13 Wewnętrzne procedury ostrzegania

Instytucje powinny ustanowić i utrzymywać odpowiednią wewnętrzną politykę ostrzegania oraz procedury umożliwiające pracownikom zgłaszanie potencjalnych lub rzeczywistych naruszeń wymogów regulacyjnych lub wewnętrznych, w tym w szczególności wynikających z przepisów rozporządzenia (UE) nr 575/2013 oraz przepisów krajowych transponujących dyrektywę 2013/36/UE lub zasad zarządzania wewnętrznego, za pośrednictwem określonego, niezależnego i autonomicznego kanału. Od zgłaszających pracowników nie powinno się wymagać dowodów na wystąpienie naruszenia; powinni oni jednak mieć wystarczającą pewność, aby uzasadnione było wszczęcie dochodzenia. Instytucje powinny również wdrożyć odpowiednie procesy i procedury zapewniające przestrzeganie przez instytucje nałożonych obowiązków związanych z wdrożeniem do porządku krajowego dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/1937 z dnia 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii.

Aby uniknąć konfliktów interesów, powinna istnieć możliwość zgłaszania przez pracowników naruszeń poza normalną hierarchią służbową (np. za pośrednictwem komórki ds. zgodności z przepisami, komórki audytu wewnętrznego lub niezależnej wewnętrznej procedury sygnalizowania nieprawidłowości). Procedury ostrzegania powinny zapewniać ochronę danych osobowych zarówno osoby zgłaszającej naruszenie, jak i osoby fizycznej, której zarzuca się popełnienie naruszenia, zgodnie z rozporządzeniem 2016/679/UE³⁶ (RODO).

³⁶ Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).

Procedury ostrzegania powinny być dostępne dla wszystkich pracowników instytucji.

Informacje dostarczone przez pracowników za pośrednictwem procedur ostrzegania należy udostępnić organowi zarządzającemu oraz innym odpowiedzialnym komórkom określonym w polityce wewnętrznego ostrzegania. Na żądanie pracownika zgłaszającego naruszenie informacje powinny być przekazywane organowi zarządzającemu i innym odpowiedzialnym komórkom w sposób anonimowy. Instytucje mogą również ustanowić proces sygnalizowania nieprawidłowości, który umożliwia przekazywanie informacji w sposób anonimowy.

Instytucje powinny zapewnić, aby osoba zgłaszająca naruszenie była odpowiednio chroniona przed wszelkimi negatywnymi skutkami, np. odwetem, dyskryminacją lub innymi rodzajami niesprawiedliwego traktowania. Instytucja powinna zapewnić, aby żadna osoba pozostająca pod jej kontrolą nie represjonowała osoby, która zgłosiła naruszenie, a także podjąć odpowiednie środki przeciw osobom odpowiedzialnym za jakiekolwiek tego rodzaju represje.

Instytucje powinny również chronić osoby, których dotyczą zgłoszenia, przed wszelkimi negatywnymi skutkami w przypadku, gdy w trakcie dochodzenia nie znaleziono dowodów uzasadniających podjęcie środków przeciwko danej osobie. W przypadku zastosowania określonych środków instytucja powinna podjąć je w taki sposób, aby chronić daną osobę przed niezamierzonymi negatywnymi skutkami wykraczającymi poza cel podjętych środków.

W szczególności wewnętrzne procedury ostrzegania powinny:

• a. być udokumentowane (np. podręczniki dla pracowników);
• b. zawierać jasne reguły zapewniające traktowanie informacji dotyczących osób zgłaszających i zgłaszanych oraz naruszenia jako poufnych zgodnie z rozporządzeniem (UE) 2016/679, chyba że ich ujawnienie jest wymagane na mocy prawa krajowego w kontekście dalszych dochodzeń lub późniejszych postępowań sądowych;
• c. chronić pracowników, którzy zgłaszają obawy, przed represjami za ujawnienie naruszeń podlegających zgłoszeniu;
• d. zapewniać, aby zgłaszane potencjalne lub rzeczywiste naruszenia podlegały ocenie i przekazaniu na wyższy szczebel, w tym w stosownych przypadkach odpowiednim właściwym organom lub organom ścigania;
• e. zapewniać, w miarę możliwości, potwierdzenie otrzymania informacji dla pracowników zgłaszających potencjalne lub rzeczywiste naruszenia;
• f. zapewniać monitorowanie wyniku dochodzenia w sprawie zgłoszonego naruszenia; oraz
• g. zapewniać właściwe prowadzenie ewidencji.