This article is also available in Polish.

What must the internal reporting procedure rules contain? 

The internal reporting procedure must include:  

1. information about an internal organisational unit or person within the organisational structure of the legal entity, or an external entity, authorised to receive internal reports; 
2. the means by which the whistleblower may communicate internal reports, together with his/her mailing address or e-mail address, referred to as the "contact address"; 
3. clear indication of an impartial internal organisational unit or person within the organisational structure of the legal entity authorised to undertake follow-up actions, including verification of the internal report and further communication with the whistleblower, including requesting additional information and providing feedback to the whistleblower; this function may be performed by the internal organisational unit or person referred to in point 1 if they ensure impartiality; 
4. a procedure for dealing with information on infringements of the law reported anonymously; 
5. the obligation to confirm to the whistleblower the receipt of an internal notification within 7 days of its receipt, unless the whistleblower has not provided a contact address to which the confirmation should be forwarded; 
6. the obligation to follow up, with due diligence, by the internal organisational unit or person referred to in point 3; 
7. a maximum time limit for providing feedback to the whistleblower, not exceeding 3 months from the acknowledgement of the internal report or, if the acknowledgement referred to in point 4 was not provided, 3 months from the expiry of 7 days from the date of the internal report, unless the whistleblower has not provided a contact address to which feedback should be provided; 
8. comprehensible and easily accessible information on how to make external reports to the Ombudsman or to public authorities and, where appropriate, to European Union institutions, bodies or agencies. 

Attention should be drawn to the deadlines indicated in points 5 and 7 above, as well as the specification of the procedure for dealing with information on infringements of the law reported anonymously, introduced by the last amendment to the bill. Thus, each entity will have to specify in the procedure whether it deals or not with anonymous notifications, which may lead to a situation where a part of the company decides not to introduce this solution.  

It is also worth noting the obligation to include in the procedure clear and easily accessible information on making external reports to the Ombudsman or public authorities and, where appropriate, to European Union institutions, bodies, offices or agencies. Inclusion of this information in the procedure should be preceded by an analysis of which bodies should be involved. This will make it easier for a potential whistleblower to access external channels. Hence, it is extremely important to adequately train staff and explain to them the importance of the internal channels, with a certain preference as to which channels the whistleblower should use first to report information.   

What additional elements can be included in the internal reporting procedure? 

The internal reporting procedure may also contain optional elements. According to the current draft bill of the Whistleblower Act, these are:  

1. indication of violations concerning internal regulations or ethical standards in force in a given legal entity, which have been established by the legal entity, on the basis of generally applicable laws and which remain in compliance with such laws, if the legal entity has approved the reporting of such violations; 
2. indication of the risk factors typical of the legal entity's activities which may likely lead to specific breaches of the law related, in particular, to the breach of regulatory or other obligations set out in the law or to the risk of corruption; 
3. indication that information on a breach of the law may in any case also be reported to the Ombudsman or to a public authority bypassing the internal reporting procedure; 
4. information about a system of incentives for the use of the internal reporting procedure in cases where the violation of the law can be effectively remedied within the organisational structure of the legal entity and the whistleblower considers that there is no risk of retaliation.

Certainly, incentives for reporting will be the most controversial matter in this context, making it unclear whether they can take only a monetary form or also a non-monetary form. There is also the question of whether companies will provide incentives at all if this is an optional element of the rules. 

Attention should be also drawn to the possibility to indicate in the procedure that the information on a violation of the law may in any case also be reported to the Ombudsman or a public body without going through the internal notification procedure. Such information given in the procedure can make it a lot easier to access external channels. Therefore, companies and organisations may be reluctant to introduce this element into their procedures. 

Our experts are here to answer your questions or provide further guidance on the whistleblowing legislation. 

Procedura zgłoszeń wewnętrznych 

Co musi zawierać procedura zgłoszeń wewnętrznych? 

Procedura zgłoszeń wewnętrznych musi obligatoryjnie zawierać:  

1. wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej podmiotu prawnego, lub podmiot zewnętrzny, które zostały należycie upoważnione do przyjmowania zgłoszeń wewnętrznych; 
2. sposoby przekazywania zgłoszeń wewnętrznych przez sygnalistę wraz z adresem korespondencyjnym lub adresem poczty elektronicznej, zwanymi dalej „adresem do kontaktu”; 
3. bezstronną wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej podmiotu prawnego, upoważnione do podejmowania działań następczych, włączając w to weryfikację zgłoszenia wewnętrznego i dalszą komunikację z sygnalistą, w tym występowanie o dodatkowe informacje i przekazywanie sygnaliście informacji zwrotnej; funkcję tę może pełnić wewnętrzna jednostka organizacyjna lub osoba, o których mowa w pkt 1, jeżeli zapewniają bezstronność; 
4. określenie trybu postępowania z informacjami o naruszeniu prawa zgłoszonymi anonimowo; 
5. obowiązek potwierdzenia sygnaliście przyjęcia zgłoszenia wewnętrznego w terminie siedmiu dni od dnia jego otrzymania, chyba że sygnalista nie podał adresu do kontaktu, na który należy przekazać potwierdzenie; 
6. obowiązek podjęcia, z zachowaniem należytej staranności, działań następczych przez wewnętrzną jednostkę organizacyjną lub osobę, o których mowa w pkt 3; 
7. maksymalny termin na przekazanie sygnaliście informacji zwrotnej, nieprzekraczający trzech miesięcy od potwierdzenia przyjęcia zgłoszenia wewnętrznego lub – w przypadku nieprzekazania potwierdzenia, o którym mowa w pkt 4 – trzech miesięcy od upływu siedmiu dni od dnia dokonania zgłoszenia wewnętrznego, chyba że sygnalista nie podał adresu do kontaktu, na który należy przekazać informację zwrotną; 
8. zrozumiałe i łatwo dostępne informacje na temat dokonywania zgłoszeń zewnętrznych do Rzecznika Praw Obywatelskich albo organów publicznych oraz – w stosownych przypadkach – do instytucji, organów lub jednostek organizacyjnych Unii Europejskiej. 

Na uwagę zasługują wskazane w ww. punktach terminy, a także wprowadzone ostatnią zmianą w projekcie ustawy określenie trybu postępowania z informacjami o naruszeniu prawa zgłoszonymi anonimowo. Każdy podmiot będzie zatem musiał określić w procedurze czy zajmuje się zgłoszeniami anonimowymi. Może to prowadzić do sytuacji, w której część przedsiębiorstw nie zdecyduje się na wprowadzenie tego rozwiązania.  

Warto także zwrócić uwagę na obowiązek ujęcia w procedurze zrozumiałych i łatwo dostępnych informacji na temat dokonywania zgłoszeń zewnętrznych do Rzecznika Praw Obywatelskich albo organów publicznych oraz – w stosownych przypadkach – do instytucji, organów lub jednostek organizacyjnych Unii Europejskiej. Pojawienie się tych informacji w procedurze poprzedzone winno być analizą, jakie organy należy ująć w tym kontekście. Rodzić to będzie dla potencjalnego sygnalisty duże ułatwienie w dostępie do kanałów zewnętrznych. Stąd niezmiernie ważne jest odpowiednie szkolenie pracowników i wytłumaczenie im znaczenia kanałów wewnętrznych z pewnym uprzywilejowaniem tych kanałów, jako tych, do których sygnalista powinien się zgłosić w pierwszej kolejności.   

Jakie dodatkowe elementy można określić w procedurze zgłoszeń wewnętrznych? 

Procedura zgłoszeń wewnętrznych może zawierać także elementy fakultatywne. Według dotychczasowego projektu Ustawy o sygnalistach są to w szczególności:  

1. wskazanie naruszeń, dotyczących obowiązujących w danym podmiocie prawnym regulacji wewnętrznych lub standardów etycznych, które zostały ustanowione przez podmiot prawny, na podstawie przepisów prawa powszechnie obowiązującego i pozostają z nimi zgodne, jeżeli podmiot prawny ustanowi zgłaszanie takich naruszeń; 
2. wskazanie czynników ryzyka odpowiadających profilowi działalności podmiotu prawnego, sprzyjających możliwości wystąpienia określonych naruszeń prawa związanych w szczególności z naruszeniem obowiązków regulacyjnych lub innych obowiązków określonych w przepisach prawa lub z ryzykiem korupcji; 
3. wskazanie, że informacja o naruszeniu prawa może być w każdym przypadku zgłoszona również do Rzecznika Praw Obywatelskich albo organu publicznego z pominięciem procedury zgłoszeń wewnętrznych; 
4. określenie systemu zachęt do korzystania z procedury zgłoszeń wewnętrznych, w przypadku gdy naruszeniu prawa można skutecznie zaradzić w ramach struktury organizacyjnej podmiotu prawnego, a sygnalista uważa, że nie zachodzi ryzyko działań odwetowych.

Z pewnością najwięcej kontrowersji będą budziły na tym tle zachęty. Pytanie bowiem czy mogą one przyjmować tylko formę pieniężną czy także niepieniężną. Rodzi się także pytanie, czy firmy będą w ogóle przewidywały zachęty, jeśli jest to element fakultatywny regulaminu. 

Na uwagę zasługuje także możliwość wskazania w procedurze, że informacja o naruszeniu prawa może być w każdym przypadku zgłoszona również do Rzecznika Praw Obywatelskich albo organu publicznego z pominięciem procedury zgłoszeń wewnętrznych. Taka informacji podana w procedurze może stanowić spore ułatwienie w dostępie do kanałów zewnętrznych. Być może z tego powodu element ten będzie niechętnie wprowadzany do procedur. 

W przypadku jakichkolwiek pytań lub wątpliwości odnośnie projektu ustawy o ochronie sygnalistów nasi eksperci służą pomocą