System zgłoszeń sygnalistów w firmie nie musi oznaczać rozbudowanego narzędzia informatycznego. W małej organizacji najważniejsze jest jasne ustalenie, kto przyjmuje zgłoszenia, jak można je przekazać, kto prowadzi działania następcze oraz w jaki sposób chronione są informacje. Dobrze opisana procedura porządkuje proces i pomaga ograniczyć ryzyko przypadkowego ujawnienia danych albo pominięcia ważnego etapu.
Obowiązki zależą między innymi od liczby osób wykonujących pracę na rzecz podmiotu, zakresu działalności i aktualnego stanu prawnego. Ten materiał ma charakter edukacyjny, a nie indywidualnej porady prawnej. Przed wdrożeniem lub aktualizacją procedury należy sprawdzić ustawę oraz oficjalne informacje, w tym próg obowiązku i ewentualne wyjątki sektorowe.
Kiedy mała firma musi, a kiedy może wdrożyć procedurę?
Obowiązek ustawowy a dobrowolne wdrożenie
Co do zasady obowiązek ustanowienia procedury zgłoszeń wewnętrznych dotyczy podmiotu, na rzecz którego według stanu na 1 stycznia lub 1 lipca danego roku pracę zarobkową wykonuje co najmniej 50 osób. Przy ustalaniu tej liczby uwzględnia się także określone osoby świadczące pracę za wynagrodzeniem na innej podstawie niż umowa o pracę. Nie należy jednak traktować progu jako reguły bez wyjątków. Niektóre sektory mogą podlegać odrębnym zasadom, dlatego przed wdrożeniem trzeba zweryfikować aktualny stan prawny.
Firma poniżej progu może ustalić procedurę dobrowolnie. Jest to decyzja organizacyjna, a nie dodatkowy obowiązek ustawowy. Wcześniejsze uporządkowanie kanałów, ról, poufności i dokumentowania może ułatwić spójne reagowanie na zgłoszenia, ale nie zapewnia automatycznie prawidłowego wyniku każdej sprawy. W praktyce znaczenie ma dopasowanie procedury do struktury firmy i rzeczywistego sposobu pracy.
Co powinna zawierać procedura zgłoszeń wewnętrznych?
Role, odpowiedzialność i konsultacje
Procedura powinna wskazywać osobę, jednostkę organizacyjną albo podmiot zewnętrzny upoważniony do przyjmowania zgłoszeń. Osobno należy zaplanować bezstronną osobę lub jednostkę odpowiedzialną za weryfikację informacji, działania następcze i komunikację z sygnalistą. W małej firmie te funkcje mogą być organizacyjnie blisko siebie, jednak trzeba uwzględnić ryzyko konfliktu interesów. Osoba, której dotyczy zgłoszenie albo która jest bezpośrednio zaangażowana w opisywane zdarzenie, nie powinna prowadzić sprawy wymagającej bezstronnej oceny.
Dokument powinien opisywać kanały ustne i pisemne, sposób obsługi zgłoszeń anonimowych, potwierdzenie przyjęcia, dalsze działania oraz informację zwrotną. Warto jasno oddzielić zgłoszenie dotyczące informacji o naruszeniu prawa od zwykłej reklamacji, skargi lub konfliktu pracowniczego. Procedura powinna także uwzględniać ochronę osoby, której dotyczy zgłoszenie, oraz osób trzecich wskazanych w jego treści.
Jeżeli procedura jest ustanawiana na podstawie ustawy, ustala się ją po konsultacji z zakładową organizacją związkową albo przedstawicielami osób świadczących pracę na rzecz podmiotu. Konsultacje powinny trwać od 5 do 10 dni, a procedura wchodzi w życie po upływie 7 dni od podania jej do wiadomości osób wykonujących pracę.
Jak zaprojektować kanały zgłoszeń w małej firmie?
Kanały ustne i pisemne
Minimalny podział obejmuje zgłoszenia ustne i pisemne. Zgłoszenie ustne może zostać przekazane telefonicznie, za pomocą środka komunikacji elektronicznej albo podczas bezpośredniego spotkania. Zgłoszenie pisemne może mieć formę papierową lub elektroniczną. W praktyce firma może rozważyć formularz, dedykowany adres e-mail, przesyłkę papierową, fizyczną skrzynkę albo przekazanie informacji wyznaczonej osobie. Nie oznacza to konieczności zakupu specjalistycznego systemu.
Wybór kanałów powinien uwzględniać dostępność osób wykonujących pracę, wielkość organizacji oraz ryzyko konfliktu interesów. Sama poczta elektroniczna, formularz lub telefon nie zapewniają automatycznie poufności ani bezpieczeństwa. Znaczenie mają również konfiguracja, zakres dostępu, upoważnienia i sposób postępowania z dokumentacją.
Procedura musi określać sposób postępowania z informacjami zgłoszonymi anonimowo. Przyjmowanie anonimowych zgłoszeń może zwiększać ochronę osoby zgłaszającej, ale ogranicza możliwość zadawania pytań i przekazania informacji zwrotnej. Nie należy obiecywać absolutnej anonimowości ani wywodzić jej wyłącznie z użycia konkretnego kanału.
Poufność, upoważnienia i ochrona przed odwetem
Dostęp do informacji i rozdzielenie ról
Procedura i sposób przetwarzania danych powinny uniemożliwiać dostęp osobom nieupoważnionym. Poufność obejmuje tożsamość sygnalisty, osoby, której dotyczy zgłoszenie, oraz osób trzecich wskazanych w jego treści. Do obsługi zgłoszeń i danych mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie i zobowiązane do zachowania tajemnicy.
Praktycznym rozwiązaniem organizacyjnym jest zasada need-to-know, czyli udostępnianie informacji tylko osobom, które potrzebują ich do wykonania swojej roli. Można także ograniczyć uprawnienia do dokumentacji, rozdzielić przyjmowanie zgłoszenia od prowadzenia działań następczych i przewidzieć zastępstwo na wypadek konfliktu interesów. Są to środki wymagające dopasowania do konkretnej firmy, a nie zamknięta lista rozwiązań technicznych wynikających wprost z ustawy.
Ochrona sygnalisty obejmuje również ochronę przed działaniami odwetowymi. Organizacja powinna opisać ten element w procedurze i zadbać, aby osoby rozpatrujące zgłoszenie nie ujawniały informacji poza zakresem koniecznym do prowadzenia sprawy. Ochrona nie oznacza gwarancji określonego wyniku postępowania ani automatycznego potwierdzenia wszystkich twierdzeń zawartych w zgłoszeniu.
Od przyjęcia zgłoszenia do informacji zwrotnej
Przebieg sprawy krok po kroku
Obsługę warto opisać jako uporządkowany ciąg czynności:
- Przyjęcie i wstępna kwalifikacja – ustalenie, czego dotyczy informacja i czy mieści się w zakresie procedury.
- Rejestracja – nadanie indywidualnego numeru oraz zapisanie podstawowych danych sprawy.
- Potwierdzenie odbioru – przekazanie sygnaliście potwierdzenia w terminie 7 dni od otrzymania zgłoszenia, chyba że nie podał adresu do kontaktu.
- Weryfikacja i działania następcze – bezstronne sprawdzenie informacji oraz podjęcie odpowiednich czynności.
- Informacja zwrotna – przekazanie jej co do zasady w terminie nieprzekraczającym 3 miesięcy, z uwzględnieniem wyjątku dotyczącego braku adresu do kontaktu.
- Zamknięcie sprawy – odnotowanie działań i daty zakończenia.
Komunikacja z sygnalistą powinna być prowadzona w sposób poufny. Jeżeli potrzebne są dodatkowe informacje, procedura powinna wskazywać, kto może się o nie zwrócić. Jednocześnie osoba, której dotyczy zgłoszenie, zachowuje swoje prawa, a działania następcze nie powinny być prowadzone przez osobę pozostającą w konflikcie interesów.
Rejestr zgłoszeń i bezpieczna dokumentacja
Minimalny zakres rejestru
Podmiot prawny prowadzi rejestr zgłoszeń wewnętrznych. Każdej sprawie warto nadać indywidualny numer, aby dokumentacja była uporządkowana i nie wymagała posługiwania się danymi osobowymi w codziennej komunikacji. Rejestr obejmuje między innymi:
- numer zgłoszenia;
- przedmiot naruszenia;
- niezbędne dane identyfikacyjne;
- adres do kontaktu, jeżeli został podany;
- datę zgłoszenia;
- informacje o działaniach następczych;
- datę zakończenia sprawy.
Dane i informacje w rejestrze przechowuje się przez 3 lata po zakończeniu roku kalendarzowego, w którym zakończono działania następcze lub postępowania z nimi związane. Dostęp do rejestru powinien być ograniczony zgodnie z zasadami poufności.
Dokumentowanie rozmów i spotkań
Przy nagrywanej linii lub systemie komunikacji głosowej zgłoszenie ustne dokumentuje się za zgodą sygnalisty w formie nagrania albo kompletnej transkrypcji. Przy kanale nienagrywanym sporządza się protokół dokładnie odtwarzający przebieg rozmowy. Sygnalista może go sprawdzić, poprawić i zatwierdzić. W przypadku spotkania bezpośredniego należy zastosować zasady opisane w procedurze, pamiętając o zgodzie na nagrywanie i obowiązkach związanych z ochroną danych osobowych.
Checklista wdrożenia dla małej firmy
Lista kontrolna przed uruchomieniem
Przed uruchomieniem systemu można przejść przez następującą listę kontrolną:
- Sprawdź, czy firma podlega obowiązkowi, uwzględniając sposób liczenia osób, datę oceny i ewentualne wyjątki sektorowe.
- Wyznacz osoby lub jednostki przyjmujące zgłoszenia oraz prowadzące działania następcze.
- Zweryfikuj bezstronność tych osób i zaplanuj postępowanie w razie konfliktu interesów.
- Wybierz kanały ustne i pisemne oraz opisz sposób obsługi zgłoszeń anonimowych.
- Przygotuj procedurę obejmującą poufność, upoważnienia, ochronę przed odwetem, potwierdzenie przyjęcia, informację zwrotną i działania następcze.
- Ustal sposób prowadzenia rejestru, dokumentowania rozmów oraz zabezpieczenia dostępu do danych.
- Przeprowadź wymagane konsultacje, jeżeli procedura jest ustanawiana na podstawie ustawy.
- Podaj procedurę do wiadomości osób wykonujących pracę i przygotuj osoby upoważnione do pełnienia swoich ról.
System zgłoszeń sygnalistów w firmie powinien łączyć prawidłową ocenę obowiązku z jasno opisanymi rolami, dostępnymi kanałami, poufnością, dokumentowaniem i informacją zwrotną. Nie ma jednego rozwiązania odpowiedniego dla każdej małej organizacji. Przed publikacją lub wdrożeniem trzeba ponownie sprawdzić aktualny stan prawny i oficjalne materiały, a następnie dopasować procedurę do struktury firmy, zakresu działalności i realnego obiegu informacji. Sprawdź inne materiały Łączy nas Biznes i rozwijaj firmę w oparciu o praktyczną, aktualną wiedzę.
