Menu
Zgodnie z dyrektywą UE z 2019 r. w sprawie informowania o nieprawidłowościach, podmioty prawne są zobowiązane do ustanowienia wewnętrznych kanałów sprawozdawczych i wewnętrznych procedur przyjmowania zgłoszeń o naruszeniach i podejmowania działań następczych. Oto niektóre z głównych wniosków dla praktyków.
Ogólny próg to 50 pracowników i/lub 10 000 mieszkańców. Wymóg ten dotyczy podmiotów prawnych w sektorze prywatnym, które zatrudniają co najmniej 50 pracowników. W niektórych sektorach próg ten w ogóle nie ma zastosowania.
W sektorze publicznym wymóg ten dotyczy wszystkich podmiotów prawnych. Należy jednak odnieść się do prawa krajowego, ponieważ państwa członkowskie mogą wprowadzić wyjątki od tej ogólnej zasady. Mogą one zwolnić gminy liczące mniej niż 10 000 mieszkańców lub 50 pracowników. Jak również inne podmioty sektora publicznego zatrudniające mniej niż 50 pracowników.
Wewnętrzny kanał raportowania musi być dostępny dla pracowników jednostki. Sama ustawa o whistleblowingu nie wymaga udostępnienia kanału wewnętrznego. Również do innych osób (np. dostawców, podwykonawców…) w celu zgłaszania informacji o naruszeniach. Te ostatnie nie mają jednak obowiązku składania raportów za pośrednictwem zewnętrznych kanałów sprawozdawczych. Ponieważ korzystanie z nich nie jest uwarunkowane wcześniejszym korzystaniem z wewnętrznych kanałów raportowania.
Nie ma wymogu przyjmowania anonimowych zgłoszeń naruszeń i podejmowania w związku z nimi działań następczych.
Państwa członkowskie mogą swobodnie decydować, czy wprowadzić taki wymóg. Jednak decyzja o przyjmowaniu i podejmowaniu działań następczych tylko w przypadku zgłoszeń z ujawnioną tożsamością osób zgłaszających może okazać się trudna. Mianowicie, metody potwierdzania identyfikacji są ograniczone, a ponadto taka strategia nie jest zgodna z najlepszymi praktykami. Nieakceptowanie zgłoszenia, niezależnie od jego treści, tylko dlatego, że zostało dokonane anonimowo, nie ma większego sensu. Zwłaszcza, że zachowanie anonimowości może być w rzeczywistości najlepszą ochroną osoby zgłaszającej przed odwetem.
Tożsamość osoby zgłaszającej może zostać ujawniona wyłącznie za wyraźną zgodą tej osoby. Lub gdy takie ujawnienie jest konieczne i proporcjonalne na mocy prawa unijnego lub krajowego.
Kanał zgłaszania jest zobowiązany do zapewnienia ochrony poufności tożsamości osoby zgłaszającej. Ponadto wszelkie osoby trzecie wymienione w raporcie oraz w celu uniemożliwienia dostępu do nich nieupoważnionym pracownikom. Tożsamość osoby zgłaszającej nie może zostać ujawniona nikomu poza upoważnionym personelem bez wyraźnej zgody tej osoby. Lub gdy takie ujawnienie jest konieczne i proporcjonalne na mocy prawa unijnego lub krajowego. Osoba zgłaszająca musi zostać o tym poinformowana przed ujawnieniem informacji. Chyba że takie informacje zagroziłyby powiązanym dochodzeniom lub postępowaniom sądowym. Ten sam obowiązek zachowania poufności dotyczy również wszelkich innych informacji. Z których można bezpośrednio lub pośrednio wywnioskować tożsamość osoby zgłaszającej.
Kanał zgłaszania musi umożliwiać zgłaszanie w formie pisemnej lub ustnej lub w obu tych formach. Każdy otrzymany raport musi zostać zarejestrowany.
W przypadku zgłoszenia ustnego osoba zgłaszająca może również zażądać fizycznego spotkania z członkami personelu w rozsądnym terminie. Spotkanie może zostać udokumentowane poprzez nagranie rozmowy w trwałej i możliwej do odzyskania formie. Dzięki dokładnemu protokołowi ze spotkania przygotowanemu przez pracowników odpowiedzialnych za obsługę raportu. Osoba zgłaszająca musi mieć możliwość sprawdzenia, poprawienia i zatwierdzenia protokołu z posiedzenia poprzez jego podpisanie. Podobne przepisy mają zastosowanie do rejestrowania innych zgłoszeń ustnych. Dostarczane przez linie telefoniczne lub inne systemy wiadomości głosowych. Okres, przez jaki raport może być przechowywany. Zależy to od tego, co jest wymagane i proporcjonalne do spełnienia wymogów dyrektywy, prawa unijnego lub prawa krajowego.
Podmioty prawne muszą ustanowić procedury sprawozdawczości wewnętrznej i starannie je monitorować. Informacje muszą być jasne i łatwo dostępne.
Procedury muszą zatem regulować samo zgłaszanie, a także wszelkie działania, które zostaną podjęte przez odbiorcę zgłoszenia. Ocena dokładności zarzutów przedstawionych w raporcie oraz, w stosownych przypadkach, zajęcie się zgłoszonym naruszeniem. W tym działania takie jak dochodzenie wewnętrzne, śledztwo, ściganie, działania mające na celu odzyskanie środków lub zamknięcie procedury. Informacje dotyczące korzystania z wewnętrznych kanałów raportowania. Wymagane jest również, aby procedury zewnętrznego raportowania do właściwych organów były jasne i łatwo dostępne.
Raporty mogą być obsługiwane wewnętrznie lub przez zewnętrznego dostawcę.
Wymagane jest wyznaczenie osoby lub działu do obsługi wewnętrznych kanałów raportowania. Ten ostatni obejmuje otrzymywanie zgłoszeń i utrzymywanie komunikacji z osobą zgłaszającą. Jak również poprosić o dalsze informacje i przekazać informacje zwrotne osobie zgłaszającej.
Zadanie to może zostać zlecone podmiotom zewnętrznym, takim jak zewnętrzni doradcy, zewnętrzni dostawcy platform sprawozdawczych, kancelarie prawne, audytorzy, przedstawiciele pracowników itp. Skuteczne gwarancje i zabezpieczenia w zakresie niezależności, poufności, ochrony danych i zachowania tajemnicy. Powinno to również obowiązywać u zewnętrznych dostawców usług.
Działania następcze w związku ze zgłoszeniem mogą być prowadzone przez wyznaczoną, kompetentną i bezstronną osobę lub dział. Może to być ta sama osoba lub dział, który obsługuje kanał raportowania. To, kim jest ta osoba lub dział, zależy od wielkości i struktury każdej organizacji. Jednak najbardziej odpowiednia osoba lub dział powinien pełnić taką funkcję w organizacji, która zapewnia niezależność i brak konfliktu interesów. Zazwyczaj takie zadania są wykonywane przez dyrektora ds. zgodności lub HR, dyrektora ds. uczciwości, dyrektora ds. prawnych lub prywatności, dyrektora finansowego, dyrektora ds. audytu lub członka zarządu. Prywatne podmioty prawne zatrudniające od 50 do 249 pracowników mogą dzielić się zasobami w celu przyjmowania zgłoszeń i prowadzenia dalszych dochodzeń.
Osoba zgłaszająca musi zostać poinformowana o otrzymaniu raportu w ciągu 7 dni i otrzymać informację zwrotną nie później niż w ciągu 3 miesięcy.
Otrzymanie zgłoszenia musi zostać potwierdzone osobie zgłaszającej w ciągu siedmiu dni od otrzymania zgłoszenia. Nie ma wyjątku od tego obowiązku, podczas gdy w przypadku raportowania zewnętrznego właściwy organ może pominąć takie potwierdzenie. Gdy osoba dokonująca zgłoszenia wyraźnie tego zażąda lub gdy istnieje uzasadnione przekonanie, że zagroziłoby to ochronie tożsamości osoby dokonującej zgłoszenia.
Procedury wewnętrzne muszą określać rozsądne ramy czasowe na przekazanie informacji zwrotnej, które nie mogą przekraczać trzech miesięcy od potwierdzenia odbioru lub wygaśnięcia wyżej wspomnianego siedmiodniowego okresu.
Informacje zwrotne należy przekazać osobie zgłaszającej, informując ją o działaniach przewidzianych lub podjętych w ramach działań następczych oraz o podstawach takich działań następczych. Jeśli w tym czasie nie zostaną podjęte żadne odpowiednie działania, osoba zgłaszająca może zdecydować się na publiczne ujawnienie naruszenia, nadal kwalifikując się do ochrony przed działaniami odwetowymi na mocy dyrektywy. Oczywiście adekwatność działań następczych jest standardem prawnym, a jej ocena będzie zależeć od okoliczności każdej sprawy i charakteru zasad, które zostały naruszone.
Nie ma określonego terminu, w którym działania następcze musiałyby zostać zakończone. Jednak im dłużej to trwa, tym bardziej prawdopodobne jest, że ewentualne działania zostaną uznane za niewłaściwe, co zmotywuje osobę zgłaszającą do skorzystania z zewnętrznych kanałów raportowania lub nawet publicznego ujawnienia naruszenia. W przeciwieństwie do zgłoszeń zewnętrznych, nie ma wyraźnego obowiązku informowania osoby zgłaszającej o ostatecznym wyniku dochodzenia wszczętego na podstawie zgłoszenia.