Wdraża Pan i audytuje systemy Compliance, systemy dla sygnalistów lub systemy ochrony danych osobowych. Co jest podstawą do budowy tych systemów?
Podstawą we wdrożeniu, utrzymaniu i aktualizacji systemów Compliance (zarządzania zgodnością) jak również systemów antykorupcyjnych, systemów whistleblowingowych oraz systemów ochrony danych osobowych jest analiza i zarządzanie ryzykiem. Dlatego oficerowie Compliance, osoby odpowiedzialne za systemy antykorupcyjne, osoby odpowiedzialne za systemy dla sygnalistów oraz Inspektorzy Ochrony Danych korzystają z metodologii i metodyk zarządzania ryzykiem.
Na bazie zarządzania ryzykiem oraz danym stanie faktycznym i prawnym podmiotu dopiero się buduje i zarządza danym systemem.
Czy da się zlikwidować ryzyko compliance lub ryzyko naruszenia danych osobowych?
Kiedyś w ramach ćwiczeń intelektualnych zaprojektowałem taki system likwidujący ryzyko. Niestety miał jedną wadę. Totalnie sparaliżowałby działalność danego podmiotu i był bardzo drogi. W rzeczywistości nigdy nie uda nam się zlikwidować ryzyka Compliance czy ryzyka naruszenia danych osobowych. Możemy tylko to ryzyko minimalizować i minimalizować straty. Czyli zarządzać tym ryzykiem.
Czy to oznacza, że każdy system compliance lub ochrony danych osobowych jest pozorny lub nieskuteczny?
Oczywiście nie. Pozorny system to taki, w który został tylko pozornie wdrożony (najczęściej na papierze), a w rzeczywistości nie funkcjonuje w ogóle. Przy okazji jest w tym pewna ironia, bo np. w razie sporu z PUODO np. przed NSA najważniejszy jest porządek w papierach, a nie to czy system faktycznie działał. No ale to wynika z zasady rozliczalności.
Natomiast system nieskuteczny to taki w którym nie wdrożono lub nie utrzymywano adekwatnych rozwiązań organizacyjnych i technicznych. Czyli był ale nie minimalizował ryzyka lub minimalizował zbyt mało.
Co jest według Pana najczęstszym powodem pozorności lub nieskuteczności systemów?
Bardzo częstym błędem jest brak odpowiedniego zaangażowania najwyższego kierownictwa. Według zaangażowania można podzielić najwyższe kierownictwo na trzy główne typy:
- pełne zaangażowanie – najwyższe kierownictwo w pełni się angażuje we wdrożenie i utrzymanie systemu systemu, chce otrzymywać stałe raporty, jednocześnie stale deklaruje wsparcie dla systemu i potwierdza to czynami, tym samym zapewnia stałe zaangażowanie w organizacji prosystemowe,
- deklarowane zaangażowanie - najwyższe kierownictwo tylko deklaruje wsparcie dla systemu (np. podpisując kodeksy i polityki), faktycznie ani nie pomaga ani nie przeszkadza, robi minimum tego co wymagają przepisy,
- wrogość wobec systemu - najwyższe kierownictwo nie wspiera ale sabotuje system, np. oświadczając głośno, że jest on zbędny, obcinając zasoby do zera itp.
Najczęściej spotyka się typ B). Na szczęście najrzadziej typ C). Choć może ja trafiam na świadome najwyższe kierownictwo.
Czy jeszcze są inne działania najwyższego kierownictwa, które skutkują pozornością lub nieskutecznością systemów?
Oprócz zaangażowania, jest jeszcze kilka głównych powodów pozorności lub nieskuteczności systemów za które ponosi bezpośrednio odpowiedzialność najwyższe kierownictwo:
- niezapewnienie odpowiednich zasobów na wdrożenie i utrzymanie systemu (bardzo częste),
- błąd w wyborze oficera Compliance lub IOD`a,
- brak odpowiedniego umocowania osoby odpowiedzialnej za system, zapewnienia jej niezależności, włączanie od początku itd..
Jakie jeszcze spotyka Pan powody pozorności lub nieskuteczności systemów?
Z tych najczęściej spotykanych, poza powyższymi, muszę wspomnieć:
- brak audytów powdrożeniowych lub brak aktualizacji systemów,
- brak szkoleń dla wszystkich pracowników w tym najwyższego kierownictwa i osób odpowiedzialnych (np. wiele podmiotów szkoliło pracowników z RODO 3 lata temu, a teraz nie powtarza szkoleń),
- błędy w komunikacji,
- działania na ostatnią chwilę i w minimalnym zakresie lub dopiero wtedy gdy mamy kryzys – choć to też dowód na to, że system jest pozorny lub nieskuteczny.