Ustawa o ochronie sygnalistów zapuka też do księgowych

Księgowi i biura rachunkowe nie są oszczędzani przez ustawodawcę. Po konieczności wdrożenia kilka lat temu ustawy o AML na horyzoncie pojawił się nowy akt prawny z kolejnymi obowiązkami do wypełnienia. Mowa o ustawie z 14 czerwca 2024 r. o ochronie sygnalistów (dalej: ustawa). Wprawdzie trwające od października 2021 r. prace legislacyjne i eksploatowanie tematu w mediach pozwoliło się oswoić z myślą, że prędzej czy później regulacja dotycząca sygnalistów zostanie wprowadzona również w Polsce, niemniej duża część firm przeprowadzi wdrożenie ustawy na ostatnią chwilę. ©℗

Właściwie każda firma księgowa, niezależnie od liczby zatrudnionych, będzie musiała mieć wewnętrzną procedurę dokonywania zgłoszeń naruszeń prawa i podejmowania działań następczych (dalej: procedura ochrony sygnalistów). Ustawa mówi jednoznacznie, że szeroko pojęte grono księgowych, które kwalifikuje się jako instytucja obowiązana na gruncie przepisów o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (dalej: AML), będzie musiało mieć procedurę ochrony sygnalistów.

Zasadniczo przepisy dotyczące zgłoszeń wewnątrz organizacji, a więc również obowiązku wdrożenia procedury, mają obejmować podmioty prawne, na rzecz których według stanu na 1 stycznia lub 1 lipca danego roku wykonuje pracę zarobkową co najmniej 50 osób.

Jednak jeden z kolejnych przepisów nowej ustawy mówi, że próg ten nie ma zastosowania do podmiotu prawnego wykonującego działalność w zakresie usług, produktów i rynków finansowych oraz przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, bezpieczeństwa transportu i ochrony środowiska, objętych zakresem stosowania aktów prawnych Unii Europejskiej wymienionych w części I.B i II załącznika do dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/1937 dotyczącej ochrony osób zgłaszających przypadki naruszenia prawa Unii Europejskiej (dalej: dyrektywa 2019/1937).

Wystarczy więc, że firma księgowa jest instytucją obowiązaną z ustawy o AML, a obowiązek posiadania procedury ochrony sygnalistów również się pojawi.

Dyskusyjne pozostaje, czy księgowy prowadzący jednoosobową działalność gospodarczą, niezatrudniający żadnych osób, również będzie musiał mieć procedurę ochrony sygnalistów. W naszej ocenie wymaganie od samozatrudnionego posiadania procedury ochrony sygnalistów jest nieuzasadnione i nie powinno mieć miejsca. Przepisy ustawy są stworzone bowiem z myślą o ochronie zatrudnionych (potencjalnych sygnalistów), a więc przy braku zatrudniania tracą rację bytu. Pozostałych podmiotów z branży księgowej obowiązek ustalenia procedury jednak raczej nie ominie.

Do procedur AML w biurach rachunkowych dołączą zatem procedury ochrony sygnalistów. Wdrożenie tej ochrony będzie możliwe poprzez przyjęcie nowej procedury (odrębny dokument) albo odpowiednie sporządzenie jednego dokumentu łączącego procedurę ochrony sygnalistów z wewnętrzną procedurą anonimowego zgłaszania przez pracowników lub inne osoby wykonujące czynności na rzecz instytucji obowiązanej rzeczywistych lub potencjalnych naruszeń przepisów z zakresu przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu.

Wydaje się, że samo formalne przyjęcie procedury zgodnej z regulacją ustawy nie będzie stanowiło większego problemu. Poza wzorami dostępnymi w licznych źródłach internetowych i książkowych wiele podmiotów na rynku, zwłaszcza kancelarie prawne i firmy doradcze, świadczy usługi wdrożenia ochrony sygnalistów w organizacji. Dużo większym wyzwaniem będzie wypełnienie całej listy pozostałych obowiązków zawartych w treści tej kilkunastostronicowej ustawy.

katalog naruszeń, których zgłoszenie podlega ochronie

Ustawa przewiduje, że naruszeniem prawa jest działanie lub zaniechanie niezgodne z prawem lub mające na celu obejście prawa dotyczące kilkunastu dziedzin. W tym m.in.:

• usług, produktów i rynków finansowych;
• przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu;
• ochrony prywatności i danych osobowych;
• bezpieczeństwa sieci i systemów teleinformatycznych;
• rynku wewnętrznego Unii Europejskiej, w tym publicznoprawnych zasad konkurencji i pomocy państwa oraz opodatkowania osób prawnych.

Sygnalistą zaś jest osoba fizyczna, która zgłasza lub ujawnia publicznie informację o naruszeniu prawa uzyskaną w kontekście związanym z pracą.

Ponadto firma księgowa będzie uprawniona, aby w ramach procedury zgłoszeń wewnętrznych przewidzieć możliwość zgłaszania informacji o naruszeniach dotyczących obowiązujących w tym podmiocie prawnym regulacji wewnętrznych lub standardów etycznych, które zostały ustanowione przez podmiot prawny na podstawie przepisów prawa powszechnie obowiązującego i pozostają z nimi zgodne.

Istotne będzie zatem odpowiednie skrojenie procedury wewnętrznej tak, aby uwzględniała możliwość zgłaszania naruszeń pojawiających się w każdej organizacji (np. co do ochrony danych osobowych), ale także specyficznych dla firmy księgowej, jak przykładowo regulacje Kodeksu zawodowej etyki w rachunkowości. Przykładem mogą być zasady kompetencji zawodowych i wysokiej jakości pracy, która w praktyce może się przejawiać wymogiem rzetelnego księgowania operacji gospodarczych. Może zatem wystąpić sytuacja, w której jako naruszenia będą zgłaszane również zdarzenia postrzegane jako błędy w sztuce (błędy merytoryczne) w pracy księgowego.

najważniejsze obowiązki i ich praktyczny wymiar

Główne obowiązki ustawowe, o których należy pamiętać, wdrażając procedurę ochrony sygnalistów, można umownie podzielić na pięć obszarów dotyczących:

I. informowania o możliwości dokonywania zgłoszeń;

II. przyjmowania zgłoszeń;

III. wyjaśniania zgłoszeń;

IV. bezpieczeństwa danych osobowych;

V. przechowywania zgłoszeń.

=> W obszarze dotyczącym informowania o możliwości dokonywania zgłoszeń znajdują się:

1) przeprowadzenie konsultacji ze związkami zawodowymi lub przedstawicielami pracowników,

2) podanie procedury do wiadomości pracownikom przynajmniej siedem dni przed jej wejściem w życie,

3) przekazywanie informacji o procedurze osobom ubiegającym się o pracę lub chcącym zawrzeć innego rodzaju umowę,

4) informowanie w przystępny sposób o możliwości zgłaszania do rzecznika praw obywatelskich, organów publicznych, instytucji, jednostek i organów Unii Europejskiej.

=> W kontekście przejmowania zgłoszeń obowiązki to:

1) obsługa zgłoszeń o działaniach i zaniechaniach niezgodnych z prawem,

2) udostępnienie przynajmniej ustnych lub pisemnych kanałów powiadamiania i wskazanie ich w procedurze,

3) upoważnienie osoby, działu z wewnątrz organizacji lub podmiotu zewnętrznego do przyjmowania zgłoszeń,

4) określenie w procedurze, czy są przyjmowane zgłoszenia anonimowe i jak są rozpatrywane,

5) potwierdzanie przyjęcia zgłoszenia w terminie siedmiu dni od momentu jego dokonania,

6) zapewnienie możliwości osobistego spotkania na życzenie sygnalisty w ciągu 14 dni od jego prośby,

7) dokumentowanie zgłoszeń ustnych w formie nagrania, transkrypcji z rozmowy lub protokołu,

8) realizacja prawa sygnalisty do sprawdzenia, poprawienia i zatwierdzenia transkrypcji lub protokołu z rozmowy przez ich podpisanie.

=> W zakresie wyjaśniania zgłoszeń warto pamiętać o tym, że obowiązkowe będzie:

1) wyznaczenie bezstronnej osoby lub jednostki do wyjaśnienia zgłoszenia,

2) pisemne upoważnienie dla osób przyjmujących i weryfikujących zgłoszenia od podmiotu prawnego,

3) zobowiązanie do zachowania w tajemnicy danych osobowych uzyskanych w trakcie przyjmowania i wyjaśniania zgłoszeń przez osoby upoważnione,

4) udzielanie sygnaliście informacji zwrotnej, w terminie maksymalnie trzech miesięcy od potwierdzenia przyjęcia zgłoszenia lub od upływu siedmiu dni od otrzymania zgłoszenia,

5) obowiązek podejmowania działań następczych z należytą starannością.

=> Odnośnie do bezpieczeństwa danych osobowych należy pamiętać, że:

1) dane, które wskazują na tożsamość zgłaszającego, nie podlegają ujawnieniu osobom nieupoważnionym bez zgody sygnalisty,

2) tożsamość zgłaszającego, podejrzanego o naruszenia i osoby trzeciej wskazanej w zgłoszeniu oraz wszelkie informacje, które mogą ich identyfikować, są chronione jako informacje poufne,

3) powierzenie obsługi zgłoszeń podmiotowi zewnętrznemu dokonuje się w drodze umowy, która zobowiązuje usługodawcę do prowadzenia czynności zapewniających zgodność z prawem, poprzez zastosowanie właściwych środków organizacyjnych i technicznych.

=> W kontekście przechowywania zgłoszeń trzeba pamiętać, że:

1) zbędne dane osobowe są usuwane w terminie 14 dni od ustalenia, że nie mają znaczenia dla sprawy,

2) konieczne jest prowadzenie rejestru zgłoszeń wewnętrznych,

3) należy wskazać osoby, jednostki lub podmiot zewnętrzny upoważnione do prowadzenia rejestru zgłoszeń wewnętrznych,

4) dane osobowe oraz pozostałe informacje w rejestrze zgłoszeń wewnętrznych są przechowywane przez okres trzech lat po zakończeniu roku kalendarzowego, w którym zakończono działania następcze, lub po zakończeniu postępowań zainicjowanych tymi działaniami.

Ze względu na relatywnie duże zróżnicowanie wielkości i specyfiki działania podmiotów świadczących usługi księgowe, procedury i sposób wykonania poszczególnych obowiązków mogą się różnić objętością i poziomem skomplikowania. Niezależnie od wszystkiego początkowo zapewne powinno wystarczyć przede wszystkim formalne posiadanie procedury spełniającej ustawowe wymogi. Natomiast wraz z upływem czasu, gdy organy kontroli i sami przedsiębiorcy oswoją się już z nową regulacją, niezbędne będzie osiągnięcie również dużej biegłości merytorycznej w tym obszarze.

termin na wdrożenie

Wejście w życie obowiązków biur rachunkowych związanych z ustawą nastąpi trzy miesiące od dnia ogłoszenia, czyli 25 września 2024 r. Tego dnia w podmiocie powinna zacząć obowiązywać procedura.

W praktyce przepisy wymagają wcześniejszego działania, ponieważ:

• obowiązkowe jest przeprowadzenie konsultacji wewnętrznych, które trwają nie krócej niż pięć dni i nie dłużej niż dziesięć dni od dnia przedstawienia projektu procedury;
• sama zaś procedura wchodzi w życie po upływie siedmiu dni od dnia podania jej do wiadomości osób wykonujących pracę w sposób przyjęty w podmiocie prawnym.

Uwaga! W takim scenariuszu procedurę należy ogłosić w biurze rachunkowym najpóźniej 18 września 2024 r., co powoduje, że konsultacje wewnętrzne powinny się zacząć nie później niż 13 września 2024 r.

wdrożenie, czyli procedura, szkolenie i co dalej…

Ustalenie procedury ochrony sygnalistów spełniającej ustawowe wymogi w terminie jest zadaniem wykonalnym. Podobnie jak odbycie szkolenia (wprawdzie niewymagane przez ustawę, ale często potrzebne) czy wykupienie narzędzia do dokonywania zgłoszeń wewnętrznych. Prawdziwe schody zaczną się, gdy wpłynie pierwsze zgłoszenie wewnętrzne i biuro rachunkowe będzie zobowiązane przeprowadzić postępowanie wyjaśniające, którego sposób przeprowadzenia nie został szczegółowo opisany w ustawie.

Wówczas pojawiają się kluczowe pytania – jak przeprowadzić postępowanie, do czego jesteśmy uprawnieni, czy jak ocenić dowody.

Na drodze do sukcesu postępowań wyjaśniających można wyróżnić następujące kamienie milowe:

• klarowna procedura postępowania po otrzymaniu zgłoszenia,
• kompetentny zespół/komisja ds. postępowań wyjaśniających,
• plan postępowania przygotowany zgodnie z charakterystyką danej sprawy,
• umiejętne gromadzenie i zabezpieczanie dowodów,
• rzetelnie przygotowane rozmowy wyjaśniające,
• szczegółowa dokumentacja postępowań, prowadzenie rejestru spraw i odpowiednia archiwizacja,
• mitygacja negatywnych skutków zidentyfikowanych nieprawidłowości oraz działania naprawcze i profilaktyczne.

na koniec – nowe obowiązki jako wartość dodana dla księgowych

Choć nowe obowiązki nie są zwykle witane z entuzjazmem, to jednak po deregulacji zawodu księgowego w 2014 r., istotna jest praca nad profesjonalizacją biur rachunkowych. Wśród kroków umożliwiających taką profesjonalizację Krajowa Izba Biur Rachunkowych wymienia m.in.:

• posiadanie aktualnej polisy odpowiadającej wysokości ubezpieczenia na podstawie obrotów i wykonywanych usług;
• posiadanie przez kluczowych pracowników (właściciela, kierownictwo) wykształcenia wyższego – studiów wyższych kierunkowych czy podyplomowych;
• zakup oryginalnego oprogramowania;
• oświadczenie o zobowiązaniu się przestrzegania zasad etyki, RODO, ustawy o AML. Do tego elementu profesjonalizacji opartego na wartości, jaką niesie za sobą pozostawanie w zgodności z powszechnie obowiązującymi regulacjami prawnymi, dołączy również ustawa o ochronie sygnalistów. Skoro przed obowiązkowym wdrożeniem ochrony sygnalistów nie ma ucieczki, może warto dostrzec w niej wartość, jaką wnosi dla biura rachunkowego.

Nie ulega wątpliwości, że liczne grono biur rachunkowych, których według szacunków Krajowej Izby Biur Rachunkowych z 2022 r. jest ok. 70 tys. oraz księgowych (ok. 400 tys.), otrzymało od ustawodawcy spore wyzwanie na nadchodzące wakacyjne miesiące. ©℗