dr Michał Kaczmarski
Dlaczego w ogóle powinniśmy reagować na incydenty zgłaszane przez sygnalistów?
Zgodnie z zapisami Dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/1937 z dnia 23 października 2019 roku w sprawie ochrony osób zgłaszających naruszenia prawa Unii (dalej „Dyrektywa o sygnalistach”) państwa członkowskie Unii Europejskiej zapewniają, by podmioty prawne w sektorze prywatnym i publicznym ustanowiły kanały i procedury na potrzeby dokonywania zgłoszeń wewnętrznych i podejmowania działań następczych, tj. postępowania wyjaśniającego lub audytu śledczego w zgłoszonej sprawie. Wymóg nakładany przez dyrektywę obejmuje zatem dwa elementy:
-
po pierwsze istnieć muszą kanały i procedury umożliwiające dokonywanie przez sygnalistów zgłoszeń o naruszeniach prawa,
-
po drugie, pojawia się obowiązek wprowadzenia procedur opisujących proces podejmowania działań następczych wobec zgłoszeń sygnalistów (ang. follow-up). W tym kontekście, Dyrektywa o sygnalistach wymaga, aby informacja zwrotna na temat zgłoszenia (tj. wnioski z jego analizy) trafiła do sygnalisty w rozsądnym terminie, nieprzekraczającym jednak trzech miesięcy od potwierdzenia otrzymania zgłoszenia lub, w przypadku niewysłania potwierdzenia do osoby dokonującej zgłoszenia, trzech miesięcy od upływu 7 dni od dokonania zgłoszenia.
Dyrektywa o sygnalistach zobowiązała państwa członkowskie Unii Europejskiej do wprowadzenia w życie przepisów wykonawczych niezbędnych do jej wdrożenia do dnia 17 grudnia 2021 roku, wiele z nich pozostaje jednak w relacji do tego obowiązku w zwłoce, Polska należy do tej grupy krajów.
Niezależnie od opóźnienia krajowego we wdrożeniu Dyrektywy o sygnalistach, warto zastanowić się w jaki sposób poradzić sobie ze zgłoszeniem nieprawidłowości w przedsiębiorstwie, po tym, jak już zostanie ono zarejestrowane w systemach informatycznych służących temu celowi. Rynek, w tym rynek polski, dostarcza bowiem wielu narzędzi służących bezpiecznemu przetwarzaniu takich zgłoszeń, jednak narzędzia te nie wyciągną za przyjmującego wniosków z ich analizy, choć narzędzia z obszaru uczenia się maszynowego i AI są w stanie wspierać proces wstępnej analizy danych. Co do zasady jednak, póki co, do analizy zgłoszenia sygnalisty wykorzystamy raczej zdobycze kryminalistyki oraz, w ocenie autora niniejszego tekstu, warto posłużyć się analogią z fazą postępowania przygotowawczego procesu karnego oraz czynnościami operacyjno-rozpoznawczymi, stosowanymi przez organy powołane do przeciwdziałania, wykrywania oraz badania czynów o znamionach przestępstwa.
Metodyczna reakcja na zgłoszenie ma tym większe znaczenie, że w przypadku funkcjonariuszy publicznych, niedopełnienie obowiązków do których należeć może reakcja na zgłoszenie sygnalisty, wiązać się będzie z dotkliwą odpowiedzialnością karną przewidzianą w art. 231 k.k. Do grona funkcjonariuszy publicznych, w świetle art. 115 § 13 k.k. należą w szczególności osoby będące pracownikami administracji rządowej, innego organu państwowego lub samorządu terytorialnego, chyba że pełnią wyłącznie czynności usługowe. Co więcej w ramach prac nad przepisami wykonawczymi do Dyrektywy o sygnalistach w Polsce, projekt ustawy o ochronie osób zgłaszających naruszenia prawa, który procedowany jest obecnie w ramach rządowego procesu legislacyjnego od 18 października 2021 roku (druk nr UC101 w bazie Rządowego Centrum Legislacji) również przewiduje sankcję karną w postaci grzywny, za zaniechanie ustanowienia procedury wewnętrznej zgłaszania naruszeń prawa i podejmowania działań następczych (projekt w wersji z dnia 6 kwietnia 2022 roku).
Poza obowiązkiem reakcji na zgłoszenie wynikającym z regulacji prawnych warto pamiętać o mechanizmie warunkującym pojawianie się w organizacji czynów zabronionych o charakterze kryminalnym. Problem ten analizował na początku XX wieku Donald Cressey dochodząc do wniosku, że powody te można umieścić w strukturze trójkąta, stąd tzw. Trójkąt Cressey’a. Elementy ww. trójkąta to:
-
możliwość popełnienia nadużycia, czyli istnienie i znajomość po stronie sprawcy luk w mechanizmach kontrolnych, które pozwalają na ich popełnianie,
-
presja, która pojawia się w świadomości sprawcy, może ona mieć charakter wewnętrzny (np. wymagalne zobowiązanie finansowe sprawcy) lub zewnętrzny (np. polecenie służbowe przełożonego). Presja sprawia, że sprawca decyduje się na skorzystanie z okazji, tj. wykorzystanie możliwości popełnienia nadużycia,
-
racjonalizacja, czyli wewnętrzne usprawiedliwienie działania, o którym sprawca wie, że jest bezprawne.
Brak reakcji na zgłoszenie sygnalisty może zostać zinterpretowany przez jego otoczenie – w sposób dorozumiany – jako zgoda organizacji na kontynuację zasygnalizowanej patologii. Co więcej, brak postępowania wyjaśniającego w ślad za zgłoszeniem sprawia, że w przypadku, gdy zgłoszenie dotyczyło faktycznej nieprawidłowości nie zrozumiemy metody działania sprawcy (modus operandi), nie będziemy więc mogli powstrzymać naśladowców przed wykorzystaniem tej samej luki w mechanizmach kontrolnych, nie zrozumiemy też motywacji działania sprawcy, ba możemy nigdy nie poznać jego tożsamości, przez co nie będziemy mogli oddziaływać na sferę motywacji naśladowców, tj. element presji i usprawiedliwienia w Trójkącie Cressey’a. To swoiste zaniechanie może prowadzić do kolejnego problemu po stronie organizacji. Chodzi mianowicie o model odpowiedzialności podmiotu zbiorowego w rozumieniu ustawy z dnia 28 października 2002 roku o odpowiedzialności podmiotów zbiorowych za czyny zabronione pod groźbą kary.
Brak reakcji na incydenty zgłaszane przez sygnalistów może stanowić przesłankę odpowiedzialności podmiotu zbiorowego w ramach triady tzw. winy w nadzorze, wyborze i organizacji podmiotu zbiorowego, jeśli działanie sprawcy, choć nieprawidłowe i bezprawne, przyniosło tej organizacji co najmniej potencjalną korzyść. Sztandarowym przykładem takiego działania może być manipulacja wynikiem przetargu publicznego na korzyść firmy, oczywiście za sprawą popełnienia przez sprawcę czynu nieuczciwej konkurencji. Takie działanie, jeśli organizacja przez zaniechanie reakcji na zgłoszenie sygnalisty, zamiecie zgłoszenie o manipulacji przetargiem pod dywan, może w przyszłości doprowadzić do odpowiedzialności podmiotu zbiorowego, na którego rzecz działał sprawca manipulacji. Sankcje karne przewidziane przez ustawę o odpowiedzialności podmiotów zbiorowych są natomiast bardzo dotkliwe i nie ograniczają się jedynie do kar finansowych. Katalog kar obejmuje m.in. zakaz promocji lub reklamy prowadzonej działalności, zakaz korzystania z dotacji lub innych form wsparcia finansowego środkami publicznymi, czy też zakaz ubiegania się o zamówienia publiczne. Wyobraźmy sobie producenta leków refundowanych w ramach procedur szpitalnych, który traci możliwość ubiegani się o zamówienia publiczne w postępowaniu karnym wszczętym na podstawie ustawy o odpowiedzialności podmiotów zbiorowych. Podobne do polskiej regulacje funkcjonują powszechnie wielu zakątkach świata, wspominając jedynie najbardziej rozpoznawalne, takie jak amerykańska ustawa FCPA (ang. Foreign Corrupt Practices Act) lub brytyjska UK Bribery Act.
O tym jak uniknąć wspomnianych dolegliwości i wykazać się compliance z wymogami regulacyjnymi w dalszej części tekstu.
Proponowany model działania w odniesieniu do zgłoszenia sygnalisty
W ramach odpowiedzi na potrzebę stworzenia procedury działań następczych wobec zgłoszeń sygnalistów proponuję model czteroelementowy, który prezentuję na poniższej grafice:
Źródło: Opracowanie własne
1) Przyjęcie zdarzenia inicjującego
W ramach tego etapu do wiadomości organizacji dociera informacja o potencjalnym nadużyciu. W kontekście współpracy z sygnalistą będzie to zgłoszenie nieprawidłowości pochodzące właśnie od niego. W dobie informatyzacji procesów operacyjnych organizacji, zazwyczaj zgłoszenie takie trafi do wiadomości jednostki za pośrednictwem platformy informatycznej, która zapewni rejestrację zgłoszenia zarówno anonimowego, jak i niezanonimizowanego. Dodatkowym atutem platformy informatycznej jest zapewnienie znacznika czasu dla zgłoszenia oraz zabezpieczenie jego treści przed dostępem ze strony osób nieuprawnionych.
Ten etap procesu inicjuje postępowanie w ramach tzw. działań następczych przewidzianych Dyrektywą o sygnalistach, o czym mowa dalej. Od tego momentu biec zaczynają terminy przewidziane dla podjęcia decyzji, czy zawiadomienie sygnalisty kwalifikuje się do dalszego badania, czy też jest oczywiście bezzasadne i zdecydujemy o pozostawieniu go bez dalszego biegu. Oczywiście nawet ten drugi przypadek wymaga przekazania sygnaliście informacji zwrotnej, przewidzianej w zapisach dyrektywy. Etap ten służy przede wszystkim zrozumieniu treści zawiadomienia sygnalisty, tak aby powziąć wiedzę o zdarzeniu, które podlegać będzie dalszym etapom badania.
2) Czynności sprawdzające
W celu podjęcia decyzji o wszczęciu lub odmowie wszczęcia audytu śledczego w sprawie zgłoszonej przez sygnalistę konieczne bywa podjęcie czynności sprawdzających. W procesie karnym wstępną weryfikację przewiduje art. 307 k.p.k., który stanowi, że jeżeli zachodzi taka potrzeba, można zażądać uzupełnienia w wyznaczonym terminie danych zawartych w zawiadomieniu o przestępstwie lub dokonać sprawdzenia faktów w tym zakresie. Naturalnym źródłem wiedzy o dodatkowych faktach może być sam sygnalista, co nawiązuje do zapisów kodeksu postępowania karnego, który stanowi, że uzupełnienie danych zawartych w zawiadomieniu o przestępstwie może nastąpić również przez przesłuchanie w charakterze świadka osoby zawiadamiającej. Dodatkowo, przyjmujący zawiadomienie może dokonać sprawdzenia faktów przytoczonych w zawiadomieniu sygnalisty w źródłach dostępnych po stronie organizacji przyjmującej zgłoszenie. W tym kontekście ważne jest jednak, aby nie zaalarmować osoby lub osób z kręgu sprawców zarzucanego czynu zabronionego, tak aby nie mogli podjąć niekontrolowanego przez organizację przyjmującą zgłoszenie niszczenia dowodów nieprawidłowości. Celem czynności sprawdzających jest uniknięcie wszczynania audytu śledczego w sprawach, gdzie zarzuty sygnalisty okażą się oczywiście bezzasadne. Przesłanką dla wniosku o bezzasadności podejmowania dalszego badania zarzutów sygnalisty będzie w szczególności:
-
ustalenie, że zarzucanego czynu nie popełniono albo brak jest danych dostatecznie uzasadniających podejrzenie jego popełnienia (np. nie doszło do uszkodzenia mienia, o którym mowa w zawiadomieniu),
-
czyn nie zawiera znamion czynu zabronionego (np. kiedy co prawda doszło do popełnienia zarzucanego działania kierownika jednostki, ale działanie to przewidywały procedury wewnętrzne firmy i działanie to nie stanowi czynu zabronionego w rozumieniu przepisów prawa).
Brak przesłanek negatywnych dla odmowy wszczęcia audytu śledczego uzasadnia podjęcie dalszego badania w sprawie. W przypadku oczywistej bezzasadności zarzutów sprawę należy natomiast zamknąć, udokumentować przesłankę jej zamknięcia (odpowiednik postanowienia o odmowie wszczęcia postępowania karnego) oraz poinformować o tym fakcie sygnalistę, jeśli możliwy jest kontakt z nim. Oczywiście, w ramach platform informatycznych dedykowanych przyjmowaniu zgłoszeń sygnalistów, komunikacja taka możliwa jest również wobec zgłoszeń anonimowych.
3) Czynności dowodowe, wnioskowanie, raportowanie
W sytuacji gdy podjęta zostaje decyzja o uruchomieniu postępowania wyjaśniającego, nazywanego często audytem śledczym w sprawie, konieczne jest postępowanie zgodne z metodyką wypracowaną przez kryminalistykę. Metodyka ta sprowadza się co do zasady do fazy planowania, gdzie opracowujemy hipotezy śledcze, określamy okoliczności faktyczne niezbędne do ustalenia w celu potwierdzenia lub zaprzeczenia tych hipotez, określamy skład zespołu audytowego, harmonogram działań i rozpoczynamy ich realizację. W momencie, gdy podjęte działania pozwalają na przyjęcie jednej logicznej wersji zdarzeń wobec zarzutów podnoszonych w zawiadomieniu sygnalisty, gdy jednocześnie nie występują wobec tej wersji niedające się usunąć wątpliwości, możemy zdecydować o zasadności lub bezzasadności zarzutów sygnalisty i udokumentować nasze wnioski. Wnioski z postępowania wyjaśniającego tradycyjnie utrwalane bywają w raporcie z tzw. audytu śledczego. Raport może zostać zarchiwizowany w platformie służącej zarządzaniu incydentami lub dedykowanej przyjmowaniu zgłoszeń od sygnalistów. Kwestie mniej skomplikowane mogą zostać udokumentowane w ramach notatki służbowej, która jednak również wymaga archiwizacji. Niezależnie od przyjętej formuły dokumentacyjnej, działania utrwalające nasze czynności wyjaśniające mają istotne znaczenie w celu zgromadzenia dowodów staranności po stronie organizacji przyjmującej zgłoszenie sygnalisty. Na podjęcie decyzji o potwierdzeniu lub uznaniu za bezzasadny zarzutu sygnalisty mamy wspomniane w Dyrektywie o sygnalistach trzy miesiące, co warto uwzględnić w procedurze opisującej proces podejmowania działań następczych wobec zgłoszeń sygnalistów.
4) Działania naprawcze i komunikacja z interesariuszami
Ustalenia faktyczne oddalające zarzuty sygnalisty, poza przekazaniem mu informacji zwrotnej i udokumentowaniem wniosków z badania zgłoszenia nie wymagają zazwyczaj dalszych działań po stronie organizacji przyjmującej zgłoszenie. Odmienna sytuacja pojawia się w przypadku, gdy czynności audytu śledczego prowadzą do wniosku, że zarzucany przez sygnalistę czyn zabroniony faktycznie miał miejsce, zatem doszło do zmaterializowania triady przesłanek z Trójkąta Cressey’a. W takiej sytuacji kluczowe jest niezwłoczne wyeliminowanie luki w mechanizmach kontrolnych, która umożliwiła popełnienie nadużycia. Dodatkowo, znając motywację sprawcy, tj. charakter presji i usprawiedliwienie, które pchnęły go w stronę popełnienia nadużycia, możliwe jest podjęcie działań o charakterze prewencji ogólnej i szczególnej. W ramach prewencji szczególnej działamy wobec samego sprawcy, oczywiście jeżeli jego tożsamość została ustalona i potwierdzona w toku postępowania wyjaśniającego, np. w ramach przewidzianych przepisami prawa pracy procedur dyscyplinarnych. Prewencja ogólna, to natomiast działania komunikacyjne do wewnątrz oraz na zewnątrz organizacji. Te ostatnie, zależnie od charakteru potwierdzonego nadużycia, wymagane są niekiedy przepisami powszechnie obowiązującego prawa. Strategia i taktyka w ramach działań naprawczych oraz komunikacji wykracza jednak poza ramy objętościowe niniejszej publikacji.
Wnioski
Podjęcie działań w kierunku opracowania modelu i procedury postępowania w przypadku pojawienia się zgłoszenia sygnalisty będzie koniecznością wynikającą z zapisów Dyrektywy o sygnalistach i krajowych przepisów ustawy wdrażającej tę dyrektywę do krajowego porządku prawnego, która jest obecnie przedmiotem prac legislacyjnych w Polsce (druk nr UC101 w bazie Rządowego Centrum Legislacji). Dla wielu organizacji obowiązek ten jest jednak teraźniejszością już dziś, co w Polsce wynika chociażby z zapisów ustawy z dnia 1 marca 2018 roku o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, czy dobrych praktyk spółek notowanych na giełdzie papierów wartościowych w Warszawie. Dla podmiotów funkcjonujących na rynkach międzynarodowych, będą to również przepisy krajów, w których podmioty te prowadzą działalność lub są notowane na tamtejszych giełdach papierów wartościowych, w USA np. będzie to Sarbanes-Oxley Act oraz przepisy ustawy antykorupcyjnej FCPA.
Model działania w ramach badania zgłoszeń sygnalistów to metoda uniwersalna, dlatego może posłużyć do wszelkich innych czynności zmierzających do weryfikacji hipotez badawczych, modeli teoretycznych, czy postępowań wyjaśniających zmierzających do poczynienia prawdziwych ustaleń faktycznych.
Wreszcie, niezwłoczne i metodyczne podjęcie działań wyjaśniających w odniesieniu do zarzutów dotyczących nieprawidłowości w organizacjach prowadzi do minimalizacji strat, co pokazują wieloletnie badania nad konsekwencjami nadużyć w organizacjach prowadzone przez Association of Certified Fraud Examiners, publikowane w corocznych raportach do narodów (ang. Report to the Nations). Te same badania dowodzą również, że sygnaliści stanowią najskuteczniejsze narzędzie wykrywania nadużyć i to wykrywania ich na wczesnym etapie, co istotnie przyczynia się do wspomnianej minimalizacji strat.
Relacje z sygnalistami, tak w ujęciu regulacyjnym, jak taktycznym, niosą ze sobą o wiele więcej interesujących wątków badawczych, jak choćby kwestie związane z poufnością, ochroną danych osobowych, zabezpieczeniem słusznych interesów obwinionego, w przypadku umyślnego naruszenia jego dóbr osobistych przez sygnalistę i wiele innych. Te kwestie wykraczają jednak poza format niniejszej publikacji.
