Vaša organizacija treba unutarnji kanal za prijavu nepravilnosti ako je riječ o privatnoj tvrtki s 50 ili više zaposlenika, subjektu javnog sektora bilo koje veličine ili jednom od kratkog popisa reguliranih djelatnosti (financijske usluge, sigurnost prometa, sprječavanje pranja novca, zaštita okoliša) koje moraju biti usklađene bez obzira na broj zaposlenika prema Direktivi (EU) 2019/1937. Ispod tog praga, u privatnom sektoru i izvan navedenih reguliranih djelatnosti, trenutno ne postoji obveza na razini EU-a – iako grupe povezanih društava i male javne institucije imaju posebnu mogućnost dijeljenja jednog kanala umjesto da svaka gradi vlastiti.
Članak 8. stavak 3. Direktive postavlja temeljno pravilo: privatni pravni subjekti s 50 ili više zaposlenika moraju uspostaviti unutarnji kanal za prijavljivanje. Ono što compliance timovima zadaje najviše poteškoća nije sam broj, nego metoda njegova izračuna. Direktiva ne propisuje jedinstvenu formulu za "50 zaposlenika" na razini cijele EU, pa se nacionalna zakonodavstva razlikuju:
Ovo je jedno od područja u kojima se nacionalna zakonodavstva razlikuju dovoljno da to ima praktične posljedice – radna snaga od 55 osoba raspoređenih na ugovore s nepunim radnim vremenom može biti iznad praga u državi koja broji zaposlenike po glavi, a ispod praga u državi koja primjenjuje izračun prema FTE-u.
Ispod 50 zaposlenika, isključivo privatna tvrtka izvan dolje navedenih reguliranih sektora danas nema obvezu na razini EU-a. To nužno ne znači da će tako ostati zauvijek: članak 27. obvezuje Europsku komisiju da periodično ocjenjuje treba li proširiti područje primjene Direktive, pa manje tvrtke koje godinama posluju na jedinstvenom tržištu ne bi trebale pretpostaviti da je prag zauvijek zamrznut.
Članak 8. stavak 1. ne postavlja nikakvu granicu veličine za javni sektor. Jedinice lokalne i regionalne samouprave, državna poduzeća, sveučilišta i druge javne institucije moraju imati unutarnji kanal bez obzira na broj zaposlenika. U praksi su države članice iskoristile fleksibilnost koju dopušta članak 8. stavak 6. kako bi ublažile ovo pravilo za najmanje lokalne jedinice – nekoliko ih izuzima jedinice s manje od 10.000 stanovnika ili im omogućuje udruživanje resursa (više o tome u nastavku) – no zadano pravilo ne ovisi o veličini: sama pripadnost javnom sektoru pokreće obvezu.
Besplatno probno razdoblje od 7 dana s punim pristupom, kreditna kartica nije potrebna
Članak 8. stavak 4. propisuje iznimku koja obuhvaća organizacije koje jednostavna provjera broja zaposlenika ne bi otkrila. Ako vaša tvrtka spada u akte EU-a navedene u dijelovima I.B i II. Priloga Direktivi – ukratko, financijske usluge, sprječavanje pranja novca i financiranja terorizma, sigurnost prometa i zaštita okoliša – morate imati unutarnji kanal za prijavljivanje čak i s tek nekoliko zaposlenika. Ti su sektori već ranije imali obveze prijavljivanja na temelju sektorski specifičnog zakonodavstva EU-a, a Direktiva ih uključuje u isti temeljni okvir umjesto da stvara zaseban režim. Investicijsko-savjetodavna tvrtka s 12 zaposlenika ili mali izvođač u području sigurnosti prometa mogu zakonski biti obvezni imati potpuno istu infrastrukturu unutarnjeg kanala kao i proizvođač sa 500 zaposlenika.
Izgradnja potpuno zasebnog kanala za svaki pravni subjekt unutar grupe upravo je vrsta administrativnog opterećenja koju Direktiva nastoji izbjeći za manje organizacije. Članak 8. stavak 6. omogućuje državama članicama da dvjema kategorijama subjekata dopuste dijeljenje resursa za zaprimanje i istraživanje prijava, umjesto da svaki vodi vlastiti kanal:
Tvrtke sa 250 ili više zaposlenika nemaju tu mogućnost – Direktiva očekuje da subjekti iznad te veličine vode vlastiti namjenski kanal. Je li vaša država članica uopće implementirala opciju iz članka 8. stavka 6. i kako je točno strukturirana, ponovno ovisi o nacionalnom prijenosu Direktive – vrijedi to provjeriti lokalno prije nego što pretpostavite da je dijeljeno rješenje dostupno.
Većina alata za prijavu nepravilnosti izrađena je za jedan pravni subjekt, što grupe povezanih društava stavlja pred nezgodan izbor: plaćati zaseban račun za svako povezano društvo ili prisiliti sve subjekte da dijele jedan nediferencirani sandučić u kojem je nemoguće utvrditi na koga se prijava zapravo odnosi. Vaelo je osmišljen suprotno – jedan račun može objediniti više brendiranih, neovisno konfiguriranih kanala za prijavljivanje za svako povezano društvo ili jedinicu lokalne samouprave, pri čemu se prijave automatski usmjeravaju i vode kao zasebni predmeti po subjektu, dok istodobno compliance timu na razini cijele grupe omogućuje dijeljenje resursa za istragu upravo onako kako to dopušta članak 8. stavak 6. Time dobivate troškovnu i organizacijsku učinkovitost zajedničkog kanala bez gubitka odgovornosti na razini pojedinog subjekta, uz pokretanje u svega nekoliko minuta i bez potrebe za IT projektom.
Uključuje li se u broj od 50 zaposlenika i osoblje s nepunim radnim vremenom? Uglavnom da, i to kao cijele osobe, a ne razlomci – no manjina država članica umjesto toga koristi izračun prema ekvivalentu punog radnog vremena, pa ista radna snaga može biti iznad ili ispod praga ovisno o državi. Provjerite konkretno nacionalno zakonodavstvo umjesto da pretpostavljate.
Trebaju li javne institucije bilo koje veličine imati kanal? Da, načelno – članak 8. stavak 1. ne propisuje minimalan broj zaposlenika za javni sektor. Neke države članice izuzimaju jedinice lokalne samouprave s manje od 10.000 stanovnika ili im nude mogućnost dijeljenja resursa, no zadana obveza vrijedi bez obzira na veličinu.
Koji sektori moraju biti usklađeni i s manje od 50 zaposlenika? Financijske usluge, sprječavanje pranja novca i financiranja terorizma, sigurnost prometa te zaštita okoliša, u skladu s člankom 8. stavkom 4. i Prilogom Direktivi – ti su sektori već ranije bili obuhvaćeni obvezama prijavljivanja na temelju sektorskog zakonodavstva EU-a.
Može li grupa povezanih društava s više članica dijeliti jedan kanal za prijavu nepravilnosti? Da, za povezana društva s 50 do 249 zaposlenika svako, članak 8. stavak 6. dopušta državama članicama da omoguće dijeljene resurse za zaprimanje i istraživanje prijava unutar grupe, umjesto potpuno zasebnog kanala za svaki subjekt. Subjekti sa 250 ili više zaposlenika nemaju tu mogućnost.
Što se događa ako moja tvrtka tijekom godine prijeđe prag od 50 zaposlenika? Većina nacionalnih propisa primjenjuje obvezu od trenutka kad je prag trajno prijeđen, često uz kratko prijelazno razdoblje za uspostavu funkcionalnog kanala, umjesto trenutnog roka – no pojedinosti (referentni datum, duljina prijelaznog razdoblja) ovise o lokalnom pravu, pa čim rast tvrtke dovede blizu granice, provjerite provedbeni propis svoje države članice.
Besplatno probno razdoblje od 7 dana s punim pristupom, kreditna kartica nije potrebna
Praktičan prikaz Direktive (EU) 2019/1937: tko mora biti usklađen, zakonski rokovi od 7 dana i 3 mjeseca, zahtjevi za kanal za prijavu i kazne za neusklađenost.
EU Direktiva postavlja zajednički minimum, ali njemački HinSchG, francuski Loi Waserman, španjolski Ley 2/2023 i portugalski Lei 93/2021 znatno se razlikuju u rokovima, pragovima i kaznama. Usporedba za timove za usklađenost koji posluju u više zemalja.
GDPR ne zabranjuje istragu prijave — određuje kako je provesti. Pravna osnova, prava prijavljene osobe naspram povjerljivosti prijavitelja, rokovi čuvanja i kada je potrebna DPIA.