Co się zatem stało i z jakich powodów tak ważna, zarówno dla pracodawców jak i pracowników, regulacja nie została należycie wdrożona w praktyce? Między innymi o to pytam gościa dzisiejszego odcinka, którym ponownie jest Paweł Ludwiczak, radca prawny, audytor, ekspert w zakresie compliance i whistleblowingu, wiceprezes Stowarzyszenia Praktyków Compliance.
Z odcinka dowiesz się między innymi:
-> Jak obecnie wygląda stopień przygotowania różnych podmiotów do przyjmowania zgłoszeń sygnalistów?
-> Co szczególnie przeszkadza przy efektywnym wdrożeniu systemu zgłoszeń naruszeń prawa?
-> Czy obowiązujące przepisy wymagają nowelizacji?
Rok po wejściu w życie (koniec września 2024 r.) ustawy o ochronie sygnalistów poziom wdrożenia jest niezadowalający: obok nielicznych, wzorcowych systemów dominują wdrożenia pozorne albo ich brak – również w placówkach ochrony zdrowia. Zdaniem gości odcinka zawiodła przede wszystkim edukacja, a samą ustawę osłabiają słabe (karne, a nie finansowe) sankcje, zakaz outsourcingu działań następczych i sporny zakres przedmiotowy. Recepta jest prosta do nazwania, trudniejsza do wdrożenia: edukacja i nowelizacja przepisów.
Najważniejsze wnioski
- Poziom wdrożenia jest, delikatnie mówiąc, niezadowalający. Obok nielicznych wzorcowych wdrożeń dominują wdrożenia pozorne (samo „przyjęcie dokumentów”) albo brak wdrożenia. Problem dotyczy też placówek ochrony zdrowia – duże, zwłaszcza publiczne, coś zrobiły, rzesza mniejszych ma trudności.
- Zawiodła nie dokumentacja, lecz edukacja. To powtórka błędu z RODO, spotęgowana ponad dwuletnim opóźnieniem ustawy i przejęciem uwagi rynku przez ESG i NIS2.
- Najtrudniejsze wdrożenia to międzynarodowe grupy kapitałowe (kolizja wymogów z różnych porządków prawnych) oraz sektor publiczny (brak zasobów, wdrożenia czysto formalne).
- Sankcje są słabe i źle wyważone. Model jest karny, nie finansowy; grzywna grozi za samo nieprzyjęcie procedury, a nie za skuteczne wdrożenie – a jednocześnie istnieje nadmierna odpowiedzialność karna za ujawnienie tożsamości sygnalisty.
- Zakaz outsourcingu działań następczych to zdaniem obu rozmówców jeden z największych praktycznych błędów ustawy.
- Recepta to edukacja i nowelizacja. Pierwszy przegląd (spodziewany za ok. dwa lata) może być momentem na poprawę przepisów.
Jak wygląda poziom wdrożenia ustawy o ochronie sygnalistów rok po jej wejściu w życie?
Poziom wdrożenia jest – jak ujął to Maciek – co najmniej niezadowalający. Ci, którzy spodziewali się rewolucji, srodze się zawiedli, a obowiązki efektywnie wdrożyła stosunkowo niewielka liczba podmiotów.
Z obserwacji Pawła Ludwiczaka wyłaniają się trzy grupy. Pierwsza to podmioty, które wdrożyły ustawę wzorcowo – czasem budując systemy lepsze, niż wymaga sama ustawa. To jednak wyjątki. Druga, spora grupa, „załatwiła” tylko formalne przepisy – wdrożenia są pozorne. Trzecia grupa nie wdrożyła nic. Jak podsumował to Paweł: tak jak RODO się „nie przyjęło”, tak i sygnaliści się nie przyjęli.
W ochronie zdrowia obraz jest podobny. Duże placówki, zwłaszcza publiczne, przeprowadziły przynajmniej pewien stopień wdrożenia. Rzesza mniejszych placówek ewidentnie ma z tym problem. Braki mają szansę wyjść przy audytach, transakcjach nabycia spółek, a w razie przestępstw – gdy do gry wejdą, jak to ujęto w rozmowie, „trzyliterowe służby”.
Dlaczego jest gorzej niż przy RODO?
Bo tak jak przy RODO zabrakło edukacji, a nie samych dokumentów. Rozmówcy zgodnie wskazują, że przy sygnalistach dokumentów jest zresztą znacznie mniej niż przy RODO; kluczem była edukacja, której zabrakło.
Złożyło się na to kilka rzeczy naraz. Temat został „przegrzany”: ustawa wyszła z ponad dwuletnim poślizgiem wobec dyrektywy, więc zdążył się wypalić, zanim zaczął obowiązywać. Do tego doszedł chaos kompetencyjny – kto ma się zajmować sygnalistami. Ostatecznie zadania trafiły do Rzecznika Praw Obywatelskich (RPO), i to bez budżetu; RPO zamieścił informacje na swojej stronie, ale nie miał już czasu ani zasobów na realną kampanię.
Zabrakło też dobrych wzorców, a sama ustawa – zdaniem rozmówców pisana bardziej przez teoretyków – zawiera sporo przepisów błędnych lub niewygodnych w stosowaniu. Na to nałożyła się „wysyp” ekspertów, którzy przy kilkunastu wersjach projektu zasypali internet niekoniecznie dobrymi radami, a moment praktycznego wdrożenia wypadł na wakacje. Gdy tylko ucichli sygnaliści, uwagę rynku – i pieniądze – przejęły kolejne tematy: ESG i NIS2.
Gdzie wdrożenia sprawiają największe problemy – grupy kapitałowe i sektor publiczny?
Najtrudniej jest w grupach kapitałowych i w sektorze publicznym. To dwa zupełnie różne problemy.
W grupach kapitałowych – zwłaszcza międzynarodowych – zderzają się wymogi z różnych porządków prawnych. Centrala we Francji może wskazywać na wymogi ustawy Sapin II, podmiot amerykański na jeszcze inne, a wejście na kolejny rynek dokłada swoje. Wdrożenia w grupach krajowych da się ułożyć z akceptowalnym ryzykiem prawnym; w grupach międzynarodowych bywa to, jak ujął to Paweł, prawdziwa ekwilibrystyka prawna, a części rzeczy po prostu nie da się pogodzić.
W sektorze publicznym problemem jest brak zasobów – kadrowych, czasowych, finansowych. Efekt to wdrożenia formalne, „najniższym kosztem”: przyjęta polityka, upoważnienia, rejestr – i cisza. Paweł prognozuje, że przy pierwszym przeglądzie (za ok. dwa lata) najczęstszym kanałem zgłoszeń okaże się e-mail, potem osoba wyznaczona, a potem tradycyjna poczta. Kryje się za tym niebezpieczny mit: brak zgłoszeń bywa mylnie uznawany za brak problemu. Jak spuentował to Paweł, jeśli nie masz zgłoszeń, to znaczy, że nie wiesz, że masz problem.
Co można zgłaszać? Sporny zakres przedmiotowy ustawy
Zakres przedmiotowy zgłoszeń jest sporny – po części, jak przyznają rozmówcy, z winy samej dyrektywy. Już na jej gruncie pojawiają się wątpliwości: skoro sygnalistą jest ten, kto zgłasza naruszenie przepisów o ochronie danych osobowych, to czy sygnalistą jest ktoś, kto zgłasza incydent zgodnie z RODO? Odpowiedź brzmi: to zależy.
Dwa braki bolą szczególnie. Po pierwsze, na etapie przyjmowania przepisów z katalogu wypadło prawo pracy (rozmówcy nazywają to „decyzją senacką”) – co jest dużym rozczarowaniem z perspektywy pracowników. Po drugie, spod ustawy wypadło wiele przestępstw z kodeksu karnego (przestępstwa skarbowe akurat zwykle da się podciągnąć pod naruszenie interesów finansowych Skarbu Państwa lub samorządu). Dlatego Paweł zachęca klientów, by systemem obejmowali także przestępstwa menedżerskie, oszustwa czy działania na szkodę spółki – bo to one bywają głównym zagrożeniem dla biznesu, choć ustawa ich nie obejmuje. Jego zdaniem ustawa powinna wprost obejmować wszystkie przestępstwa.
Osobny kuriozalny wątek to rozszerzenie o naruszenia regulacji wewnętrznych i norm etycznych. Przepis jest wyjątkowo ograniczający, a jednocześnie prowadzi do absurdów: jeśli regulacja wewnętrzna określa np. układ pisma czy czcionkę, to zgłoszenie jej naruszenia formalnie czyni kogoś sygnalistą.
Czy przez system dla sygnalistów można zgłaszać mobbing i dyskryminację?
W praktyce – tak, i to często, choć nie są to typowe kategorie z ustawowego katalogu. Jak pokazuje pierwszy raport RPO, ludzie zgłaszają w kanałach dla sygnalistów właśnie mobbing i dyskryminację, bo po prostu nie znają różnicy. I trudno się dziwić — skoro kanał już istnieje, nie ma powodu, by z niego nie korzystać.
Problem w tym, że wiele podmiotów podskórnie nie chce wiedzieć o problemach. Zawężają zakres do tego, co w ustawie, rzadko wdrażają kanały anonimowe (a to właśnie anonimowość zachęca do poważnych zgłoszeń), a sensownych, budzących zaufanie narzędzi – kosztownych aplikacji zewnętrznych – jest na rynku raptem kilka. Paweł mówi wprost: jeśli klient chce tylko „papier”, taniej wyjdzie mu kupić książkę ze wzorami niż płacić za realne wdrożenie.
A działa to inaczej, gdy system jest zaprojektowany szeroko i wsparty bieżącą edukacją. Wtedy zamiast zgłoszeń o braku papieru w toalecie wpływają rzeczy, o których zarząd normalnie by nie wiedział — i które można wygasić, zanim urosną. Paweł ilustruje to teorią „wybitych szyb”: od pomazanego muru, przez wybitą szybę, po włamanie. Wychwycenie sprawy wcześnie chroni organizację — ale wymaga świadomego zarządu, który wygospodaruje na to zasoby. To wciąż rzadkość, choć sprzyja jej zmiana pokoleniowa w biznesie.
Obaj rozmówcy zgadzają się, że osoby zgłaszające mobbing i dyskryminację powinny mieć status sygnalisty – to mocno niedoszacowany problem, a definicje mobbingu i dyskryminacji i tak będą się zmieniać wraz z normami społecznymi. Sama możliwość zgłoszenia i uzyskania jasnej informacji, czy dane zachowanie jest mobbingiem, jest dla pracownika czy współpracownika cenna.
Czy można rozszerzyć katalog zgłoszeń w organizacji – i z jakim skutkiem?
Tak, katalog można rozszerzyć na poziomie organizacji, choć rozmówcy podchodzą do tego z ostrożnością. Paweł dopuszcza takie rozszerzenie wprost, powołując się, jak sam zastrzega, cytując z pamięci, na przepis w okolicach art. 4 ust. 2 ustawy; czasem wymaga to drobnej zmiany w regulaminie pracy (np. wpisania, że nie wolno popełniać przestępstw, i objęcia tego systemem). Maciek patrzy na ten przepis raczej jak na katalog zamknięty z możliwością rozszerzenia na poziomie jednostki.
Kluczowe zastrzeżenie: rozszerzenie działa tylko przy zgłoszeniach wewnętrznych. Jeśli obejmiesz procedurą inne naruszenia, musisz traktować zgłaszającego jak sygnalistę, ale nie dotyczy to zgłoszeń zewnętrznych ani ujawnień publicznych.
Pojawia się przy tym subtelny problem: skoro np. błędy w fakturach (jako naruszenie interesów finansowych) czy naruszenia RODO i tak mieszczą się w ustawie, to czy wydzielanie dla nich osobnych procedur nie jest obchodzeniem ustawy – zwłaszcza gdy korzysta się z tych samych kanałów i tych samych ludzi (bo biznes lubi oszczędności)? Paweł uważa, że można, ale są tu wątpliwości – ustawa nie jest w tym miejscu szczęśliwa. Jego zdaniem powinna wprost przesądzać, że dotyczy przestępstw i innych czynów zabronionych, a w pozostałym zakresie pozwalać na zgłoszenia z zachowaniem dla zgłaszającego ochrony nie mniejszej niż sygnalisty.
Dlaczego zakaz outsourcingu działań następczych to problem?
Bo samo przyjmowanie zgłoszeń nie jest problemem – problemem jest zakaz zlecania na zewnątrz działań następczych, czyli prowadzenia postępowania po zgłoszeniu. Obaj rozmówcy nazywają to jednym z największych błędów ustawy; Maciek mówi wprost, że te przepisy (jak zaznacza, przywoływane z pamięci – prawdopodobnie art. 25) „wołają pomsty do nieba”.
W praktyce poważnego naruszenia często nie da się rzetelnie wyjaśnić bez ekspertów zewnętrznych – potrzebne jest niezależne, zewnętrzne spojrzenie i odseparowanie od organizacji. Paweł dorzuca ważny niuans: o „niezależności” mówi się dziś dużo, ale bywa ona źle rozumiana – niezależność „ma się w sobie”. Nie zmienia to jednak oceny, że przepis jest źle napisany. Większość ekspertów współpracuje na B2B, a niektórych czynności — jak reprezentacja w postępowaniu cywilnym o odszkodowanie czy w sprawie karnej — po prostu nie da się przeprowadzić bez adwokata lub radcy prawnego, których nie każdy zatrudnia na etacie. To zdaniem rozmówców największy mankament ustawy w praktycznym funkcjonowaniu.
Dlaczego kary za brak systemu dla sygnalistów nie działają?
Bo ustawa postawiła na model karny, a nie finansowy – i w dodatku źle go wyważyła. Maciek zestawia to z RODO, gdzie widmo dotkliwej odpowiedzialności finansowej działa na biznes zdecydowanie mocniej.
W ustawie o sygnalistach grzywna grozi za nieprzyjęcie procedury zgodnej z ustawą, a nie za skuteczne wdrożenie systemu. Ilustruje to anegdota z rozmowy: wójt pyta radcę, ile grozi mu za brak systemu w terminie – słyszy, że za sam system nic, a za nieprzyjęcie procedury grozi grzywna (w rozmowie pada kwota rzędu 5000 zł). Skoro realne wdrożenie kosztuje więcej, pojawia się pytanie „to po co mam wdrażać?”. Ustawa jest w tym sensie trochę bezzębna – brakuje finansowego „kija”.
Drugi mankament przepisów karnych jest odwrotny – nadmiarowy. Odpowiedzialność karna za ujawnienie tożsamości sygnalisty (sama w sobie słuszna) tworzy realne ryzyko dla osób obsługujących system, zwłaszcza gdy zakres rozszerzono. Sygnalista często dekonspiruje się sam, bo jego tożsamość wynika z treści zgłoszenia – podręcznikowy przykład to dział, w którym pracują dwie osoby, a zgłoszenie dotyczy jednej z nich. Wytłumaczenie potem prokuratorowi, że to nie obsługujący ujawnił dane, bywa bardzo trudne.
Paweł przypomina, że lepszy pomysł pojawił się już wcześniej – w projekcie z 2010 r. nowelizującym ustawę o odpowiedzialności podmiotów zbiorowych (po ustawie o jawności). Przewidywał on, że brak należytej reakcji na zgłoszenie albo na działania odwetowe wobec sygnalisty skutkuje podwojeniem kary (mówiono o kwotach rzędu 30 mln). Takie przepisy – jak ocenia – zdyscyplinowałyby oba sektory. Warto przy tym pamiętać, że kary z RODO, choć medialnie skuteczne, bywają absurdalnie wysokie, a przy ich wymierzaniu jest sporo dowolności.
Maciek dodaje istotną obserwację edukacyjną: przy RODO jest „punkt zaczepienia” – konkretne, obrazowe mechanizmy (jak 72 godziny na zgłoszenie naruszenia i cały ciąg czynności do wykonania w tym czasie), które zostają klientom w głowie. Przy sygnalistach takiego haka brakuje. Paweł zauważa jednak, że u klientów po doświadczeniach z „trzyliterowymi służbami” – najazdem, zatrzymaniami, tzw. aresztem wydobywczym – rozmowa o compliance i sygnalistach wygląda zupełnie inaczej. Dla nich to już nie zbędny koszt, lecz inwestycja we własne bezpieczeństwo.
Jaka jest recepta na lepsze wdrożenia?
Recepta jest dwuczłonowa: edukacja i nowelizacja. Odpowiedzią na lepsze wdrożenia jest po prostu edukacja – i to na dwóch poziomach: ogólnym oraz firmowym, tak by system nie „utknął na półce”.
Po stronie legislacyjnej Stowarzyszenie Praktyków Compliance (którego Paweł jest współzałożycielem i członkiem zarządu) pracuje nad projektem nowelizacji ustawy, tak by ta pomagała wdrażać, a nie przeszkadzała; zrzesza w tym celu kilkudziesięciu ekspertów – od osób prowadzących działania następcze, przez detektywów, po dostawców rozwiązań IT, z sektora publicznego i prywatnego. Podobne działania edukacyjne i legislacyjne prowadzą też inne organizacje, jak Fundacja Batorego.
A jak będą wyglądać przyszłe audyty sygnalistów? Podobnie jak przy RODO. Pytanie o dokumentację, upoważnienia i rejestr zgłoszeń, a potem sprawdzenie daty ostatniego szkolenia szybko pokazuje, czy system realnie działa, czy tylko kurzy się w segregatorze.
Podsumowanie
Rok po wejściu w życie ustawa o ochronie sygnalistów ma bilans słaby: nieliczne wzorcowe wdrożenia toną w morzu wdrożeń pozornych i braku wdrożeń – także w ochronie zdrowia. Zawiodła głównie edukacja, a samą ustawę osłabiają słabe i źle wyważone sankcje, zakaz outsourcingu działań następczych oraz sporny zakres przedmiotowy. Nadzieją są edukacja i nowelizacja – a pierwszy przegląd, spodziewany za około dwa lata, może stać się momentem na realną poprawę przepisów.
Cały ten wątek – z konkretnymi przykładami z praktyki i sporami interpretacyjnymi – rozwijamy w rozmowie z Pawłem Ludwiczakiem. Zapraszamy do wysłuchania 73. odcinka podcastu „Recepta na przepis”.
Materiał ma charakter wyłącznie informacyjny i nie stanowi porady prawnej.
FAQ
Kiedy weszła w życie ustawa o ochronie sygnalistów? Uchwalone przepisy weszły w życie pod koniec września 2024 r. (25 września), z ponad dwuletnim opóźnieniem wobec unijnej dyrektywy.
Jaka kara grozi za brak procedury dla sygnalistów? Grzywna grozi za nieprzyjęcie procedury zgodnej z ustawą, a nie za skuteczne wdrożenie systemu. W odcinku pada przykład (kwota rzędu 5000 zł), z którego wynika, że sankcja bywa niższa niż koszt realnego wdrożenia – co, zdaniem rozmówców, nie zachęca do wdrażania.
Czy mobbing i dyskryminację można zgłaszać jako sygnalista? Co do zasady nie są to typowe kategorie z ustawowego katalogu, ale w praktyce ludzie i tak je zgłaszają. Organizacja może rozszerzyć zakres – wtedy przy zgłoszeniach wewnętrznych musi traktować taką osobę jak sygnalistę. Obaj rozmówcy uważają, że taki status jest tu uzasadniony.
Czy można rozszerzyć katalog zgłoszeń w firmie? Tak, na poziomie organizacji (czasem po drobnej zmianie regulaminu pracy). Rozszerzenie działa jednak tylko przy zgłoszeniach wewnętrznych – nie przy zgłoszeniach zewnętrznych ani ujawnieniach publicznych.
Czy działania następcze można zlecić firmie zewnętrznej? Przyjmowanie zgłoszeń – tak, ale outsourcing prowadzenia działań następczych jest zakazany. Rozmówcy uznają to za jeden z największych praktycznych błędów ustawy, bo poważnych spraw często nie da się wyjaśnić bez ekspertów zewnętrznych.
Dlaczego wdrożenia w grupach kapitałowych są takie trudne? Bo w grupach międzynarodowych zderzają się wymogi z różnych porządków prawnych (np. francuska ustawa Sapin II i wymogi amerykańskie), a części z nich po prostu nie da się ze sobą pogodzić.
Co zrobić, żeby system dla sygnalistów realnie działał? Zaprojektować go szeroko, przeszkolić ludzi i prowadzić bieżącą edukację – inaczej zostaje „papier na półce”. Realny system wymaga też świadomego zarządu, który wygospodaruje na niego zasoby.