НКЦПФР дозволила аутсорсинг внутрішнього аудиту і комплаєнсу: що це означає для учасників ринку

У вересні 2026 року НКЦПФР затвердила вимоги до передачі частини функцій на аутсорсинг. Рішення стосується компаній і професійних учасників ринків капіталу, і воно змінює не стільки правила, скільки економіку невеликої ліцензованої компанії: те, що раніше доводилося тримати в штаті, тепер можна купувати як послугу.

Які функції можна передати

Перелік короткий і конкретний:

• комплаєнс;
• управління ризиками;
• внутрішній аудит;
• бухгалтерський облік;
• ІТ-підтримка;
• обслуговування програмного забезпечення та інформаційних систем.

Для професійних учасників ринку до цього переліку додається опрацювання звернень третіх осіб.

Що не змінюється

Головне речення рішення стосується не переліку, а відповідальності: передача функції на аутсорсинг не звільняє компанію від відповідальності перед клієнтами і перед регулятором за кінцевий результат. Якщо внутрішній аудит виконав зовнішній підрядник і зробив це погано, пояснювати це НКЦПФР буде компанія, а не підрядник.

Практичний висновок простий: договір з виконавцем це не спосіб зняти з себе ризик, а спосіб купити компетенцію. Ризик лишається ваш, тому в договорі має бути прописано, що саме виконавець робить, у які строки, у якій формі звітує і що відбувається, якщо він не встиг.

Вимоги до виконавця

Виконавцем може бути українська або іноземна юридична чи фізична особа. Три вимоги: достатні ресурси, кваліфіковані працівники і відповідність вимогам щодо ділової репутації.

Формулювання виглядає загальним, але на практиці воно означає, що вибір виконавця доведеться обґрунтовувати. Комплаєнс-офіцер або керівник компанії має мати у справі документи, якими цей вибір підтверджується: запис у професійному реєстрі, кваліфікація конкретних людей, які виконуватимуть роботу, досвід у вашому сегменті, страхування професійної відповідальності.

Пастка, про яку в новинах не пишуть

Найпоширеніша перша думка керівника: віддамо внутрішній аудит своєму аудитору, він і так нас знає. Так зробити не можна.

Вимоги незалежності забороняють аудитору надавати своєму клієнту послуги, результати яких він потім перевірятиме у складі звітності. Внутрішній аудит і ведення бухгалтерського обліку саме такі послуги: аудитор опинився б у становищі, коли перевіряє власну роботу. Те саме стосується розробки та впровадження інформаційних систем, які формують звітність.

Тому коло виконавців звужується: потрібна фірма з аудиторською кваліфікацією, яка при цьому не є вашим аудитором. Це не формальність, це перше, на що подивиться регулятор, якщо дійде до перевірки.

Що робити зараз

1. Порахуйте вартість функції в штаті. Внутрішній аудитор, ризик-менеджер і комплаєнс-офіцер на повну ставку для невеликої компанії часто коштують більше, ніж сама робота.
2. Розділіть функції на ті, що можна віддати, і ті, що краще лишити. Посада комплаєнс-офіцера зазвичай має лишатися в компанії, а розробка політик і щорічний перегляд добре виносяться назовні.
3. Перевірте незалежність. Якщо кандидат у виконавці є вашим аудитором, шукайте іншого.
4. Зберіть обґрунтування вибору. Реєстр, кваліфікація людей, досвід, страхування. Це має бути папка, а не усна думка.
5. Пропишіть у договорі строки, форму звітності та відповідальність виконавця перед вами. Перед регулятором відповідаєте ви.

Що з цього робимо ми

«МК Аудит» працює з 2000 року, внесена до Реєстру аудиторів та суб’єктів аудиторської діяльності під №4624, член міжнародної мережі DFK International. Обов’язковий аудит фінансової звітності ми зараз не проводимо, поки триває перевірка контролю якості, і для аутсорсингу це радше перевага: конфлікту незалежності з вашою компанією не виникає.

Беремо внутрішній аудит і бухгалтерський облік, а комплаєнс і управління ризиками в частині побудови політик і щорічного перегляду. ІТ-підтримку і обслуговування програмного забезпечення не беремо, бо це не наша компетенція. Детально про обсяг робіт і строки: аутсорсинг для учасників ринку капіталу.