Sygnaliści – co dalej, Polsko?
Parlament Europejski i Rada Europy przyjęły dyrektywę w sprawie ochrony osób zgłaszających naruszenia prawa Unii – Directive (EU) 2019/1937[1] (dalej: dyrektywa). Miała bronić sygnalistów, czyli osoby informujące o możliwości popełnienia wykroczenia lub przestępstwa przez podmiot, z którym zgłaszający jest związany stosunkiem służbowym lub umową, przed działaniami odwetowymi. Skutkiem miało być zwiększenie liczby zgłoszeń nadużyć, przyczyniające się do lepszego przestrzegania prawa i zmniejszenia strat finansowych.
Kalendarium
Dyrektywa została przyjęta 23 października 2019. 17 grudnia 2021 minął termin wdrożenia jej do prawa krajowego (transpozycji). W styczniu 2022 Komisja skierowała wezwania do usunięcia uchybienia zobowiązaniom do 24 państw członkowskich w związku z niedopełnieniem obowiązku transpozycji (na 27 krajów w UE). Z kolei 15 lipca KE ogłosiła podjęcie kolejnych kroków wobec 15 państw (w tym m.in.: Polski, Holandii, Francji, Irlandii, Włoch, Węgier), które mimo wcześniejszego wezwania nadal nie wprowadziły krajowych przepisów wdrażających dyrektywę.
Tymczasem w Polsce:
- 18 października 2021 Rządowe Centrum Legislacji zaprezentowało pierwszy projekt odpowiedniej ustawy
- 30 grudnia 2021 opublikowano ponad 100 stanowisk zgłoszonych w ramach uzgodnień, konsultacji publicznych i opiniowania projektu polskiej ustawy.
- 12 kwietnia 2022 pojawiła się druga wersja ustawy
- 7 lipca podano do publicznej wiadomości wersje trzecią
- 4 sierpnia opublikowano wersję 4.0 (datowaną na 22 lipca).
- 8 sierpnia projekt trafił do Sejmu[2].
Efekty
Dyrektywa o ochronie sygnalistów nadal nie jest wdrożona w Polsce. Podobnie jest również w kilkunastu państwach UE. Zmiany zapisów ustawy względem poprzednich wersji projektu, począwszy od wersji 3, w większości mają charakter redakcyjny. Nie wnoszą istotnych merytorycznych zmian. Jednocześnie letnią intensyfikację działań raczej trudno uznać za rezultat działań upominawczych Brukseli, jak przedstawiają to niektórzy komentatorzy. Brak reakcji na wielomilionowe kary nakładane przez TSUE (np. licznik wynikający z wyroku w sprawie Izby Dyscyplinarnej bije od ponad roku z szybkością 1 mln euro dziennie) pokazuje, że raczej formalne pismo niewiele może zdziałać.
Na razie pewne mechanizmy ochronne pracowników zgłaszających naruszenia zawiera kodeks pracy. Chodzi m.in. o możliwość dochodzenia odszkodowania od pracodawcy na przykład wówczas, gdy dopuścił się on dyskryminacji. Kodeks cywilny z kolei stanowi podstawę ochrony dóbr osobistych sygnalisty, natomiast w drodze żądania zapłaty zadośćuczynienia pracownik może dochodzić roszczeń w związku z szykanowaniem, dokonanym na skutek zgłoszenia naruszenia. Podobne zapisy znajdziemy w przepisach o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (przy czym grono instytucji obowiązanych, których dotyczą jest dość ograniczone).
Czego się spodziewać
Wcześniej lub później odpowiednie regulacje prawne zostaną jednak na podstawie dyrektywy wprowadzone. Wtedy czasu na wprowadzenie odpowiednich rozwiązań proceduralnych, organizacyjnych i technicznych będzie niewiele (szczególnie dla firm zatrudniających ponad 250 osób). Należy pamiętać m.in. o:
- utworzeniu lub dostosowaniu istniejącego kanału przyjmowania zgłoszeń, umożliwiającego przekazywanie ich w sposób bezpieczny, zapewniający anonimowość i poufność
- informowaniu osoby zgłaszającej o przyjęciu zgłoszenia (do 7 dni od jego dokonania), a także o sposobie rozpoznania zgłoszenia lub o jego dalszym procedowaniu (nie później niż w ciągu 3 miesięcy od dokonania zgłoszenia)
- wyznaczeniu bezstronnej jednostki właściwej do podejmowania działań następczych oraz przeprowadzenia rzetelnych postępowań wyjaśniających
- wybraniu potencjalnego partnera zewnętrznego wspierającego organizację w przyjmowaniu i obsłudze zgłoszeń, w tym z wykorzystaniem narzędzi informatycznych
- prowadzeniu rejestru zgłoszeń
- przygotowaniu do wyciągania konsekwencji przewidzianych przez prawo, takich jak przekazanie sprawy do odpowiednich organów ścigania lub wszczęcie postępowania dyscyplinarnego w stosunku do osoby odpowiedzialnej za naruszenie
- zapewnieniu zrozumiałych i łatwo dostępnych informacji na temat procedur dokonywania zgłoszeń (wewnętrznych i zewnętrznych)
Zaangażowani we wdrożenie zmian
Przygotowanie i wdrożenie niezbędnych zmian będzie angażowało wiele jednostek organizacyjnych. Compliance Officer skupić powinien się na aspektach organizacyjno-proceduralnych, przenosząc zapisy ustawowe na codzienność organizacji. Nowe wymagania muszą znaleźć odzwierciedlenie w strukturze zarządzania, mechanizmach kontroli i raportowania. Dział kadr będzie zaangażowany w dostarczenie szkoleń i podnoszenie świadomości pracowników w obszarze whistleblowingu (potrzeba i proces). Obszar IT będzie zapewne budował wewnętrzne lub adaptował zewnętrzne kanały komunikacji, a także zapewniał bezpieczeństwo przetwarzanych danych. I w końcu kierownictwo, szczególnie wyższego szczebla, które swoją postawą i działaniami powinno zachęcać do otwartości w zgłaszaniu naruszeń. Kształtować kulturę organizacyjną w taki sposób, aby „zamiatanie niewygodnych spraw pod dywan” odeszło w niepamięć, jeśli dotąd miało miejsce.
[1] https://eur-lex.europa.eu/legal-content/PL/TXT/PDF/?uri=CELEX:32019L1937&from=EN