W dzisiejszym świecie biznesu każda organizacja – niezależnie od branży czy skali działania – funkcjonuje w coraz bardziej złożonym i regulowanym otoczeniu. Transparentność, etyka i zgodność z przepisami stanowią fundament zaufania i przewagi na rynku konkurencji. Jednym z elementów tej kultury odpowiedzialności jest procedura zgłaszania naruszeń – narzędzie, które pozwala pracownikom oraz współpracownikom firmy bezpiecznie sygnalizować nieprawidłowości, zanim przerodzą się one w poważny problem.
Ustawa o ochronie sygnalistów, wdrażająca unijną Dyrektywę (UE) 2019/1937, wprowadziła obowiązek stworzenia takich procedur dla firm zatrudniających co najmniej 50 osób. Jednak nawet mniejsze przedsiębiorstwa coraz częściej wdrażają podobne rozwiązania dobrowolnie, dostrzegając w nich korzyści: lepszą kontrolę nad ryzykami, większe zaufanie wśród załogi i ochronę reputacji marki.
Spis treści
Czym jest procedura zgłaszania naruszeń?
Procedura zgłaszania naruszeń to wewnętrzny dokument regulujący sposób przyjmowania, rozpatrywania i dokumentowania zgłoszeń o nieprawidłowościach. Jej celem jest stworzenie bezpiecznego systemu, dzięki któremu osoby pracujące w organizacji lub z nią współpracujące mogą poinformować o działaniach sprzecznych z prawem, etyką lub zasadami obowiązującymi w firmie – bez obawy o konsekwencje.
Procedura stanowi fundament tzw. systemu zgłaszania naruszeń (whistleblowing system). W połączeniu z rejestrem zgłoszeń, polityką poufności i szkoleniami tworzy spójny mechanizm zarządzania ryzykiem.
Typowe obszary, których mogą dotyczyć zgłoszenia:
- nadużycia finansowe lub korupcja,
- mobbing, dyskryminacja, nieetyczne zachowania,
- naruszenia zasad BHP,
- nieprawidłowości w ochronie danych osobowych,
- łamanie prawa pracy,
- fałszowanie dokumentacji lub wyników badań.
Cel nadrzędnym jest umożliwienie szybkiej reakcji zanim problem eskaluje i zagrozi reputacji lub ciągłości działania przedsiębiorstwa.
Kogo dotyczy obowiązek wdrożenia procedury?
Zgodnie z ustawą z 14 czerwca 2024 r. o ochronie sygnalistów, obowiązek ten dotyczy:
- podmiotów prywatnych zatrudniających co najmniej 50 pracowników,
- jednostek sektora publicznego (samorządy, instytucje publiczne, spółki Skarbu Państwa),
- przedsiębiorstw z branż wrażliwych, takich jak finanse, AML, transport, energetyka, ochrona środowiska – nawet jeśli zatrudniają mniej niż 50 osób.
Przepisy dopuszczają też tworzenie wspólnych procedur grupowych (np. w ramach grupy kapitałowej), pod warunkiem że każda spółka zachowuje możliwość niezależnego przyjmowania zgłoszeń.
Dla mikro- i małych przedsiębiorców brak obowiązku nie oznacza braku potrzeby. Coraz częściej firmy wdrażają uproszczone procedury dobrowolnie, np. jako element polityki ESG lub certyfikacji etycznych (np. ISO 37002:2021 – Whistleblowing management systems).
Jak stworzyć procedurę zgłaszania naruszeń w firmie?
Krok 1: Analiza potrzeb i ryzyk
Pierwszym etapem tworzenia procedury zgłaszania naruszeń jest dokładne rozpoznanie ryzyk charakterystycznych dla danej organizacji. Każda firma działa w innym środowisku i ma własne punkty wrażliwe – dlatego nie warto opierać się na uniwersalnych wzorach. Najważniejsze jest zrozumienie, gdzie i w jakich procesach mogą pojawić się nieprawidłowości, oraz kto ma dostęp do informacji mogących stanowić źródło potencjalnych nadużyć.
Analiza powinna objąć zarówno procesy operacyjne, jak i wewnętrzne zasady komunikacji czy obieg informacji. Pomocne jest mapowanie ról i odpowiedzialności, które pozwala wskazać miejsca szczególnie podatne na błędy. Jednocześnie warto ocenić kulturę organizacyjną – bo nawet najlepiej napisana procedura nie zadziała, jeśli pracownicy nie ufają firmie i obawiają się zgłaszać problemy.
Przykłady ryzyk są bardzo różne w zależności od branży. W firmie logistycznej chodzi często o manipulację dokumentacją przewozową i łamanie przepisów dotyczących czasu pracy kierowców. W biurze projektowym – o konflikty interesów i nadużywanie dostępu do danych klientów. W agencji marketingowej – o naruszenia RODO czy praw autorskich.
Krok 2: Wyznaczenie osoby lub komórki odpowiedzialnej
W większych organizacjach funkcję osoby odpowiedzialnej za przyjmowanie zgłoszeń oraz prowadzenie postępowań wyjaśniających często pełni compliance officer lub pełnomocnik ds. etyki – osoba posiadająca wiedzę prawną, doświadczenie w zakresie zgodności i odpowiedni autorytet. Takie rozwiązanie zapewnia wysoki poziom niezależności oraz gwarantuje, że zgłoszenia są rozpatrywane zgodnie z przepisami i zasadami poufności.
W firmach o prostszej strukturze rolę tę może przejąć dział HR lub dział prawny, pod warunkiem, że posiada przeszkolony personel i jasno określone procedury postępowania. W małych i średnich przedsiębiorstwach coraz popularniejszym rozwiązaniem jest z kolei outsourcing tej funkcji – powierzenie przyjmowania zgłoszeń zewnętrznemu podmiotowi, np. kancelarii prawnej lub firmie specjalizującej się w compliance.
Wybór modelu zależy od wielkości i charakteru organizacji. Zewnętrzne rozwiązanie zwiększa poczucie bezpieczeństwa i anonimowości sygnalistów – mają oni pewność, że ich zgłoszenie nie trafi bezpośrednio do przełożonych, co sprzyja szczerości i zaufaniu. Wewnętrzny model daje natomiast większą kontrolę nad całym procesem i pozwala szybciej reagować, o ile w firmie panuje kultura otwartości i przejrzystości.
Niezależnie od wybranego rozwiązania, osoba odpowiedzialna za obsługę zgłoszeń powinna być dobrze przeszkolona, działać bezstronnie, przestrzegać zasad poufności oraz raportować o swojej pracy w sposób przejrzysty. To od jej profesjonalizmu w dużej mierze zależy wiarygodność całego systemu.
Krok 3: Wybór i opis kanałów zgłoszeń
Ustawa o ochronie sygnalistów wymaga, aby każdy system przewidywał co najmniej jeden kanał zgłoszeń, który zapewnia pełną poufność i ochronę tożsamości osoby zgłaszającej. W praktyce warto jednak wprowadzić kilka form komunikacji, tak aby pracownicy mogli wybrać sposób najbardziej odpowiadający ich sytuacji i poziomowi komfortu. Różnorodność kanałów zwiększa skuteczność całego systemu i ułatwia szybkie reagowanie na potencjalne nieprawidłowości.
Najczęściej stosowane rozwiązania to:
- E-mail dedykowany (np. zgloszenia@firma.pl) – prosty i szybki kanał kontaktu, który jednak wymaga odpowiednich zabezpieczeń: szyfrowania, ograniczonego dostępu do skrzynki i regularnego monitorowania. Dobrze, jeśli adres nie jest powiązany personalnie z konkretnym pracownikiem, lecz stanowi neutralny punkt kontaktowy.
- Platforma online / formularz szyfrowany – obecnie najczęściej wybierane rozwiązanie, umożliwiające również zgłoszenia anonimowe. Takie platformy mogą być hostowane wewnętrznie lub przez zewnętrznego dostawcę, a ich zaletą jest możliwość śledzenia statusu sprawy i archiwizowania dokumentacji.
- Skrzynka fizyczna – wciąż dopuszczalna forma, szczególnie w zakładach produkcyjnych lub tam, gdzie dostęp do Internetu jest ograniczony. Skrzynka powinna być umieszczona w dyskretnym miejscu i opróżniana regularnie przez osobę upoważnioną.
- Spotkanie osobiste – organizowane na wniosek sygnalisty, w obecności osoby odpowiedzialnej za przyjmowanie zgłoszeń. Wymaga sporządzenia protokołu oraz potwierdzenia treści przez zgłaszającego, co nadaje procesowi formalny charakter i ułatwia dokumentowanie działań.
- Kanał zewnętrzny (outsourcing) – rozwiązanie stosowane coraz częściej, szczególnie w mniejszych organizacjach. Polega na powierzeniu przyjmowania zgłoszeń zewnętrznemu podmiotowi, np. kancelarii prawnej lub firmie compliance, która prowadzi niezależny formularz online i przekazuje raporty w formie zanonimizowanej.
Każdy z kanałów powinien być szczegółowo opisany w procedurze – z określeniem osoby odpowiedzialnej za jego obsługę, terminów reakcji, zasad przechowywania informacji oraz środków ochrony sygnalistów. Ważne jest też, by firma jasno zakomunikowała, które kanały są oficjalne, w jaki sposób można z nich skorzystać i jakie gwarancje bezpieczeństwa oferują.
Krok 4: Ochrona poufności i zgodność z RODO
Poufność to serce każdego systemu zgłaszania naruszeń. Bez niej żaden sygnalista nie zdecyduje się przekazać informacji o nieprawidłowościach. Ustawa o ochronie sygnalistów jednoznacznie stanowi, że tożsamość osoby zgłaszającej nie może być ujawniona bez jej wyraźnej zgody, a wszelkie działania podejmowane w ramach procedury muszą respektować przepisy o ochronie danych osobowych.
Z tego powodu każda procedura powinna jasno określać zasady przetwarzania danych oraz środki techniczne i organizacyjne służące ich ochronie. Zgłoszenia często zawierają dane wrażliwe, dotyczące zarówno osoby zgłaszającej, jak i osób, których zgłoszenie dotyczy, dlatego konieczne jest stosowanie najwyższych standardów bezpieczeństwa.
W szczególności dokument powinien wskazywać:
- podstawę prawną przetwarzania danych – zgodnie z art. 6 ust. 1 lit. c RODO, podstawą jest realizacja obowiązku prawnego ciążącego na administratorze danych wynikającego z ustawy o ochronie sygnalistów. W niektórych przypadkach (np. zgłoszenia anonimowe lub zgody na dalsze działania) można też powołać się na art. 6 ust. 1 lit. a RODO.
- kategorie danych osobowych – obejmujące dane identyfikacyjne sygnalisty, osób, których dotyczy zgłoszenie, a także opis zdarzenia, okoliczności i dowody. Zakres przetwarzanych informacji powinien być ograniczony do minimum, zgodnie z zasadą minimalizacji danych.
- okres przechowywania danych – rekomendowany termin to 5 lat od zakończenia sprawy, chyba że przepisy branżowe przewidują dłuższy okres archiwizacji. Po tym czasie dane powinny zostać trwale usunięte lub zanonimizowane.
- sposób zabezpieczenia danych – powinien obejmować zarówno środki techniczne (szyfrowanie, hasła, dwuetapowe logowanie, kopie bezpieczeństwa), jak i organizacyjne (ograniczony dostęp, obowiązek zachowania tajemnicy, rejestr udostępnień).
Dobrą praktyką jest także opracowanie polityki retencji danych, w której precyzyjnie określa się moment i sposób ich usuwania lub anonimizacji. Pozwala to uniknąć przechowywania informacji dłużej, niż jest to niezbędne, i stanowi dowód przestrzegania zasady rozliczalności.
Przykład: Zgłoszenia przechowywane są w formie elektronicznej w systemie z ograniczonym dostępem, zabezpieczonym dwuetapowym logowaniem. Dostęp mają wyłącznie dwie osoby – compliance officer i radca prawny firmy. System automatycznie archiwizuje sprawy po 5 latach, a starsze wpisy są anonimizowane.
Krok 5: Proces obsługi zgłoszenia
Każda skuteczna procedura zgłaszania naruszeń musi jasno określać, co dzieje się po otrzymaniu zgłoszenia. Jasność tego procesu buduje zaufanie pracowników i minimalizuje ryzyko błędów formalnych. Przepisy ustawy o ochronie sygnalistów wskazują podstawowe ramy, które warto uzupełnić o wewnętrzne standardy firmy, tak by cały proces był przejrzysty, spójny i dobrze udokumentowany.
Zgodnie z ustawą, należy zapewnić następujące etapy:
- Potwierdzenie przyjęcia zgłoszenia – w terminie 7 dni od jego otrzymania. Potwierdzenie może być przekazane w formie elektronicznej lub pisemnej, w zależności od kanału, z którego korzystał sygnalista. Celem tego etapu jest potwierdzenie, że zgłoszenie zostało prawidłowo zarejestrowane i przekazane do analizy.
- Analiza wstępna – obejmuje ocenę, czy zgłoszenie spełnia wymogi formalne, a więc czy dotyczy rzeczywistego naruszenia prawa, zasad etyki lub regulaminu wewnętrznego. Na tym etapie można odrzucić zgłoszenia oczywiście bezzasadne lub anonimowe pozbawione szczegółów uniemożliwiających ich weryfikację. W praktyce analiza wstępna powinna być udokumentowana w formie krótkiego raportu lub notatki służbowej.
- Postępowanie wyjaśniające – to zasadnicza część procesu. Obejmuje zebranie dowodów, rozmowy z osobami wskazanymi w zgłoszeniu, analizę dokumentów lub zapisów systemowych. Osoba prowadząca postępowanie powinna działać bezstronnie, unikać konfliktu interesów i stosować zasadę poufności. W razie potrzeby można zaangażować specjalistów zewnętrznych (np. audytora lub prawnika).
- Działania naprawcze – po zakończeniu analizy firma powinna wdrożyć odpowiednie środki zaradcze. Mogą to być decyzje kadrowe, zmiany w procedurach, dodatkowe szkolenia, a w przypadkach poważniejszych – zawiadomienie organów ścigania lub instytucji nadzorczych. Ważne, by działania te były proporcjonalne do charakteru i skali naruszenia.
- Informacja zwrotna dla sygnalisty – zgodnie z ustawą należy jej udzielić w terminie maksymalnie 3 miesięcy od potwierdzenia przyjęcia zgłoszenia. Powinna ona zawierać ogólne informacje o podjętych działaniach, z zachowaniem zasad poufności. Brak odpowiedzi w tym terminie może zniechęcić pracowników do korzystania z systemu i obniżyć jego wiarygodność.
Każdy etap obsługi zgłoszenia musi być rzetelnie udokumentowany – w rejestrze lub dedykowanym systemie. Dokumentacja powinna obejmować daty, opis czynności, osoby zaangażowane i decyzje końcowe. Dobrą praktyką jest także określenie w procedurze, kiedy zgłoszenie może zostać uznane za bezzasadne oraz w jaki sposób zostanie formalnie zamknięte.
Przykład: W jednej z firm usługowych każde zgłoszenie otrzymuje unikalny numer sprawy. System automatycznie przypomina o terminach 7 i 90 dni, a po zakończeniu postępowania generowany jest raport podsumowujący. Dzięki temu firma ma pełną historię zgłoszeń i może łatwo wykazać, że działała zgodnie z ustawą i zasadami należytej staranności.
Krok 6: Komunikacja i szkolenia
Nawet najlepiej napisana procedura nie przyniesie efektu, jeśli pracownicy nie wiedzą o jej istnieniu lub nie rozumieją, jak z niej korzystać. Dlatego wdrożenie systemu zgłaszania naruszeń musi być połączone z aktywną komunikacją wewnętrzną i edukacją zespołu.
Warto zadbać o to, aby informacja o nowej procedurze była przekazana jasno, oficjalnie i z odpowiednim uzasadnieniem. Pracownicy muszą wiedzieć, że celem systemu nie jest kontrola, lecz ochrona – zarówno ich samych, jak i organizacji przed skutkami nieprawidłowości.
Działania komunikacyjne i szkoleniowe mogą obejmować:
- Ogłoszenie o wdrożeniu systemu – np. e-mail od zarządu, spotkanie informacyjne, komunikat w intranecie czy plakat w przestrzeni wspólnej. Ważne, by przekaz był spójny i pochodził „z góry”, co podkreśla wagę tematu.
- Szkolenie pracowników – obowiązkowe szczególnie dla kadry kierowniczej, HR i osób mających kontakt z poufnymi danymi. Szkolenia powinny wyjaśniać, jak rozpoznać potencjalne naruszenie, jak zgłosić problem i jakie są gwarancje ochrony sygnalisty.
- Materiały pomocnicze – np. krótki przewodnik „Jak zgłosić naruszenie krok po kroku”, infografiki lub FAQ dostępne w intranecie. Takie materiały pomagają utrwalić wiedzę i zwiększają komfort pracowników przy korzystaniu z systemu.
- Przypomnienia cykliczne – np. kwartalne komunikaty, wpisy w newsletterze lub spotkania informacyjne. Regularne przypominanie o możliwości zgłaszania naruszeń wzmacnia poczucie bezpieczeństwa i utrwala kulturę otwartości.
Przykład: W jednej z firm produkcyjnych po przeprowadzeniu cyklu szkoleń z obsługi zgłoszeń liczba incydentów bezpieczeństwa spadła o 40%. Pracownicy zaczęli wcześniej reagować na nieprawidłowości, zgłaszając drobne uchybienia zanim przerodziły się one w poważniejsze problemy.
Krok 7: Monitorowanie skuteczności
System zgłaszania naruszeń nie jest rozwiązaniem jednorazowym – wymaga ciągłego monitorowania i doskonalenia. Co najmniej raz w roku należy dokonać przeglądu jego funkcjonowania i ocenić, czy procedura działa tak, jak zakładano.
Przegląd powinien obejmować:
- analizę liczby i charakteru zgłoszeń – czy dotyczą rzeczywistych naruszeń, czy raczej nieporozumień organizacyjnych,
- weryfikację czasu reakcji – czy zgłoszenia są obsługiwane w wymaganych terminach,
- ocenę skuteczności działań naprawczych – czy wdrożone środki rzeczywiście eliminują źródła problemów,
- aktualizację procedury – jeśli zmieniły się przepisy, struktura organizacyjna lub kanały zgłoszeń.
W większych organizacjach dobrą praktyką jest przygotowywanie rocznego raportu dla zarządu lub rady nadzorczej, zawierającego dane statystyczne dotyczące zgłoszeń – bez ujawniania tożsamości sygnalistów. Raport taki pokazuje, że firma traktuje temat poważnie i prowadzi działania zgodnie z zasadą rozliczalności.
Dodatkowo warto przeprowadzać anonimowe ankiety wśród pracowników, które pomogą ocenić, czy system cieszy się zaufaniem i czy pracownicy rzeczywiście czują się bezpiecznie, zgłaszając naruszenia.
Krok 8: Rejestr i archiwizacja zgłoszeń
Każde zgłoszenie musi być odpowiednio udokumentowane. Rejestr zgłoszeń wewnętrznych stanowi kluczowy dowód na to, że firma realizuje swoje obowiązki zgodnie z ustawą o ochronie sygnalistów i zasadami RODO.
Rejestr powinien zawierać co najmniej:
- numer sprawy,
- datę wpływu zgłoszenia,
- sposób jego przyjęcia (np. e-mail, platforma, spotkanie osobiste),
- krótki opis naruszenia,
- status sprawy,
- podjęte działania oraz datę jej zakończenia.
Dla zachowania spójności i bezpieczeństwa danych zaleca się stosowanie jednolitego wzoru rejestru w formie elektronicznej, zabezpieczonego przed edycją przez osoby nieuprawnione. System powinien umożliwiać rejestrowanie każdej czynności oraz automatyczne przypomnienia o terminach wynikających z ustawy (np. 7 dni na potwierdzenie, 3 miesiące na informację zwrotną).
Zgodnie z art. 33 RODO, dokumentacja powinna również zawierać opis skutków naruszenia i podjętych działań naprawczych. Dane archiwalne należy przechowywać przez okres 5 lat od zakończenia postępowania – po tym czasie powinny zostać zanonimizowane lub bezpiecznie usunięte.
Podsumowanie
Stworzenie skutecznej procedury zgłaszania naruszeń wymaga zaangażowania zarządu, znajomości przepisów i wrażliwości na kulturę organizacyjną. Nie wystarczy sam dokument – liczy się poczucie bezpieczeństwa i gotowość do reagowania.
