Najważniejsze wyzwania w obszarze compliance

Jakie wyzwania w zakresie compliance czekają emitentów w 2023 roku?

Poprzedni rok minął pod znakiem nieprzewidzianych wydarzeń, które zaowocowały nowymi obowiązkami, regulacjami oraz szeregiem dyskusji nad przepisami, które, choć były spodziewane, to jeszcze nie weszły w życie. Równocześnie na horyzoncie pojawiają się kolejne wyzwania. Jednak po kolei.

Zupełnie nowym wyzwaniem w obszarze compliance stała się tzw. polska ustawa sankcyjna1). Dotychczas identyfikacja beneficjentów rzeczywistych kontrahentów i weryfikacja ich względem list sankcyjnych była domeną instytucji obowiązanych, czyli w praktyce najczęściej podmiotów sektora finansowego. Posiadają one odpowiednie procesy, narzędzia i doświadczoną kadrę. Dla zdecydowanej większości firm działających poza sektorem finansowym było to zagadnienie zupełnie nowe i wymagające. Należy również pamiętać, że możliwości organicznego zdobywania wiedzy i doświadczenie przed wejściem w życie ustawy były bardzo ograniczone. Dodatkowo, konsekwencje braku zgodności mogą być bardzo dotkliwe. Za naruszenie przepisów ustawy i unijnych rozporządzeń sankcyjnych grożą kary administracyjne do 20 mln złotych, a osoby fizyczne z kolei zagrożone są karą pozbawienia wolności na czas nie krótszy niż trzy lata. Spełnienie nowych wymogów było dla emitentów prawdziwym papierkiem lakmusowym weryfikującym, jak bardzo są zwinni w obszarze compliance i potrafią się dostosowywać do dynamicznie zmieniających się wymagań.

Odmienna sytuacja dotyczy regulacji, które od dłuższego czasu są znane i czekają na implementację do krajowego systemu prawnego.

Jak spółki giełdowe powinny przygotować się do implementacji ustawy o sygnalistach?

Koniec roku kalendarzowego 2022 oraz początek roku 2023 przyniósł kolejne wersje projektu ustawy mającej na celu implementację dyrektywy UE o ochronie sygnalistów2). Do dziś ustawa nie weszła w życie, jak również nie jest znany oficjalny harmonogram uchwalania nowej regulacji. Rodzi się zatem pytanie, czy spółki giełdowe powinny obecnie podejmować działania zmierzające do dostosowania się do nowych przepisów. Na pierwszy rzut oka może wydawać się, że wstrzymanie się z jakimikolwiek przygotowaniami do czasu uchwalenia ustawy pozwoli spółkom zachować efektywność działań, tzn. w przypadku wprowadzenia zmian do obecnie procedowanej wersji, emitenci unikną konieczności modyfikacji implementowanych rozwiązań.

Niemniej po głębszej analizie temat ten nie wydaje się tak jednoznaczny. Przede wszystkim dyrektywa definiuje tzn. standard minimum. Określa on wymagania, które duże i średnie firmy będą zobowiązane spełnić, aby w sposób ustrukturyzowany i systemowy chronić sygnalistów. Już od ponad trzech lat wiadomo, że organizacje będą zobowiązane do: wdrożenia poufnych kanałów przyjmowania zgłoszeń; przekazywania informacji zwrotnej sygnalistom; rozpatrywania zgłoszeń, czyli prowadzenia wewnętrznych postępowań wyjaśniających w określonych terminach, przypisywania wewnętrznej odpowiedzialności za powyższy proces oraz informowania sygnalistów o możliwości dokonania zgłoszeń zewnętrznych – do organów publicznych. Innymi słowy – w przyszłości mogą pojawić się nowe, dodatkowe obowiązki wynikające z polskiej ustawy, niemniej nie ma możliwości ich ograniczenia względem standardu minimum. Emitenci obowiązani do posiadania anonimowych kanałów zgłaszania naruszeń na podstawie ustawy o ofercie publicznej3) – mogą wykorzystać bieżący okres do zaprojektowania i wdrożenia „szytych na miarę” procedur rozpatrywania zgłoszeń oraz zdobycia niezbędnego doświadczenia i operacyjnej efektywności, a to wszystko w warunkach bezpiecznych regulacyjnie, tzn. bez formalnie obowiązujących sankcji.

Warto również zwrócić uwagę na dane dotyczące rzeczywistych przypadków naruszeń występujących w organizacjach. Informacje pochodzące od sygnalistów stanowią najczęstsze (42%) źródło informacji umożliwiających wykrywanie naruszeń w firmach, a sami sygnaliści okazują się w większości przypadków pracownikami. Dzięki skutecznym systemom raportowania naruszeń przedsiębiorstwa wykrywają nieprawidłowości o 33% szybciej, a straty finansowe są o 50% niższe4). Możemy powiedzieć, że posiadanie kanałów zgłoszeniowych i weryfikacja przekazywanych obserwacji spółkom po prostu się opłaca. Sygnaliści stanowią swoistą ochronę ubezpieczeniową firmy, chroniąc niejednokrotnie najcenniejsze aktywo, czyli reputację organizacji. Ale czy samo wdrożenie procedur jest wystarczające, aby system ochrony działał skutecznie? Oczywiście, że nie. Decydującym czynnikiem jest zaufanie, jakim potencjalni sygnaliści obdarzą istniejący bądź wdrażany system. Z jednej strony zdeterminowany będzie on kształtem procedur, bezpieczeństwem kanałów, ale z drugiej strony kluczową rolę odgrywa postawa kadry zarządzającej oraz praktyka weryfikacji zgłoszeń. Mogą one zarówno wspierać, jak i ograniczać kulturę zaufania oraz zgodności w organizacji. Budowa zaufania jest procesem długoterminowym. W efekcie wstrzymywanie działań dostosowawczych aż do momentu poznania ostatecznego kształtu ustawy może spowodować, że czasu na zbudowanie zaufania zwyczajnie zabraknie. Wówczas sygnalista swoje kroki może skierować w kierunku dokonania zgłoszenia zewnętrznego, co wiąże się z dodatkowym ryzykiem.

Na jakim etapie jest nowelizacja ustawa o odpowiedzialności podmiotów zbiorowych i jakie nowości przyniesie emitentom?

Na początku września zeszłego roku – po kilkuletniej przerwie – do dyskusji publicznej powrócił temat ustawy o odpowiedzialności podmiotów zbiorowych. Był to efekt publikacji projektu jej nowelizacji, której pierwsza wersja zakładała objęcie nowymi przepisami tylko największe podmioty (zatrudniające co najmniej 500 pracowników lub osiągające roczny obrót przekraczający 100 mln euro), usunięcie tzw. prejudykatu jako warunku pociągnięcia do odpowiedzialności podmiotu zbiorowego oraz zwiększenie progu zagrożenia karą pieniężną do 30 mln złotych. Projektodawca w ocenie skutków regulacji wskazał, że wdrożenie procedur zapewniających zgodność przez małe i średnie firmy wymaga odpowiednich zasobów, dlatego też planowane jest ograniczenie zakresu podmiotowego ustawy. Tym większe było zaskoczenie, gdy w kolejnej wersji projektu nowelizacji, która opublikowana została w listopadzie zeszłego roku, pojawiła się koncepcja, aby zakres podmiotowy ustawy nie zmienił się w stosunku do obecnie obowiązujących regulacji, ale zaostrzone sankcje dotyczyły tylko największych podmiotów. Pomimo upływu kilku miesięcy na ścieżce legislacyjnej nie nastąpiły jakiekolwiek zmiany i nie jest znany planowany harmonogram dalszych działań.

Projektowana nowelizacja zakłada obowiązek de facto wdrożenia systemu zapewnienia zgodności (compliance), jako przesłanki ograniczającej ryzyko odpowiedzialności podmiotu zbiorowego. Czy zatem mamy tu do czynienia z analogiczną sytuacją jak w przypadku projektu ustawy o ochronie sygnalistów? W dużej mierze tak, ponieważ system compliance chroni organizację i osoby zarządzające poprzez ograniczenie ryzyka występowania niepożądanych zdarzeń.

A co czeka spółki giełdowe w dalszym horyzoncie czasowym?

Na początku 2023 roku weszła w życie dyrektywa CSRD (Corporate Sustainability Reporting Directive)5) nakładająca nowe obowiązki raportowania działalności spółek w kontekście zrównoważonego rozwoju, czyli odmienianych już od jakiegoś czasu przez wszystkie przypadki aspektów ESG (Environmental, Social and Corporate Governance). U podstaw wprowadzenia nowych regulacji wykształciło się przekonanie, że obecne wymogi w zakresie raportowania niefinansowego są niewystarczające, tzn. nie zapewniają zarówno inwestorom, jak i szerzej interesariuszom jakościowych i porównywalnych danych. Zwiększy się zatem zakres raportowanych danych, jak i grono firm zobowiązanych do ich ujawniania. Nowe wymogi w pierwszej kolejności obejmą największe podmioty giełdowe, które już dziś podlegają obowiązkom raportowania niefinansowego i będą zobowiązane do raportowania w reżimie nowych regulacji za rok 2024. W kolejnym roku nowy obowiązek obejmie pozostałe duże firmy, a jeszcze w następnym notowane na giełdach MŚP.

Jedną z kluczowych zmian będzie pojawienie się ujednoliconych europejskich standardów raportowania (ESRS) opracowanych przez European Financial Reporting Advisory Group (EFRAG). Z punktu widzenia compliance kluczowe znaczenie będzie odgrywał standard „Postępowanie w biznesie”, („Business conduct”, „ESRS G1”), obejmujący takie obszary jak: promowanie kultury zgodności, zapobieganie korupcji i łapownictwu, ochrona sygnalistów, zarządzanie relacjami z dostawcami, zaangażowanie w działalność lobbingową oraz praktyki płatnicze, zwłaszcza w odniesieniu do małych i średnich przedsiębiorstw. Szczegółowość nowych wymogów spowoduje nie tylko konieczność wdrożenia procesów umożliwiających pozyskiwania niezbędnych danych i ich regularne raportowanie, ale stanowić będzie przede wszystkim czynnik motywujący do intensyfikacji rzeczywistych działań w powyższych obszarach. Warto pamiętać, że raportowane wyniki będą publicznie dostępne i będą determinować ocenę profilu ryzyka spółki, która może przekładać się w bardzo wymierny sposób na dostęp do finansowania, zainteresowanie inwestorów, udział w globalnych łańcuchach dostaw czy wreszcie – bezcenną dla podmiotu giełdowego – reputację.

Podsumowując, niezależnie od tego, czy źródłem nowych wymogów regulacyjnych są przepisy krajowe, czy europejskie, trend jest jednoznaczny. Będziemy doświadczać sukcesywnie zwiększających się oczekiwań względem funkcji compliance w organizacji, a dyrektywa CSRD dodatkowo zwiększy transparentność rynku. Do tej rewolucji warto się przygotować z wyprzedzeniem.

1) Ustawa z dnia 13 kwietnia 2022 r. o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę oraz służących ochronie bezpieczeństwa narodowego

2) Dyrektywa Parlamentu Europejskiego i Rady (UE) 2019/1937 z dnia 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii

3) Art. 97d z ustawy z dnia 29 lipca 2005 r. o ofercie publicznej i warunkach wprowadzania instrumentów finansowych do zorganizowanego systemu obrotu oraz o spółkach publicznych

4) Report to the Nations 2022, ACFE

5) Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2464 z dnia 14 grudnia 2022 r. w sprawie zmiany rozporządzenia (UE) nr 537/2014, dyrektywy 2004/109/WE, dyrektywy 2006/43/WE oraz dyrektywy 2013/34/UE w odniesieniu do sprawozdawczości przedsiębiorstw w zakresie zrównoważonego rozwoju