Ustawa o ochronie sygnalistów przewiduje, że podmioty należące do grupy kapitałowej mogą ustalić wspólną procedurę zgłoszeń wewnętrznych, pod warunkiem zapewnienia zgodności wykonywanych czynności z ustawą. Do wejścia w życie ustawy zostało niewiele ponad miesiąc, a wśród komentatorów trwa ożywiona dyskusja, jak należy interpretować ten zdawkowo sformułowany przepis. Co to znaczy „wspólna procedura zgłoszeń”, kto w praktyce może przyjąć taką procedurę i jak zapewnić, aby grupowy proces zgłaszania naruszeń był zgodny z ustawą?

Wspólna procedura zgłoszeń wewnętrznych w grupie kapitałowej

Przepis, który umożliwia grupom kapitałowym ustalenie wspólnej procedury zgłoszeń wewnętrznych, dodano na etapie prac sejmowych. Zgłoszona przez posłów poprawka była odpowiedzią na apele biznesu, który od początku prac nad ustawą wskazywał, że kwestia zgłaszania naruszeń w grupach kapitałowych wymaga odpowiedniego ujęcia w przepisach. W praktyce bowiem podmioty wchodzące w skład grup kapitałowych często dzielą się kompetencjami i zasobami. Funkcje wsparcia i funkcje kontrolne bywają na ogół scentralizowane w ramach jednego podmiotu, który dysponuje odpowiednim zapleczem organizacyjnym i kadrowym. Pozwala to na efektywne realizowanie tych zadań w skali całej grupy, zapobiega też dublowaniu istniejących zasobów i kompetencji. Poprawka miała zapewnić, że podobne podejście będzie można stosować przy zgłaszaniu naruszeń prawa.

Poselską propozycję pozytywnie zaopiniowało Ministerstwo Rodziny, Pracy i Polityki Społecznej. Zdaniem MRPiPS możliwość ustalenia „wspólnej procedury zgłoszeń wewnętrznych” oznacza, że w ramach grupy kapitałowej można przyjąć jedną procedurę, a więc nie ma potrzeby przyjmowania jednakowo brzmiących procedur odrębnie przez podmioty wchodzące w skład grupy (te, które są adresatami nowego obowiązku ustawowego). Podczas posiedzenia sejmowej Komisji Polityki Społecznej i Rodziny przedstawiciel MRPiPS dopuścił szeroką interpretację tego pojęcia i uznał, że jest ono na tyle ogólne, że pracodawcy mogą samodzielnie decydować, jak we wspólnej procedurze uregulują sposób postępowania, w tym która jednostka w ramach grupy będzie prowadzić postępowania wyjaśniające.

Przyjęcie wspólnej procedury zgłoszeń wewnętrznych jest uprawnieniem podmiotów wchodzących w skład grup kapitałowych, a nie ich obowiązkiem. Grupy kapitałowe mogą więc przyjąć różne modele wdrożenia. Dopuszczalne jest zarówno ustalenie odrębnych procedur zgłoszeń wewnętrznych w każdym podmiocie wchodzącym w skład grupy, jak i przyjęcie jednej procedury wspólnej dla wszystkich jednostek. Możliwe jest też ustalenie wspólnej procedury tylko w niektórych jednostkach należących do grupy, co zależy od decyzji tych jednostek (a w praktyce, na ogół, od decyzji spółki-matki). Kluczowe, aby te z nich, które mają obowiązek ustanowienia procedury wewnętrznej ze względu na kryterium zatrudnienia (od 50 osób) lub przedmiotu działalności (np. instytucje finansowe), mogły wykazać, że prawidłowo go wykonały.

Kapitałowe grupy międzynarodowe a wspólna procedura zgłoszeń 

Sytuacja przedstawia się nieco inaczej w przypadku międzynarodowych grup kapitałowych. W ustawie o ochronie sygnalistów mowa bowiem tylko o grupie kapitałowej złożonej z polskich przedsiębiorców. Jest to wynik odesłania do pojęcia grupy kapitałowej w rozumieniu przepisów o ochronie konkurencji i konsumentów. Przepisy te definiując „przedsiębiorcę” odsyłają z kolei do Prawa przedsiębiorców. A zgodnie z regulacją Prawa przedsiębiorców podmioty zagraniczne nie są objęte zakresem pojęcia przedsiębiorcy. W efekcie trzeba przyjąć, że wspólną procedurę zgłoszeń wewnętrznych może przyjąć tylko grupa kapitałowa złożona z polskich przedsiębiorców.

Co więc w przypadku „korporacyjnych” kanałów zgłoszeń w grupach o międzynarodowym zasięgu? Mogą one funkcjonować, ale wyłącznie obok lokalnych rozwiązań, spełniających wymogi polskiej ustawy. W takiej sytuacji sygnalista powinien mieć możliwość wyboru, z którego kanału chce skorzystać w przypadku danego zgłoszenia. Wydaje się przy tym, że nie ma przeszkód, aby zachęcać sygnalistów do korzystania z międzynarodowego grupowego kanału – tak długo, jak długo nie ogranicza to prawa sygnalisty do dokonania zgłoszenia wewnętrznego zgodnie z lokalnymi przepisami.

Od wspólnej procedury grupowej, o której mowa w polskich przepisach, odróżnić trzeba sytuację opisaną w akapicie 55 Preambuły Dyrektywy 2019/1937, zgodnie z którym „wewnętrzne procedury dokonywania zgłoszeń powinny umożliwiać podmiotom prawnym w sektorze prywatnym przyjmowanie zgłoszeń od […] jego jednostek zależnych lub powiązanych („grupy”)”. Czym innym jest więc przyjmowanie przez spółkę-matkę zgłoszeń dotyczących działalności jej spółek-córek na podstawie przyjętej przez nią, i tylko przez nią, procedury zgłoszeń wewnętrznych, a czym innym przyjmowanie zgłoszeń naruszeń w ramach wspólnej procedury grupowej.

Proces wdrażania wspólnej procedury zgłoszeń w grupie kapitałowej 

Zgodnie z ustawą obowiązek ustalenia procedury zgłoszeń wewnętrznych dotyczy zasadniczo każdego podmiotu, na rzecz którego pracę zarobkową wykonuje co najmniej 50 osób, a także podmiotów prowadzących działalność w dziedzinach określonych w załączniku do Dyrektywy (m.in. na rynku finansowym), niezależnie od liczby zatrudnionych. Ustalenie wspólnej procedury w ramach grupy kapitałowej nie może więc ograniczać się do przyjęcia procedury np. tylko przez spółkę-matkę. Aby można było uznać, że przez ustalenie wspólnej procedury doszło do wykonania obowiązku ustawowego przez wszystkie zobowiązane do tego podmioty z grupy, konieczne jest odpowiednie wdrożenie w każdym z nich mechanizmów wymaganych przez ustawę i przewidzianych w procedurze.

Ustawa o ochronie sygnalistów wyraźnie rozróżnia trzy sytuacje:

- powierzenie obsługi systemu zgłoszeń podmiotowi zewnętrznemu,

- „ustalenie wspólnych zasad przyjmowania i weryfikacji zgłoszeń oraz prowadzenia postępowania wyjaśniającego” przez podmioty zatrudniające od 50 do 249 osób, oraz

- „ustalenie wspólnej procedury zgłoszeń wewnętrznych” przez podmioty należące do grupy kapitałowej.

Wspólna procedura jest więc rozwiązaniem najdalej idącym, zastrzeżonym dla grup podmiotów powiązanych w sposób ściśle zdefiniowany przez przepisy. Jednocześnie, zgodnie z przywołanym stanowiskiem MRPiPS, wystarczy jedna wspólna procedura w skali grupy, i nie ma potrzeby przyjmowania kilku jednobrzmiących procedur, z osobna przez każdy podmiot tworzący grupę.

Konsultacje i ogłoszenie wspólnej procedury w grupie kapitałowej 

A skoro tak, powstaje pytanie, jak powinien wyglądać proces wdrożenia wspólnej procedury w ramach grupy. Sam proces wdrożenia jest bowiem częściowo uregulowany w ustawie. Zakłada on obowiązkowe konsultacje projektu procedury z zakładową organizacją związkową albo – w braku takiej organizacji – z przedstawicielami osób świadczących pracę na rzecz danego podmiotu, wyłonionymi w trybie przyjętym w tym podmiocie. Wydaje się, że w przypadku wspólnej procedury w procesie konsultacji powinni uczestniczyć przedstawiciele pracowników wszystkich podmiotów objętych procedurą. W braku zakładowych organizacji związkowych sposób ich wyłonienia należy do każdego z tych podmiotów.

Podobnie z ogłoszeniem procedury – ustawa wymaga, aby została ona podana do wiadomości osób wykonujących pracę w sposób przyjęty w danym podmiocie prawnym. Wspólna procedura wymaga więc ogłoszenia w każdym z podmiotów, które obejmuje, a o sposobie ogłoszenia decydują zasady przyjęte w każdym z nich.

Warunek zgodności procedury zgłoszeń wewnętrznych z ustawą

Ustalając wspólną procedurę zgłoszeń wewnętrznych, podmioty wchodzące w skład grupy kapitałowej muszą zapewnić „zgodność wykonywanych czynności z ustawą”. Poza czynnościami związanymi z wdrożeniem procedury, chodzi przede wszystkim o obsługę systemu zgłoszeń.

Czynności związane z obsługą zgłoszeń wewnętrznych obejmują m.in. przyjmowanie zgłoszeń, potwierdzanie przyjęcia zgłoszenia, przekazywanie sygnalistom informacji zwrotnej, a także podejmowanie działań następczych, w tym weryfikację zgłoszenia i przeprowadzenie działań wyjaśniających, oraz prowadzenie rejestru zgłoszeń.

Dla zapewnienia zgodności z ustawą kluczowe są parametry osób, które przeprowadzają wymienione czynności. Po pierwsze, muszą to być osoby zapewniające bezstronność, a więc:

- niezaangażowane w sprawę będącą przedmiotem zgłoszenia,

- niepozostające w relacjach osobistych lub zawodowych z sygnalistą ani z osobami wskazanymi w zgłoszeniu,

- dające gwarancję obiektywnego, wolnego od uprzedzeń i wpływu osób trzecich przeprowadzenia czynności związanych z obsługą zgłoszenia.

Bezstronność powinna być przy tym oceniana na gruncie każdego konkretnego przypadku, a procedura powinna przewidywać sposób postępowania na wypadek wystąpienia lub podejrzenia konfliktu interesów albo innych uzasadnionych wątpliwości co do bezstronności osób obsługujących zgłoszenia. W takim przypadku powinny być one wyłączone z postępowania, a szczegółowy tryb ich wyłączania i wskazywania na ich miejsce innych właściwych osób – opisany w procedurze.

Po drugie, muszą to być osoby odpowiednio upoważnione do przeprowadzania wskazanych czynności. Ustawa wymaga tu formy pisemnej. Wydaje się, że upoważnienie powinno pochodzić od wszystkich podmiotów tworzących grupę, które są objęte wspólną procedurą.

Po trzecie – osoby te mają obowiązek zachowania w tajemnicy informacji i danych uzyskanych w toku obsługi zgłoszenia. Obsługa zgłoszeń musi się odbywać w sposób, który uniemożliwia osobom nieupoważnionym uzyskanie dostępu do informacji objętych zgłoszeniem, a także gwarantuje ochronę poufności tożsamości sygnalisty i osób wskazanych w zgłoszeniu.

Aby zapewnić zgodność z ustawą, wspólna procedura zgłoszeń wewnętrznych musi też zawierać wszystkie obligatoryjne elementy wymienione w art. 25 ust. 1 ustawy. Poza określeniem osób lub jednostek upoważnionych do przyjmowania zgłoszeń i podejmowania działań następczych, procedura powinna określać:

- kanały zgłoszeń (sposoby ich przekazywania przez sygnalistę),

- tryb postępowania ze zgłoszeniami anonimowymi (których dopuszczenie nie jest obowiązkowe, jest dobrowolne),

- obowiązek podjęcia działań następczych, a także

- maksymalne terminy na przekazanie sygnaliście potwierdzenia przyjęcia zgłoszenia i informacji zwrotnej (odpowiednio 7 dni i 3 miesiące), oraz

- zrozumiałe i łatwo dostępne informacje na temat dokonywania zgłoszeń zewnętrznych do Rzecznika Praw Obywatelskich, innych właściwych organów publicznych lub instytucji unijnych.

Zdaniem autorki

dr Anna Hlebicka-Józefowicz - partner w Kancelarii DZP, Szef Praktyki Doradztwa Regulacyjnego, Legislacji i Compliance

Polski ustawodawca zdecydował się na uwzględnienie specyfiki grup kapitałowych w procesie zgłaszania naruszeń, mimo że Dyrektywa 2019/1937 wprost nie przewiduje analogicznych rozwiązań. Regulacja ta jest potrzebna i będzie zapewne szeroko stosowana w praktyce, bo pozwala przedsiębiorcom zracjonalizować obciążenia wynikające z nowych obowiązków, co potwierdza interpretacja Ministerstwa Rodziny, Pracy i Polityki Społecznej. Cieszy też, że mimo pośpiechu wynikającego z opóźnienia w implementacji Dyrektywy, posłom udało się wsłuchać w głos biznesu i uwzględnić część postulatów strony społecznej zgłoszonych w procesie legislacyjnym.