Oszustwa to ani nie problem małych firm, ani problem dużych firm. To problem, który chodzi po liście płac, a ludzie, którzy są mu najbliżej, zwykle właśnie tam pracują. Każde poważne badanie nadużyć, każdy duży regulator finansowy (i sama Unia Europejska) dochodzą do tego samego wniosku: firma, która chce wykrywać nieprawidłowości wcześnie, potrzebuje działającego kanału, w którym osoby widzące je jako pierwsze mogą zgłosić problem bez ryzyka.
Zgłoszenia nadal biją wszystkie inne metody wykrywania
Raport ACFE Report to the Nations 2024 przeanalizował 1921 spraw o nadużycia w 138 krajach i ustalił, że 43% z nich wyszło na jaw dzięki zgłoszeniu, ponad trzy razy więcej niż następna w kolejności metoda. Audyt wewnętrzny odpowiadał za 14%, przegląd zarządczy za 13%. To sami pracownicy dostarczają ponad połowy (52%) tych zgłoszeń; klienci i dostawcy podają większość pozostałych.
Zmienił się też sposób zgłaszania. Kanały internetowe (40%) wyprzedziły infolinie telefoniczne (30%), e-mail z wynikiem 37% siedzi pomiędzy nimi, a zgłoszenia anonimowe wciąż stanowią 15% wolumenu. Kiedy zachęcasz do zgłaszania nieprawidłowości wewnątrz własnej firmy, budujesz najbardziej niezawodny mechanizm wykrywania nadużyć, jaki dane potrafiły zmierzyć.
Ile naprawdę kosztuje oszustwo, dopóki się ukrywa
Czas trwania napędza koszt. Średni schemat oszustwa pracowniczego utrzymuje się przez 12 miesięcy, zanim ktoś go wykryje, a straty kumulują się w tempie około 9 900 USD miesięcznie przez cały ten okres. Skróć czas trwania o połowę, a obetniesz większość kosztu.
Ten sam zbiór danych pokazuje, rok po roku, że organizacje z anonimową infolinią dla sygnalistów wykrywają nadużycia szybciej i tracą mniej na sprawę niż te, które jej nie mają. Dokładna różnica zmienia się między edycjami globalnego badania nadużyć, ale kierunek utrzymuje się od ponad dekady. Kanał zgłoszeń zwraca się przy pierwszym oszustwie rozliczeniowym, któremu odbierze sześć miesięcy.
Dlaczego UE uznała kanały wewnętrzne za obowiązkowe
Posiadanie systemu dla sygnalistów było kiedyś dobrą praktyką. Wewnątrz Unii Europejskiej jest prawem. Dyrektywa 2019/1937 zobowiązuje każdą prywatną organizację działającą w UE, która zatrudnia 50 lub więcej osób, do zapewnienia bezpiecznych wewnętrznych kanałów zgłoszeń, wyznaczenia osób prowadzących sprawy, dotrzymywania określonych terminów potwierdzeń i informacji zwrotnych oraz wyraźnej ochrony przed odwetem. Regulacje sektorowe w finansach, AML i lotnictwie wciągają w ten sam reżim także mniejsze podmioty.
Cel dyrektywy ujęła krótko Věra Jourová, ówczesna unijna komisarz do spraw sprawiedliwości:
"Whistleblowers should not be punished for doing the right thing. Our new, EU-wide rules will make sure they can report in a safe way on breaches of EU law."
Věra Jourová, then European Commissioner for Justice
Wszystkie 27 państw członkowskich wdrożyło dyrektywę, większość po terminie. Na początku 2025 Komisja Europejska nałożyła łączne kary około 40 mln euro na pięć z nich; same Niemcy zapłaciły blisko 34 mln euro. Na poziomie firmowym sankcje krajowe za niedostosowanie sięgają 50 000 euro za naruszenie, do tego dochodzi osobne ryzyko z tytułu RODO, gdy zgłoszenia są źle przechowywane lub kierowane.
Odwet przestał być darmowy
Drugą część rachunku stanowi to, co dzieje się, gdy pracownik zgłasza, a pracodawca uderza w odwet. W kwietniu 2025 były dyrektor SunEdison wynegocjował ugodę na 34,5 mln USD w sprawie odwetu w trybie Sarbanes-Oxley, największą udokumentowaną w ramach tej ustawy. Marzec 2025 przyniósł 1,64 mld USD wyroku przeciwko jednostce Janssen Johnson & Johnson, opartego na zgłoszeniach dwóch sygnalistów w trybie False Claims Act. Takie liczby były kiedyś tylko teorią.
Program SEC dla sygnalistów wypłacił 255 mln USD na rzecz 47 osób w roku obrotowym 2024, trzeci najwyższy wynik w historii programu, oraz ponad 2,2 mld USD od 2011. Komisja wniosła też jedenaście postępowań przeciwko pracodawcom stosującym ograniczające klauzule, by uciszyć zgłaszających, w tym jedno zakończone rekordową karą 18 mln USD.
Wagę tych zgłoszeń ujął jednoznacznie ówczesny przewodniczący SEC Gary Gensler:
"The tips, complaints, and referrals that whistleblowers provide are crucial to the Securities and Exchange Commission as we enforce the rules of the road for our capital markets."
Gary Gensler, then SEC Chair
Pytanie dla pracodawcy nie brzmi już "czy stać nas na infolinię?". Brzmi: "czy stać nas na pozew, jeśli jej nie mamy, a ktoś i tak weźmie odwet?". Jeżeli zastanawiasz się, czy bycie sygnalistą jest bezpieczne, to roczny raport SEC jest twoim materiałem dowodowym.
Jak wygląda działający system
System dla sygnalistów, który zadowala regulatorów i naprawdę wykrywa nadużycia, ma w każdej jurysdykcji ten sam kształt. Zgłoszenia trafiają poufnym kanałem (głównie internetowym, z opcją telefoniczną), są przechowywane w sposób, który przetrwa zarówno wezwanie sądowe, jak i wyciek, i są kierowane do wyznaczonej osoby, która sama nie jest podmiotem zgłoszenia. Odwet jest zakazany w polityce z realnymi konsekwencjami, a powstała dokumentacja jest na tyle szczegółowa, że audytor może ją prześledzić, nie polegając na czyjejś pamięci.
Tę specyfikację egzekwuje dyrektywa, ale tego samego oczekują też ubezpieczyciele, klienci w regulowanych łańcuchach dostaw i twój własny komitet audytu. To, co robisz, gdy zgłoszenie wpłynie, ma co najmniej takie samo znaczenie jak to, co zbierasz: kanał bez procesu jest zobowiązaniem, nie kontrolą. Dedykowany system dla sygnalistów to najtańszy sposób, żeby mieć jedno i drugie naraz.
Pierwotny argument za sygnalizowaniem nieprawidłowości był prosty: zgłoszenia znajdują nadużycia szybciej i taniej niż cokolwiek innego. Dziś wzmacnia go regulacyjny obowiązek karzący za brak kanału oraz otoczenie sądowe karzące za odwet, kiedy kanał już istnieje. Koszt wykrywania, koszt zgodności, koszt odwetu. Sprawnie działający system obniża wszystkie trzy naraz, a firmy, które zorientują się w tym wcześniej, później wystawiają mniejsze czeki.
