Jeszcze w tym roku Polska powinna wdrożyć regulacje zobowiązujące podmioty z sektora prywatnego do ustanowienia wewnętrznych procedur anonimowego zgłaszania nieprawidłowości. Obowiązek ochrony sygnalistów (osób zgłaszających nieprawidłowości) wynika z Dyrektywy nr 2019/1937 z dnia 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii (dalej jako „Dyrektywa”), która powinna zostać implementowana przez państwa członkowskie do dnia 17 grudnia 2021 r.
Aby przeciwdziałać i zwalczać praktyki korupcyjne w przedsiębiorstwie oraz wszelkie inne działania sprzeczne z prawem, ochrona sygnalistów przed działaniami odwetowymi ma wyrażać się m.in. poprzez stworzenie bezpiecznych kanałów dokonywania zgłoszeń. Oznacza to, że w przedsiębiorstwie powinny funkcjonować trzy kanały zgłoszeń: wewnętrzny, zewnętrzny we właściwych organach publicznych i ujawnienie publiczne, czyli zgłoszenie nieprawidłowości do mediów.
Do dnia 17 grudnia 2021 r. Dyrektywa obejmie podmioty sektora prywatnego, zatrudniające co najmniej 250 osób, przy czym od uregulowań wewnętrznych polskiego ustawodawcy będzie zależeć, czy wliczać się tu będą nie tylko pracownicy, ale także zatrudnieni na podstawie umów cywilnoprawnych. Z kolei do dnia 17 grudnia 2023 r. również podmioty zatrudniające od 50 do 249 pracowników będą zobowiązane do wdrożenia odpowiednich mechanizmów raportowania nieprawidłowości.
Wdrożenie unijnej dyrektywy oznacza dla przedsiębiorców obowiązek podjęcia szeregu działań, mających na celu stworzenie całościowego systemu zgłaszania nieprawidłowości. Niezbędne tu będzie wdrożenie wewnętrznej procedury wraz z ustanowieniem co najmniej jednego bezpiecznego kanału zgłoszeń, umożliwiającego dokonanie zgłoszenia ustnie lub pisemnie, np. dedykowany mail, czy aplikacja. Oznacza to, że przedsiębiorcy powinni zastanowić się nad wyborem najbezpieczniejszego kanału zgłoszeń, jak i doborem odpowiednich, bezstronnych osób, które będą z należytą starannością rozpatrywały zgłoszenia (mogą być to osoby z wewnątrz, jak i podmioty trzecie np. wyspecjalizowane podmioty, kancelarie prawne).
Na stworzeniu ram formalnych raportowania nadużyć obowiązki przedsiębiorcy się nie kończą. Osoby wyznaczone do obsługi procedury będą zobowiązane do poinformowania osoby zgłaszające o przyjęciu zgłoszenia w terminie 7 dni od jego dokonania. Następnie, powinny zweryfikować informacje przekazane w zgłoszeniu poprzez analizę danych przekazanych przez sygnalistę, czy przeprowadzenie rozmów wyjaśniających ze świadkami, podejrzanym lub też samym sygnalistą. Celem wewnętrznego postępowania wyjaśniającego powinno być ustalenie, czy doszło do naruszenia prawa lub etyki. W razie zidentyfikowania nadużycia niezbędne będzie podjęcie stosownych działań np. pociągnięcie do odpowiedzialności dyscyplinarnej osoby uznanej za winną naruszenia, czy przekazanie sprawy do właściwych organów państwowych. Należy pamiętać, że osoba zgłaszająca powinna najpóźniej w ciągu 3 miesięcy od dokonania zgłoszenia otrzymać informację zwrotną co do tego, jak zgłoszenie zostało rozpoznane lub że wciąż się toczy. Każdy podmiot zobowiązany, powinien prowadzić rejestr wszystkich otrzymanych zgłoszeń i przechowywać je przez okres niezbędny.
Kluczową kwestią będzie także ochrona sygnalistów, czyli osób, które dokonały zgłoszenia zgodnie z procedurami oraz mając uzasadnione podstawy by sądzić, że przekazana przez nich informacja jest prawdziwa. Innymi słowy wobec takich osób zabronione będzie wyciąganie jakichkolwiek negatywnych konsekwencji z powodu dokonanego zgłoszenia. Z drugiej strony osoby, które celowo lub świadomie zgłoszą informacje nieprawdziwe nie będą korzystały z ochrony i powinny ponieść odpowiedzialność.
Aktualnie nie ma projektu polskiego aktu prawnego wdrażającego Dyrektywę. Dyrektywa wyznacza minimalne standardy w zakresie wdrożenia mechanizmów zgłaszania nieprawidłowości i ochrony sygnalistów. Należy się spodziewać, że prawo krajowe doprecyzuje te postanowienia Dyrektywy, które miały charakter ogólnych wytycznych. Jest to przede wszystkim kwestia dopuszczalności zgłoszeń anonimowych, środków karnych (np. za stosowanie działań odwetowych, naruszenia poufności tożsamości sygnalisty) i ich wysokości, szczegółowego zakresu przedmiotowego (jakie naruszenia będzie można zgłaszać) oraz ewentualnego rozszerzenia obowiązku wdrożenia procedur zgłaszania nieprawidłowości także na inne podmioty nieobjęte Dyrektywą. Należy również pamiętać, że Dyrektywa wyznacza standardy minimum, co oznacza że prawo krajowe może ustanawiać wyższy standard ochrony, jednocześnie spełniając cele unijnej regulacji.
Polska ma obowiązek wprowadzić w życie odpowiednie przepisy do dnia 17 grudnia 2021 r. Oznacza to, że od dnia 17 grudnia br. przepisy implementujące Dyrektywę powinny już obowiązywać. Co do zasady pełna skuteczność dyrektywy jest uzależniona od jej implementacji do prawa krajowego. Oznacza to, że dopóki nie wejdą w życie odpowiednie przepisy krajowe, Dyrektywa nie będzie miała zastosowania między jednostkami. Innymi słowy podmioty prywatne nie mogą ponieść konsekwencji za np. niewdrożenie procedur zgłaszania nieprawidłowości.