Sygnaliści w firmie: zapobieganie oszustwom i zgodność z dyrektywą UE

Nadużycia nie są problemem tylko małych firm ani tylko dużych firm. To problem doczepiony do listy płac, a osoby, które są mu najbliżej, zwykle właśnie tam pracują. Każde poważne badanie nadużyć i każdy duży regulator finansowy (oraz sama Unia Europejska) dochodzą do tego samego wniosku: firma, która chce wcześnie wykrywać nieprawidłowości, potrzebuje działającego kanału, w którym osoby widzące je jako pierwsze mogą bezpiecznie zgłosić problem.

Zgłoszenia wciąż biją wszystkie inne metody wykrywania

Raport ACFE Report to the Nations 2024 przeanalizował 1921 spraw o nadużycia pracownicze w 138 krajach i wykazał, że 43% z nich wyszło na jaw dzięki zgłoszeniu, ponad trzy razy więcej niż kolejna metoda w zestawieniu. Audyt wewnętrzny odpowiadał za 14%, przegląd kierownictwa za 13%. Sami pracownicy dostarczają ponad połowy (52%) tych zgłoszeń; klienci i dostawcy zapewniają większość reszty.

Zmienił się też sposób zgłaszania. Kanały internetowe (40%) wyprzedziły infolinie telefoniczne (30%), pomiędzy nimi plasuje się e-mail z wynikiem 37%, a zgłoszenia anonimowe wciąż stanowią 15% wolumenu. Kiedy zachęcasz do zgłaszania nieprawidłowości wewnątrz własnej firmy, budujesz najbardziej niezawodne narzędzie wykrywania nadużyć, jakie kiedykolwiek zmierzono.

Ile naprawdę kosztują nadużycia, dopóki pozostają ukryte

Koszt napędza czas trwania. Mediana czasu trwania nadużycia pracowniczego to 12 miesięcy, zanim ktokolwiek je wykryje, a straty narastają w tempie około 9 900 USD miesięcznie przez cały ten okres. Skróć czas trwania o połowę, a zetniesz większość kosztu.

Ten sam zbiór danych z roku na rok pokazuje, że organizacje z anonimową infolinią dla sygnalistów wykrywają nadużycia szybciej i tracą na sprawę mniej niż te, które jej nie mają. Konkretna różnica zmienia się między edycjami globalnego badania nadużyć, ale kierunek utrzymuje się od ponad dekady. Kanał zgłoszeń zwraca się już przy pierwszym schemacie rozliczeniowym, któremu odbierze sześć miesięcy.

Dlaczego UE uznała kanały wewnętrzne za obowiązkowe

Posiadanie systemu dla sygnalistów było kiedyś dobrą praktyką. W Unii Europejskiej jest prawem. Dyrektywa (UE) 2019/1937 zobowiązuje każdy prywatny podmiot działający w UE, który zatrudnia 50 lub więcej osób, do zapewnienia bezpiecznych wewnętrznych kanałów zgłoszeń, wskazania osób prowadzących sprawy, dotrzymywania określonych terminów potwierdzenia odbioru i informacji zwrotnej oraz wyraźnej ochrony przed działaniami odwetowymi. Regulacje sektorowe w usługach finansowych, przeciwdziałaniu praniu pieniędzy i lotnictwie obejmują tym samym reżimem również mniejsze firmy.

„Sygnaliści nie powinni być karani za to, że robią słuszną rzecz. Nasze nowe, ogólnounijne przepisy zagwarantują im możliwość bezpiecznego zgłaszania naruszeń prawa UE."
Věra Jourová, ówczesna komisarz UE ds. sprawiedliwości

Wszystkie 27 państw członkowskich wdrożyło dyrektywę, większość po terminie. Na początku 2025 r. Komisja Europejska nałożyła łączne kary około 40 mln euro na pięć z nich; same Niemcy dostały karę około 34 mln euro. Na poziomie firmowym sankcje krajowe za brak zgodności sięgają 50 000 euro za naruszenie, do tego dochodzi osobne ryzyko z tytułu RODO, gdy zgłoszenia są źle przechowywane lub kierowane.

Odwet przestał być darmowy

Druga część rachunku to konsekwencje sytuacji, w której pracownik zgłasza nadużycie, a pracodawca uderza w odpowiedzi. W kwietniu 2025 r. były członek kierownictwa SunEdison uzyskał ugodę na 34,5 mln USD w sprawie roszczeń odwetowych z ustawy Sarbanes-Oxley, największą udokumentowaną na podstawie tego aktu. Marzec 2025 r. przyniósł wyrok na 1,64 mld USD przeciwko spółce Janssen z grupy Johnson & Johnson, oparty na zgłoszeniach dwóch sygnalistów w trybie False Claims Act. Takie liczby były kiedyś tylko teorią.

Program SEC dla sygnalistów wypłacił 255 mln USD 47 osobom w roku obrotowym 2024, trzeci najwyższy wynik w historii programu, oraz ponad 2,2 mld USD od 2011 r. Komisja wszczęła też jedenaście postępowań przeciwko pracodawcom stosującym restrykcyjne umowy, by uciszyć zgłaszających, w tym jedno zakończone rekordową karą 18 mln USD.

„Informacje, skargi i sygnały od sygnalistów mają kluczowe znaczenie dla Komisji Papierów Wartościowych i Giełd, kiedy egzekwujemy reguły gry na naszych rynkach kapitałowych."
Gary Gensler, ówczesny przewodniczący SEC

Pytanie dla pracodawcy nie brzmi już „czy stać nas na infolinię?". Brzmi: „czy stać nas na pozew, jeśli jej nie mamy, a ktoś i tak zastosuje odwet?". Jeżeli zastanawiasz się, czy bycie sygnalistą jest bezpieczne, to roczny raport SEC jest twoją bazą dowodową.

Jak wygląda działający system

System dla sygnalistów, który spełnia wymogi regulatorów i naprawdę wyciąga nadużycia na powierzchnię, ma w każdej jurysdykcji ten sam kształt. Zgłoszenia trafiają poufnym kanałem (przeważnie internetowym, z opcją telefoniczną), są przechowywane tak, by przetrwały zarówno wezwanie sądowe, jak i wyciek, i kierowane są do wskazanej osoby, która sama nie jest przedmiotem zgłoszenia. Działania odwetowe są zakazane na piśmie i obwarowane realnymi konsekwencjami, a powstała dokumentacja jest na tyle szczegółowa, że audytor może ją prześledzić bez polegania na czyjejś pamięci.

Tę specyfikację egzekwuje dyrektywa, ale tego samego wymagają też ubezpieczyciele, klienci w regulowanych łańcuchach dostaw i twój własny komitet audytu. To, co robisz po wpłynięciu zgłoszenia, ma co najmniej takie samo znaczenie jak to, co zbierasz: kanał bez procesu to ryzyko, a nie mechanizm kontrolny. Najtańszym sposobem, by mieć jedno i drugie naraz, jest kompleksowy system dla sygnalistów.

Pierwotny argument za sygnalizowaniem nieprawidłowości był prosty: zgłoszenia wykrywają nadużycia szybciej i taniej niż cokolwiek innego. Dziś wzmacnia go obowiązek regulacyjny karzący za brak kanału oraz otoczenie sądowe karzące za odwet, kiedy kanał już istnieje. Koszt wykrywania, koszt zgodności, koszt odwetu. Sprawnie działający system obniża wszystkie trzy naraz, a firmy, które zrozumieją to wcześniej, później wystawiają mniejsze czeki.