Rząd Polski, idąc w ślady USA, Wielkiej Brytanii, Francji i innych państw unijnych pracuje nad nową ustawą o odpowiedzialności podmiotów zbiorowych, która m.in. nałoży na przedsiębiorców obowiązek posiadania systemów compliance. Bazując na dotychczasowych projektach:
1. Mikroprzedsiębiorca będzie najpewniej zobowiązany:

• dochować co najmniej należytej staranności w wyborze członka organu lub osoby uprawnionej do działania oraz w nadzorze nad tymi osobami,
• tak zorganizować działalność by sposób działania organizacji zapobiegał popełnieniu czynu zabronionego,
• podejmować działania w przypadku sygnalizowania nieprawidłowości przez sygnalistów, w tym przeprowadzić postępowanie wyjaśniające i usunąć ewentualnie stwierdzone w ramach tego postępowania nieprawidłowości lub naruszenia, które ułatwiły lub umożliwiły popełnienie czynu zabronionego.

2. Mały przedsiębiorca najpewniej ponadto będzie zobowiązany do:

• określenia zasad postępowania w przypadku zagrożenia popełnienia czynu zabronionego lub wystąpienia skutków niezachowania reguł ostrożności,
• określenia zakresu odpowiedzialności organów przedsiębiorstwa, innych jego komórek organizacyjnych, jego pracowników lub osób uprawnionych do działania w jego imieniu, lub interesie.

Oczywiście dla oceny nieprawidłowości, oceny systemu compliance oraz oceny należytej staranności wymaganej w danych okolicznościach w organizacji działalności danego podmiotu, oraz w nadzorze nad tą działalnością bierze się pod uwagę między innymi rozmiar i przedmiot działalności przedsiębiorstwa. Dlatego od średniego przedsiębiorcy będzie wymagane o wiele więcej. Nikt nie powie państwu, jakie dokładnie będą obowiązki średnich przedsiębiorstw w zakresie compliance, ale już dziś można wskazać dobry wzorzec, który powinien w całości lub w większości spełnić przyszłe wymogi ustawowe.

Wzorce systemów

Kiedy mówimy o wzorcach systemów compliance, najczęściej wymienia się:

• normę ISO 37001 Anti-Bribery Management Systems, która stanowi globalny standard kształtowania systemów przeciwdziałania korupcji,
• normę ISO 19600 Compliance Management Systems (niedługo zastąpioną nową normą),
• standardy rekomendowane dla systemu zarządzania zgodnością w zakresie przeciwdziałania korupcji oraz systemu ochrony sygnalistów w spółkach notowanych na rynkach organizowanych przez Giełdę Papierów Wartościowych w Warszawie SA,
• inne standardy.

W każdym jednak ze wzorców podkreśla się, że system compliance:

• powinien być dostosowany do danego podmiotu i jego specyfiki,
• to tylko cześć całego systemu zarządzania przedsiębiorstwem.

W niniejszy artykule chciałbym pokrótce przedstawić wzorcowy system compliance (w ramach którego funkcjonowałby też system whistleblowingu).

Strategia przedsiębiorstwa

Według mnie każdy średni przedsiębiorca (czy też duży) powinien mieć spisaną strategię zarządzania, strategię zarządzania ryzykiem, politykę, procedury i plany. Oczywiście te dokumenty mogą nosić różne nazwy. Wszystko zależy od kultury organizacji. Powinny jednak być i funkcjonować. Samo sporządzenie dokumentacji bez wdrożenia i utrzymania systemu nie wystarczy.
System zarządzania zgodnością powinien być zorganizowany w tzw. trzy linie obronne:

• poziom pierwszy: zarządzanie ryzykiem w działalności operacyjnej,
• poziom drugi: działalność komórki do spraw zgodności,
• poziom trzeci: działalność komórki audytu wewnętrznego.

Za system zarządzania zgodnością odpowiada zarząd. Zarząd bowiem projektuje, wprowadza oraz zapewnia działanie systemu zarządzania zgodnością, dokonuje przeglądów strategii i procedur oraz procedur anonimowego zgłaszania naruszeń prawa, oraz obowiązujących procedur i standardów etycznych. Dotyczy to w szczególności:

• zapewnienia struktury organizacyjnej dostosowanej do wielkości i profilu ponoszonego ryzyka i umożliwiającej skuteczne wykonywanie zadań,
• opracowania, przyjęcia i powiązania strategii zarządzania przedsiębiorstwem z systemem zarządzania ryzykiem braku zgodności i systemem kontroli wewnętrznej,
• opracowania, przyjęcia i wdrożenia strategii i polityk oraz zapewnienia wdrożenia systemu, zgodnie z przyjętymi zasadami legislacji wewnętrznej, oraz monitorowania ich przestrzegania,
• ustanowienia odpowiednich zasad raportowania, w tym zasad raportowania zarządu do rady nadzorczej,
• zapewnienia przejrzystości działań przedsiębiorstwa oraz przyjęcia i wprowadzenia zasad polityki informacyjnej,
• wprowadzania niezbędnych korekt i udoskonaleń systemu zarządzania w przypadku zmiany wielkości i profilu ryzyka w działalności podmiotu oraz czynników otoczenia gospodarczego lub wykrycia nieprawidłowości w funkcjonowaniu systemu zarządzania.

System przestrzegania przepisów

W ramach zapewniania przez system przestrzegania przepisów prawa, regulacji wewnętrznych oraz standardów rynkowych:

• zarząd odpowiada za efektywne zarządzanie ryzykiem braku zgodności, rozumianym jako ryzyko skutków nieprzestrzegania przepisów prawa, regulacji wewnętrznych oraz standardów rynkowych,
• zarząd odpowiada za opracowanie polityki zgodności, zapewnienie jej przestrzegania i składanie radzie nadzorczej raportów (nie rzadziej niż raz do roku) w sprawie zarządzania ryzykiem braku zgodności,
• polityka zgodności zawiera podstawowe zasady zapewniania zgodności działania przedsiębiorstwa z przepisami prawa, regulacjami wewnętrznymi i standardami rynkowymi przez wszystkich pracowników, w tym podstawowe zasady zapewniania zgodności na wszystkich liniach obronnych, oraz wyjaśnia główne elementy procesu zarządzania ryzykiem braku zgodności,
• w przypadku wykrycia nieprawidłowości w stosowaniu polityki zgodności zarząd podejmuje odpowiednie działania w celu usunięcia tych nieprawidłowości, w tym środki naprawcze lub dyscyplinujące.

Rada nadzorcza sprawuje nadzór nad wprowadzeniem systemu zarządzania ryzykiem oraz ocenia (co najmniej raz w roku) adekwatność i skuteczność tego systemu.

Komórka do spraw zgodności

Ważnym elementem systemu compliance jest komórka do spraw zgodności lub oficer compliance. Do obowiązków komórki do spraw zgodności należy:

• opracowanie regulaminu jej funkcjonowania, określającego co najmniej cel, zakres i szczegółowe zasady działania,
• identyfikowanie ryzyka braku zgodności, w szczególności przez analizę przepisów prawa, regulacji wewnętrznych, standardów rynkowych oraz wyników wewnętrznych postępowań wyjaśniających,
• ocena ryzyka braku zgodności przez pomiar lub szacowanie tego ryzyka,
• projektowanie i wprowadzanie mechanizmów kontroli ryzyka braku zgodności,
• monitorowanie wielkości i profilu ryzyka braku zgodności po zastosowaniu mechanizmów kontroli ryzyka jej braku,
• okresowe przekazywanie raportów w zakresie ryzyka braku zgodności do zarządu i rady nadzorczej,
• wykonywanie ww. czynności na podstawie regulaminu funkcjonowania komórki do spraw zgodności oraz procedur i metodyk,
• dokumentowanie ww. czynności.

Niezależność

Bardzo ważna jest kwestia niezależności komórki compliance. Mają to zapewnić następujące działania:

• w przedsiębiorstwie powinny funkcjonować mechanizmy zapewniające niezależność komórki audytu wewnętrznego oraz komórki do spraw zgodności,
• regulamin funkcjonowania komórki do spraw zgodności powinien być zatwierdzony przez zarząd i radę nadzorczą,
• osoba kierująca komórką do spraw zgodności powinna mieć zapewniony bezpośredni kontakt z członkami zarządu i rady nadzorczej,
• osoba kierująca komórką do spraw zgodności lub osoby ją zastępujące powinna uczestniczyć w posiedzeniach zarządu oraz rady nadzorczej w przypadku gdy przedmiotem posiedzenia są zagadnienia związane z zapewnianiem zgodności, lub zarządzaniem ryzykiem,
• powołanie i odwołanie osoby kierującej komórką do spraw zgodności powinno odbywać się za zgodą rady nadzorczej po uprzednim jej wysłuchaniu,
• wynagrodzenie pracowników zatrudnionych komórce do spraw zgodności powinno zapewniać niezależność i obiektywizm wypełniania przez nich zadań oraz umożliwiać zatrudnianie osób o odpowiednich kwalifikacjach, doświadczeniu i umiejętnościach,
• w podmiocie powinny istnieć mechanizmy chroniące pracowników komórki do spraw zgodności przed nieuzasadnionym wypowiedzeniem umowy o pracę,
• komórka do spraw zgodności nie powinna być łączona z innymi komórkami organizacyjnymi, funkcjami i stanowiskami w przedsiębiorstwie. Pracownicy tej komórki nie powinni wykonywać innych obowiązków niż wynikające z zadań tej komórki,
• pracownicy komórki do spraw zgodności muszą mieć kwalifikacje, doświadczenie i umiejętności w zakresie zarządzania ryzykiem braku zgodności występującym w działalności podmiotu oraz muszą mieć dostęp do wszelkich niezbędnych informacji,
• zarząd jest odpowiedzialny za zapewnienie środków finansowych niezbędnych do skutecznego wykonywania zadań oraz systematycznego podnoszenia umiejętności
• i kwalifikacji przez pracowników komórki do spraw zgodności.

Oczywiście, nie każdy system compliance powinien tak wyglądać i to nie wszystko, o czym muszą państwo pamiętać. Dlatego warto korzystać z pomocy doświadczonych ekspertów compliance, którzy pomogą państwu wdrożyć odpowiedni system zarządzania zgodnością.
Mając to na uwadze, czyli stosunek ryzyk do korzyści wynikających z rzetelnego wdrożenia systemu compliance, warto jak najszybciej i z uwagą pochylić się nad tym zagadnieniem.
Szanowni Państwo – wdrożenia systemów zarządzania zgodnością czas zacząć.

Autor: Radca Prawny Paweł Bronisław Ludwiczak – Kancelaria Radcy Prawnego Paweł Ludwiczak, ekspert m.in. w zakresie compliance – www.ludwiczak-radcaprawny.pl