Luźne przemyślenia oficera Compliance - szykuje się znowu piękna katastrofa, jak z RODO

Już wiem jak się czuła Kasandra. Choć raz chciałbym się pomylić w ważnej sprawie, ale nie. Literówki robię co kawałek ale w ważnej rzeczy jakoś nie mogę się mylić choćbym chciał. Ech...... 

W ostatnim poście Luźne przemyślenia oficera Compliance - dlaczego z sygnalistami będzie gorzej niż z RODO pisałem dlaczego z sygnalistami będzie jak z RODO. I każdy tydzień mnie utwierdza, że mam rację.Wielu moich kolegów i koleżanek myśli że wystarczy przeczytać ustawę i par książek i już się jest ekspertem. W końcu specjalista z prawa pracy lub karnista z sygnalistami też sobie poradzi. Machnie się procedurkę i już. Tak samo było kiedy wchodziło RODO. Sporo prawników poczuło zapach pieniędzy i zaczęło sprzedawać procedury strasząc olbrzymimi karami. Efekt jest taki, że do dziś po nich trzeba poprawiać, a wiele podmiotów nie ma systemu ochrony danych osobowych tylko półkowniki. Zbierającą kurz dokumentację. Teraz zaczynamy oglądać nową odsłonę tego zjawiska w związku z sygnalistami. 

Od paru lat piszę, występuję na konferencjach i tłumaczę z koleżankami i kolegami praktykami, że trzeba będzie wdrożyć system przyjmowania zgłoszeń, prowadzenia działań następczych (w tym wyjaśniających) i chronić sygnalistów. System trzeba zaprojektować pod organizację, wdrożyć a potem nim zarządzać. Elementem systemu (jednym z wielu) jest m.im. procedura, rejestr czy kanały. Najważniejsi są jednak ludzie i komunikacja.

A potem czytam posty prawników z wielkich i znanych kancelarii, że "procedura musi być dostosowana do podmiotu", "trzeba będzie kupić procedurę" itp. posty. Dużo o procedurze, czasami coś o kanałach a zero o systemie czy zmianie Kultury.

Jak zaczynałem w 2018/2019 r. pisać w Infor.pl Compliance i sygnalistach, nie pisał o nich prawie nikt. Teraz jak w końcu pojawił się projekt ustawy o ochronie sygnalistów w Sejmie nagle o sygnalistach piszą wszyscy. Założę się, że duże kancelarie zainwestują duże pieniądze by się wypromować jako eksperci od sygnalistów. Dam wam prostą radę. Jak będą pisać o procedurze, a nie systemach to po prostu chcą waszą kasę za półkownika. Zastanówcie się wtedy czy chcecie skuteczny system chroniący was i wasze organizacje czy chcecie kupić stertę papieru za grubą kasę od sławnej kancelarii.

Na koniec wieści z frontu legislacji, bo tu dużo się działo:

1) projekt ustawy o ochronie sygnalistów w Sejmie - druk nr 317 - sygnaliści się kłaniają

2) Projekt ustawy o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw - NIS 2 się kłania

3) Parlamenty Europejski przyjął  Dyrektywa w sprawie należytej staranności przedsiębiorstw w zakresie zrównoważonego rozwoju (Corporate Sustainability Due Diligence Directive, Dyrektywa CSDD) - ESG się kłania.

4) Na RLC mamy Projekt ustawy o zmianie ustawy o rachunkowości, ustawy o biegłych rewidentach, firmach audytorskich oraz nadzorze publicznym oraz niektórych innych ustaw - i znowu ESG się kłania

5) Na RLC mamy Projekt ustawy o zmianie niektórych ustaw w związku z zapewnieniem operacyjnej odporności cyfrowej sektora finansowego - DORA się kłania

6) dzieje się w prawie gospodarczym, np. na RLC mamy projekt ustawy o zmianie niektórych ustaw w celu deregulacji prawa gospodarczego i administracyjnego oraz doskonalenia zasad opracowywania prawa gospodarczego

7) a oprócz tego szykują się zmiany w AML, trwają prace nad standardami ESRS, planują rozwiązać CBA  - może po 8 latach przerwy znowu zaczniemy serio walczyć z korupcją - itd.

Oj 2024 r. zapowiada się ciekawie

Niech moc Compliance będzie z wami

Ciekawostki z prawa handlowego i nie tylko - odcinek 43

Dziś chciałbym zwrócić uwagę członkom Rad Nadzorczych spółek akcyjnych, że zgodnie z art. 382 § 3w związku z § 3¹ Kodeksu Spółek Handlowych do obowiązków Rad Nadzorczych należy sporządzanie oraz składanie walnemu zgromadzeniu corocznego pisemnego sprawozdania za ubiegły rok obrotowy, czyli sprawozdania rady nadzorczej.

Sprawozdanie rady nadzorczej powinno między innymi obejmować ocenę sytuacji spółki, z uwzględnieniem adekwatności i skuteczności stosowanych w spółce systemów kontroli wewnętrznej, zarządzania ryzykiem, zapewniania zgodności działalności z normami lub mającymi zastosowanie praktykami oraz audytu wewnętrznego.

Czyli Rada Nadzorcza musi m.in. ocenić jak Zarząd wdrożył i jak zarządza m.in. systemem Compliance (zapewnienia zgodności). A co jak system Compliance nie funkcjonuje lub funkcjonuje pozornie?

A macie członkowie Rady Nadzorczej wiedzę jak to ocenić?

Jakby co służę pomocą. Oczywiście odpłatnie.

Ponadto w sprawozdaniu rady nadzorczej Rada Nadzorcza musi ocenić:

1) sposób sporządzania lub przekazywania radzie nadzorczej przez zarząd informacji, dokumentów, sprawozdań lub wyjaśnień,

2) sposób spełniania przez Zarząd obowiązku informacyjnego, tj. przekazywania informacji o:

a) uchwałach zarządu i ich przedmiocie;

b) sytuacji spółki, w tym w zakresie jej majątku, a także istotnych okolicznościach z zakresu prowadzenia spraw spółki, w szczególności w obszarze operacyjnym, inwestycyjnym i kadrowym;

c) postępach w realizacji wyznaczonych kierunków rozwoju działalności spółki, przy czym powinien wskazać na odstępstwa od wcześniej wyznaczonych kierunków, podając zarazem uzasadnienie odstępstw;

d) transakcjach oraz innych zdarzeniach lub okolicznościach, które istotnie wpływają lub mogą wpływać na sytuację majątkową spółki, w tym na jej rentowność lub płynność;

e) zmianach uprzednio udzielonych radzie nadzorczej informacji, jeżeli zmiany te istotnie wpływają lub mogą wpływać na sytuację spółki.

 

Czyli Rada Nadzorcza nie może się tłumaczyć, że o czymś nie wiedziała.

 

Przedmiotowe przepisy obowiązują od 13 października 2022 r.  Podobnych obowiązków nie mają w KSH spółki z o.o. i proste spółki akcyjne. Osobiście nałożyłbym te obowiązki na wszystkich średnich przedsiębiorców, w których są Rady Nadzorcze.

A przy okazji, jeżeli Rada Nadzorcza zawrze w swoim sprawozdaniu, przedłożonym Walnemu Zgromadzeniu, dane nieprawdziwe to popełni czyn zabroniony zagrożony karą grzywny, karą ograniczenia wolności albo pozbawienia wolności do lat 2. Jeżeli sprawca działa nieumyślnie podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. 

Radzę się więc przyłożyć do rzetelnego sporządzanie sprawozdania.

 

Niech moc Compliance będzie z wami.

ESG - jak rozpoznać ściemę część 3

W trzeciej części cyklu chciałbym poruszyć kwestię różnorodności.

Wiele podmiotów lubi potwierdzać, że ceni i dba o różnorodność. 

Jak sprawdzić czy to prawda czy nie?

Przecież nie będziemy pytać o rasę, orientację seksualną itd. 

Według mnie zawsze jednak warto sprawdzić parę rzeczy.

1) pierwsza to ilość procentową kobiet w organach Spółki i na różnych stopniach zaszeregowania - powinna być miarę stała. Różnica 10-30% na różnych stopniach zaszeregowania powinna wzbudzić naszą czujność. Należy też sprawdzić trend. Jeżeli im wyższe stanowisko to tym mniejszy udział procentowy kobiet, a w Zarządzie i wśród Dyrektorów nie ma ich wcale lub jest jedna na kilkanaście mężczyzn to mamy na 99% ESG ściemę.

Oczywiście warto uwzględnić charakter branży na każdym etapie analizy.

2) po drugie warto porównać średnie pensje oraz medianę wynagrodzenia kobiet i mężczyzn w różnych stopniach zaszeregowania. I jak wyżej różnica pomiędzy 10-30% powinna wzbudzić naszą czujność. 

3) po trzecie zawsze warto sprawdzić jak podmiot podchodzi do zatrudniania osób niepełnosprawnych lub nie neurotypowych.

Czy i jakie zapewnia im wsparcie?

Na jakich stanowiskach i na jakich warunkach ich zatrudnia?

Ilu ich zatrudnia?

Jakie jest realne podejście do tych osób w danym podmiocie?

 

Chciałbym zwrócić uwagę, że czasami zostanie nam przedstawiona osoba niepełnosprawna lub nie neurotypowa jako przykład dobrych praktyk w danym podmiocie. Warto się wtedy spytać o inne takie osoby by sprawdzić czy nie mamy do czynienia z tzw. "kwiatkiem do kożucha". 

Oczywiście raportowanie będzie się odbywać według określonych, jednolitych standardów – ESRS.

Tylko papier nie wszystko nam powie.

Według mnie wdrożenie ESG powinno zmienić Kulturę organizacyjną danego podmiotu. A kulturę tworzą ludzi.

A ty faktycznie wdrażasz ESG czy tylko na papierze wszystko ma się zgadzać?

Sprawdzimy?

Ps moje wynagrodzenie za audyty jest płatne z góry bo zwykle kogoś boli prawda jaką ujawnię, a nienawidzę jak ktoś nie płaci w terminie.

ESG - jak rozpoznać ściemę część 2

Tydzień temu opublikowałem post "ESG - jak rozpoznać ściemę część 1" dziś czas na część drugą.

Zawsze na początku audytu proszę o przedstawienie dokumentacji. Często już wtedy wychodzi, że podmiot tylko ściemnia, że ma system (ESG, Compliance, ODO itd.). Dziś chciałbym opowiedzieć o dwóch klasycznych takich przypadkach.

W Spółce A, po mojej prośbie o dokumentację, dostałem tylko umowę Spółki i regulamin organizacyjny oraz informację, że żadnej innych procedur, polityk, regulaminów, rejestrów itd. z mojej listy nie mają. Zadałem  jeszcze parę pytań kontrolnych na wszelki wypadek i wyszło, że tam nie ma żadnego systemu. O wszystkim decyduje Prezes, raz tak drugi raz inaczej według swojego widzimisię. W podmiocie panował chaos, a Prezes miał władzę absolutną. Pozostało mi tylko sporządzić listę niezgodności i braków. Po tym jak już napisałem, że Spółce nie ma systemu.

W Spółce B, po mojej prośbie o dokumentację, dostałem wszystkie dokumenty z mojej listy plus parę innych. Problem polegał na tym, że najmniejszy z nich liczył kilkadziesiąt stron a polityka bezpieczeństwa Systemu Ochrony Danych Osobowych liczyła prawie 400 stron. Spytałem kto przeczytał tą całą politykę. Usłyszałem, że każdy przeczytał i podpisał oświadczenie, że zna Politykę. Szybka kontrola wykazała, że każdy pracownik podpisał oświadczenie, że przeczytał i zna parę tysięcy stron dokumentacji. Od strony formalno-prawnej Spółka się zabezpieczyła. Siebie zabezpieczyła. Z własnego doświadczenia wiem, że nie licząc mnie mało kto wszystko czyta co podpisuje. Większość ludzi jest w stanie przeczytać i zapamiętać maksymalnie kilkanaście stron tekstu. Dlatego zwykle piszę paro stronicowe procedury. Nieliczni przeczytają i zapamiętają kilkadziesiąt stron. Nikt oprócz takich wariatów jak ja nie przeczyta kilkaset stron i nawet ja nie zapamiętałbym takiej ilości treści. A oni mieli kilka tysięcy stron procedur. Według mnie na 100% nikt nie przeczytał tych wszystkich procedur, a o ich ścisłym stosowaniu już nie wspomnę. W mojej ocenie system był tam wdrożony pozornie.

Reasumując, za mało dokumentacji źle ale za dużo dokumentacji również źle.

Oczywiście dokumentacja to nie system. To tylko jedno z narzędzi (środków), służące do osiągnięcia celu i spełnienia zasady rozliczalności. Wdrożenie systemu zawsze oznacza wdrożenie adekwatnych środków technicznych i organizacyjnych oraz zmianę kultury organizacyjnej danego podmiotu. 

Oczywiście sprawdzenie papierów to tylko pierwszy krok z wielu.

A ty faktycznie wdrażasz ESG czy tylko na papierze wszystko ma się zgadzać?

Sprawdzimy?

Ps moje wynagrodzenie za audyty jest płatne z góry bo zwykle kogoś boli prawda jaką ujawnię, a nienawidzę jak ktoś nie płaci w terminie.

ESG - jak rozpoznać ściemę część 1

Zgaduję, że wiesz co oznacza skrót ESG (E od Environmental to po polsku środowisko, S od Social Responsibility to po polsku społeczna odpowiedzialność i G od Corporate Governanceto po polsku Ład korporacyjny. ESG nazywany też “Kryteriami zrównoważonego i odpowiedzialnego rozwoju”).

Niedługo wiele Spółek będzie musiało raportować wskaźniki ESG.

Już powstają i działają firmy by w papierach się wszystko zgadzało. 

Jednak często to całe raportowanie i chwalenie się to większa lub mniejsza ściema.

Według mnie bowiem wdrożenie i utrzymanie systemu ESG powinno oznaczać prawdziwą zmianę Kultury organizacyjnej Spółki w każdym z trzech aspektów ESG oraz realne i praktyczne działania.

Pomyślałem sobie, że napiszę cykl artykułów jak rozpoznać ściemę ESG.

Pomyślmy, jak bym zweryfikował dużą korporację np. Allegro, Santander Bank, In post, CD Projekt?

Przeglądam sobie czasami listy pytań. 

I wymyśliłem jak zweryfikować zarazem S (społeczną odpowiedzialność) jak i G (ład korporacyjny) w praktyce.

Należy np. sprawdzić dwie rzeczy:

1) ile osób pracuje na umowy B2B a nie umowę o pracę

2) jak wygląda uzwiązkowienie i stosunek do związków zawodowych lub prób założenia takich związków zawodowych.

Zwłaszcza to drugie powinno bezwzględnie zweryfikować czy korporacja jest ESG czy ściemnia.

A dla mnie jako audytora liczy się praktyka a nie deklaracje na papierze - bo papier wszystko przyjmie i po czynach ich poznacie nie słowach.

W biznesie stworzonym przez neoliberalizm lub opartym na kulturze folwarcznym (nadal zmagamy się z tym spadkiem) przyjęło się traktować związki zawodowe jako wrogie biznesowi/właścicielom. Dlatego wiele korporacji w praktyce albo zwalcza związki zawodowe ale próbuje je zamienić w posłuszne podmioty. Taki censjonowany i kontrolowany przez pracodawcę związek zawodowy lub brak związków przy zapewnieniach korporacji że szanują stronę społeczną (gdy w praktyce zwalczają związki zawodowe już w zarodku) pozwala na ESG ściemę.

Dla korporacji lepiej jak związku w ogóle nie ma. Nikt nie upomina się o podwyżki, o lepsze warunki pracy, nie broni pracowników, nie chodzi, nie pyta i nie patrzy na ręce.

Tyle, że związki zawodowe to ważna część podmiotu. Dba o:

1) komunikację pomiędzy Zarządem a pracownikami, 

2) prawa pracowników i ich dobrostan (co ciekawe ostatnio dużo się mówi, że pracownicy są najważniejsi a w praktyce korporacje zwykle traktują ich jak koszt - dlatego albo ścinają koszty albo śrubują coraz bardziej normy (KPI)),

3) równowagę pomiędzy Kapitałem a pracą,

4) itd.

Szybkie prześwietlenie prasy i blogów ujawniło nazwy paru korporacji, które raportują ESG, chcą uchodzić za etyczne i społecznie odpowiedzialne a jednocześnie zwalczają związki zawodowe lub trzymają tylko censjonowany związek zawodowy. Żeby było zabawnie dostają różne laury i odznaczenia. No bo w papierach wszystko się zgadza. 

W mojej ocenie jeżeli korporacja zwalcza związek zawodowy to jej ład korporacyjny jest ułomny a społeczna odpowiedzialność to fikcja lub w najlepszym razie jest ona ułomna.

Oczywiście z drugiej strony wiele związków zawodowych nie dorosło do swojej roli lub jej nie rozumie. Jak działacze związku zawodowego bawią się w politykę, interesują ich tylko ich stanowiska, wpływy lub nie daj Boże biznesy to dla mnie to jest parodia związku zawodowego. Ale wiem też, że są związki, które działają inaczej. Coraz częściej korzystają one z pomocy ekspertów i potrafią być prawdziwym partnerem dla Zarządu oraz zwalczać dyskryminację, mobbing itp. patologie w organizacji. Miejmy nadzieję, że staną się one standardem.

Co do umów B2B. To częsty sposób by po prostu zejść z kosztów i móc szybko pozbyć się kosztów, ups, szybko pozbyć się pracownika lub móc obchodzić prawo pracy - np. czas pracy.

Te umowy jeszcze mają sens przy wysoko opłacanych ekspertach i stanowiskach zarządczych lub kierowniczych. O ile nie są narzucane jako standard.

Poza tym to według mnie zwykle czysty wyzysk i obchodzenie przepisów.

A jak w praktyce weryfikuję ściemy?

To już mój know-how. Zdradzę tylko, że sprawdzenie papierów to tylko pierwszy krok z wielu.

Natomiast w wyniku audytów piszę jak jest, a nie wystawiam laurek. Jak chcesz laurkę to musisz poszukać innego audytora. 

A ty faktycznie wdrażasz ESG czy tylko na papierze wszystko ma się zgadzać?

Sprawdzimy?

Ps moje wynagrodzenie za audyty jest płatne z góry bo zwykle kogoś boli prawda jaką ujawnię, a nienawidzę jak ktoś nie płaci w terminie.