Nieprawidłowości w firmach – przedsiębiorcy zwlekają z dostosowaniem procesów i kanałów komunikacji

Za niecałe trzy miesiące mija termin dostosowania podmiotów publicznych, firm prywatnych zatrudniających ponad 250 osób oraz firm sektora finansowego do wymogów Dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/1937 w sprawie ochrony osób zgłaszających naruszenia prawa Unii (tzw. dyrektywy o ochronie sygnalistów). W pierwszym terminie, czyli od 17 grudnia 2021 roku, regulacje obejmą kilkanaście tysięcy podmiotów. Badanie przeprowadzone na zlecenie polskiej spółki informatycznej braf.tech wskazuje jednak, że tylko część firm w Polsce wie, jak dostosować się do nowych wymogów prawnych.

Kanały komunikacji w firmach i instytucjach w Polsce – brak zgodności z dyrektywą

Mniej niż połowa firm prywatnych (45 proc.) w Polsce objętych przepisami nowej dyrektywy posiada kanały dla sygnalistów. Do najczęściej stosowanych rozwiązań należą zgłoszenia w formie pisemnej za pośrednictwem tradycyjnych listów lub w formie elektronicznej (56 proc.), zgłoszenia osobiste bez podania adresata (49 proc.) lub zgłoszenia do wyznaczonej do tego celu osoby (10 proc.). W przypadku instytucji publicznych kanały komunikacji posiada 35 proc. organizacji. Podobnie jak w przypadku firm prywatnych, najpopularniejszą formą są zgłoszenia pisemne lub mailowe (59 proc.), zgłoszenia osobiste bez określania adresata (48 proc.) oraz zgłoszenia do wyznaczonego pracownika (11 proc.).

Zarówno w przypadku firm prywatnych, jak i podmiotów publicznych małą popularnością cieszą się stworzone do tego celu rozwiązania informatyczne – stosuje je mniej niż 8 proc. organizacji.

- Dotychczas stosowane kanały komunikacji dla sygnalistów to przeważnie rozwiązania archaiczne, które mogą powodować wątpliwości co do ochrony poufności ich tożsamości. Często nie umożliwiają one udzielenia informacji zwrotnych o statusie zgłoszenia, a także nie zapewniają anonimowości sygnalisty. Jak pokazało nasze wcześniejsze badanie przeprowadzone wśród pracowników, aż 70 proc. z nich oczekuje takiej funkcjonalności. To przeważnie ona warunkuje to, czy zgłoszenie zostanie złożone. Rozwiązaniem, które spełnia oczekiwania pracowników oraz firm mogą być specjalne systemy informatyczne, takie jak np. whiblo, które zapewniają bezpieczeństwo i anonimowość sygnalisty. Ogromną przewagą rozwiązań technologicznych jest również wsparcie procesów wewnątrz organizacji oraz osób czy działów odpowiedzialnych za zgłoszenia – wszystkie informacje są zebrane w jednym miejscu i znacznie łatwiej jest zachować ciągłość komunikacji czy zaplanować bieżącą pracę, a w razie potrzeby wygenerować raport lub pobrać odpowiedni pakiet dokumentów – mówi Rafał Barański, prezes braf.tech i współtwórca aplikacji whiblo.

Wewnętrzne procedury dla sygnalistów wymagają dostosowania

Z danych braf.tech wynika, że jedynie ok. 38 proc. firm prywatnych posiada wewnętrzne procedury związane z przyjmowaniem i przetwarzaniem zgłoszeń od sygnalistów oraz prowadzeniem działań następczych. Natomiast zaledwie 26 proc. z nich podaje, że są one zgodne z nowymi regulacjami. Tylko 11 proc. podmiotów z sektora prywatnego prowadzi działania mające na celu dostosowanie ich firmy do przepisów. W przypadku sektora publicznego procedury wewnętrzne posiada 35 proc. organizacji, a 14 proc. z nich deklaruje, że są one zgodne z dyrektywą. Blisko 29 proc. badanych wskazuje, że prowadzi obecnie działania dostosowawcze. Jednocześnie około 52 proc. przedsiębiorstw prywatnych oraz 43 proc. instytucji państwowych podaje, że nie wie, czy obecnie posiadane procedury są zgodne z wytycznymi wynikającymi z dyrektywy UE.

Dostosowanie organizacji do nowych wymogów, poza opracowaniem procedur i kanałów komunikacji, wymaga również wyznaczenia bezstronnych osób lub działów, które będą odpowiedzialne za odbiór i przetwarzanie zgłoszeń. Z badania wynika, że takie osoby lub działy posiada 86 proc. organizacji, które miały wdrożone jakiekolwiek procedury dotyczące kwestii sygnalizowania nieprawidłowości w firmie. Ponad połowa respondentów, która planuje zaimplementowanie regulacji w tym roku, wskazała w badaniu, że nowe obowiązki otrzymają już funkcjonujące komórki w organizacji poprzez rozszerzenie ich kompetencji. W przypadku 44 proc. instytucji publicznych oraz 35 proc. podmiotów sektora prywatnego nie podjęte zostały jeszcze decyzje dotyczące przydzielenia obowiązku obsługi nowego procesu.

Sektor publiczny wdraża rozwiązania samodzielnie - firmy prywatne wybierają outsourcing

Ponad 70 proc. firm państwowych oraz instytucji publicznych planuje stworzyć i wdrożyć nowe procedury oraz kanały komunikacji samodzielnie. Inaczej wygląda to w przypadku przedsiębiorstw prywatnych, gdzie blisko 56 proc. podmiotów będzie wykorzystywało własne zasoby ze wsparciem zewnętrznych podmiotów do stworzenia procedur, a 47 proc. firm deklaruje chęć zakupu rozwiązania pełniącego rolę kanału komunikacji od dostawców tego typu systemów.

- Z naszego doświadczenia i obserwacji rynku wynika, że mimo bliskiego terminu wdrożenia nowych przepisów wiele organizacji w Polsce albo wstrzymuje się jeszcze z decyzją, czekając na projekt krajowej ustawy albo dopiero rozpoczyna proces dostosowania swoich struktur i procesów. Dobrą praktyką jest skorzystanie ze wsparcia zewnętrznych specjalistów czy firm, które posiadają odpowiednią wiedzę, doświadczenie i know-how wypracowany przy tego typu projektach. Podobnie jest w przypadku rozwiązań technologicznych służących do odbioru zgłoszeń i prowadzenia dialogu z sygnalistą. Stworzenie tego typu aplikacji od nowa nie jest konieczne, bo systemy dostępne na rynku, często funkcjonujące jako usługi SaaS, są uniwersalne i sprawdzają się w każdej strukturze. Dodatkowo, ich wdrożenie nie obciąża wewnętrznej infrastruktury czy działów IT firm. Dla podmiotów, które dopiero przygotowują się do przyjęcia założeń dyrektywy o ochronie sygnalistów, jest to szansa na szybkie przeprowadzenie całego procesu – komentuje Ewa Żak-Lisewska, ekspertka ds. compliance i współtwórczyni aplikacji whiblo.

Czasu na dostosowanie się do wytycznych dyrektywy UE nie zostało wiele, ale z pomocą nowoczesnych narzędzi technologicznych spełnienie wymagań powinno być o wiele łatwiejsze. Warto jednak podjąć odpowiednie kroki już teraz, gdyż pozwoli to uniknąć sytuacji sprzed kilku lat. Wtedy przedsiębiorcy odkładali wdrożenie przepisów RODO do ostatniej chwili, by w efekcie ponieść znacznie wyższe koszty finansowe czy zaangażować znaczne zasoby kadrowe, przyjmując na siebie ryzyko wysokich kar.