёта или в преддверии сделки необходимо ответить на 12 вопросов:

1. Понимаю ли я, какой регуляторный режим применяется к нашей компании и есть ли у нас актуальная лицензия?
2. Назначен ли квалифицированный MLRO/Compliance Officer с прямым выходом на совет?
3. Утверждены ли и внедрены ли политики AML/CFT, санкционного комплаенс и due diligence?
4. Проводился ли в этом году внешний аудит комплаенс-программы?
5. Существует ли процедура эскалации «красных флагов» до уровня совета?
6. Проверены ли бенефициарные владельцы всех ключевых контрагентов и обновлены ли записи в реестре UBO?
7. Соответствует ли наша деятельность требованиям ESR и готова ли документация?
8. Получали ли мы регуляторные запросы или уведомления, и как они были отработаны?
9. Застрахована ли ответственность директоров (D&O) и покрывает ли страховка расследования в ОАЭ?
10. Проводилось ли обучение директоров по регуляторным рискам в течение последних 12 месяцев?
11. Отражены ли обсуждения комплаенс-рисков в протоколах совета?
12. Есть ли у совета утверждённый план действий на случай обыска, вызова в правоохранительные органы или блокировки счетов?

Как выглядит сильная система управления регуляторными рисками

Эффективная система строится на трёх уровнях:

1. Тон сверху и стратегический надзор совета. Политики утверждены, риски регулярно рассматриваются, совет задаёт ожидания по нулевой толерантности к осознанным нарушениям.
2. Операционный комплаенс-менеджмент. Квалифицированная команда выполняет скрининг, мониторинг, обучение персонала и подготовку отчётности для регулятора. Совет получает не «доклад об отсутствии проблем», а содержательный анализ рисков и инцидентов.
3. Независимая проверка. Внутренний аудит или привлечённые внешние консультанты тестируют систему на уязвимости. Результаты представляются напрямую комитету по аудиту или совету.

Без третьего уровня совет получает картину, которую менеджмент хочет показать, а не реальное положение дел.

FAQ

В чём персональная ответственность директора за нарушение AML-законодательства в ОАЭ?

Предусмотрена уголовная ответственность, включая лишение свободы и штрафы до 5 миллионов дирхамов. Директор может быть привлечён, если не обеспечил должного контроля, даже если сам не совершал операцию.

Может ли совет делегировать ответственность за комплаенс менеджменту?

Делегировать операционные функции можно. Делегировать ответственность — нет. По закону именно совет несёт фидуциарные обязанности и окончательную ответственность.

Какие последствия для компании, если совет не управляет регуляторными рисками?

От штрафов (до десятков миллионов дирхамов), приостановки или отзыва лицензии до уголовного преследования должностных лиц и блокировки операций банками.

Что делать, если в компанию пришла проверка Central Bank или DFSA?

Немедленно привлечь специализированных юристов. Обеспечить сохранность документов. Назначить координатора взаимодействия. Не скрывать и не уничтожать информацию — это самостоятельное тяжкое правонарушение. Совет должен быть проинформирован в течение нескольких часов.

Обязательно ли страхование D&O в ОАЭ?

Не для всех, но для компаний в DIFC и ADGM оно практически стандарт. Для материковых компаний и free zone наличие D&O-страхования — лучшая практика, обеспечивающая защиту личных активов директоров при расследованиях и исках.

Как часто совет должен пересматривать комплаенс-программу?

Минимально — ежегодно. Внеочередной пересмотр необходим при изменении законодательства, выходе на новые рынки или обнаружении существенного инцидента.

Связанные услуги

• Корпоративное управление и регуляторный комплаенс в ОАЭ
• AML/CFT и санкционный комплаенс
• Защита директоров и должностных лиц: расследования и D&O ответственность
• Структурирование бизнеса в ОАЭ (материк, free zone, DIFC, ADGM)
• Внутренние расследования и взаимодействие с регуляторами
• Аудит комплаенс-систем и ESG-рисков

Связанные материалы

• AML/CFT комплаенс в ОАЭ: что обязан знать каждый директор
• Персональная ответственность директора по законодательству ОАЭ
• Как выбрать между материком, free zone и DIFC/ADGM с точки зрения регуляторных рисков
• Санкционные риски в ОАЭ при международной торговле: практическое руководство
• Economic Substance Regulations (ESR) в ОАЭ: ошибки, которых можно избежать

Вывод

Совет директоров, работающий с бизнесом в ОАЭ, не может позволить себе быть пассивным наблюдателем в вопросах регуляторных рисков. Регуляторное поле Эмиратов требует прямого вовлечения, стратегического надзора и проактивной позиции.

Управление регуляторными рисками на уровне совета — это не просто защита от штрафов и расследований. Это залог устойчивости бизнеса, условие доступа к финансированию, основа отношений с регулятором и, что критически важно, персональная защита каждого директора.

В ОАЭ выигрывают не те компании, которые идут на риск, надеясь остаться незамеченными. Выигрывают те, чьи советы директоров строят систему, при которой комплаенс становится органичной частью бизнеса, а не набором документов для проверки. Именно такой подход превращает регуляторные риски из угрозы в управляемый стратегический фактор.