Odpowiedzialność osobista CIO

Czy na pewno wiem, za co odpowiadam? Natłok obowiązków i dynamicznie zmieniająca się rzeczywistość sprawiają, że coraz trudniej znaleźć czas na zagadnienia związane z odpowiedzialnością osobistą. To zresztą naturalne, że więcej czasu poświęcamy efektywnemu wykonaniu pracy, celom biznesowym czy własnej karierze niż zastanawianiu się nad ryzykiem wtrącenia do więzienia czy zapłaty odszkodowania.

Hasło „ryzyko i odpowiedzialność” pracownikowi każdej nowoczesnej firmy przywodzi na myśl wielki, świecący na czerwono napis COMPLIANCE. Kojarzy się on różnie. Często – ze stosem wewnętrznych reguł i zasad, którego przestrzeganie nadzoruje „ktoś z działu prawnego”, czasem osobnego działu compliance.

Pragnąc przybliżyć szefom zespołów IT zagadnienie compliance, niekiedy wykładane na język polski jako „zapewnienie zgodności prawnej” w serii artykułów spróbujemy wskazać najważniejsze i najbardziej praktyczne rodzaje ryzyka compliance, z którymi w swojej praktyce zawodowej może zmierzyć się CIO. Pomoże to w realizacji podejścia liability compliance, czyli zarządzania zgodnością, które skupia się na minimalizowaniu ryzyka odpowiedzialności osobistej. Punktem wyjścia jest poznanie ciążących na CIO obowiązków i rodzajów osobistego ryzyka prawnego.

(Nie)abstrakcyjna odpowiedzialność

Jeśli zapytać prawnika o to, jaka odpowiedzialność ciąży na menedżerze każdego zespołu, w tym na szefie departamentu IT, odpowie ogólnie o trzech jej rodzajach: cywilnej (np. obowiązek naprawienia szkody, czyli najczęściej po prostu – zapłaty odszkodowania), karnej (np. grzywna lub ograniczenie wolności) i administracyjnej (np. pieniężna kara administracyjna). Ryzyko poniesienia odpowiedzialności każdego z tych rodzajów nie jest abstrakcyjne.

Warto jednak dobrze rozważyć potencjalne sytuacje, których konsekwencją mogłaby być odpowiedzialność osobista przypisana do stanowiska. Te najczęściej wynikają z braku znajomości właściwych przepisów. Zacznijmy więc od tego zagadnienia. W 2019 roku w życie weszło w życie ponad 21 tysięcy stron nowych aktów prawnych. Czy wiesz na pewno, które z nich dotyczą Ciebie?

Liczba tworzonych w Polsce przepisów jest najwyższa w całej Unii Europejskiej i z roku na rok rośnie. Badania pokazują, że przodujemy w niechlubnych rankingach krajów najbardziej zmiennego prawa i tym samym najbardziej niestabilnych warunków biznesowych. Wynika to także z tempa przyjmowanych regulacji – w zeszłym roku rekordowo krótko, bo średnio 69 dni trwały prace nad ustawą od wpływu do Sejmu do podpisu Prezydenta.

Dodajmy do tego obecną pandemię koronawirusa, która przyniosła także bardzo szeroki wachlarz zmian prawnych i oto rysuje się sytuacja, w której łatwo o przeoczenie regulacji posiadającej znaczny wpływ na naszą pracę i odpowiedzialność. Tym samym nowego znaczenia nabiera dobrze prowadzony monitoring legislacyjny. Paradoksalnie, nie jest to zadanie wyłącznie dla działu prawnego.

Warto osobiście zweryfikować, jak kwestie te uregulowano w organizacji i czy konsekwencje przeoczenia konkretnej nowej regulacji w obszarze IT nie zostaną (zostały?) scedowane na mnie. W wielu organizacjach odpowiedzialność za nadzorowanie regulacji prawnych właściwych dla danego obszaru spoczywa na kierujących pracami danego departamentu, zwłaszcza kiedy mowa o obszarze technicznym. Może to być bezpośrednio wpisane w obowiązki dyrektorów i kierowników działów, może też wynikać z innych źródeł – np. z regulaminu organizacyjnego, albo z poleceń przełożonych. I tu dochodzimy do kolejnego wyzwania.

Czy wiem, za co odpowiadam?

Punktem wyjścia powinny być wiedza i świadomość. Na początek dotyczące tego, jakie ogólne regulacje wewnętrzne (polityki, procedury, regulaminy) wpływają na pracę CIO i obszaru, którym zarządza. Kluczowe jest zrozumienie rangi i charakteru każdej regulacji wewnętrznej i ich wzajemnych korelacji.

W tym celu konieczne jest odnalezienie – czasami skrywanych w czeluściach HRu – zakresów odpowiedzialności dla mojego działu, dla mnie i dla podległych mi pracowników. Zdarza się, że o funkcjonowaniu takich dokumentów w organizacji nikt nie wie, choć istnieją one od lat. No właśnie, od lat. A warto po nie sięgać i regularnie sprawdzać, czy nie wymagają aktualizacji. W razie wystąpienia nieprawidłowości próba ustalenia winnych, gdy zakresy odpowiedzialności i obowiązków poszczególnych jednostek organizacyjnych i osób w organizacji nie są jasne, staje się niezwykle trudne i bolesne. A prędzej czy później takie ustalanie winnego się odbędzie.

Posiadanie jasnych reguł w tym zakresie pomaga też na bieżąco rozwiązywać spory kompetencyjne czy decyzyjne. Dlatego warto regularnie sprawdzać, co w danej sytuacji z nich wynika, a jeśli brak dokumentów precyzujących podział odpowiedzialności w odniesieniu do funkcji, warto zainicjować ich stworzenie. Dodatkowa korzyść z precyzyjnie zakresów odpowiedzialności to możliwość porządkowania odpowiedzialności przypisanej poszczególnym członkom zespołu. To cechy dobrego systemu compliance.

Autorami artykułu są Salwador Milczanowski, Counsel, oraz Julia Besz, Associate, z zespołu compliance. Dalszą część artykułu przeczytają Państwo na stronie itwiz.pl.