Dyrektywa o ochronie sygnalistów – szansa czy zagrożenie?

Zbliża się rewolucja w ochronie sygnalistów w firmach.

Rozwiązania będące dotychczas dobrą praktyką rynkową, charakterystyczną dla najbardziej dojrzałych organizacji, staną się wkrótce powszechnie obowiązującym prawem. Czy można wykorzystać nadchodzące zmiany, aby uwolnić potencjał drzemiący w sygnalistach?

Jakie nowe regulacje dotyczące sygnalistów pojawiają się w porządku prawnym?

16 grudnia 2019 roku weszła w życie dyrektywa UE w sprawie ochrony osób zgłaszających przypadki naruszenia prawa Unii. Jest to pierwsza ogólnoeuropejska regulacja, której celem jest wprowadzenie ujednoliconej ochrony prawnej (czyli tzw. standardu minimum) sygnalistów, którzy w związku ze swoją pracą zawodową zgłaszają przypadki naruszeń przepisów prawa. Zakres ochrony sygnalistów w państwach UE był dotąd zróżnicowany, a w części z nich, w tym w Polsce, nie funkcjonował wcale. Dyrektywa UE – w przeciwieństwie do rozporządzenia UE (np. RODO) – wymaga transpozycji do krajowego systemu prawnego. Jej kształt nie jest jeszcze jednak znany. W pierwszej kolejności dyrektywa dotyczyć będzie dużych firm (zatrudniających powyżej 250 pracowników), które będą musiały dostosować się do nowych regulacji w ciągu najbliższych dwóch lat. Firmy średnie (50–250 pracowników) będą miały na jej implementację dwa lata więcej.

W Polsce podejmowane były już wprawdzie próby wprowadzenia fragmentarycznych rozwiązań z zakresu ochrony sygnalistów, m.in. w procedowanym swego czasu projekcie ustawy o jawności życia publicznego czy nowelizacji ustawy o odpowiedzialności podmiotów zbiorowych, jednak nie zostały one sfinalizowane. Obecnie zaledwie niewielka liczba podmiotów gospodarczych działających w Polsce ma obowiązek posiadania rozwiązań umożliwiających dokonywanie anonimowych zgłoszeń. Dotyczy banków, które – również w sposób dość ogólny – zobowiązane są do ochrony sygnalistów, jak również emitentów papierów wartościowych, którzy na mocy nowelizacji ustawy o ofercie publicznej z 30 listopada 2019 roku zostali objęci obowiązkiem posiadania kanałów whistleblowingowych. Niemniej to właśnie dyrektywa zrewolucjonizuje dotychczasowe reguły postępowania wobec sygnalistów, wprowadzając radykalne zmiany i nowe obowiązki.

Jakie niezbędne działania musi podjąć spółka, aby być w zgodzie z wymogami?

Kluczowym zadaniem firm będzie ochrona sygnalisty przed działaniami o charakterze odwetowym. Koncepcyjnie nie jest to zadanie skomplikowane, ale w praktyce – wielowymiarowe i mocno związane z kulturą organizacyjną firmy. Tę, jak wiadomo, buduje się latami, a jej zmiana nie jest możliwa poprzez formalne wdrażanie procedur wewnętrznych.

Co więcej, pojawią się również nowe obowiązki na płaszczyźnie regulacyjnej. Spółki będą zobowiązane do wdrożenia poufnych kanałów, umożliwiających przyjmowanie zgłoszeń, przekazywania w ciągu siedmiu dni informacji zwrotnej o przyjęciu zgłoszenia, wyznaczenia bezstronnej osoby lub jednostki organizacyjnej odpowiedzialnej za weryfikację zgłoszeń, zachowania należytej staranności przy prowadzeniu postępowań wyjaśniających, prowadzenia rejestru zgłoszeń oraz przekazania w ciągu trzech miesięcy informacji zwrotnej o działaniach następczych.

Dodatkowym wymogiem będzie obowiązek udostępnienia informacji o możliwości dokonywania zgłoszeń zewnętrznych. Biorąc pod uwagę, że zgodnie z przyjętą definicją sygnalistą może zostać nie tylko pracownik czy współpracownik (niezależnie od formalnej podstawy współpracy), ale również szerokie grono osób, mających styczność z firmą (w tym pracownicy dostawców czy podwykonawców, stażyści, kandydaci do pracy, byli pracownicy, a w specyficznych okolicznościach również osoby pomagające w dokonaniu zgłoszenia), to efektywne dotarcie do tak szerokiego grona osób się może okazać znaczącym przedsięwzięciem. Z drugiej strony, dyrektywa określa standard minimum, co oznacza, że zakresu nowych obowiązków dla polskich firm nie można ograniczyć, ale może on zostać rozszerzony na gruncie prawa krajowego.

Jakie korzyści może osiągnąć firma dzięki skutecznej polityce w zakresie ochrony sygnalistów?

Sygnalista będzie miał do wyboru trzy możliwości zgłoszenia zaobserwowanych nieprawidłowości: wewnętrznie (w ramach rozwiązań funkcjonujących w organizacji), zewnętrznie (do stosownych organów) lub ujawnić je publicznie, przy czym ostatnia opcja zarezerwowana jest dla najbardziej ekstremalnych przypadków, które grożą m.in. nieodwracalnymi stratami, a ich ujawnienie jest uzasadnione interesem publicznym. W praktyce, w zdecydowanej większości sytuacji sygnalista będzie wybierał pomiędzy zgłoszeniem wewnętrznym i zewnętrznym. Z punktu widzenia firmy zgłoszenie wewnętrzne posiada liczne zalety. Organizacje, które posiadają stosowne kanały raportowania, wykrywają nadużycia szybciej, a straty finansowe są mniejsze1). Nie mniej istotna jest również możliwość minimalizacji ryzyka reputacyjnego, która w przypadku podejmowania działań przez organy publicznie może być istotnie ograniczona.

Rodzi się zatem naturalne pytanie, jak przekonać sygnalistów do raportowania wewnętrznego. Praktyka pokazuje, że z wielu powodów nie jest to łatwe ani szybkie zadanie. Począwszy od kontekstu kulturowo-historycznego, który powoduje, że sygnalista nie jest kojarzony z postawą godną naśladowania, aż po doświadczenia polskich sygnalistów, które niestety najczęściej nie mają happy endu. Co więcej, dyrektywa będzie również chronić osoby dokonujące od razu zgłoszeń zewnętrznych ze względu na obawę przed możliwymi działaniami odwetowymi ze strony firmy czy przełożonych. Kluczowym wyzwaniem będzie zatem budowa takiej kultury organizacyjnej, w której sygnalista będzie czuł się na tyle bezpiecznie, aby podzielić się swoimi obserwacjami bez obawy przed negatywnymi konsekwencjami.

Jakie zagrożenia dla spółki wynikają w przypadku niewłaściwego wdrożenia odpowiednich procedur?

Zacznijmy od bezpośrednich sankcji. Dyrektywa przewiduje kary zarówno dla osób fizycznych, jak i firm, które będę utrudniać dokonywanie zgłoszeń czy podejmować działania odwetowe albo wszczynać postępowania przeciwko sygnalistom lub ujawniać ich tożsamość. Na razie wiemy, że docelowe sankcje mają być skuteczne, proporcjonalne i odstraszające. Natomiast szczegółowe ich zdefiniowanie znajduje się w gestii państw członkowskich. W oczekiwaniu na pierwsze propozycje na rodzimym gruncie, warto zwrócić uwagę na wybrane podstawy odpowiedzialności, czyli działania, które mogą zostać uznane za odwetowe. Wśród nich znajdziemy zarówno takie, które nie budzą wątpliwości, czyli na przykład zwolnienie, zawieszenie, ograniczenie wynagrodzenia czy degradacja sygnalisty, jak również mniej oczywiste – wstrzymanie szkoleń czy awansów. W przypadku postępowania sądowego zainicjowanego przez sygnalistę, ciężar dowodów spoczywać będzie na firmie i/lub domniemanym sprawcy.

Niezależnie od powyższych sankcji, kluczowym zagrożeniem może się okazać ryzyko reputacyjne. Skupienie na sobie uwagi mediów oraz utrata nieposzlakowanej opinii mogą mocniej oddziaływać na pozycję firmy, niż nawet najsurowsze kary. I nie jest to ryzyko tylko teoretyczne. Z przeprowadzonych badań wynika, że co trzeci menedżer w Polsce dopuszcza możliwość podejmowania nieetycznych działań, jeśli miałoby to pomóc firmie przetrwać okres spowolnienia gospodarczego 2). Biorąc to pod uwagę, można się spodziewać, że sygnaliści mogą mieć co raportować.

Jak uniknąć typowych pułapek w prowadzeniu wewnętrznych postępowań wyjaśniających?

Dla podmiotów, które z wewnętrznymi postępowaniami wyjaśniającymi zetkną się po raz pierwszy, spełnienie wymagań dyrektywy będzie jak podróż w nieznane. Warto więc spróbować ją zorganizować. Pierwszym krokiem będzie wprowadzenie odpowiednich regulacji wewnętrznych, by ustrukturyzować proces, przypisać role i odpowiedzialności poszczególnych osób oraz jednostek organizacyjnych, zapewnić odpowiednie narzędzia, zasoby oraz dostęp do danych, informacji i osób. Powyższe stanowi zaledwie początek procesu prowadzenia postępowań wyjaśniających, który wcale nie musi zagwarantować końcowego sukcesu. Jednak ogranicza ryzyko chaosu kompetencyjnego i komunikacyjnego.

W praktyce pojawi się też pytanie, gdzie należy zakończyć tę podróż, tzn. jak dogłębnie analizować zgłoszenie i kiedy zakończyć postępowanie wyjaśniające, jednocześnie nie narażając się na zarzut niedochowania należytej staranności. Dyrektywa nie definiuje pojęcia „należytej staranności". Odpowiedź możemy znaleźć w tzw. dobrej praktyce rynkowej. Punktem odniesienia mogą być postępowania prowadzone od wielu lat w organizacjach o zasięgu globalnym, gdzie ochrona sygnalistów i prowadzenie wewnętrznych dochodzeń jest standardem.

Podsumowując, wdrożenie dyrektywy o ochronie sygnalistów zmieni realia funkcjonowania firm. Nie czekając na ostateczny kształt transpozycji do polskiego systemu prawnego, warto przeprowadzić analizę luki, czyli określić gdzie – w odniesieniu do standardu minimum – znajduje się organizacja, a następnie zaplanować działania dostosowawcze. Trudniejszym zadaniem będzie zbudowanie zaufania przyszłych sygnalistów. A na to duże organizacje mają dwa lata. Tylko dwa.

1) Report to the Nations, ACFE, 2018

2) 15. Światowe Badanie Nadużyć EY, 2018