Ocena ryzyka w EUDR. Jak wykazać, że ryzyko jest pomijalne?

Po zebraniu wymaganych informacji dotyczących produktu i jego łańcucha dostaw operator przechodzi do jednego z kluczowych etapów procesu należytej staranności – oceny ryzyka.

To właśnie na tym etapie zebrane wcześniej dane przestają być tylko dokumentacją, a stają się podstawą do odpowiedzi na pytanie:

Czy istnieje ryzyko, że produkt, który ma zostać wprowadzony na rynek lub wywieziony, nie spełnia wymagań EUDR?

Samo zgromadzenie dokumentów od dostawcy i zachowanie ich na wypadek kontroli nie wystarcza.

Operator powinien zweryfikować i przeanalizować informacje zebrane zgodnie z art. 9 EUDR oraz inną odpowiednią dokumentację, a następnie przeprowadzić ocenę ryzyka w oparciu o kryteria wskazane w art. 10.

Produkt może zostać wprowadzony na rynek lub wywieziony, jeżeli wynik tej oceny wskazuje brak ryzyka lub jedynie ryzyko pomijalne jego niezgodności.

Dlatego w ocenie ryzyka nie chodzi o zgromadzenie jak największej liczby dokumentów. Chodzi o możliwość wykazania, jak zostały one zweryfikowane, jakie ryzyka zidentyfikowano i na jakiej podstawie określono poziom ryzyka.

Dlaczego ocena ryzyka jest tak ważna?

Pełny proces należytej staranności obejmuje trzy podstawowe elementy:

1. zebranie informacji,

2. ocenę ryzyka,

3. ograniczenie ryzyka – jeżeli jest konieczne.

Ocena ryzyka łączy więc zgromadzone informacje z decyzją dotyczącą konkretnego produktu.

Operator nie może ograniczyć się do stwierdzenia, że dostawca jest sprawdzony, posiada odpowiedni certyfikat albo od wielu lat współpracuje z firmą.

Znaczenie mają informacje dotyczące odpowiednich produktów, ich miejsca produkcji i łańcucha dostaw.

Dwie dostawy tego samego produktu mogą więc prowadzić do różnych wniosków, jeżeli różnią się np. miejscem produkcji, źródłem surowca, strukturą łańcucha dostaw albo jakością i wiarygodnością dostępnych informacji.

Co istotne, operator powinien być w stanie wykazać, w jaki sposób zebrane informacje zostały sprawdzone względem kryteriów oceny ryzyka oraz w jaki sposób określono poziom ryzyka.

Co oznacza „ryzyko pomijalne”?

To jedno z najważniejszych pojęć w całym procesie należytej staranności.

Ryzyko pomijalne nie oznacza:

• stuprocentowej pewności,

• całkowitego wyeliminowania wszelkiego ryzyka,

• gwarancji, że w przyszłości nie pojawią się nowe informacje.

Zgodnie z EUDR ryzyko pomijalne oznacza poziom ryzyka, przy którym – na podstawie pełnej oceny informacji dotyczących produktu oraz informacji ogólnych, a w razie potrzeby również po zastosowaniu odpowiednich działań ograniczających ryzyko – nie ma powodów do obaw, że produkt jest niezgodny z wymaganiami dotyczącymi braku wylesiania lub zgodności z właściwymi przepisami kraju produkcji.

Nie chodzi więc o udowodnienie, że ryzyko matematycznie wynosi zero.

Chodzi o przeprowadzenie procesu, który pozwala w uzasadniony i udokumentowany sposób stwierdzić, że nie występuje ryzyko lub występuje jedynie ryzyko pomijalne.

Jak wygląda ocena ryzyka w praktyce?

EUDR nie sprowadza oceny ryzyka do jednego formularza.

Art. 10 określa szereg kryteriów, które należy wziąć pod uwagę. Obejmują one zarówno informacje dotyczące konkretnego produktu, jak i szerszy kontekst miejsca produkcji oraz łańcucha dostaw.

W praktyce warto uporządkować analizę wokół kilku obszarów.

1. Miejsce produkcji i geolokalizacja

Pierwszym obszarem jest miejsce, w którym wyprodukowano odpowiedni surowiec.

Znaczenie ma kraj produkcji, ale również wymagane dane dotyczące konkretnego miejsca produkcji.

Geolokalizacja pozwala powiązać produkt z działką lub działkami, na których wyprodukowano odpowiedni surowiec, i stanowi jeden z kluczowych elementów danych wykorzystywanych w procesie należytej staranności.

W ocenie ryzyka należy uwzględnić również kontekst danego obszaru, m.in. klasyfikację kraju lub jego części w systemie benchmarkingu, występowanie lasów czy skalę wylesiania i degradacji lasów.

2. Zgodność z prawem kraju produkcji

Drugim obszarem jest zgodność produkcji z właściwymi przepisami kraju produkcji.

EUDR odnosi się do przepisów dotyczących statusu prawnego obszaru produkcji i obejmuje określone w rozporządzeniu dziedziny prawa, m.in. prawa do użytkowania gruntów, ochronę środowiska, prawa osób trzecich, prawa pracownicze, prawa człowieka chronione prawem międzynarodowym, zasadę dobrowolnej, uprzedniej i świadomej zgody (FPIC), a także regulacje podatkowe, antykorupcyjne, handlowe i celne.

Nie chodzi więc wyłącznie o posiadanie dokumentu czy deklaracji dostawcy.

Informacje powinny być odpowiednio przekonujące, możliwe do zweryfikowania i adekwatne do analizowanego przypadku.

3. Jakość zgromadzonych informacji

Komplet dokumentów nie zawsze oznacza, że dane są wystarczające do zakończenia oceny.

Warto sprawdzić m.in.:

• czy informacje dotyczą analizowanego produktu,

• czy są ze sobą spójne,

• czy są aktualne,

• czy dane dotyczące miejsca produkcji można powiązać z produktem,

• czy informacje i dokumenty można zweryfikować,

• czy istnieją rozbieżności pomiędzy różnymi źródłami.

Art. 10 wymaga uwzględnienia m.in. wiarygodności, ważności i powiązań pomiędzy dokumentami oraz innymi dostępnymi informacjami.

Jeżeli pojawiają się istotne niespójności lub wątpliwości, powinny zostać wyjaśnione przed uznaniem ryzyka za pomijalne.

4. Złożoność łańcucha dostaw

Kolejnym istotnym kryterium jest złożoność łańcucha dostaw.

Znaczenie może mieć m.in.:

• liczba etapów i pośredników,

• liczba miejsc produkcji,

• przetwarzanie surowca,

• mieszanie materiału pochodzącego z różnych źródeł,

• możliwość powiązania produktu z miejscem produkcji,

• występowanie niezidentyfikowanych etapów łańcucha.

Sam długi lub złożony łańcuch dostaw nie oznacza automatycznie, że ryzyko jest wysokie.

Może jednak sprawić, że wykazanie pochodzenia produktu i spójności informacji będzie wymagało dokładniejszej analizy. Komisja wskazuje wprost, że złożoność wzrasta m.in. wraz z liczbą przetwórców i pośredników pomiędzy miejscem produkcji a operatorem.

Ważne: cztery obszary przedstawione powyżej pomagają uporządkować analizę, ale nie stanowią pełnego katalogu kryteriów z art. 10 EUDR.

Czy istnieje gotowa checklista oceny ryzyka?

To jedno z pytań, które może pojawić się podczas przygotowania firmy do EUDR.

Nie istnieje jedna obowiązkowa checklista, której wypełnienie automatycznie oznacza prawidłowe przeprowadzenie oceny ryzyka.

Komisja Europejska wskazuje wprost, że due diligence nie jest procesem typu „tick-box”. Nie ma jednego ustalonego formatu ani zamkniętego zestawu pytań, który operator musi zastosować w każdym przypadku.

Nie oznacza to jednak pełnej dowolności.

Operator musi uwzględnić wymagania rozporządzenia, w tym kryteria określone w art. 10, oraz być w stanie wykazać sposób przeprowadzenia analizy i podstawy swojej decyzji.

Wewnętrzna checklista może być więc bardzo dobrym narzędziem organizacyjnym, ale nie powinna zastępować rzeczywistej analizy.

Kiedy należy ograniczyć ryzyko?

Jeżeli przeprowadzona ocena wskazuje, że ryzyko jest większe niż pomijalne, operator nie może zakończyć procesu na tym etapie.

Powinien zastosować odpowiednie i proporcjonalne działania ograniczające ryzyko.

W zależności od problemu mogą one obejmować m.in.:

• pozyskanie dodatkowych informacji, danych lub dokumentów,

• niezależne badania lub audyty,

• dodatkową weryfikację informacji dotyczących miejsca produkcji,

• pozyskanie dodatkowych dowodów,

• działania związane z wymaganiami informacyjnymi określonymi w art. 9,

• wsparcie dostawców w spełnianiu wymagań EUDR.

Działania powinny odpowiadać konkretnemu zidentyfikowanemu ryzyku.

Ich celem jest doprowadzenie do sytuacji, w której nie występuje ryzyko lub pozostaje ono jedynie na poziomie pomijalnym.

Najczęstsze błędy w ocenie ryzyka

Do problemów, których warto unikać, należą:

• traktowanie certyfikatu FSC®, PEFC lub innego systemu certyfikacji jako automatycznego potwierdzenia zgodności z EUDR,

• brak udokumentowanej oceny ryzyka,

• automatyczne powielanie tej samej analizy pomimo różnic w produktach lub łańcuchach dostaw,

• nieuwzględnianie istotnych zmian w dostępnych informacjach,

• brak uzasadnienia, dlaczego ryzyko uznano za pomijalne,

• przechowywanie informacji w sposób utrudniający ich wzajemne powiązanie.

Certyfikaty mogą stanowić jeden z elementów materiału wykorzystywanego podczas oceny, ale nie zastępują samego procesu należytej staranności.

Kluczowe jest nie tylko co firma posiada, ale również jak te informacje zweryfikowała i jakie wnioski na ich podstawie wyciągnęła.

Jak zbudować skuteczny proces oceny ryzyka?

Ocena ryzyka nie powinna za każdym razem rozpoczynać się od zera.

Warto stworzyć wewnętrzną metodykę, która określi m.in.:

• jednolity sposób gromadzenia informacji,

• standard przeprowadzania oceny ryzyka,

• zasady dokumentowania decyzji,

• sposób opisywania działań ograniczających ryzyko,

• zasady aktualizacji informacji dotyczących dostawców i łańcuchów dostaw.

Dzięki temu kolejne analizy mogą być prowadzone według spójnych zasad, a firma łatwiej wykaże sposób funkcjonowania swojego systemu należytej staranności.

EUDR wymaga również, aby oceny ryzyka były dokumentowane, poddawane przeglądowi co najmniej raz w roku oraz udostępniane właściwym organom na żądanie.

Ocena ryzyka jest najważniejszym etapem procesu należytej staranności. To właśnie na jej podstawie operator podejmuje decyzję o możliwości złożenia Due Diligence Statement i wprowadzenia produktu na rynek.

Najważniejsze jest jednak to, że EUDR nie oczekuje od przedsiębiorców perfekcyjnego łańcucha dostaw ani całkowitego wyeliminowania ryzyka. Oczekuje natomiast dobrze udokumentowanego procesu, opartego na rzetelnych danych, analizie i świadomych decyzjach.

Im lepiej przedsiębiorstwo uporządkuje informacje, procedury i dokumentację, tym łatwiej będzie wykazać zgodność z wymaganiami rozporządzenia oraz przygotować się do ewentualnej kontroli.

W kolejnym artykule pokażemy, dlaczego geolokalizacja jest jednym z fundamentów EUDR oraz jakie dane należy pozyskać, aby prawidłowo udokumentować pochodzenie surowca.