Firmy i instytucje działające w naszym kraju cały czas czekają na wprowadzenie polskiej ustawy regulującej kwestię ochrony sygnalistów. Bazując na ostatnim, trzecim jej projekcie z 4 lipca 2022 r. wiemy jedynie, że organizacje objęte działaniem ustawy dostaną 4 miesiące na wdrożenie odpowiednich procedur wewnętrznych oraz kanałów zgłaszania nieprawidłowości w swoich strukturach. Oznacza to oczywiście wzmożoną pracę po stronie tych podmiotów oraz firm wspierających je w implementacji.
W poniższym tekście opisujemy jak efektywnie przeprowadzić ten proces w krótkim czasie.
Na wstępie przypominamy, że biorąc jeszcze pod uwagę dyrektywę UE, w pierwszej kolejności nowe przepisy obejmą wszystkie podmioty działające w sektorze finansowym, firmy prywatne zatrudniające co najmniej 250 osób oraz wszelkie instytucje publiczne i firmy będące pod kontrolą państwa (poza podmiotami publicznymi gmin zamieszkałych przez mniej niż 10 000 osób). Według ostrożnych szacunków daje to nawet kilkanaście tysięcy podmiotów. Oczywiście w każdej organizacji wdrożenie systemu whistleblowingowego może wyglądać inaczej i wiązać się z innymi wyzwaniami. Naszym jednak zdaniem ten proces nie musi być wcale skomplikowany i można go podzielić na 4 etapy, które częściowo powinny być realizowane równolegle.
1. Analiza sytuacji
Na początek należy przeprowadzić dokładną analizę sytuacji, która da odpowiedź na pytanie co już dobrze w firmie funkcjonuje, czego brakuje i co trzeba dostosować do nowych wymagań. Część organizacji może bowiem posiadać już pewne procedury związane ze zgłaszaniem nieprawidłowości oraz kanały komunikacji, a więc również doświadczenie w prowadzeniu tego rodzaju działań. Oczywiście konieczna będzie też dokładna analiza nowych wymogów pod kątem prawnym. Jeśli w organizacji działają w strukturach komórki prawne czy compliance nie będzie to duże wyzwanie, bo osoby tam pracujące mają odpowiedni zakres wiedzy na temat dyrektywy czy ustawy o ochronie sygnalistów oraz doświadczenie w implementacji innych przepisów. W przeciwnym razie, warto skorzystać z pomocy wyspecjalizowanej firmy – kancelarii prawnej lub firmy consultingowej zajmującej się tego typu sprawami, której przekażemy przeprowadzenie całego procesu. Takich podmiotów na rynku, zajmujących się tą konkretną tematyką i z doświadczeniem we wdrażaniu procedur whistleblowingowych jest wiele, np. nasi partnerzy:
- Grupa OMNI MODO: OMNI MODO Ekspert w dziedzinie ochrony danych osobowych, Portal GDRP.pl, Kancelaria Prawna Osiej i Partnerzy,
- Koksztys Kancelaria Prawa Gospodarczego,
- Tomasz Ordys i Współpracownicy Kancelaria Radcy Prawnego,
- GRUPA YAK.
2. Wyznaczenie osób w organizacji odpowiedzialnych za proces
Następnym krokiem jest wybór osoby lub komórki odpowiedzialnej za stworzenie systemu whistleblowingowego i jego obsługę w przyszłości, czyli przyjmowanie zgłoszeń oraz prowadzenie działań następczych. W większości przypadków ta odpowiedzialność przypada działowi compliance odpowiadającemu za zgodność procedur firmy z przepisami, ale dość często tworzeniem systemu, a następnie jego obsługą zajmują się również komórki prawne lub HR, zwłaszcza organizacjach o mniej rozbudowanej strukturze. Analizy prawne wskazują również, że nie ma przeszkód, by osoba pełniąca funkcję Inspektora Ochrony Danych (IOD) była odpowiedzialna za whistleblowing, pod warunkiem braku konfliktu interesów, posiadania odpowiednich kompetencji oraz praktycznej możliwości łączenia obu obowiązków z należytą starannością. Wyznaczenie odpowiedniej osoby do prowadzenia działań whistleblowingowych, czyli m.in. przyjmowanie zgłoszeń i prowadzenie działań następczych, to istotny element procesu bowiem sama rola jest niezwykle odpowiedzialna. Z jednej strony trzeba zapewnić, że działania będą realizowane zgodnie z przepisami, np. przekazywanie informacji zwrotnej sygnaliście o przyjęciu czy statusie zgłoszeń, pilnowanie terminów, zachowanie poufności, przetwarzanie danych zgodnie z RODO. Z drugiej strony należy zadbać o nadawanie odpowiedniego toku sprawom, aby system działał efektywnie, a zgłaszane problemy były badane i rozwiązywane.
W ramach tego etapu częstą praktyką jest też powierzenie poszczególnych kroków takiego projektu zewnętrznym firmom, które mają doświadczenie w tworzeniu procedur lub dostarczają gotowe rozwiązania do zbierania zgłoszeń. W takim przypadku zewnętrzna firma realizuje działania związane z implementacją wybranych elementów projektu, a organizacja wyznacza jedynie pracownika do prowadzenie działań, gdy system będzie gotowy. Podejście to zwykle pozwala zaoszczędzić wiele czasu potrzebnego na poznanie przepisów i dostosowanie procedur wewnętrznych i jest bardziej optymalne pod względem finansowym niż np. tworzenie własnej aplikacji do komunikacji z sygnalistami.
3. Stworzenie procedur i wybór kanałów komunikacji
Kolejnym etapem jest ustalenie harmonogramu prac i ich realizacja. Niekiedy przedsiębiorstwa rozszerzają w swoich procedurach katalog wykroczeń, które będą przyjmować o inne zdarzenia nie ujęte w ustawie, np. łamanie wewnętrznych procedur czy mobbing. Takie podejście na pewno firmie nie zaszkodzi, bo może wyeliminować także inne potencjalne problemy wewnętrzne i ograniczyć frustracje pracowników. Jednym z najważniejszych elementów systemów whistleblowingowych są kanały komunikacji do zgłaszania nieprawidłowości. Muszą one spełniać określone kryteria, m.in. pozwalać na dwustronną komunikację w celu przekazania informacji zwrotnej sygnaliście oraz pozyskania dodatkowych materiałów dowodowych, zapewniając ochronę prywatności osoby zgłaszającej zgodnie z RODO. Z praktycznego punktu widzenia warto też postawić na kanały łatwe w implementacji w krótkim czasie i umożliwiające dostęp do nich jak najszerszej grupie potencjalnych sygnalistów. Organizacje dotychczas stosowały raczej klasyczne sposoby zbierania zgłoszeń o nadużyciach, takie jak m.in. skrzynki na listy tradycyjne lub e-mail, infolinie czy rozmowy bezpośrednie.
Jeszcze kilka lat temu, można było zastanawiać się, czy w każdej branży czy grupie pracowników, taki kanał komunikacji mógłby funkcjonować jako system informatyczny. Jednak z najnowszego badania Kantar wynika, że 98 proc. telefonów w naszym kraju to smartfony, więc dostępność kanału w formie aplikacji pozwoli na dostęp do niego zdecydowanej większości potencjalnych sygnalistów. Naszym zdaniem jednak zalet aplikacji jest więcej. Przede wszystkim dobrze zaprojektowany system zapewni znacznie wyższy poziom ochrony danych osobowych czy informacji zawartych w zgłoszeniu. Inna kwestia to anonimowość sygnalisty, który co prawda nie jest wymagany ustawowo, ale badanie przeprowadzone przez ARC Rynek i Opinia pokazuje, że zdecydowana większość pracowników takiej funkcjonalności po prostu oczekuje. W przeciwnym razie możemy się spodziewać, że taka osoba nie podejmie działania i np. odejdzie z pracy lub o sprawie poinformuje bezpośrednio organ publiczny, a to oznacza dodatkowe problemy dla firmy. Warto też pomyśleć o stronie praktycznej dla przedsiębiorstwa, czyli łatwości implementacji aplikacji, gdy mówimy o rozwiązaniach chmurowych, czy digitalizacji dokumentacji i automatyzacji pewnych procesów. Korzyści wynikających z inwestycji w technologie jest bardzo wiele.
4. Komunikacja wewnętrzna i edukacja pracowników
Na koniec procesu należy zadbać o odpowiednią komunikację zmian w organizacji i edukację pracowników w tym zakresie. Muszą oni zrozumieć, dlaczego firma wdraża procedury whistleblowingowe i jak one będą funkcjonować. Bez zaufania pracowników system jest skazany na porażkę i będzie działał mało efektywnie – pracownicy będą obawiali się informować pracodawców i wykorzystają kanały zewnętrzne – np. zgłoszą sprawę do RPO czy innej instytucji. Ważna jest również rola liderów organizacji, ich zaangażowanie w proces komunikacji oraz odpowiedni sposób informowania o wadze prowadzonych działań.
Reasumując – proces dostosowania organizacji do przepisów chroniących sygnalistów nie musi być trudny, jeśli firma posiada odpowiednie kompetencje a działań nie zostawi na ostatnią chwilę. Wiele potencjalnych problemów z wdrożeniem można wyeliminować poprzez podjęcie się tego procesu z większym marginesem czasowym i dzięki współpracy z doświadczonymi partnerami. Ważne jest też odpowiednie podejście do wagi i roli systemów whistleblowingowych. Traktowanie tego tylko jako kolejny wymóg prawny sprawi, że nasze starania będą jedynie „sztuką dla sztuki”. W każdej firmie może dojść do sytuacji niepożądanych, nadużyć czy malwersacji i tylko dzięki ich wczesnemu wykryciu i podjętym odpowiednim działaniom dana organizacja ma szansę obniżyć ryzyko poważnych dla siebie konsekwencji. Żadnego problemu nie należy lekceważyć.
