Obecnie trwają prace nad nową ustawą o odpowiedzialności podmiotów zbiorowych za czyny zabronione pod groźbą kary. Regulacja ta ma wymusić na przedsiębiorcach wprowadzenie skutecznych mechanizmów compliance. Wszystko to pod rygorem zastosowania poważnych sankcji i to nie tylko finansowych. Jakim zmianom mają ulec reguły odpowiedzialności podmiotów zbiorowych? W jaki sposób jej uniknąć? Odpowiadamy!
Co właściwie oznacza pojęcie compliance?
Działania compliance, które określa się również mianem compliance management system (CMS), stanowią grupę zasad, praktyk i schematów, które powinny zapewnić zgodne z prawem działanie danej organizacji oraz kontrolę czynności podejmowanych przez osoby, które występują w jej imieniu.
Mimo iż samo pojęcie CMS nie posiada własnej, legalnej definicji, to w literaturze przyjęto, iż stanowi „całokształt środków i procesów w danej organizacji, które mają na celu wykrycie ryzyka niezgodności i zarządzanie nimi w ten sposób, aby żaden z członków organizacji nie dopuścił się naruszenia obowiązujących regulacji, czyli zachował się z nimi zgodnie.”
W rezultacie nie da się wskazać jednego, uniwersalnego pojęcia compliance w organizacji. Każde przedsiębiorstwo funkcjonuje bowiem na innych zasadach. Jednocześnie uznaje się, że podstawy systemu CMS to:
- prawidłowa identyfikacja ryzyka (np. prawnego, finansowego, organizacyjnego),
- opracowanie protokołów, polityk i procedur oraz ich aktualizowanie,
- wytypowanie osoby lub działu odpowiedzialnego za rozstrzyganie sytuacji wątpliwych.
Jakie podmioty obejmuje regulacja nowej ustawy?
Reguły compliance według brzmienia ustawy dotyczą podmiotów zbiorowych. Według artykułu 2 pkt 1 nowego aktu, podmiotami zbiorowymi są:
- osoba prawna,
- jednostka organizacyjna nieposiadająca osobowości prawnej, którym odrębne przepisy przyznają zdolność prawną (np. spółki osobowe),
- spółki prawa handlowego z udziałem Skarbu Państwa,
- jednostki samorządu terytorialnego i ich związki,
- spółka kapitałowa w organizacji,
- podmiot w stanie likwidacji,
- przedsiębiorca niebędący osobą fizyczną, z wyłączeniem Skarbu Państwa, jednostek samorządu terytorialnego i ich związków.
Warunek podlegania ustawie to posiadanie siedziby bądź prowadzenie działalności gospodarczej na terytorium Rzeczypospolitej – chyba że czyn zabroniony został popełniony na terytorium RP albo tam wystąpił jego skutek, bądź też był skierowany przeciw podmiotowi polskiemu.
Nowe zasady odpowiedzialności podmiotów zbiorowych
Zgodnie z projektem nowego aktu ma dojść do wprowadzenia daleko idącej odpowiedzialności podmiotów zbiorowych nie tylko za działania własne, ale i za czyny zabronione popełnione przez podmioty współpracujące.
Według artykułu 5 ust. 1 i 2 ustawy, podmiot zbiorowy (organ lub członek tego organu) odpowiada za czyn zabroniony, którego znamiona zostały wyczerpane przez działanie lub zaniechanie pozostające bezpośrednio w związku z prowadzoną przez ten podmiot działalnością. Odpowiedzialność została rozszerzona również na czyny pozostające w bezpośrednim związku z działalnością gospodarza podmiotu popełnione przez:
- osobę fizyczną uprawnioną do jego reprezentowania, podejmowania w jego imieniu decyzji lub sprawowania nadzoru, w związku z jej działaniem w interesie lub na rzecz tego podmiotu,
- osobę fizyczną dopuszczoną do działania przez jego organ lub członka organu wskutek nadużycia uprawnień lub niedopełnienia obowiązków,
- osobę zatrudnioną przez podmiot w związku ze świadczeniem pracy na jego rzecz.
Trzeba zaznaczyć, że zgodnie z nowym projektem podmiot zbiorowy jest odpowiedzialny za wszystkie czyny zabronione pod groźbą kary jako przestępstwo lub przestępstwo skargowe (z wyłączeniem przestępstw prywatnoskargowych).
Na czym polega pośrednia działalność przedsiębiorcy?
Według art. 6 nowej ustawy o odpowiedzialności podmiotów zbiorowych przewidziano odpowiedzialność nawet w przypadku pośredniego odniesienia korzyści w wyniku popełnienia czynu zabronionego przez:
- podwykonawcę lub innego przedsiębiorcę będącego osobą fizyczną, jeżeli czyn zabroniony pozostał w związku z wykonaniem umowy zawartej z podmiotem zbiorowym,
- pracownika albo osobę upoważnioną do działania w interesie albo na rzecz przedsiębiorcy niebędącego osobą fizyczną, jeżeli czyn zabroniony pozostawał w związku z wykonaniem umowy na rzecz tego przedsiębiorcy.
Do pociągnięcia podmiotu zbiorowego do odpowiedzialności dyscyplinarnej wystarczy, aby organ, jego członkowie lub osoby zatrudnione wiedziały albo przy zachowaniu należytej staranności mogły się dowiedzieć o popełnieniu lub próbie popełnienia czynu zabronionego.
Jak widać, mowa tutaj nie tylko o zdobyciu wiedzy podczas wykonywania obowiązków służbowych, ale również dołożeniu należytych starań, których można wymagać od osób wykwalifikowanych i właściwie przygotowanych do zajmowania konkretnego stanowiska.
W ustawie podkreślono także, że do odpowiedzialności za pośrednią korzyść wystarczy spełnienie przesłanki niewłaściwej organizacji organu zbiorowego, która dawałaby możliwość lub ułatwiała popełnienie czynu zabronionego.
Aby uniknąć odpowiedzialności wynikającej z tej ustawy, podmiot zbiorowy musi udowodnić, że dokonał należytej staranności, która jest wymagana we wskazanych okolicznościach oraz w nadzorze nad tą działalnością w zakresie:
- wyboru współpracowników,
- nadzoru nad osobami trzecimi,
- organizacji działania wewnętrznego.
W celu wykazania przesłanki dochowania należytej staranności, należy wcześniej wdrożyć właśnie politykę compliance. Na czym to właściwie polega?
W jaki sposób wykazać wdrożenie procedury compliance w firmie?
Wszystkie organizacje mają własny model funkcjonowania, więc wskazanie jednego słusznego wzorca postępowania compliance nie będzie możliwe. Jednak można wskazać pewne praktyki, które są najczęściej stosowane przez podmioty zbiorowe w nawiązaniu do artykułu 6 ust. 4 nowej ustawy. Będą to na przykład:
- Uregulowanie zasad postępowania w razie zagrożenia popełnienia czynu zabronionego lub skutków niedochowania reguł ostrożności
W procedurach organizacyjnych można przewidzieć np. obowiązek złożenia zawiadomienia możliwości popełnienia przestępstwa do organów ścigania i wskazać odpowiedzialną za to osobę. Druga opcja to przewidzenie odpowiedzialności dyscyplinarnej za dopuszczenie się konkretnych zaniedbań.
- Określenie zakresu odpowiedzialności organów, komórek organizacyjnych, pracowników i osób uprawnionych do działania w jego imieniu
Kolejny sposób wdrożenia zasad compliance to enumeratywne wyliczenie zakresu obowiązków organów oraz ich poszczególnych członków. Dzięki temu możliwe będzie jednoznaczne wskazanie, kto dopuścił się danego uchybienia i kiedy (na jakim etapie) miało to miejsce.
- Powołanie Compliance Officera lub działu compliance
W ustawie znajdziemy też sugestię, aby utworzyć odrębne stanowisko (lub nawet całą komórkę), które będzie odpowiadać za kontrolę prawidłowości procedur w przedsiębiorstwie. Dział compliance sprawuje kontrolę nad bieżącą oceną całokształtu procesów zachodzących w firmie. Oczywiście nie ma przeszkód, aby w celu monitorowania systemu CMS zatrudnić firmę zewnętrzną, która zajmie się nadzorem nad prawidłowością procedur.
- Umożliwienie zgłaszania nieprawidłowości
Kolejny krok to utworzenie procedur, które pozwolą na skuteczny obieg informacji oraz niezwłoczne podejmowanie stosownych działań. Sposobem na wykazanie spełnienia tej przesłanki może być wdrożenie odpowiednich standardów ISO, np. 27001 i 27017, które odpowiadają za ustandaryzowanie ochrony informacji (także tych umieszczanych w chmurze).
Artykuł 11 ustawy mówi o obowiązku utworzenia odrębnego kanału dla sygnalistów – osób, które zgłaszają pracodawcy naruszenia prawa, o których mają wiedzę. Wdrożenie tego obowiązku wspomaga nowa unijna dyrektywa o ochronie praw sygnalistów (niestety w polskim porządku prawnym ustawa implementująca dyrektywę nadal znajduje się na etapie konsultacji). Uwaga: obowiązek ten uznano w ustawie za tak ważny, że w artykule 15 ust. 1 in fine wprowadzono możliwość podwojenia sankcji finansowej(!).
Warto zastanowić się także nad wdrożeniem w przedsiębiorstwie zasad zarządzania ryzykiem. Pozwalają one na jak najszybsze zidentyfikowanie potencjalnych ryzyk finansowych, prawnych, wizerunkowych itd. oraz na ograniczenie ich negatywnych konsekwencji. Do zasad zarządzania ryzykiem zalicza się:
- ustanowienie zakresu zarządzania ryzykiem,
- szacowanie ryzyka,
- akceptowanie ryzyka,
- postępowanie z ryzykiem,
- monitorowanie i przegląd ryzyka.
Podmiot zbiorowy musi wykazać, że wdrożył wszystkie niezbędne środki. Dlatego jeśli nie masz pewności, czy Twoja firma spełnia wymogi w zakresie procedur compliance, skorzystaj z usługi audytu wykonywanej przez doświadczonych prawników.
Inne regulacje, które warto wprowadzić w przedsiębiorstwie
Lista przesłanek, które pozwalają ustalić dochowanie należytej staranności, nie jest zamknięta. Jeżeli więc dojdzie do wszczęcia postępowania w stosunku do podmiotu zbiorowego, spełnienie przesłanek odpowiedzialności będzie oceniane w inny sposób. Z tego względu warto już wcześniej zastanowić się nad wprowadzeniem takich dodatkowych rozwiązań, jak:
- compliance zewnętrzny (np. wdrożenie kodeksu dobrych praktyk, sposób postępowania z kontrahentami i organami władzy publicznej, procedury antykorupcyjne),
- compliance prawny (np. RODO, AML, procedury antymobbingowe),
- compliance podatkowy (np. interpretacje podatkowe, opinie zabezpieczające, uprzednie porozumienia cenowe (APA), procedury MDR,
- compliance branżowy (w zależności od profilu działalności firmy zakres i sposób uregulowania procedur będzie nieco inny)
Chcesz wdrożyć reguły compliance w swojej organizacji? Skorzystaj z pomocy profesjonalistów, którzy dobiorą rozwiązania dostosowane do potrzeb Twojej firmy.
Jakie sankcje wprowadza nowa ustawa?
Wprowadzenie zasad compliance w strukturze podmiotu zbiorowego jest niezwykle ważne, ponieważ nowa ustawa o odpowiedzialności wprowadza bardzo dotkliwe sankcje. Wyróżniono ich dwa odrębne rodzaje: kary oraz pozostałe środki.
Kary
Orzekając karę, sąd ma możliwość:
- nałożyć karę finansową,
- orzec o rozwiązaniu podmiotu zbiorowego.
Kara pieniężna może mieć wysokość od 30 tysięcy zł do 30 milionów złotych z uwzględnieniem okoliczności sprawy oraz wagi naruszenia. Natomiast rozwiązanie podmiotu będzie możliwe wtedy, gdy służył on do popełnienia czynu zabronionego zagrożonego karą pozbawienia wolności na czas nie krótszy niż pięć lat, a jego dalsza działalność zagraża obrotowi gospodarczemu.
Kara może zostać orzeczona samodzielnie albo wraz z sankcjami innego rodzaju, jeśli będzie to uzasadnione.
Pozostałe środki
Pozostałe sankcje zostały wymienione w artykule 16 ustawy i składają się aż z jedenastu punktów. Zaliczają się do nich między innymi:
- przepadek mienia lub korzyści majątkowych albo ich równowartości,
- zakaz promocji lub reklamy działalności, wytwarzanych lub sprzedawanych wyrobów, świadczonych usług lub udzielanych świadczeń,
- zakaz ubiegania się o zamówienia publiczne,
- zakaz korzystania z dotacji, subwencji lub innych form wsparcia finansowego ze środków publicznych,
- stałe albo czasowe zamknięcie oddziału podmiotu zbiorowego.
Jakie będą skutki nowych zmian dla przedsiębiorców?
W momencie, w którym nowe przepisy wejdą w życie, podmioty zbiorowe staną przed poważnymi wyzwaniami. Po pierwsze implementacja ustawy związanej z compliance będzie skutkować wyższymi kosztami prowadzenia działalności oraz koniecznością zatrudnienia dodatkowych pracowników. Oprócz tego będzie wymagać adaptacji systemów informatycznych firmy do potrzeb zgłoszeniowych dla whistleblowingu.
Po drugie spowoduje to pewne trudności organizacyjne. Do wdrożenia procedur compliance i norm ISO niezbędne jest zaprojektowanie i wytworzenie dużej ilości dokumentacji oraz zapewnienie jej płynnego obiegu. Ponadto niezbędne będzie prowadzenie regularnych szkoleń dla pracowników, aby podnieść ich świadomość w tym zakresie.
I po trzecie takie zmiany mogą być prawdziwą barierą dla małych firm, gdyż nowa ustawa nie dywersyfikuje podmiotów zbiorowych oraz obowiązku dochowania należytej staranności według dochodów. Pozostaje mieć nadzieję, że przy orzekaniu o wadze naruszenia, sądy będą sięgać do artykułu 6 ust. 5, wedle którego „dokonując oceny nieprawidłowości, bierze się pod uwagę rozmiar i przedmiot działalności podmiotu zbiorowego.”
Marcin Staniszewski. Kancelaria Prawna RPMS Staniszewski & Wspólnicy
