Procedura zgłoszeń wewnętrznych dla sygnalistów — kiedy firma musi ją wdrożyć i jak ją ułożyć?

Kiedy firma musi mieć procedurę zgłoszeń wewnętrznych?

Podstawowa reguła obejmuje podmiot prawny, na rzecz którego co najmniej 50 osób wykonuje pracę zarobkową. Ustawa posługuje się szerszym kryterium niż liczba pracowników wpisana w systemie kadrowym. Pracowników uwzględnia się w przeliczeniu na pełne etaty. Do liczby wchodzą także osoby świadczące pracę za wynagrodzeniem na innej podstawie, jeżeli same nie zatrudniają innych osób do wykonywania tego rodzaju pracy.

Dlatego firma oparta na modelu mieszanym — pracownikach, umowach zlecenia i jednoosobowych kontraktorach B2B — może przekroczyć próg mimo zatrudniania mniej niż 50 pracowników. Weryfikację wykonuje się według stanu na 1 stycznia oraz 1 lipca danego roku. W praktyce warto ustalić właściciela tego procesu i przygotować zestawienie przed każdą z tych dat.

Próg nie dotyczy części podmiotów prowadzących działalność w obszarach wskazanych w ustawie i unijnych aktach sektorowych, między innymi w zakresie usług, produktów i rynków finansowych, przeciwdziałania praniu pieniędzy, bezpieczeństwa transportu oraz ochrony środowiska. W ich przypadku obowiązek może istnieć niezależnie od liczby osób.

Podmiot poniżej progu może wdrożyć procedurę dobrowolnie. Taka decyzja bywa uzasadniona w grupie kapitałowej, przed inwestycją, przy wymaganiach kontrahenta albo wtedy, gdy firma chce stworzyć jeden kontrolowany kanał do zgłaszania poważnych nieprawidłowości.

Jak ustalić zakres zgłoszeń?

Ustawa obejmuje określone dziedziny naruszeń prawa, między innymi korupcję, zamówienia publiczne, AML, bezpieczeństwo produktów, ochronę środowiska, ochronę konsumentów, prywatność i dane osobowe, bezpieczeństwo systemów informatycznych oraz interesy finansowe państwa i Unii Europejskiej.

Procedura może dodatkowo dopuścić zgłaszanie naruszeń wewnętrznych regulacji lub standardów etycznych ustanowionych na podstawie prawa i z nim zgodnych. Trzeba jednak jasno rozróżnić zgłoszenia objęte ustawą od zwykłych skarg pracowniczych, reklamacji, konfliktów interpersonalnych czy zgłoszeń antymobbingowych rozpatrywanych na innej podstawie.

Nie oznacza to, że zgłoszenie spoza zakresu ustawy należy zignorować. Powinno trafić do odpowiedniej ścieżki, ale osoba zgłaszająca nie może być automatycznie informowana, że w każdej sprawie uzyskała status sygnalisty na podstawie ustawy.

Co musi określać procedura?

Procedura powinna wyznaczać jednostkę, osobę lub podmiot zewnętrzny upoważniony do przyjmowania zgłoszeń oraz bezstronną osobę albo jednostkę odpowiedzialną za weryfikację i działania następcze. Te funkcje mogą zostać połączone, jeśli organizacja potrafi zapewnić bezstronność.

Dokument musi również regulować kanały zgłoszeń, postępowanie ze zgłoszeniami anonimowymi, potwierdzenie przyjęcia, działania następcze, informację zwrotną, zasady dokonywania zgłoszeń zewnętrznych i ochronę danych. Warto dodać reguły dotyczące konfliktu interesów, zastępstwa osoby prowadzącej sprawę, klasyfikacji zgłoszeń, zabezpieczenia dowodów oraz raportowania do zarządu bez ujawniania danych, które nie są potrzebne.

Procedura powinna odpowiadać rzeczywistej strukturze firmy. Wzór wskazujący nieistniejący dział compliance albo skrzynkę, do której dostęp ma cały zespół HR, nie tworzy skutecznego systemu i może naruszać wymóg poufności.

Jakie kanały zgłoszeń trzeba zapewnić?

Zgłoszenia mogą być pisemne albo ustne. Kanał pisemny może działać w postaci papierowej lub elektronicznej. Zgłoszenie ustne może być przyjmowane telefonicznie, za pomocą innego systemu komunikacji głosowej albo — na wniosek sygnalisty — podczas bezpośredniego spotkania zorganizowanego w ustawowym terminie.

Firma może zdecydować, że rozpatruje zgłoszenia anonimowe, ale anonimowość nie jest obowiązkowa. Nie należy jednak projektować systemu, który dopuszcza wyłącznie anonimowe wiadomości i odmawia przyjęcia zgłoszenia od osoby podającej dane. Trzeba też uczciwie ocenić, czy używane narzędzie rzeczywiście chroni anonimowość i metadane.

Kanał zgłoszeń powinien być dostępny nie tylko dla obecnych pracowników. Ochrona może obejmować między innymi kontraktorów, kandydatów, byłych współpracowników, wspólników, członków organów, prokurentów, stażystów oraz osoby pracujące pod nadzorem dostawcy lub podwykonawcy.

Jak wyglądają konsultacje i wejście procedury w życie?

Projekt konsultuje się z zakładową organizacją związkową, a gdy jej nie ma — z przedstawicielami osób świadczących pracę, wyłonionymi w trybie przyjętym w firmie. Konsultacje trwają nie krócej niż 5 i nie dłużej niż 10 dni od przedstawienia projektu.

Po zakończeniu konsultacji firma przyjmuje finalną wersję i podaje ją do wiadomości w zwyczajowo przyjęty sposób. Procedura wchodzi w życie po 7 dniach. Informację o procedurze trzeba również przekazywać kandydatom wraz z rozpoczęciem rekrutacji lub negocjacji poprzedzających zawarcie umowy o pracę, współpracę lub pełnienie funkcji.

Wdrożenie powinno objąć nie tylko komunikat. Osoby obsługujące zgłoszenia potrzebują pisemnych upoważnień, instrukcji, bezpiecznego dostępu do narzędzi i przygotowania do prowadzenia postępowań wyjaśniających. Warto powiązać tę pracę z szerszym audytem RODO, ponieważ rejestr i akta zgłoszeń zawierają dane o wysokiej wrażliwości organizacyjnej.

Jak obsługiwać zgłoszenie po jego otrzymaniu?

Jeżeli sygnalista podał adres do kontaktu, przyjęcie zgłoszenia należy potwierdzić w terminie 7 dni. Następnie bezstronna osoba ocenia, czy informacja mieści się w zakresie procedury, czy istnieje konflikt interesów, jakie dowody trzeba zabezpieczyć i jakie działania następcze są proporcjonalne.

Informacja zwrotna powinna zostać przekazana w terminie nieprzekraczającym 3 miesięcy od potwierdzenia przyjęcia. Jeżeli potwierdzenia nie przekazano, termin liczy się zgodnie z regułą ustawową od upływu 7 dni od dokonania zgłoszenia. Informacja zwrotna nie musi ujawniać danych chronionych ani całych wyników dochodzenia, ale powinna realnie wskazywać planowane lub podjęte działania i ich uzasadnienie.

Każde zgłoszenie wpisuje się do odrębnego rejestru. Rejestr obejmuje tylko dane wskazane w ustawie. Dane i pozostałe informacje przechowuje się przez 3 lata po zakończeniu roku kalendarzowego, w którym zakończono działania następcze lub postępowania nimi zainicjowane.

Poufność, dane osobowe i ochrona przed odwetem

Dostęp do zgłoszeń mogą mieć wyłącznie pisemnie upoważnione osoby. System powinien chronić nie tylko imię i nazwisko sygnalisty, lecz także informacje pozwalające pośrednio ustalić jego tożsamość. Ta sama poufność dotyczy osoby, której zarzut dotyczy, oraz osób trzecich wskazanych w zgłoszeniu.

Dane nieistotne dla sprawy nie powinny być zbierane, a przypadkowo zebrane trzeba usunąć w terminie wynikającym z ustawy. Firma powinna ustalić osobne klauzule informacyjne, retencję, zasady realizacji praw osób oraz zabezpieczenia plików i korespondencji. Jeśli podczas obsługi dojdzie do nieuprawnionego ujawnienia danych, potrzebna może być równoległa ocena według procedury opisanej w artykule o pierwszych 72 godzinach po naruszeniu danych.

Ochrona sygnalisty rozpoczyna się z chwilą zgłoszenia, jeżeli miał uzasadnione podstawy sądzić, że informacja była prawdziwa i dotyczyła naruszenia prawa. Firma nie powinna czekać z ochroną do zakończenia postępowania. Zakazane są działania odwetowe, ich próby oraz groźby. Ryzyko odwetu trzeba uwzględniać przy decyzjach kadrowych i kontraktowych dotyczących sygnalisty, osób pomagających oraz osób z nim powiązanych.