Czy biznes powinien być apolityczny? A kadra zarządzająca? A compliance?

Czy biznes powinien być apolityczny?

Jakiś czas temu czytałem post, że biznes, właściciel, kadra zarządzająca i oficer Compliance powinni być apolityczni.

W tym ww. osoby prawne i osoby fizyczne nie powinny w socialmediach prezentować swych poglądów politycznych. 

Dlaczego?

1) Bo biznes ma robić tylko biznes i skupić się na wypracowaniu zysku. Liczy się tylko kasa misiu.

2) By nie dyskryminować pracowników. 

3) Pamiętaj, że jak zajmiesz stanowisko w jakieś politycznej sprawie to możesz podpaść władzy i ona udupi Twój biznes.

4) Bo tak każe etyka?

5) Bo stracisz pracowników?

Ad 1) Dla mnie biznes to nie tylko zysk ale przede wszystkim wartości. To właśnie oznacza:

a) przyjmowanie Kodeksów Etycznych i Kodeksów Etyki - prowadzenie biznesu zgodnie z wartościami

b) CSR

c) ESG 

d) DEI 

e) wsparcie praw człowieka 

f) przestrzeganie sankcji,

g) wsparcie Ukrainy

h) itd.

A teraz mamy z jednej strony podmiot - przedsiębiorcą, który wyznaje określone wartości i chce walczyć np. z katastrofą klimatyczną, wspierać niepełnosprawnych, osoby z doświadczeniem drogi (uchodźców lub imigrantów), a z drugiej strony mamy partie lub partię jawnie wyznającą inne wartości - popierającą dyskryminację mniejszości (niepełnosprawnych, LGBT itd.), zaprzeczającej katastrofie klimatycznej, straszących uchodźcami.

Obrona wartości przez przedsiębiorcę to będzie zajęcie jasnego stanowiska w polityce. 

Brak ich obrony to będzie hipokryzja.

Przy okazji, 100 lat temu wiele korporacji Niemieckich, Amerykańskich itd. współpracowało z Hitlerowcami bo liczył się zysk.

Dziś wiele podmiotów współpracuje z Ruskimi, w tym niektóre z Polski bo liczy się tylko kasa misiu. 

Czy tak postępuje etyczne podmioty?

Czy oficer Compliance powinien przymykać na to oko.

Jednocześnie wiemy z własnych doświadczeń, że w latach 2015-2023 spółki kontrolowane przez Skarb Państwa wspierały rządzącą partie i jej celem. Czyli jedno mają milczeć a drudzy mogą wykorzystać Spółki do swych politycznych celów i żerować na nich?

To jest niby Równość?

A biznes prywatny ma milczeć lub wspierać tylko tych co grożą? 

Ad 2) 

Dyskryminacja pracowników to nierówne traktowanie osób zatrudnionych, wynikające z cech, które nie powinny mieć wpływu na warunki pracy, takie jak płeć, wiek, religia, narodowość, niepełnosprawność, orientacja seksualna czy przekonania. Obejmuje to zarówno dyskryminację bezpośrednią, jak i pośrednią, a także molestowanie i nękanie w miejscu pracy.

Dopóki pracodawca nie przetwarza danych o poglądach politycznych pracowników (a co do zasady nie powinien) to nie widzę szans by poglądy polityczne Przedsiębiorstwa i top managementu, czy oficera Compliance dyskryminowały pracowników.

Ad 3) Strach przed mówieniem prawdy jest powszechny. Sam usłyszałem nie raz w latach 2015-23 "nie piętnuj grzechów władzy bo nie dostaniesz zleceń a i nas ich pozbawisz". 

Ten strach widać znów wraca.

Odwaga oznacza robienia tego co słuszne mimo strachu.

Owszem można dać sobie złamać kręgosłup. Można kierować się strachem. Tylko jak potem spojrzeć na siebie w lustrze

Poza tym strach tylko rozzuchwala agresora. Najpierw każe ci płacić haracz a potem zabierze Ci biznes.

Władza to zrobiła w Rosji czy na Węgrzech.

Chcemy tego samego w Polsce?

Czy w końcu biznes zacznie dbać o swoje przetrwanie. Bez praworządności i Demokracji biznes jest na łasce lub niełasce władzy. 

Ad 4) Etyka każe być apolitycznym urzędnikom, sędziom, służbom, mediom publicznym czyli sektorowi publicznemu - urzędnik, sędzia itd. ma podejmować decyzje zgodnie z prawem a nie zgodnie z interesem partyjnym.

Ale etyka nie każe być apolityczna biznesowi. Z jednym wyjątkiem - swoje usługi i towary sprzedaje nie pytając o przekonania polityczne klientów o ile nie łamie się przy tym prawa. Poza tym nie znam zasady Etyki nakazującej apolityczność biznesu. 

Za to wszędzie biznes wspiera różne partie. Byle by to robił zgodnie z prawem, jawnie i transparentnie. 

Poza tym należy odróżnić  politykę firmy od prywatnych przekonać członków Zarządu czy właścicieli. Choć powinny być one spójne z etyką podmiotu.

Ad 5) bo stracisz pracowników?

Hmmm. Pracowników nigdy nie straciłem z powodu swoich poglądów. Myślę, że pracodawcy nawet mogą zyskać jeżeli jawnie wspierają pewne wartości, np. prawa człowieka.

Natomiast straciłem paru partnerów biznesowych. Choć to był ich wybór. Jedni zachowali się w sposób bardziej Kulturalny. Drudzy mniej. No cóż. Wspólny biznes to zaufanie i wspólne wartości. Jeżeli tego nie ma to wspólny biznes nie ma sensu.

Nic nie poradzę na to, że skrajna prawica kopie głębokie rowy. Jednocześnie nie zamierzam ani nastawiać drugiego policzka ani milczeć w sytuacji gdy ważą się losy Polski.

Jednocześnie nie zamierzam milczeć czy tolerować neofaszyzmu, neonacjonalizmu, czy jak ktoś powtarza dezinformację czy propagandę Kremla. 

Na zakończenie dwie myśli:

1) "Do zwycięstwa zła, wystarczy milczenie dobrych ludzi" - "parafrazując do rządów złych ludzi wystarczy milczenie dobrych ludzi i dobrych przedsiębiorstw"

2) "11 przykazanie - nie bądź obojętny" - to dotyczy też biznesu - biznes, jak ludzie nie może być obojętny i milczeć.

Ostatnio widziałem jak neofaszyści i neonacjonaliści płakali, że się ich dyskryminuje.

Serio?

Faszyzm i nacjonalizm opiera się na dyskryminacji ludzi. Tę ideologie doprowadziły do śmierci milionów ludzi.

Tak jak komunizm, skrajna lewicowa ideologia jest zakazany przez prawo. Tak faszyzm, skrajna prawicowa ideologia jest też zakazany przez prawo.

Tyle że komunizm jest martwy.

A brunatna zaraza znowu podnosi głowę.

Płacze, że jest dyskryminowana, mimo że sama opiera się na dyskryminacji.

Mówi, że ma prawo głosić swą nienawiść i strach bo jest wolność słowa ale jednocześnie zamyka usta tradycyjnym mediom i biznesowi, każąc im być apolitycznymi lub je przejmując i zaprzęga do swej propagandy.   

Reasumując Biznes może milczeć i nie bronić wartości. Tylko, że gdy przyjdą po biznes, to nikt i nic go nie obroni. 

Hejt lub publikowanie wizerunku dzieci Polityków - to nie powinno mieć miejsca

Niestety zdarza się, że dzieci polityków są ofiarą hejtu lub publikowane są ich wizerunki bez zgody ich rodziców. W mojej ocenie dzieci polityków są tak samo chronione jak dzieci nie-polityków.

Przypominam, że hejt, w tym publikowanie wizerunku może stanowić czyn zabroniony opisany w: 

• art.207 KK – Znęcanie się. Kto znęca się fizycznie lub psychicznie nad osobą
• art. 190a KK – Stalking (Uporczywe nękanie). Kto przez uporczywe nękanie innej osoby lub osoby jej najbliższej wzbudza u niej uzasadnione okolicznościami poczucie zagrożenia, poniżenia, udręczenia lub istotnie narusza jej prywatność lub kto, podszywając się pod inną osobę, wykorzystuje jej wizerunek, inne jej dane osobowe lub inne dane, za pomocą których jest ona publicznie identyfikowana, w celu wyrządzenia jej szkody majątkowej lub osobiste
• art. 212 KK Zniesławienie. Kto pomawia inną osobę, grupę osób, instytucję, osobę prawną lub jednostkę organizacyjną niemającą osobowości prawnej o takie postępowanie lub właściwości, które mogą poniżyć ją w opinii publicznej lub narazić na utratę zaufania potrzebnego dla danego stanowiska, zawodu lub rodzaju działalności (kara jest surowsza, gdy sprawca dopuszcza się tego czynu za pomocą środków masowego komunikowania np. mediów społecznościowych),
• art. 216 KK – Znieważanie osoby. Kto znieważa inną osobę w jej obecności albo choćby pod jej nieobecność, lecz publicznie lub w zamiarze, aby zniewaga do osoby tej dotarła, 
• art. 107 ustawy ODO - Odpowiedzialność za bezprawne przetwarzanie danych osobowych - Kto przetwarza dane osobowe, choć ich przetwarzanie nie jest dopuszczalne albo do ich przetwarzania nie jest uprawniony

Ponadto sprawcę hejtu lub publikacji wizerunku można ścigać za naruszenie dób osobistych.

W mojej ocenie hejt, którego ofiarą się dzieci jest szczególnie karygodny i powinien być surowy i skutecznie ścigany i karany.

W ostatnim czasie były dwa przypadku hejtu, którego ofiarami były dzieci polityków.

Pierwszy to przypadek syna posłanki PO. W zemście politycznej (posłanka PO w Sejmie krytykowała partię ministra sprawiedliwości za blokowanie pieniędzy na KPO), TVP Info, a potem przez Radio Szczecin ujawniły dane, które umożliwiły natychmiastową identyfikację ofiar pedofila. Warto zwrócić uwagę, że było to 2 lata po złapaniu sprawcy i rok po jego skazaniu a Sąd utajnił proces dla dobra dzieci. Do ataku mediów publicznych dołączyli się posłowie PiS oraz ich zwolennicy w internecie. A 15 letni chłopak w wyniku tego stał się ofiarą hejtu i popełnił samobójstwo. Dopiero 4 dni po jego śmierci odezwał się Rzecznik Praw Dziecka (poprzedni). Co szczególnie karygodne zamiast przeprosić winę próbowali zrzucić na PO.

Drugi przypadek to hejt wobec córki Prezydenta Nawrockiego po tym jak pokazały ją telewizje w dniu ogłoszenia wyników wyborów po II turze. W tym przypadku w ciągu paru godzin Rzeczniczka Praw Dziecka od razu się odezwała w obronie dziewczynki.

Warto zauważyć w tej drugiej sprawie, że:

1) od razu odezwały się liczne głosy w obronie dziecka i to niezależnie od poglądów politycznych,

2) wiele osób naruszając prawo publikowało wizerunek dziewczynki. Nawet jak pisali w obronie dziecka to łamali prawo,

3) strona PiS`owska od razu próbowała obwinić o hejt swoich przeciwników politycznych oraz wykorzystać sprawę do ocieplenia wizerunku nowego Prezydenta,

4) strona rządowa od razu potępiła hejt wobec dziewczynki,

5) większość hejterów to były trollowe konta (bez zdjęcia i dziwnymi nazwiskami) co sugeruje, że to był socjotechniczny atak ze strony Rosji mający na celu zwiększenie polaryzacji w Polsce (która niestety już dziś jest na wysokim poziomie).

 

Ostatnio też zauważyłem podobny atak - tym razem ofiarą hejtu (rzekomo przeprowadzanego przez mieszkańców Miast) mieli być rolnicy dotknięci różnymi klęskami. Wygląda to na kolejną próbę polaryzacji Polaków i ataku na stronę prodemokratyczną. 

 

Ten i inne przypadki pokazują, że potrzebujemy skutecznego systemu walki z mową nienawiści w internecie i z dezinformację w internecie. Szczególnie gdy ofiarą są dzieci.

Co ciekawe pomysł ten zwalcza skrajna prawica niby w obronie Wolności Słowa i z obawy przed cenzurą, a obecny Prezydent zawetował zmianę Kodeksu Karnego by objąć ochroną prawnokarną grupy Polaków będące ostatnio często ofiarą mowy nienawiści.

W mojej ocenie konta w socialmediach nie powinny być anonimowe. Powinny być rzeczywiście i skutecznie weryfikowane, a osoby które łamią prawo, hejtują lub pomagają w dezinformacji powinny być blokowane i karane finansowo. Wpisy zawierające hejt (mowę nienawiści) lub dezinformację powinny być usuwane. 

Przypominam, nie publikujemy niczyjego wizerunku bez jego zgody, a szczególnie dzieci.

Po drugie hejt jest przestępstwem a hejt wobec dzieci jest czymś wyjątkowo karygodnym. 

Chrońmy dzieci niezależnie co uważamy o ich rodzicach i niezależnie od czynów i słów rodziców.  

 

Uważam, że w tej sprawie powinna być ogólnonarodowa zgoda. 

 

  

Siódma rocznica RODO

Dziś jest siódma rocznica RODO. RODO zostało opublikowane 9 lat temu, a obowiązuje 7 lata, od 25 maja 2018 r.

To było niezwykłe 9 lat. Najpierw wszyscy lekceważyli RODO. Potem 8 lat temu zaczęły się wdrożenia - żeby było ciekawie do dziś mam zlecenia na wdrożenia. W maju 2018 r. miałem pełny portfel zamówień aż do września. Druga połowa 2018 r. i pierwsza połowa 2019 r. to była hossa na szkolenia. Potem zapanowała cisza. Pojedyncze szkolenia i audyty. Bardzo pojedyncze.

O dziwo od dwóch lat znowu zaczął się ruch w interesie. Choć bądźmy szczerzy, że niewielki. Może dlatego, że UODO się uaktywniło i zaczęło wymierzać wysokie kary. Czasami absurdalnie wysokie jak 27 mln zł  dla Poczty Polskiej. Naprawdę chciałbym poznać politykę karania przyjęto przez UODO. Z prawa karnego wykonawczego wiem, że nie wysokość kary ale jej nieuchronność odstrasza od łamania prawa. Jednocześnie wiem, że edukacja jest najskuteczniejszą metodą zapobiegania. Osobiście jestem zdania, że:

1)  mam wrażenie, że UODO stwierdziło, iż będzie nakładało maksymalnie wysokie kary by zastraszyć podmioty. Naprawdę nie da się wydawać zaleceń lub symbolicznych kar? Jak nie wiecie jak to zrobić to spytajcie się Praktyków Compliance.

2) nadal leży edukacja. Naprawdę UODO nie może opublikować wzorców dla różnych kategorii podmiotów. Pomijam ile kasy poszło na szatę graficzną ostatniego poradnika i jednocześnie UODO już opublikowało wyjaśnienie do poradnika i organizuje kolejne webinary. 

3) UODO utkwiło mentalnie w ustawie o ochronie danych osobowych z 1997 roku. Nadal UODO stosuje checklisty by sprawdzić czy ktoś jest zgodny z RODO, mimo że RODO wymaga by podejmować adekwatne środki techniczne i organizacyjne.

4) następny absurd to wymaganie by każde zagrożenie, było szczegółowo uwzględnione w analizie ryzyk. Ostatnio UODO ukarało firmę pogrzebową za to, że nie przewidziała, że niekompetentny pracownik zgubi pudło z dokumentacją bo mu wypadnie z części bagażowej. Założę się, że analiza UODO też nie uwzględnia szczegółowo wszystkich potencjalnych ryzyk. Do tego jak wykorzystać analizę ryzyk w której mamy parę tysięcy ryzyk co daje dziesiątki lub setki tysięcy powiązań.

5) w mojej ocenie głównym celem RODO jest by nasze prawa i wolności lepiej były chronione. A UODO robi wrażenie, że ich głównym celem jest by podmioty stosowały prawo ochrony danych osobowych tak jak widzi i rozumie to UODO.

6) wizja UODO jak powinna wyglądać funkcja IOD`a to jakaś abberacja. Ma tylko ładnie pachnieć i wskazywać palcem co jest nie tak. Nawet nie może wysłać zgłoszenia o naruszenia do UODO mimo, że zgodnie z RODO jest punktem kontaktowym. UODO zamiast się skupić na tym, by IOD miał odpowiednie zasoby oraz podmiot korzystał z jego wiedzy oraz stosował się do jego zaleceń uparł się udowodnić de facto że IOD jest zbędnym kosztem. Dlatego na rynku od roku IOD`ów zastępują koordynatorzy ochrony danych osobowych. Robią to samo co IOD ale nie mają gwarancji niezależności itd.

Co ciekawe po politycznym PUODO, od ponad roku mamy nowego, niezależnego Prezesa Urzędu Ochrony Danych Osobowych. Obiecał, że będzie konsultował i słuchał środowisk eksperckich.Sam należę do dwóch. Do SPOD i do SABI. Wiedzy i wymiany doświadczeń, nigdy za dużo. Niestety jakoś postulaty praktyków ochrony danych osobowych nie przebijają się do PUODO.

Pochwalę za jedno OUOD. Wyszukiwarka decyzji PUODO - LINK

Brakuje tylko filtra: KARY/ZALECENIA i czy są prawomocne.

 

W chwili obecnej nadal eksperci od ochrony danych osobowych zmagają się:

1) z RODO - to w ogóle ciekawy temat jak ODO ewoluowała i ewoluuje i ile nadal stanowi problemów,

2) DORA,

3) NIS2,

4) AI,

5) nowymi regulacjami unijnymi.

Już w 2018 r. niezbędne były zespoły wdrożeniowe - bezpiecznik, informatyk i prawnik.

Dziś już wyraźnie widać, że w zakresie ochrony danych osobowych dochodzi do coraz większej specjalizacji.

Jeżeli w 2018 r. wydawało się, że można być IOD wszędzie i IOD może wszystko ogarnąć, to dziś wiadomo, że IOD`owie się specjalizują i IOD nie ma dziś szansy wszystkiego ogarnąć.

O ile w wyniku działań UODO w ogóle w ogóle ten zawód przetrwa. Bo boję się, że IOD`owie będą tylko tam gdzie wymaga prawo na 1/32 etatu i pro forma.

Przy ochronie danych osobowych:

1) nie da się nudzić,

2) cały czas coś się dzieje nowego i zawsze coś jest do poprawy,

3) człowiek non stop się uczy,

4) non stop zaskakuje mnie głupota ludzka - a jakbym wpisał to do analizy ryzyk? hmmm

Niech moc RODO będzie z wami.

 

Pamiętajcie:

1) zarządzanie ryzykiem to fundament,

2) komunikacja, w tym szkolenia to podstawa,

3) papier służy komunikacji i celom dowodowym.

Wspomnienia o Papieżach i kim będzie następny Papież?

Wczoraj zmarł Papież Franciszek. Niedługo odbędzie się czwarta konklawe za mojego życia.

Pierwsza konklawe wybrała parę miesięcy po moich narodzinach Jana Pawła II, pierwszego Polska Papieża.

Razem z Lechem Wałęsą to dwaj najwięksi i najbardziej znani Polacy drugiej połowy XX wieku.

Jan Paweł II ma swe zasługi i swoje grzechy. Zasługi Jana Pawła II to m.in.:

1) dodawał ducha Polakom za czasów PRL,

2) zwalczał bolszewizm (choć większość ludzi mówi że zwalczał Komunizm),

3) popierał obecność Polski w UE,

4) zwalczał nacjonalizm,

5) popierał dialog między religiami,

6) głośno popierał walkę z katastrofą klimatyczną i nie miał wątpliwości, że odpowiada za nią człowiek,

7) popierał pojednanie Polsko - Żydowskie, Polsko - Ukraińskie i Polsko - Niemieckie 

Grzechy Jana Pawła II to m.in.:

1) nie zwalczał skutecznie pedofilii w Kościele Katolickim,

2) zwalczał prawo do aborcji i antykoncepcji, 

3) był konserwatystą choćby w zakresie roli kobiet w Kościele,

4) tłumił debatę o tzw teologii Wyzwolonym i kościele obywatelskim, 

5) zapewnił dominującą rolę Kościoła w stosunkach z Państwem w Polsce.

Potem był Benedykt XVI. Papież z Niemiec, który zaczął jako postępowy teolog a skończył jako obrońca konserwatyzmu. Pierwszy Papież, który abdykował. Jego droga była pełna paradoksów. Wraz z Janem Pawłem II zamroził lub cofnął reformy soborowe. Jak poprzednik był bezradny wobec pedofili w Kościele Katolickim. Próbował jednak walczyć i próbował zreformować Kościół. Jego pontyfikat jest jednak bardzo dwuznaczny.

Potem był Franciszek Pierwszy Papież z Ameryki łacińskiej. Bardzo skromny i pokorny człowiek.

Na plusy zapisuję mu m.in.:

1) chciał Kościoła w duchu św. Franciszka, skromnego, służącego ludziom, 

2) popierał walkę z katastrofą klimatyczną,

3) upominał się o prawa LGBT, uchodźców itd.,

4) był przeciwnikiem nacjonalizmu.

Jednocześnie na minus:

1) nie nazwał Złem agresji Rosji na Ukrainę,

2) był Konserwatystą w zakresie roli kobiet w Kościele, zakazu aborcji itd., co ciekawe jednak atakowali go również Konserwatyści,

3) nie zreformował Kurii (jak poprzednicy). 

Obserwowałem trzech wielkich Papieży. Każdy był inny. Każdy był tylko i aż człowiekiem. Każdy ma swoje osiągnięcia i swoje porażki. Jaki będzie kolejny?

Konserwatysta, który uczyni z Kościoła Katolickiego zamkniętą sektę? Wielki reformator, który przywróci kapłaństwo kobiet, otworzy Kościół na osoby świeckie i dopuści małżeństwa kapłanów na wzór Kościołów wczesnochrześcijańskich?

Na pewno nowy Papież będzie musiał się zmierzyć m.in.  z:

1) reformą Kurii i Kościoła oraz starciem zwolenników Kościoła posoborowego i otwartego oraz "konserwatystami",

2) katastrofą klimatyczną i jej efektami w tym kolejną wielką wędrówką ludów,

3) wojnami w tym na wojną na Ukrainie,

4) nacjonalistami i neofaszystami, którzy chcą zagarnąć Kościół obiecując mu ochronę przed zmianami,

5) kolejną wielką rewolucją społeczną i technologiczną.

Natomiast mam takie marzenie by do Kościoła Katolickiego Papież wprowadził Compliance i by oficerami Compliance zostali świeccy i to najlepiej nie katolicy.

Chciałbym by Kościół stał się wzorem Etyki, Integrity i transparentności.

Kto wie?

Niech moc Compliance będzie z wami

Projekt "Kodeksu Dobrych Praktyk Nadzoru Właścicielskiego" autorstwa Ministerstwa Aktywów Państwowych

W zeszłym roku Ministerstwo Aktywów Państwowych w grudniu 2024 r. przeprowadzało konsultacje projekty: "Kodeksu Dobrych Praktyk Nadzoru Właścicielskiego".

Nadzór właścicielski to jeden z moich koników zawodowych. Mam w tym zakresie zarówno wiedze praktyczną jak i teoretyczną. Nie byłbym więc sobą, gdybym nie zgłosił uwag do "Kodeksu Dobrych Praktyk Nadzoru Właścicielskiego". A jakie one były?

Po pierwsze według mnie powinny się odbywać transparentne i otwarte postępowanie kwalifikacyjne na członków Rad Nadzorczych spółek Skarbu Państwa oraz spółek córek, z udziałem niezależnych podmiotów zaufania publicznego. Ponadto powinien powstać centralny portal ogłoszeń naborze/konkursach do organów Spółek Skarbu Państwa oraz ich spółek córek. 

Po drugie brak w Kodeksie zapisów o konflikcie interesów oraz ograniczenie w ilości Rad, w których można zasiadać - według mnie powinien być zapis, że nikt nie może zasiadać w więcej niż 2 Radach Nadzorczych.

Po trzecie, oprócz współpracy z audytem wewnętrznym i bezpośrednim raportowaniem przez niego do Rady nadzorczej powinny być analogiczne przepisy dotyczące:  działu zarządzania zgodnością (Compliance), działu przyjmowania zgłoszeń o naruszeniach, prowadzenia działań następczych i ochrony sygnalistów (whistleblowing), działu ochrony danych osobowych lub bezpieczeństwa, IOD, działu cyberbezpieczeństwa, działu zarządzania ryzykiem, działu zapewnienia ciągłości działania, działu zarządzania kryzysowego, działu strategii i analiz  oraz działu kontroli wewnętrznej. Osoby odpowiedzialne za te systemy powinny być powołane z udziałem Rady Nadzorczej i odwoływane tylko za jej zgodą oraz raportować bezpośrednio co najmniej raz do roku Radzie Nadzorczej.

Po czwarte w kodeksie brak zasad wynagrodzenia członków Rady Nadzorczej.

Po piąte w każdej Radzie Nadzorczej powinna zasiadać osoba posiadająca wiedzę prawną lub zakresu zarządzania zgodnością (Compliance).

Czy Ministerstwo Aktywów Państwowych uwzględni me uwagi?

A jakie ty miałbyś uwagi?

Potrzebujesz pomocy przy nadzorze właścicielskim?

Zapraszam do kontaktu

Czwarty krok we wdrożeniu systemów dla Sygnalistów - czyli never ending story

Napisałem już:

1) "Od czego zaczyna się wdrożenie systemu do przyjmowania zgłoszeń od sygnalistów?",

2) "Drugi krok we wdrożeniu systemów dla Sygnalistów" - czyli projektowanie systemu do przyjmowania zgłoszeń o naruszeniach, podejmowania działań następczych (w tym postępowań wyjaśniających) i ochrona sygnalistów,

3) "Trzeci krok we wdrożeniu systemów dla Sygnalistów" - wdrażanie systemu.

Jest też krok czwarty - zarządzanie systemem, kontrola systemu i doskonalenie systemu i to jest nigdy nie kończąca się historia (Never ending story). Według mnie powinien być to proces stały i obejmujący całą organizację. Tak jak ewoluuje i zmienia się organizacja i jej Kultura, tak też powinien zmieniać się ten proces.

Czy tak będzie? To zależy od świadomości i woli najwyższego kierownictwa. Czyli wracamy do początku naszego koła i pierwszego postu.

Przypominam:

Od 25 września br. muszą już funkcjonować systemy dla sygnalistów. Ci co mają już wdrożone systemy teraz prowadzą akcję edukacyjną, zarządzają systemami i szykują się do kontroli ich działania oraz doskonalenia.

Większość podmiotów (z sektora publicznego lub prywatnego) nie ma systemów lub ma jakieś potworki. 

Zabrakło woli i świadomości najwyższego kierownictwa.

Często też zawinili prawnicy i prawniczki, którzy zapomnieli, że jak się człowiek na czymś nie zna to nie powinien się dotykać. A znajomość RODO czy prawa pracy to coś zupełnie innego niż zarządzanie zgodnością (Compliance) czy  przyjmowanie zgłoszeń o naruszeniach, podejmowanie działań następczych (w tym postępowań wyjaśniających) i ochrona sygnalistów. 

Pisząc od ponad dwóch lat, że będzie gorzej niż z RODO miałem rację. Teraz wiem jak czuła się Kasandra.

No cóż piłka nadal w grze. Kto nie wdrożył, zawsze może wdrożyć. Kto źle wdrożył, zawsze może poprawić (choć często jest to trudniejsze niż zaczynanie na dziewiczym gruncie).

Niech moc Compliance będzie z wami.

Trzeci krok we wdrożeniu systemów dla Sygnalistów

Napisałem "Od czego zaczyna się wdrożenie systemu do przyjmowania zgłoszeń od sygnalistów?" i "Drugi krok we wdrożeniu systemów dla Sygnalistów" dziś czas napisać o trzecim kroku.

Przypomnę tylko, że w drugim kroku musimy zaprojektować system do przyjmowania zgłoszeń o naruszeniach, podejmowania działań następczych i ochrony sygnalistów. W trzecim kroku system należy wdrożyć.

W dużym skrócie należy:

1) przyjąć procedurę i zapoznać z nią osoby świadczące pracę,

2) uruchomić kanały zgłoszeń,

3) rozpocząć komunikację, w tym szkolenia w celu zmiany Kultury organizacyjnej,

4) wydać upoważnienia itd. osobom do przyjmowania zgłoszeń i prowadzenia działań następczych,

5) zacząć prowadzić rejestr itd,

6) zadbać by system przyjmowania zgłoszeń, prowadzenia działań następczych i ochrony sygnalistów działał skutecznie i efektywnie.

 

Przypominam:

25 września br. muszą już funkcjonować systemy dla sygnalistów,

18 września br. jest ostateczny termin przyjęcia procedury zgłoszeń wewnętrznych i zapoznania z nimi pracowników

W dniu  13 września minął ostatni możliwy termin do rozpoczęcia konsultacji procedury.

Zegar tyka, a czas się kończy.

 

Niech moc Compliance będzie z wami.

 

Drugi krok we wdrożeniu systemów dla Sygnalistów

Tydzień temu napisałem "Od czego zaczyna się wdrożenie systemu do przyjmowania zgłoszeń od sygnalistów?".

Dziś czas na drugi krok. W drugim kroku musimy zaprojektować system do przyjmowania zgłoszeń o naruszeniach, podejmowania działań następczych i ochrony sygnalistów.

W tym celu należy przeprowadzić audyt podmiotu, w tym ryzyk naruszeń, możliwości, zasobów i potrzeb.

To pozwoli:

1) opracować projekt procedury zgłoszeń, klauzul RODO, upoważnień itd. oraz zmianę innych dokumentów (np. RCP),

2) zaprojektować odpowiednie kanały zgłoszeń,

3) zaplanować system ochrony sygnalistów,

4) zaprojektować komunikację i szkolenia,

5) znaleźć osoby do przyjmowania zgłoszeń i prowadzenia działań następczych.

 

Pozwoli to zaprojektować adekwatny system przyjmowania zgłoszeń o naruszeniach, podejmowania działań następczych i ochrony sygnalistów.  

Jak znam życie wiele podmiotów pójdzie na skróty i kupi gotową dokumentację lub zamówi ją w kancelarii prawnej, która wcześniej tego nie robiła. I będzie jak z RODO. W wielu podmiotach dokumentacja wyląduje w segregatorze, a ten będzie się kurzył na półce.

Podmiot wyda kasę i będzie miał złudzenie, że ma system.

Odradzam.

 

Przypominam:

25 września br. muszą systemy dla sygnalistów,

18 września br. ostateczny termin przyjęcia procedury zgłoszeń wewnętrznych i zapoznania z nimi pracowników

Najlepiej 6 września, a najpóźniej  13 września (jeżeli przeprowadzimy 5 dniowe a nie 10 dniowe konsultacje) muszą się zacząć konsultacje procedury.

Zegar tyka, a czas się kończy.

 

Niech moc Compliance będzie z wami.

Od czego zaczyna się wdrożenie systemu do przyjmowania zgłoszeń od sygnalistów?

Od czego zaczyna się wdrożenie systemu do przyjmowania zgłoszeń o naruszeniach prawa od sygnalistów, prowadzenia działań następczych i ochrony sygnalistów?

Najpewniej mniej świadomi powiedzą, że od napisania procedury przyjmowania zgłoszeń.

Bardziej świadomi, że od audytu.

Prawdziwi eksperci wiedzą, że zaczyna się od decyzji najwyższego kierownictwa o wdrożeniu, a poprzedza ją świadomość najwyższego kierownictwa.

W tym miejscu chciałbym zwrócić uwagę, że kluczowa kwestia to czy najwyższe kierownictwo podejmuje decyzję o wdrożeniu bo:

a) musi - bo nakazuje to ustawa lub właściciel - wtedy często podejście jest niechętne bo nikt nie lubi być zmuszany do czegoś,

b) chce - bo rozumie cele tego systemu i chce go wdrożyć i nim zarządzać.

Najczęściej na diagramie x (muszę) y (chcę) każdy podmiot jest w innym miejscu.

Im bardziej najwyższe kierownictwo chce tym daje w praktyce większe wsparcie i zasoby.

Im bardziej najwyższe kierownictwo musi tym mniej chce i tym mniejsze wsparcie. 

Choć zdarzają się wyjątki.

Dlatego warto dbać by najwyższe kierownictwo na diagramie bardziej chciało, a mniej musiało.

A skąd się bierze świadomość najwyższego kierownictwa?

Albo najwyższe kierownictwo ma świadomość bo powstała ona wcześniej albo zdobywa ją:

a) z wnętrza organizacji - np. od pracownika

b) z zewnątrz organizacji - np. na konferencji, szkolenia, artykułu itp.

Mamy świadome najwyższe kierownictwo, podejmuje ono decyzję o wdrożeniu, bo musi bo mamy ustawę o ochronie sygnalistów. 

Następne pytania to kim i jak?

Ale o tym w następnym poście.

Niech moc Compliance będzie z wami.

A twoje najwyższe kierownictwo jest już świadome?

Dlaczego chronimy Sygnalistę? I czego nie rozumieją prawnicy teoretycy

Dlaczego organy publiczne, podmioty sektora publicznego i sektora prywatnego powinny chronić Sygnalistów?

Pierwszą odpowiedź, udzielona przez prawników teoretyków to: "bo przepisy nam nakazują". I zaraz dodają o ile:

a) zgłosi naruszenie prawa wymienione w ustawie (czyli np. jak sygnalista zgłosi wykorzystywania seksualnego kobiet, przestępstw białych kołnierzyków itd. to go nie będą chronić i nie przeprowadzą działań następczych?),

b) informację o naruszeniu sygnalista uzyskał w kontekście związanym z pracą (co więksi teoretycy chcą od sygnalisty by udowadniał że uzyskał informację o naruszeniu w kontekście związanym z pracą - a jak nie jest to co? Nie przeprowadzą działań następczych? Nie będą chronić sygnalisty?).

Druga odpowiedź, udzielona przez oficerów Compliance to: "bo tak nakazuje etyka". Skoro ktoś się naraża i zgłasza naruszenie prawa zamiast odwrócić wzrok to etyka nakazuje go chronić. Z punktu widzenia etyki widać, że nie ważne jakie naruszenie prawa zgłosi sygnalista i czy w kontekście pracy. Jak ktoś reaguje na zło to zasługuje na ochronę. Dlatego Whistleblowing świetnie pokazuje czy ktoś jest faktycznie CSR lub ESG czy też tylko ściemnia.

Trzecia odpowiedź praktyków Compliance brzmi: "bo skoro chcemy zwalczać i zapobiegać naruszeniom prawa, a najskuteczniejszy jest w tym system przyjmowania zgłoszeń o naruszeniach, prowadzenia działań następczych i ochrony sygnalistów to chronimy każdego Sygnalistę". Bo jak choć raz nie będziemy chronić Sygnalisty (bo zgłoszą naruszenie nie objęte ustawą lub nie w kontekście związanym z pracą) to nikt nam niczego nie zgłosi. Bo nam nie zaufa. Pracownik, kontrahent, stażysta itd. nie będzie się zastanawiał jakie naruszenie może zgłosić lub nie. Skoro naszym głównym celem (jak pisałem https://www.ludwiczak-radcaprawny.pl/2024/08/po-co-jest-ustawa-o-ochronie-sygnalistow.html?m=1 ) jest zwalczanie naruszeń prawa, a ochrona każdego Sygnalisty wspiera cel główny to odpowiedź dla praktyków Compliance jest prosta.

Pamiętajcie. Będziecie mieli zgłoszenia jak ludzie wam zaufają. Jak nie będzie chronić choć jednego Sygnalistę to stracicie zaufanie ludzi. Jak stracicie zaufanie ludzi to nie będzie zgłoszeń. Jak nie będzie zgłoszeń to nie będziecie wykrywać, zapobiegać i zwalczać naruszeń prawa.

Niech moc Compliance będzie z wami.

Po co jest ustawa o ochronie sygnalistów?

Zastanawiam się:

1) czemu ustawa o ochronie sygnalistów to taki bubel prawny,

2) czemu tyłu ekspertów non stop wypisuje tyle głupot o systemach dla sygnalistów lub ich wdrażaniu,

3) czemu systemy do przyjmowania zgłoszeń, prowadzenia działań następczych i ochrony sygnalistów są tak powoli i niechętnie wdrażane.

Według mnie wynika to z tego, że mało kto wie po co jest ta regulacja.

Ustawa o ochronie sygnalistów i wcześniejsza dyrektywa za swój główny cel ma: ochronę dóbr publicznych poprzez zwalczanie naruszeń prawa.

W tym celu powinny być wdrażane i zarządzane systemy do przyjmowania zgłoszeń, prowadzenia działań następczych i ochrony sygnalistów.

Przedmiotowe systemy mają:

1) pozwalać szybciej i efektywniej wykrywać naruszenia prawa,

2) zapobiegać naruszeniom prawa.

Wbrew nazwie to nie ochrona sygnalistów jest głównym celem. Ochrona sygnalistów też ma służyć celowi głównemu - ochronie dóbr publicznych poprzez wykrywanie, zapobieganie i zwalczanie naruszeń prawa. 

Ochrona sygnalistów po prostu zachęca kolejne osoby do zgłaszania naruszeń. Tak jak działania odwetowe zniechęcają sygnalistów do zgłoszenia naruszeń.

Oczywiście ochrona sygnalisty i innych osób jest bardzo ważna. Oczywiście RODO jest bardzo ważne.

Ale najważniejszym celem tej regulacji jest ochrona dobra publicznego i zwalczanie naruszeń prawa.  A wszyscy się skupiają na ochronie sygnalisty i RODO. Owszem to jest ważne ale nie to jest według mnie priorytet i cel główny.

Co do tego co może zgłaszać sygnalista.

Ograniczenia listy kategorii naruszeń prawa, jakie może zgłaszać sygnalista lub ograniczanie kim może być sygnalista służy tylko przestępcom i nie służy celowi głównemu - ochronie dóbr publicznych i walki z naruszeniami prawa.

To, że PIP i przedsiębiorcy zwalczali np. zgłaszanie naruszeń prawa pracy jest dla mnie abbercją. Przecież:

1) PIP jest m.in. od zwalczania naruszeń prawa, dlaczego więc pozbywa się najbardziej efektywnego narzędzia,?

2) przedsiębiorcom powinno zależeć by zwalczać łamanie prawa. Jak można być ESG lub odpowiedzialnym społecznie i nie chcieć zwalczać naruszeń prawa?

Dyrektywa ustawia standard minimum.

Nikt nie zabraniał byśmy w Polsce objęli ustawą zgłaszanie: wszystkich czynów zabronionych z kodeksu karnego, kodeksu karnego skarbowego, kodeksu wykroczeń, pozakodeksowych przepisów karnych, mobbingu, dyskryminacji oraz przepisów wymienionych w Dyrektywie.

Z możliwością objęcia systemem zgłoszeń innych przepisów w tym kodeksów etyki i przepisów wewnętrznych. 

W ten sposób najskuteczniej byśmy chronili dobra publiczne i zwalczali naruszenia prawa.

Bycie przedsiębiorcą to też obowiązki. Również ochrona dóbr publicznych. Tak jak każdego innego obywatela.

 

W interesie przedsiębiorcy jest jak najszybciej wykryć naruszenie prawa i podjąć działania następcze. Czyli w interesie przedsiębiorcy jest wdrożyć i zarządzać system dla sygnalistów. To inwestycja. 

 

A jak ktoś się chwali że jest ESG lub CSR i nie ma skutecznego systemu do przyjmowania zgłoszeń, prowadzenia działań następczych i ochrony sygnalistów to tylko maluje trawę na zielono. 

 

Już z kilkadziesiąt osób pytało mnie kiedy ustawa wchodzi i życie? Kiedy mogą zacząć pisać procedury i mogą je uzgadniać? Od kiedy muszą chronić sygnalistów.

Odpowiem, krótko:

1) ustawa wchodzi w życie 25 września

2) nie ważne ile masz pracowników, każdy podmiot publiczny i prywatny musi chronić sygnalistów (nawet jak nie ma procedury),

3) podmioty zobowiązane ustawą muszą przyjąć i wdrożyć procedurę do 25 września br. W dniu 25 września powinny u nich działać systemy przyjmowania zgłoszeń o naruszeniach, prowadzenia działań następczych i ochrony sygnalistów.

 

25 WRZEŚNIA 2024 r. 

Niech moc Compliance będzie z wami

W czym specjalizuje się Kancelaria Radcy Prawnego Pawła Bronisława Ludwiczaka? Czyli w czym mogą pomóc w związku z ustawą o ochronie sygnalistów

 

To już trzecia aktualizacja postu "W czym specjalizuje się Kancelaria Radcy Prawnego Pawła Bronisława Ludwiczaka?". Ponad rok temu była ostatnia aktualizacja (link). Myślę, że najwyższe pora znowu go ciut odświeżyć.

Jeżeli nie wiesz w czym się specjalizuję ja i moja kancelaria to nie musisz już szukać tej informacji. Wystarczy, że przeczytasz ten post.

Kancelaria Radcy Prawnego Pawła Bronisława Ludwiczaka specjalizuje się w:

1) Compliance czyli zarządzaniu ryzykami prawnymi i zgodnością,

2) Whistleblowing`u czyli systemach przyjmowania zgłoszeń od Sygnalistów (demaskatorów) i podejmowania działań następczych,

3) RODO - ochronie danych osobowych,

4) umowach gospodarczych,

5) spółkach handlowych, w tym nadzorze właścicielskim, due diligence oraz ładzie korporacyjnym,

W tym zakresie świadczę pomoc prawną w tym też szkolę, pomagam we wdrożeniu, audytuję i doradzam.

Występuję też na licznych konferencjach i warsztatach. Nie licząc paru wydarzeń niekomercyjnych, organizowanych przez moich przyjaciół, które wspieram by szerzyć Kulturę Compliance lub RODO, to mój występ na konferencji lub prowadzenie przeze mnie warsztatów jest co do zasady płatne. Nawet krótkie wystąpienie wymaga ode mnie godzin przygotowań, a mój czas kosztuje. Dodatkowo reklamuję wydarzenia, w których występuję co też ma swoją wartość bo jak powiedział w październiku 2022 r., przestawiając mnie jeden z organizatorów kongresu Compliance Day - jestem najbardziej znanym oficerem Compliance w Polsce.  Według mnie nie jestem najbardziej znanym ekspertem Compliance ale niewątpliwie przez ostatnie parę lat zbudowałem swoją markę i wizerunek. Więc wiesz kim jestem.

Moje zawodowe zainteresowania to analizy, strategia i zarządzanie. Jestem nietypowym prawnikiem, bo kocham liczby i zawsze o nie pytam (w końcu jestem po mat-infie) oraz patrzę biznesowo i całościowo na problemy. 

Prywatnie jestem molem książkowym (kocham m.in. szeroko pojętą fantastykę), kocham taniec towarzyski (trenowałem 18 lat), gry strategiczne, RPG, szachy i brydż. 

Nie znam się i nie świadczę pomocy prawnej choćby z podatków. Mam bowiem zasadę: Nie znasz się, to nie dotykaj.

Poza tym działam w segmencie B2B i B2G. Na rzecz osób fizycznych co do zasady nie świadczę pomocy prawnej (może się to kiedyś zmieni).

 

Zawsze też z chęcią polecą innego radcę prawnego, adwokata lub eksperta.  Zwłaszcza jak na czymś się nie znam.

Kilkadziesiąt tysięcy podmiotów sektora prywatnego i publicznego musi do 24 września br. wdrożyć systemy przyjmowania zgłoszeń wewnętrznych, prowadzenia działań następczych i ochrony sygnalistów. Parę tysięcy organów publicznych będzie musiało do 24 grudnia br. wdrożyć systemy przyjmowania zgłoszeń zewnętrznych.

Tak się składa, że m.in. wdrożyłem jeden z pierwszych systemów dla sygnalistów w sektorze publicznym. Jeżeli potrzebujesz eksperckiej i praktycznej wiedzy jak wdrożyć i zarządzać systemem dla sygnalistów to zapraszam do kontaktu w celu ustalenia warunków współpracy. 

No to teraz wiesz już kim jestem i w czym się specjalizuje Kancelaria Radcy Prawnego Pawła Bronisława Ludwiczaka.

W czym TOBIE mogę pomóc? :-)

Tanio nie będzie (choć w porównaniu z wielką czwórką jestem ciut tańszy).

Zapraszam do KONTAKTU

Szósta rocznica RODO

Wczoraj była szósta rocznica RODO. RODO zostało opublikowane 8 lat temu, a obowiązuje 6 lata, od 25 maja 2018 r.

To było niezwykłe 8 lat. Najpierw wszyscy lekceważyli RODO. Potem 7 lat temu zaczęły się wdrożenia - żeby było ciekawie do dziś mam zlecenia na wdrożenia. W maju 2018 r. miałem pełny portfel zamówień aż do września. Druga połowa 2018 r. i pierwsza połowa 2019 r. to była hossa na szkolenia. Potem zapanowała cisza. Pojedyncze szkolenia i audyty. Bardzo pojedyncze.

O dziwo od roku znowu zaczął się ruch w interesie. Może dlatego, że PUODO się uaktywniło.

Co ciekawe po politycznym PUODO, od paru miesięcy mamy nowego, niezależnego Prezesa Urzędu Ochrony Danych Osobowych. Trzymamy go za słowo, że będzie konsultował i słuchał środowisk eksperckich.

Sam należę do dwóch. Do SPOD i do SABI. Wiedzy i wymiany doświadczeń, nigdy za dużo.

W chwili obecnej eksperci od ochrony danych osobowych zmagają się:

1) nadal z RODO - to w ogóle ciekawy temat jak ODO ewoluowała i ewoluuje i ile nadal stanowi problemów,

2) DORA,

3) NIS2,

4) AI,

5) nowymi regulacjami unijnymi.

Już w 2018 r. niezbędne były zespoły wdrożeniowe - bezpiecznik, informatyk i prawnik.

Dziś już wyraźnie widać, że w zakresie ochrony danych osobowych dochodzi do coraz większej specjalizacji.

Jeżeli w 2018 r. wydawało się, że można być IOD wszędzie i IOD może wszystko ogarnąć, to dziś wiadomo, że IOD`owie się specjalizują i IOD nie ma dziś szansy wszystkiego ogarnąć.

Przy ochronie danych osobowych:

1) nie da się nudzić,

2) cały czas coś się dzieje nowego i zawsze coś jest do poprawy,

3) człowiek non stop się uczy.

Niech moc RODO będzie z wami.

 

Pamiętajcie:

1) zarządzanie ryzykiem to fundament,

2) komunikacja, w tym szkolenia to podstawa,

3) papier służy komunikacji i celom dowodowym.

Luźne przemyślenia oficera Compliance - szykuje się znowu piękna katastrofa, jak z RODO

Już wiem jak się czuła Kasandra. Choć raz chciałbym się pomylić w ważnej sprawie, ale nie. Literówki robię co kawałek ale w ważnej rzeczy jakoś nie mogę się mylić choćbym chciał. Ech...... 

W ostatnim poście Luźne przemyślenia oficera Compliance - dlaczego z sygnalistami będzie gorzej niż z RODO pisałem dlaczego z sygnalistami będzie jak z RODO. I każdy tydzień mnie utwierdza, że mam rację.Wielu moich kolegów i koleżanek myśli że wystarczy przeczytać ustawę i par książek i już się jest ekspertem. W końcu specjalista z prawa pracy lub karnista z sygnalistami też sobie poradzi. Machnie się procedurkę i już. Tak samo było kiedy wchodziło RODO. Sporo prawników poczuło zapach pieniędzy i zaczęło sprzedawać procedury strasząc olbrzymimi karami. Efekt jest taki, że do dziś po nich trzeba poprawiać, a wiele podmiotów nie ma systemu ochrony danych osobowych tylko półkowniki. Zbierającą kurz dokumentację. Teraz zaczynamy oglądać nową odsłonę tego zjawiska w związku z sygnalistami. 

Od paru lat piszę, występuję na konferencjach i tłumaczę z koleżankami i kolegami praktykami, że trzeba będzie wdrożyć system przyjmowania zgłoszeń, prowadzenia działań następczych (w tym wyjaśniających) i chronić sygnalistów. System trzeba zaprojektować pod organizację, wdrożyć a potem nim zarządzać. Elementem systemu (jednym z wielu) jest m.im. procedura, rejestr czy kanały. Najważniejsi są jednak ludzie i komunikacja.

A potem czytam posty prawników z wielkich i znanych kancelarii, że "procedura musi być dostosowana do podmiotu", "trzeba będzie kupić procedurę" itp. posty. Dużo o procedurze, czasami coś o kanałach a zero o systemie czy zmianie Kultury.

Jak zaczynałem w 2018/2019 r. pisać w Infor.pl Compliance i sygnalistach, nie pisał o nich prawie nikt. Teraz jak w końcu pojawił się projekt ustawy o ochronie sygnalistów w Sejmie nagle o sygnalistach piszą wszyscy. Założę się, że duże kancelarie zainwestują duże pieniądze by się wypromować jako eksperci od sygnalistów. Dam wam prostą radę. Jak będą pisać o procedurze, a nie systemach to po prostu chcą waszą kasę za półkownika. Zastanówcie się wtedy czy chcecie skuteczny system chroniący was i wasze organizacje czy chcecie kupić stertę papieru za grubą kasę od sławnej kancelarii.

Na koniec wieści z frontu legislacji, bo tu dużo się działo:

1) projekt ustawy o ochronie sygnalistów w Sejmie - druk nr 317 - sygnaliści się kłaniają

2) Projekt ustawy o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw - NIS 2 się kłania

3) Parlamenty Europejski przyjął  Dyrektywa w sprawie należytej staranności przedsiębiorstw w zakresie zrównoważonego rozwoju (Corporate Sustainability Due Diligence Directive, Dyrektywa CSDD) - ESG się kłania.

4) Na RLC mamy Projekt ustawy o zmianie ustawy o rachunkowości, ustawy o biegłych rewidentach, firmach audytorskich oraz nadzorze publicznym oraz niektórych innych ustaw - i znowu ESG się kłania

5) Na RLC mamy Projekt ustawy o zmianie niektórych ustaw w związku z zapewnieniem operacyjnej odporności cyfrowej sektora finansowego - DORA się kłania

6) dzieje się w prawie gospodarczym, np. na RLC mamy projekt ustawy o zmianie niektórych ustaw w celu deregulacji prawa gospodarczego i administracyjnego oraz doskonalenia zasad opracowywania prawa gospodarczego

7) a oprócz tego szykują się zmiany w AML, trwają prace nad standardami ESRS, planują rozwiązać CBA  - może po 8 latach przerwy znowu zaczniemy serio walczyć z korupcją - itd.

Oj 2024 r. zapowiada się ciekawie

Niech moc Compliance będzie z wami

Luźne przemyślenia oficera Compliance - dlaczego z sygnalistami będzie gorzej niż z RODO

Od blisko pięciu lat ostrzegam, że w przypadku systemów przyjmowania zgłoszeń, prowadzeniu postępowań następczych (w tym postępowań wyjaśniających) oraz ochrony sygnalistów (w skrócie systemy dla sygnalistów lub Whistleblowing) będzie w Polsce gorzej niż z wdrażaniem systemów ochrony danych osobowych po wejściu w życie RODO.

Dlaczego w Polsce wiele podmiotów nie ma skutecznych i efektywnych systemów ochrony danych osobowych? Po pierwsze wiele podmiotów w Polsce niestety nadal nie zna lub lekceważy prawo. Po drugie często za wdrożenia wzięły się kancelarie prawne, które nie miały doświadczenia w zarządzaniu systemami ochrony danych osobowych. Zaczęły one straszyć wielomilionowymi karami i wciskać klientom dokumentację RODO. Pomijając, że w RODO chodzi o ochronę praw i wolności osób, które dane się powtarza, o stworzenie skutecznego i efektywnego systemu ochrony danych osobowych (opartego na analizie ryzyka), a dokumentacja to tylko jedno z narzędzi tego systemu. Oczywiście dokumentacja u nich nie była tania. Z drugiej strony rynek psuły podmioty sprzedające dokumentację ze parek setek. W wyniku tego do dziś nawet w dużych firmach znajduję pokryte kurzem segregatory i Zarządy żyjące złudzeniem, że mają system, bo kupili dokumentację i 5 lat temu przeszli jakieś szkolenie. Na szczęście ochrona danych osobowych funkcjonuje w Polsce nie 5 lat (jak RODO) ale ćwierć wieku i mamy całe grono praktyków ochrony danych osobowych, które w zależności od wsparcia najwyższego kierownictwa zbudowali w wielu podmiotach lepsze lub gorsze systemy ochrony danych osobowych.

Od paru lat tłumaczę, że trzeba będzie w Polsce wdrożyć systemy dla sygnalistów, a procedura to akurat najłatwiejsza sprawa i nie jest to ani pierwszy ani ostatni krok. W tym roku ponieważ pojawiła się szansa, że w końcu w życie wejdzie ustawa o ochronie osób dokonujących zgłoszenia naruszeń, wiele kancelarii i firm poczuło kolejną po RODO żyłę złota. I się zaczęło pisanie i chwalenie kto to więcej i lepiej pisze procedur oraz jakie to one powinny być. Żeby było weselej robią to nawet renomowane i promujące się jako doświadczone w Compliance duże kancelarie. Ja rozumiem, że kasa musi się zgadzać i najtaniej i najłatwiej jest opchnąć klientowi procedurę lub parę procedur. Potem ewentualnie opchnąć swe usługi audytorskie, śledcze lub z zakresy obsługi sądowej (zależy jaki kto zbudował zespół).

Tylko takie podejście skończy się tym, że wiele firm będzie miało złudzenie, że spełniło wymagania, bo przecież mają kupioną za grubą kasę procedurę i ktoś ich parę lat temu przeszkolił.

W przypadku RODO, mieliśmy tysiące doświadczonych praktyków ochrony danych osobowych w sektorze publicznym i sektorze MSP. W przypadku Compliance już tak nie jest. Systemy dla sygnalistów czy compliance w sektorze publicznym czy MSP to wyjątek od reguły a nie zasada.  No i ochrona danych osobowych nie budzi takich problemów Kulturowych jak dokonywanie zgłoszeń i ochrona sygnalistów.

Piszę teraz do podmiotów, które będą wdrażały i zarządzały systemami dla sygnalistów - unikajcie jak ognia podmiotów, które będą oferować procedurę przyjmowania zgłoszeń i będą się chwalić ile to ich napisały. Szukajcie ekspertów doświadczonych we wdrażaniu i zarządzaniu systemami dla Sygnalistów i mówiących o systemach. Dostosowanych do podmiotu.

Nie chodzi by mieć procedurę. Chodzi o to by sygnaliści zgłaszali wam naruszenia, o to byście je rzetelnie wyjaśniali i podejmowali właściwe działania następcze i żebyście chronili sygnalistów. Na wyższym metapoziomie chodzi o bardziej etyczne, efektywne i skuteczne organizacje oraz bardziej zaangażowanych pracowników oraz minimalizację ryzyk.  Napisanie procedury to najłatwiejsze w tym wszystkim (a i to potrafią kancelarie popsuć pisząc długie i niezrozumiałe procedury).

Co do kanałów i aplikacji to każdy musi wybrać to co pasuje do jego Kultury. Choć to też trzeba robić z głową.

Niech moc Compliance będzie z wami

Ps a dla i wybaczcie jak się na LI przejadę publicznie po kimś kto zamiast o systemach będzie pisał  tylko o procedurach ale człowiek się męczy, tłumaczy a potem duża kancelaria lub firma doradcza wciska procedury, a nie edukuje, że potrzeba wdrożyć i zarządzać systemem. A i wymówka, że to tylko skrót myślowy nie podziała.