Wypełnienie ustawowego obowiązku wdrożenia systemu whistleblowingowego, czyli wewnętrznych procedur zgłaszania naruszeń prawa oraz kanałów komunikacji dla sygnalistów, można podzielić na 4 etapy. Z uwagi na stosunkowo krótki czas na przeprowadzenie tego procesu poszczególne etapy mogą być realizowane równolegle.
1. Analiza sytuacji
Działania powinna poprzedzić staranna diagnoza tego, co już dobrze w firmie funkcjonuje, czego brakuje i co trzeba dostosować. Wiele podmiotów może bowiem posiadać już pewne procedury, związane nawet ze zgłaszaniem nieprawidłowości oraz kanały komunikacji, a więc również doświadczenie w prowadzeniu tego rodzaju działań.
W związku z tym, że nowe wymogi mają już charakter obligatoryjny dla dużej grupy podmiotów i są określone przez precyzyjne przepisy, konieczna będzie też ich dokładna analiza pod kątem prawnym. W przypadku organizacji posiadających w swoich strukturach dział prawny lub compliance działanie to nie powinno być dużym wyzwaniem.
Jednak, jeśli nie posiadamy wewnętrznie takich kompetencji, warto skorzystać z pomocy wyspecjalizowanej firmy – kancelarii prawnej lub firmy consultingowej zajmującej się tego typu sprawami, której przekażemy przeprowadzenie całego procesu.
2. Wyznaczenie osób w organizacji odpowiedzialnych za proces
Następnym krokiem jest wybór osoby lub komórki odpowiedzialnej za stworzenie systemu whistleblowingowego i jego obsługę w przyszłości, czyli przyjmowanie zgłoszeń oraz prowadzenie działań następczych. Ważne jest zweryfikowanie czy osoba w naszej organizacji ma odpowiednie kompetencje, by cały proces przeprowadzić własnymi siłami.
W większości przypadków ta odpowiedzialność przypada działowi compliance odpowiadającemu za zgodność procedur firmy z przepisami prawa, ale dość często tworzeniem systemu, a następnie jego obsługą zajmują się również komórki prawne lub HR. Nie ma również przeszkód prawnych, by osoba pełniąca funkcję Inspektora Ochrony Danych (IOD) była odpowiedzialna za whistleblowing, pod warunkiem braku konfliktu interesów, posiadania odpowiednich kompetencji oraz praktycznej możliwości łączenia obu obowiązków z należytą starannością.
Dobrym rozwiązaniem jest powierzenie poszczególnych elementów takiego projektu zewnętrznym firmom, które mają doświadczenie w tworzeniu procedur lub dostarczają gotowe rozwiązania do zbierania zgłoszeń. Takie podejście zwykle pozwala zaoszczędzić wiele czasu potrzebnego na poznanie przepisów i dostosowanie procedur wewnętrznych i jest optymalne pod względem finansowym niż np. tworzenie własnej aplikacji do komunikacji z sygnalistami.
Na osobie odpowiedzialnej za procesy whistleblowingowe, czyli przyjmowanie zgłoszeń i prowadzenie działań wyjaśniających, spoczywa duża odpowiedzialność. Z jednej strony taka osoba musi zapewnić, że działania będą realizowane zgodnie z przepisami, np. przekazywanie informacji zwrotnej sygnaliście o przyjęciu czy statusie zgłoszeń, pilnowanie terminów, zachowanie poufności, przetwarzanie danych zgodnie z RODO.
Z drugiej strony ta osoba musi zadbać o nadawanie odpowiedniego toku sprawom, aby system działał efektywnie, a zgłaszane problemy były badane i rozwiązywane. Samo przyjmowanie zgłoszeń będzie działaniem pozornym. Aby proces wzbudzał zaufanie i przynosił korzyści, organizacja musi adekwatnie reagować.
W zależności od wielkości danego podmiotu czy charakteru działalności warto zastanowić się, czy powierzyć taką odpowiedzialność jednej osobie poprzez rozszerzenie jej obowiązków, czy stworzyć osobne stanowisko i zatrudnić nowego specjalistę, a może powołać osobny dział składający się z kilku pracowników.
3. Stworzenie procedur i wybór kanałów komunikacji
Kolejnym etapem są ustalenie harmonogramu prac i ich realizacja. W zależności od stanu posiadanych kompetencji w ramach organizacji należy zdecydować, czy będzie ona samodzielnie tworzyć wewnętrzne procedury, czy zdecyduje się na wsparcie wyspecjalizowanych doradców.
W pierwszym wypadku konieczna jest dogłębna analiza samej ustawy. Niekiedy przedsiębiorstwa rozszerzają w swoich procedurach katalog wykroczeń, które będą przyjmować, o inne zdarzenia, które nie zostały ujęte w ustawie, np. łamanie wewnętrznych procedur czy mobbing.
Takie podejście na pewno firmie nie zaszkodzi, bo może wyeliminować także inne potencjalne problemy wewnętrzne i ograniczyć frustracje pracowników. Jednym z najważniejszych elementów systemów whistleblowingowych są kanały komunikacji do zgłaszania nieprawidłowości. Muszą one spełniać określone kryteria, m.in. pozwalać na dwustronną komunikację w celu przekazania informacji zwrotnej sygnaliście oraz pozyskania dodatkowych materiałów dowodowych wykroczeń, zapewniając ochronę prywatności osoby zgłaszającej zgodnie z RODO.
Z praktycznego punktu widzenia warto też postawić na kanały łatwe w implementacji w krótkim czasie i umożliwiające dostęp do nich jak najszerszej grupie potencjalnych sygnalistów.
Organizacje dotychczas stosowały raczej klasyczne sposoby zbierania zgłoszeń o nadużyciach, takie jak m.in. skrzynki na listy tradycyjne lub e-mail, infolinie czy rozmowy bezpośrednie. Jednak lepszym rozwiązaniem będzie wybór specjalnie zaprojektowanego do tego celu systemu informatycznego.
Na rynku istnieją aplikacje, które zostały stworzone specjalnie do zbierania zgłoszeń od sygnalistów. Z najnowszego badania Kantar wynika, że 98 proc. telefonów w naszym kraju to smartfony, więc dostępność kanału w formie aplikacji pozwoli na dostęp do niego zdecydowanej większości potencjalnych sygnalistów.
Odpowiednio zaprojektowany system będzie również znacznie bezpieczniejszy w kwestii ochrony prywatności sygnalisty, bo dostęp do danych osobowych oraz informacji zawartych w zgłoszeniu mają tylko osoby uprawnione. Kolejna kwestia to anonimowość sygnalisty – co prawda ostatni projekt ustawy nie wymaga od organizacji dopuszczenia tego rodzaju zgłoszeń, ale również nie zabrania.
Badanie, które przeprowadziło na nasze zlecenie ARC Rynek i Opinia pokazało, że 70 proc. pracowników oczekuje od systemu whistleblowingowego, aby zapewniał możliwość informowania pracodawcy o nieprawidłowości bez konieczności podawania danych osobowych. W przeciwnym razie możemy się spodziewać, że taka osoba nie podejmie działania i np. odejdzie z pracy lub o sprawie poinformuje bezpośrednio organ publiczny, a to oznacza dodatkowe problemy dla firmy.
Warto też pomyśleć o stronie praktycznej dla przedsiębiorstwa, czyli łatwości implementacji aplikacji, gdy mówimy o rozwiązaniach chmurowych, czy digitalizacji dokumentacji i automatyzacji pewnych procesów. Korzyści wynikających z inwestycji w technologie jest bardzo wiele.
4. Komunikacja wewnętrzna i edukacja pracowników
Niezwykle ważnym etapem wdrożenia systemu whistleblowingowego w firmie jest zapewnienie odpowiedniej komunikacji zmian w organizacji i edukacja pracowników w tym zakresie. Brak zrozumienia założeń i potrzeby stosowania procedur whistleblowingowych często skutkuje porażką i nieefektywnym działaniem systemu, bo pracownicy mogą nie mieć zaufania do działań firmy.
Istotna jest również rola liderów organizacji, ich zaangażowanie oraz odpowiedni sposób informowania o wadze prowadzonych działań. Tutaj warto odnieść się ponownie do wyników badania przeprowadzonego przez instytut badawczy ARC Rynek i Opinia, z którego wynika, że dotychczas tylko ok. 28 proc. pracowników zgłaszało nieprawidłowości w miejscu zatrudnienia, a blisko 44 proc. z nich nie informuje pracodawcy, bo uważa, że nie przyniesie to efektu.
Dostosowanie firmy do wymogów prawnych w kwestii ochrony sygnalistów może być dużym wyzwaniem dla firmy, zwłaszcza jeśli działania będą podejmowane na ostatnią chwilę, bez wymaganych kompetencji i pod presją czasu. Kluczowe jest jednak zrozumienie wagi istnienia systemów whistleblowingowych.
Zbieranie informacji o nieprawidłowościach w organizacji to w istocie źródło korzyści dla pracodawcy. Firma czy instytucja może w ten sposób lepiej poznać swoje słabości i odpowiednio szybko podjąć działania w celu ich wyeliminowania. Nierozwiązane problemy z czasem będą narastać i spowodują poważne konsekwencje jak odejścia pracowników, utrata reputacji firmy w oczach kontrahentów, a nawet kary finansowe od organów państwowych. Czy organizacje stać na takie ryzyko?
