Riziká a compliance: checklist raz za štvrťrok

Riziká a compliance: prečo sa oplatí štvrťročný rytmus

Štvrťročný (quarterly) checklist je najjednoduchší spôsob, ako udržať podnik v súlade so zákonmi, internými pravidlami a etickými štandardmi. Pre podnikanie žien – často s obmedzenými kapacitami a vysokou mierou osobnej zodpovednosti – poskytuje rytmus, prehľad a istotu, že „nič dôležité neprepadne“. Tento dokument prináša detailný, praxou overený checklist a metodiku, ktorú môžete používať v mikropodnikaní aj v rastúcej firme.

Princípy štvrťročného compliance

• Rytmus → prevencia: pravidelnosť znižuje náklady na náhle zásahy.
• Dôkaz → dôvera: to, čo skontrolujete, musí mať dôkaz (záznam, screenshot, report).
• Minimalizmus → udržateľnosť: menej dokumentov, viac jasných postupov.
• Ľudia → kultúra: compliance je zručnosť, nie byrokracia – učte tím hovoriť o rizikách včas.

Rámec: 4P (Právo, Peniaze, Prevádzka, Princípy)

• Právo: zmluvy, GDPR, licencie, pracovné právo, reklama.
• Peniaze: účtovníctvo, dane, cash-flow, antifraud kontrola.
• Prevádzka: kyberbezpečnosť, dodávateľský reťazec, kontinuita podnikania (BCP).
• Princípy: etika, DEI (inklúzia), ESG, reputácia.

Štruktúra štvrťročného cyklu (Q1–Q4)

1. T–2 týždne: príprava (zoznam zmien, aktualizácie zákonov, incidenty z minulého kvartálu).
2. Týždeň 1: rýchly audit „light“ – prebehnutie check-listu, zaznamenanie odchýlok.
3. Týždeň 2: nápravné opatrenia (priorita kritické > vysoké > stredné > nízke).
4. Týždeň 3: tréning/refresh politík, aktualizácia dokumentácie.
5. Týždeň 4: report pre majiteľku/board, uzavretie a nastavenie cieľov na ďalší kvartál.

Matica rizík: závažnosť × pravdepodobnosť

Štvrťročný checklist: Právo a regulácie

• Zmluvy so zákazníkmi a dodávateľmi: platnosť, automatické prolongácie, sankcie, SLA, klauzuly o ochrane údajov.
• Obchodné podmienky a reklamačný poriadok: súlad s aktuálnymi spotrebiteľskými pravidlami; čitateľnosť a viditeľnosť na webe.
• Licencie a oprávnenia: kontrola platnosti a rozsahu (živnosť, ochranná známka, softvér).
• Marketing & reklama: súťaže, influencer zmluvy, označovanie reklamy, cookies lišta a zásady používania súborov cookie.
• GDPR: záznamy o spracúvaní, právne základy, zmluvy so spracovateľmi, prístupové práva, retention politika.
• Pracovné právo: pracovné zmluvy, dohody, BOZP školenia, lekárske prehliadky, homeoffice politika.

Štvrťročný checklist: Peniaze a finančná integrita

• Účtovníctvo: súlad účtovných záznamov s bankou; inventarizácia záväzkov a pohľadávok.
• Dane: kontrola registrácií (DPH), správnosť sadzieb, archivácia dokladov, plánovanie preddavkov.
• Kontrola podvodov: dvojitá autorizácia platieb, segregácia kompetencií (aspoň 4-oko pravidlo), export logov.
• Cash-flow: stres test – čo ak príjmy klesnú o 20 % na 2 mesiace?
• Poistenia: revízia poistných súm a výluk, zrozumiteľnosť krytia (zodpovednosť, majetok, kyber).

Štvrťročný checklist: Prevádzka a kyberbezpečnosť

• Prístupové práva: okamžité zrušenie prístupov odídeným, princíp minimálnych práv, 2FA všade, kde sa dá.
• Zálohy: test obnovy (restore test), offline kópia kľúčových dát, rotácia hesiel k trezorom.
• Incidenty: kniha incidentov, postmortem pre top 3 udalosti, aktualizácia playbooku.
• Dodávatelia: hodnotenie kritických dodávateľov (SLA, bezpečnostné štandardy, finančné zdravie).
• Kontinuita podnikania (BCP): kontaktný strom, plán náhradných riešení, cvičný „table-top“ scenár.
• Fyzická bezpečnosť: prístup k priestorom, inventár zariadení, označenie majetku, požiarne revízie.

Štvrťročný checklist: Princípy a reputácia

• Etický kódex: aktualizácia, podpisy nováčikov, report konfliktu záujmov.
• DEI a bezpečné prostredie: kanály pre nahlasovanie, pravidlá komunikácie, anonymný pulzný dotazník.
• ESG/udržateľnosť: prehľad spotreby, odpadové politiky, dodávateľská etika.
• Reputácia online: monitoring recenzií, reakčné šablóny, eskalačný plán.

GDPR: mini-kontrolný zoznam na každý kvartál

• Overiť právne základy (súhlas, zmluva, oprávnený záujem) pre kľúčové spracovania.
• Skúška procesu „Právo na prístup/na výmaz“ – 1 testovacia požiadavka.
• Prejsť zoznam spracovateľov: zmluvy, sub-procesori, prenosy mimo EÚ.
• Retenčné lehoty: čo sa má vymazať/anonymizovať tento kvartál?
• Bezpečnosť: 2FA, šifrovanie prenosu/disku, logy prístupov.
• Cookies: funkčnosť súhlasu, evidenčný log, zladenie s reality webu.

Kyberbezpečnostný „Top 10“ pre malé tímy

1. 2FA všade, kde je to možné.
2. Správa hesiel v trezore, zákaz zdieľania mimo trezora.
3. Automatické aktualizácie OS a aplikácií.
4. Antivírus/EDR a pravidelné skeny.
5. Phishing tréning – 15 min kvartálne.
6. Segmentácia účtov: admin vs. bežný účet.
7. Zálohovanie 3-2-1 (3 kópie, 2 médiá, 1 offline).
8. Kontrola integrácie tretích strán (OAuth povolenia).
9. Logovanie prístupov a alerty na anomálie.
10. Incident response karta – kto čo robí pri úniku.

RACI pre kvartálny compliance (príklad)

Minimum dokumentov (lean compliance)

• Register rizík (1 strana): top 10 rizík, trend, zodpovedná osoba, ďalší krok.
• Playbook incidentov (2–3 strany): kyber, reputačný, právny – „čo urobiť prvých 24 hodín“.
• Politiky (max 1 strana každá): GDPR, kyber, HR, marketing/PR, dodávateľská etika.
• Školenia: 3 krátke moduly ročne (15–30 min) + 1 kvartálny refresh.

Štvrťročný report pre majiteľku

Vzory krátkych záznamov (ako vyzerá „dôkaz“)

• Zmluvná inventúra: „Dňa 15.10.2025 preverené 12 zmlúv, 2 s automatickou prolongáciou – nastavené pripomienky na 30.11.2025.“
• GDPR test prístupu: „Spracované do 12 dní, žiadateľ informovaný, export údajov v archíve #REQ-2025-09.“
• Restore test: „Obnovenie zálohy CRM na test server – trvalo 34 min, bez chýb.“
• Antifraud kontrola: „5 náhodných platieb > 2 000 €, schvaľoval iný človek – OK.“

Praktický „One-Pager“ checklist (vytlačte a použite)

• Zmluvy a VOP skontrolované
• GDPR: záznamy, spracovatelia, retenčné lehoty
• Pracovné zmluvy, BOZP, školenia
• Účtovníctvo, dane, inventarizácia
• Antifraud: 4-oko, limity, export logov
• Kyber: 2FA, zálohy, test obnovy
• Dodávatelia: SLA, bezpečnosť, finančné zdravie
• BCP: kontaktný strom, cvičný scenár
• Etika/DEI: kanály, dotazník, eskalácia
• Online reputácia: monitoring a šablóny

Ako zaviesť checklist do praxe (30–60–90 dní)

1. 0–30 dní: definujte „One-Pager“, priraďte RACI, vytvorte zdieľaný priečinok na dôkazy.
2. 31–60 dní: prvý light audit, prvé nápravy, nastavenie pripomienok (kalendár, email).
3. 61–90 dní: test incident playbooku, mini školenie, prvý štvrťročný report.

Nástroje, ktoré stačia

• Dokumenty: zdieľaný disk (štandardizované názvy: YYYY-Qx_Téma_Dôkaz).
• Task manažment: jednoduchý kanban (ToDo – In Progress – Done – Evidence).
• Šablóny: 1-stranové politiky, formulár incidentu, register rizík.
• Automatizácia: pripomienky v kalendári pre každú položku check-listu, kvartálny blok v diári.

Najčastejšie chyby a ako sa im vyhnúť

• Príliš veľa papierov: zredukujte na esenciálne dokumenty s jasným účelom.
• Bez dôkazu: každá kontrola musí mať stôp (screenshot, podpis, export, dátum).
• Nejasná zodpovednosť: majte vždy „A“ v RACI – kto je finálne zodpovedný.
• Jednorazovosť: compliance nie je projekt, ale návyk; držte sa rytmu.

Upozornenie

Tento checklist je praktický návod, nie právne poradenstvo. Pri špecifických otázkach (odvetvové licencie, cezhraničné spracovanie údajov, pracovnoprávne spory) sa poraďte s kvalifikovanou odborníčkou či odborníkom.

Štvrťročný checklist prináša poriadok, pokoj a pripravenosť. Keď viete, čo skontrolovať a ako to zdokladovať, budujete silnú dôveru – zákazníčok, tímu aj partnerov. Začnite „One-Pagerom“, priraďte zodpovednosti a po troch mesiacoch uvidíte prvé merateľné výsledky: menej incidentov, rýchlejšie reakcie a viac času na rast.