Procedury anonimowego zgłaszania naruszeń

§ 24. 1. Firma inwestycyjna opracowuje i wdraża procedury anonimowego zgłaszania przez pracowników naruszeń prawa oraz obowiązujących w firmie inwestycyjnej procedur i standardów etycznych, zwanego dalej "zgłoszeniami naruszeń".

2. Przez obowiązujące w firmie inwestycyjnej procedury, o których mowa w ust. 1, rozumie się akty wewnętrzne, w tym regulaminy, instrukcje, systemy i rozwiązania przyjęte w danej firmie inwestycyjnej.

3. Firma inwestycyjna zapewnia możliwość zgłaszania przez pracowników naruszeń za pośrednictwem specjalnego, niezależnego i autonomicznego kanału komunikacji.

4. Procedury zgłaszania naruszeń określają co najmniej:

1) sposób odbierania zgłoszeń w sprawie naruszeń, w tym zapewniający możliwość odbierania zgłoszeń bez podawania tożsamości przez osobę dokonującą zgłoszenia;

2) sposób ochrony osoby dokonującej zgłoszenia obejmujący co najmniej ochronę przed działaniami o charakterze represyjnym, dyskryminacją lub innymi rodzajami niesprawiedliwego traktowania;

3) sposób ochrony danych osobowych osoby dokonującej zgłoszenia oraz osoby, której zarzuca się dokonanie naruszenia, zgodny z przepisami ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922);

4) rozwiązania pozwalające na zachowanie poufności tożsamości osoby dokonującej zgłoszenia, w przypadku gdy osoba ta ujawniła swoją tożsamość lub jej tożsamość jest możliwa do ustalenia;

5) organy odpowiedzialne za odbieranie zgłoszeń naruszeń, z tym że w przypadku gdy zgłoszenie dotyczy członka zarządu, powinno być przyjęte przez radę nadzorczą;

6) sposób przekazywania członkowi zarządu, o którym mowa w ust. 5, lub radzie nadzorczej oraz pracownikom i jednostkom organizacyjnym, wyznaczonym zgodnie z ust. 6, informacji związanych ze zgłoszeniem naruszenia niezbędnych do prawidłowej weryfikacji tego zgłoszenia, mając na uwadze ograniczenia zakresu przekazywanych informacji ze względu na cele realizowane przez procedurę oraz treść zgłoszenia naruszenia;

7) rodzaj i charakter działań następczych podejmowanych na skutek:

a) odebrania zgłoszenia naruszenia,

b) weryfikacji zgłoszenia naruszenia;

8) sposób koordynacji działań, o których mowa w pkt 7;

9) termin usunięcia przez firmę inwestycyjną danych osobowych zawartych w zgłoszeniach naruszeń;

10) w przypadku pozytywnej weryfikacji zasadności zgłoszenia naruszeń termin powiadomienia przez członka zarządu, o którym mowa w ust. 5, lub radę nadzorczą, w przypadku gdy zgłoszenie dotyczy członka zarządu, osoby, której zarzuca się dokonanie naruszenia, o fakcie dokonania zgłoszenia naruszeń oraz przeprowadzonej procedurze weryfikacji zasadności zgłoszenia naruszeń, z zastrzeżeniem zachowania poufności, o której mowa w pkt 4.

5. Zarząd ustala wewnętrzny podział kompetencji, wskazując członka zarządu, który jest odpowiedzialny za bieżące funkcjonowanie procedur zgłaszania naruszeń i do którego są zgłaszane takie naruszenia.

6. Członek zarządu, o którym mowa w ust. 5, lub rada nadzorcza po otrzymaniu zgłoszenia wyznacza pracowników bądź jednostki organizacyjne odpowiedzialne za weryfikację zgłoszenia oraz podejmowanie i koordynowanie działań następczych. W przypadku gdy jest to uzasadnione wielkością, strukturą i rodzajem prowadzonej działalności, wskazany członek zarządu lub rada nadzorcza może odstąpić od wyznaczania pracowników lub jednostek organizacyjnych.

7. Zarząd jest odpowiedzialny za adekwatność i skuteczność procedury zgłaszania naruszeń.

8. W przypadku negatywnej weryfikacji zasadności zgłoszenia naruszeń i oddalenia podejrzeń w nim zawartych członek zarządu, o którym mowa w ust. 5, lub rada nadzorcza, w przypadku gdy zgłoszenie dotyczy członka zarządu, niezwłocznie powiadamia osobę, której zarzucono dokonanie naruszenia, o fakcie zgłoszenia naruszeń oraz przeprowadzonej procedurze weryfikacji zasadności zgłoszenia naruszeń, których zgłoszenie dotyczyło, z zastrzeżeniem zachowania poufności, o której mowa w ust. 4 pkt 4.

9. W przypadku, o którym mowa w ust. 8, firma inwestycyjna niezwłocznie usuwa ze swoich systemów dane osobowe zawarte w zgłoszeniu, pozostawiając w systemach przez okres, o którym mowa w § 20 ust. 2, inne informacje zawarte w zgłoszeniach naruszeń oraz informacje o podjętych działaniach następczych.

10. Członek zarządu, o którym mowa w ust. 5, regularnie, nie rzadziej niż raz na 6 miesięcy, przekazuje radzie nadzorczej informacje o otrzymanych zgłoszeniach naruszeń, przy czym obowiązek ten uznaje się za spełniony, w przypadku gdy informacje te są zawierane w raporcie, o którym mowa w § 14 ust. 12.

11. Rada nadzorcza w zależności od potrzeb, nie rzadziej niż raz w roku, ocenia adekwatność i skuteczność procedury zgłaszania naruszeń.

12. Firma inwestycyjna przeprowadza wstępne i regularne szkolenia pracowników firmy inwestycyjnej w zakresie zgłaszania naruszeń, w szczególności obowiązujących w tym zakresie procedur.

13. W przypadku domu maklerskiego działającego w formie spółki osobowej wymogi, o których mowa w ust. 1-12, mają zastosowanie do komplementariuszy lub wspólników, którym przysługuje prawo prowadzenia spraw spółki lub jej reprezentowania zgodnie z przepisami ustawy z dnia 15 września 2000 r. - Kodeks spółek handlowych (Dz. U. z 2016 r. poz. 1578, 1579, 2255 i 2260 oraz z 2017 r. poz. 791).

14. Przepisy ust. 1-13 stosuje się do zagranicznej firmy inwestycyjnej prowadzącej działalność na terytorium Rzeczypospolitej Polskiej w formie oddziału wyłącznie w zakresie zgłaszania naruszeń odnoszących się do działalności maklerskiej prowadzonej na terytorium Rzeczypospolitej Polskiej.