Tematyka Compliance w Polsce coraz bardziej przybiera na znaczeniu i, jak pokażemy w kolejnym poście, ma ona również swoje znaczenie na gruncie prawa ochrony danych osobowych. Jest to w dużym stopniu pochodna dużego zainteresowania tą problematyką w państwach zachodnich, gdzie Compliance jest coraz częściej traktowany jako niezbędny element prawidłowego funkcjonowania przedsiębiorstwa w przestrzeni prawnej i ekonomicznej.
Czym jest Compliance?
Już sama nazwa (ang. compliance = zgodność; in compliance with sth = zgodność z czymś) jest bardzo wymowna i adekwatna do roli, jaką ma pełnić Compliance. Najogólniej rzecz ujmując, można powiedzieć, iż Compliance to zapewnienie takiej struktury przedsiębiorstwa, która sprawi, iż w jego funkcjonowaniu nie będzie dochodziło do szeroko pojętych nieprawidłowości. Można zatem od razu postawić pytanie, o jakich nieprawidłowościach może być mowa i kto ewentualnie miałby się dopuścić tych nieprawidłowości?
Jaki jest zakres stosowania?
Odpowiadając na pierwsze pytanie, stwierdzić należy, iż chodzi tu przede wszystkim o zapewnienie przestrzegania nakazów oraz niełamanie zakazów, ustanowionych przepisami powszechnie obowiązującego prawa. Jednakże zakres ten może być zdecydowanie szerszy, bowiem można go także rozciągnąć na wszelkiego rodzaju regulacje wewnętrzne obowiązujące w danym przedsiębiorstwie, które są często stosowanym mechanizmem zwłaszcza w dużych i złożonych korporacjach, w szczególności tych o zasięgu międzynarodowym. Zakresem stosowania mogą być ponadto objęte także ogólnie przyjęte standardy etyczne i moralne, których naruszenie co do zasady nie będzie prowadzić wprost do sankcji prawnych, jednakże może spowodować równie daleko idące konsekwencje, jak naruszenia prawa powszechnie obowiązującego.
Odnosząc się zaś do zakresu personalnego Compliance, wskazać można, iż co do zasady, powinien on obejmować wszystkie osoby znajdujące się w szeroko pojętej strukturze danego przedsiębiorstwa. Także i tutaj zakres ten można dodatkowo rozszerzyć, obejmując nim kontrahentów danego przedsiębiorstwa. Generalne bowiem założenie jest takie, iż system Compliance powinien obejmować wszystkie podmioty, które mają wpływ na to co się dzieje w przedsiębiorstwie lub których działanie będzie kojarzone z przedsiębiorstwem.
Jak działa Compliance?
W nawiązaniu do powyższych stwierdzeń nasuwa się pytanie, w jaki sposób Compliance miałby przyczyniać się do prawidłowego funkcjonowania przedsiębiorstw?
Odpowiedzieć na to pytanie nierozłącznie związania jest ze swoistą filozofią Compliance, którą w dużym uproszczeniu można sprowadzić do stwierdzenia „lepiej jest zapobiegać niż leczyć”. U podstaw Compliance leży bowiem oczywiste spostrzeżenie, iż czasem nawet pojedyncza nieprawidłowość, która pojawi się w funkcjonowaniu przedsiębiorstwa, może mieć dla niego bardzo daleko idące negatywne, a w niektórych przypadkach wręcz katastrofalne, skutki.
Jako klasyczny przykład takiej nieprawidłowości wskazać można choćby dopuszczenie się przez pracownika reprezentującego dane przedsiębiorstwo przestępstwa przy okazji wykonywania czynności służbowych (np. łapownictwa) lub też niedochowywanie należytej staranności przez pracowników przy przestrzeganiu norm w zakresie wytwarzania określonych produktów (np. leków, żywności, zabawek dla dzieci). Zazwyczaj naturalną konsekwencją takiej nieprawidłowości jest przeprowadzenie przez właściwe organy państwowe odpowiedniego postępowania, w szczególności karnego lub administracyjnego i zastosowanie przewidzianych prawem środków wobec bezpośredniego sprawcy (np. kary pozbawienia wolności, grzywny) lub wobec przedsiębiorstwa (zakaz wprowadzania produktu do obrotu, kara pieniężna).
Jednakże powyższa konsekwencja bardzo często nie jest jedyną. Wiele takich spraw może bowiem powodować zainteresowanie mediów, a w dalszej kolejności wybuch skandalu, którego efektem będzie pogorszenie reputacji danego przedsiębiorstwa, co już ma z kolei bezpośrednie przełożenie na uzyskiwane wyniki finansowe. Taki czarny scenariusz jest określany w Compliance jako „worst-case”.
Cel – uniknięcie „worst-case”
Celem każdego racjonalnie funkcjonującego przedsiębiorstwa jest oczywiście uniknięcie „worst-case”. Jedną z możliwości osiągnięcia tego celu jest podejmowanie przez przedsiębiorstwo, po pojawieniu się nieprawidłowości, działań mających na celu zatrzymanie zarysowanego wyżej efektu domina. Działania te w zależności od okoliczności nie zawsze muszą zakończyć się sukcesem, a na dodatek mogą okazać się bardzo drogie.
Alternatywą dla powyższego działania jest w wdrożenie w przedsiębiorstwie odpowiednio dopasowanego do tego przedsiębiorstwa systemu Compliance, którego zadaniem będzie zredukowanie do minimum ryzyka wystąpienia nieprawidłowości. W podanych przykładach, czynnościami, które mogłyby być przeprowadzone w ramach Compliance byłyby chociażby stosowne wewnętrzne analizy dotyczące prawdopodobieństwa pojawienia się korupcji lub nieprzestrzegania norm produkcyjnych na każdym etapie funkcjonowania przedsiębiorstwa, wyznaczenie obszarów działalności szczególnie wrażliwych, które muszą być poddawane stałemu nadzorowi, względnie przeprowadzanie wewnętrznych doraźnych kontroli.
Compliance uszyty na miarę
Jak zaznaczono wyżej, niezmiernie istotne jest to, aby system Compliance przyjęty przez dane przedsiębiorstwo był dla niego odpowiedni. O ile w przypadku dużych korporacji wdrożenie pełnego systemu Compliance będzie miało zasadniczo zawsze swoje uzasadnienie, o tyle w przypadku małych i średnich przedsiębiorstw pełen system Compliance, ze względu na koszty oraz małą i nieskomplikowaną strukturę przedsiębiorstwa, może okazać się niecelowy. Jednakże nie oznacza to, że Compliance nie będzie miał w ogóle zastosowania w przypadku małych i średnich przedsiębiorstw – przedsiębiorstwa te bowiem powinny rozważyć prewencyjne stosowanie niektórych środków Compliance, w szczególności tych, które są bezpośrednio związane z głównym zakresem prowadzenia działalności gospodarczej danego przedsiębiorstwa i ryzykami, które mogą pojawić się na polu prowadzenia tejże działalności.
W kolejnym poście postaramy się zatem spojrzeć przez pryzmat Compliance na aspekty związane z tematyką ochrony danych osobowych.
Masz pytania dotyczące tematu artykułu? Skontaktuj się z autorem.
Wojciech Szlawski
Radca prawny
