Dyrektywa o sygnalistach – firmy zwlekają z dostosowaniem swoich struktur

Blisko 59% instytucji publicznych w Polsce oraz 56% firm prywatnych spośród podmiotów, które deklarują, że posiadają systemy do zgłaszania nieprawidłowości w miejscu pracy, stosuje do tego celu zgłoszenie pisemne lub mailowe, a 48% instytucji publicznych i 36% podmiotów prywatnych wykorzystuje w tym celu zgłoszenia osobiste – wynika z badania ARC Rynek i Opinia przeprowadzonego na zlecenie polskiej spółki informatycznej braf.tech. Pomimo bliskiego terminu wdrożenia dyrektywy aż 44% instytucji i 35% przedsiębiorstw nie ustaliła jeszcze, jaka komórka w organizacji będzie zajmowała się zbieraniem i przetwarzaniem zgłoszeń od sygnalistów.

Za niecałe trzy miesiące mija termin dostosowania podmiotów publicznych, firm prywatnych zatrudniających ponad 250 osób oraz firm sektora finansowego do wymogów Dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/1937 w sprawie ochrony osób zgłaszających naruszenia prawa Unii (tzw. dyrektywy o ochronie sygnalistów). W pierwszym terminie, czyli od 17 grudnia 2021 roku, regulacje obejmą kilkanaście tysięcy podmiotów. Badanie przeprowadzone na zlecenie polskiej spółki informatycznej braf.tech wskazuje jednak, że tylko część firm w Polsce wie, jak dostosować się do nowych wymogów prawnych.

Kanały komunikacji w firmach i instytucjach w Polsce – brak zgodności z dyrektywą
Mniej niż połowa firm prywatnych (45%) w Polsce objętych przepisami nowej dyrektywy posiada kanały dla sygnalistów. Do najczęściej stosowanych rozwiązań należą zgłoszenia w formie pisemnej za pośrednictwem tradycyjnych listów lub w formie elektronicznej (56%), zgłoszenia osobiste bez podania adresata (49%) lub zgłoszenia do wyznaczonej do tego celu osoby (10%). W przypadku instytucji publicznych kanały komunikacji posiada 35% organizacji. Podobnie jak w przypadku firm prywatnych, najpopularniejszą formą są zgłoszenia pisemne lub mailowe (59%), zgłoszenia osobiste bez określania adresata (48%) oraz zgłoszenia do wyznaczonego pracownika (11%).

Zarówno w przypadku firm prywatnych, jak i podmiotów publicznych małą popularnością cieszą się stworzone do tego celu rozwiązania informatyczne – stosuje je mniej niż 8% organizacji.

Dotychczas stosowane kanały komunikacji dla sygnalistów to przeważnie rozwiązania archaiczne, które mogą powodować wątpliwości co do ochrony poufności ich tożsamości. Często nie umożliwiają one udzielenia informacji zwrotnych o statusie zgłoszenia, a także nie zapewniają anonimowości sygnalisty. Jak pokazało nasze wcześniejsze badanie przeprowadzone wśród pracowników, aż 70% z nich oczekuje takiej funkcjonalności.
To przeważnie ona warunkuje to, czy zgłoszenie zostanie złożone. Rozwiązaniem, które spełnia oczekiwania pracowników oraz firm mogą być specjalne systemy informatyczne, takie jak np. whiblo, które zapewniają bezpieczeństwo i anonimowość sygnalisty. Ogromną przewagą rozwiązań technologicznych jest również wsparcie procesów wewnątrz organizacji oraz osób czy działów odpowiedzialnych za zgłoszenia – wszystkie informacje są zebrane w jednym miejscu i znacznie łatwiej jest zachować ciągłość komunikacji czy zaplanować bieżącą pracę,
a w razie potrzeby wygenerować raport lub pobrać odpowiedni pakiet dokumentów – mówi Rafał Barański, prezes braf.tech i współtwórca aplikacji whiblo.

Wewnętrzne procedury dla sygnalistów wymagają dostosowania
Z danych braf.tech wynika, że jedynie ok. 38% firm prywatnych posiada wewnętrzne procedury związane z przyjmowaniem i przetwarzaniem zgłoszeń od sygnalistów oraz prowadzeniem działań następczych. Natomiast zaledwie 26% z nich podaje, że są one zgodne z nowymi regulacjami. Tylko 11% podmiotów z sektora prywatnego prowadzi działania mające na celu dostosowanie ich firmy do przepisów. W przypadku sektora publicznego procedury wewnętrzne posiada 35% organizacji, a 14% z nich deklaruje, że są one zgodne z dyrektywą. Blisko 29% badanych wskazuje, że prowadzi obecnie działania dostosowawcze. Jednocześnie około 52% przedsiębiorstw prywatnych oraz 43% instytucji państwowych podaje, że nie wie, czy obecnie posiadane procedury są zgodne z wytycznymi wynikającymi z dyrektywy UE.

Dostosowanie organizacji do nowych wymogów, poza opracowaniem procedur i kanałów komunikacji, wymaga również wyznaczenia bezstronnych osób lub działów, które będą odpowiedzialne za odbiór i przetwarzanie zgłoszeń. Z badania wynika, że takie osoby lub działy posiada 86% organizacji, które miały wdrożone jakiekolwiek procedury dotyczące kwestii sygnalizowania nieprawidłowości w firmie. Ponad połowa respondentów, która planuje zaimplementowanie regulacji w tym roku, wskazała w badaniu, że nowe obowiązki otrzymają już funkcjonujące komórki w organizacji poprzez rozszerzenie ich kompetencji. W przypadku 44% instytucji publicznych oraz 35% podmiotów sektora prywatnego nie podjęte zostały jeszcze decyzje dotyczące przydzielenia obowiązku obsługi nowego procesu.

Sektor publiczny wdraża rozwiązania samodzielnie - firmy prywatne wybierają outsourcing
Ponad 70% firm państwowych oraz instytucji publicznych planuje stworzyć i wdrożyć nowe procedury oraz kanały komunikacji samodzielnie. Inaczej wygląda to w przypadku przedsiębiorstw prywatnych, gdzie blisko 56% podmiotów będzie wykorzystywało własne zasoby ze wsparciem zewnętrznych podmiotów do stworzenia procedur, a 47% firm deklaruje chęć zakupu rozwiązania pełniącego rolę kanału komunikacji od dostawców tego typu systemów.

Z naszego doświadczenia i obserwacji rynku wynika, że mimo bliskiego terminu wdrożenia nowych przepisów wiele organizacji w Polsce albo wstrzymuje się jeszcze z decyzją, czekając na projekt krajowej ustawy albo dopiero rozpoczyna proces dostosowania swoich struktur i procesów. Dobrą praktyką jest skorzystanie ze wsparcia zewnętrznych specjalistów czy firm, które posiadają odpowiednią wiedzę, doświadczenie i know-how wypracowany przy tego typu projektach. Podobnie jest w przypadku rozwiązań technologicznych służących do odbioru zgłoszeń i prowadzenia dialogu z sygnalistą. Stworzenie tego typu aplikacji od nowa nie jest konieczne, bo systemy dostępne na rynku, często funkcjonujące jako usługi SaaS, są uniwersalne i sprawdzają się w każdej strukturze. Dodatkowo, ich wdrożenie nie obciąża wewnętrznej infrastruktury czy działów IT firm. Dla podmiotów, które dopiero przygotowują się do przyjęcia założeń dyrektywy o ochronie sygnalistów, jest to szansa na szybkie przeprowadzenie całego procesu – komentuje Ewa Żak-Lisewska, ekspertka ds. compliance
i współtwórczyni aplikacji whiblo.  

Czasu na dostosowanie się do wytycznych dyrektywy UE nie zostało wiele, ale z pomocą nowoczesnych narzędzi technologicznych spełnienie wymagań powinno być o wiele łatwiejsze. Warto jednak podjąć odpowiednie kroki już teraz, gdyż pozwoli to uniknąć sytuacji sprzed kilku lat. Wtedy przedsiębiorcy odkładali wdrożenie przepisów RODO do ostatniej chwili, by w efekcie ponieść znacznie wyższe koszty finansowe czy zaangażować znaczne zasoby kadrowe, przyjmując na siebie ryzyko wysokich kar.

* O Dyrektywie:
17 grudnia 2021 r. w Polsce oraz innych państwach członkowskich UE wchodzi w życie Dyrektywa Parlamentu Europejskiego i Rady (UE) 2019/1937 w sprawie ochrony osób zgłaszających naruszenia prawa Unii (tzw. dyrektywa o ochronie sygnalistów). Zgodnie z dyrektywą wskazane w niej firmy oraz instytucje są zobowiązane do podjęcia szeregu działań mających na celu ich dostosowanie do nowych przepisów. W praktyce dostosowanie tych podmiotów do założeń dyrektywy oznacza podjęcie działań organizacyjnych, takich jak stworzenie wewnętrznych procedur, zapewnienie komunikacji, szkoleń czy przypisanie zadań i odpowiedzialności, oraz wdrożenie narzędzi technicznych, czyli utworzenie wewnętrznych kanałów zgłaszania nieprawidłowości. Zgodnie z dyrektywą, kanały te mają być zaprojektowane i obsługiwane w sposób zapewniający ochronę poufności tożsamości osoby zgłaszającej (sygnalisty), a także mają umożliwiać obsługę zgłoszeń anonimowych.

O badaniu:
Badanie „Ochrona sygnalistów – świadomość pracowników i praktyki w firmach w Polsce” zostało przeprowadzone w kwietniu 2021 r. przez ARC Rynek i Opinia na zlecenie braf.tech. Badanie zostało przeprowadzone metodą CATI na grupie 205 firm prywatnych i instytucji publicznych, zatrudniających ponad 50 pracowników, firm z sektora finansowego zatrudniających ponad 10 osób, instytucji publicznych (w tym gmin zamieszkałych przez ponad 10 000 mieszkańców), firm państwowych, objętych działaniem Dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/1937 w sprawie ochrony osób zgłaszających naruszenia prawa Unii (tzw. dyrektywa o ochronie sygnalistów).

O braf.tech:
braf.tech to polska spółka informatyczna, która od 10 lat tworzy innowacyjne aplikacje na potrzeby polskich i zagranicznych firm oraz instytucji. Zapewniamy kompleksową obsługę IT w zakresie tworzenia, integracji, optymalizacji i rozwoju oprogramowania, a także dzielimy się wiedzą naszych ekspertów podczas szkoleń i warsztatów. Specjalizujemy się w tworzeniu rozwiązań dedykowanych, jak np. systemy Access Management dla firm działających w zgodzie z regulacjami SOX, a także oferujemy wsparcie w zakresie Lotus Notes czy raportowania z wykorzystaniem XML oraz XBRL.