Ile kosztuje system zgłoszeń sygnalistów w 2026 roku?

Cover: Ile kosztuje system zgłoszeń sygnalistów w 2026 roku?

Różnica między 2 a 20 tysiącami złotych rocznie nie tkwi w funkcjach. Tkwi w pytaniu, co zostawiacie w skrzynce mailowej działu prawnego.

Cena systemu zgłoszeń sygnalistów w Polsce w 2026 roku zależy od trzech rzeczy: od tego, czy wybieracie narzędzie z prawdziwym szyfrowaniem end-to-end, czy też kolejny ticket z załącznikiem na firmowym mailu; od tego, czy hosting odbywa się w UE (a najlepiej w Szwajcarii) i czy dostawca ma certyfikat ISO 27001; oraz od tego, ile organizacja zarabia na jednym nieobsłużonym incydencie. W praktyce abonament roczny sygnaliści w modelu SaaS dla MŚP mieści się w przedziale od kilkuset do kilku tysięcy złotych, natomiast wdrożenia enterprise w bankach, szpitalach i spółkach Skarbu Państwa zaczynają się od kilkunastu tysięcy i szybko przekraczają sześciocyfrowe kwoty, jeśli doliczy się integracje, audyt i szkolenia. W tym artykule rozpakowuję każdy z tych elementów, żeby budżet na system whistleblower był policzalny jeszcze przed rozmową z działem zakupów.

Spis treści

Składniki kosztu: licencja, wdrożenie, utrzymanie, szkolenia
Porównanie: rozwiązania enterprise vs narzędzia dla MŚP
Realne widełki cenowe w Polsce i w UE
Ukryte koszty: integracje, certyfikacje, audyty
Pytania, które warto zadać dostawcy przed wyceną
Kiedy darmowe narzędzie naprawdę wystarczy, a kiedy nie
Źródła

Składniki kosztu: licencja, wdrożenie, utrzymanie, szkolenia

Całkowity koszt posiadania narzędzia do zgłoszeń sygnalistów nie kończy się na licencji rocznej. Dostawcy lubią podawać w kalkulatorze wyłącznie kwotę „per user / per month", bo wtedy liczba wygląda niewinnie. Problem zaczyna się, gdy pierwsza faktura za wdrożenie ma cztery cyfry, a po roku okazuje się, że nikt w zespole nie umie obsługiwać panelu badającego.

Licencja (abonament roczny) to najbardziej przewidywalna linia budżetu. W modelu SaaS dla MŚP w Polsce w 2026 roku to najczęściej widełki od 1 200 do 6 000 zł netto rocznie za organizację z 50–250 pracowników. Dla średnich firm (250–1 000 osób) typowy zakres to 6 000–20 000 zł rocznie. Ashio na stronie pricing publikuje jedną, przejrzystą stawkę 20 € miesięcznie przy rozliczeniu rocznym — co dla polskiej księgowości oznacza stały, planowalny wydatek bez niespodzianek przy odnowieniu.

Wdrożenie (onboarding, konfiguracja) obejmuje założenie organizacji, branding formularza, konfigurację ról (compliance officer, HR, audyt wewnętrzny), politykę automatycznych powiadomień oraz — w regulowanych branżach — mapowanie pól do obowiązków raportowych. W prostym SaaS-ie ten etap sprowadza się do logowania i ustawienia dwóch checkboxów. W systemach enterprise wdrożenie kosztuje tyle, co połowa rocznej licencji, bo wymaga warsztatów, dokumentacji i testów penetracyjnych.

Utrzymanie to ukryty składnik, który organizacje zapominają wpisać do arkusza. Obejmuje ono: aktualizacje po zmianie przepisów (np. nowelizacja ustawy o ochronie sygnalistów, wytyczne UODO, zmiany w DORA), retencję danych, backup, koszt infrastruktury w chmurze dostawcy oraz — w modelu self-hosted — utrzymanie własnych serwerów i DevOps.

Szkolenia to ostatnia, a jednocześnie najczęściej niedoszacowana linia. Każdy pracownik powinien wiedzieć, że kanał istnieje i jak go użyć (art. 24 ustawy). W praktyce potrzebne są co najmniej dwa webinary w roku, jedno szkolenie dla compliance officerów i krótkie przypomnienie dla zarządu. Budżet na szkolenia to zwykle 2 000–15 000 zł rocznie w zależności od wielkości organizacji i tego, czy robicie to we własnym zakresie, czy zlecaliście firmie zewnętrznej.

Porównanie: rozwiązania enterprise vs narzędzia dla MŚP

Nie istnieje jeden „whistleblowing software koszt", który pasuje do każdego. To, co znajdziecie w segmencie enterprise, jest projektowane z myślą o organizacjach z tysiącami pracowników, wieloma spółkami zależnymi i osobnym działem ds. zgodności. To, czego potrzebuje 60-osobowa spółka IT, to zupełnie inna klasa narzędzia.

Enterprise (powyżej 1 000 pracowników lub regulowany sektor) — cena systemu zgłoszeń sygnalistów zaczyna się tu zwykle od 50 000 zł rocznie za licencję i rośnie szybko wraz z liczbą modułów: zarządzanie sprawami, workflow wielostopniowy, integracje z ServiceNow, Jira, SAP GRC, wielojęzyczność, SSO/SAML, audit log z funkcją eksportu do systemów SIEM. Realny widełki dla dużego banku, ubezpieczyciela albo szpitala klinicznego w Polsce to 100 000–400 000 zł rocznie, a w największych organizacjach z sektora publicznego kontrakty sięgają sześciocyfrowych kwot w euro. Ashio w segmencie finansowym oferuje dedykowaną ścieżkę dla banków, ubezpieczycieli i fintechów (whistleblowing software for financial services), a dla administracji i spółek Skarbu Państwa oddzielną linię produktową (whistleblowing software for public sector).

MŚP (do 250 pracowników) — tu porównanie cen systemów whistleblowing wygląda zupełnie inaczej. Rynek oferuje rozwiązania w modelu „flat fee" (stała opłata niezależnie od liczby pracowników), rozwiązania open-source hostowane samodzielnie oraz tanie narzędzia SaaS z limitem spraw. W przedziale do 6 000 zł rocznie mieści się większość sensownych opcji dla MŚP, które muszą spełniać obowiązki ustawowe, ale nie potrzebują dziesiątek ról i integracji z systemami klasy GRC.

Kluczowe różnice, które widać dopiero po roku:

W enterprise dostawca zapewnia dedykowanego opiekuna i wdrożeniowca; w MŚP wszystko robicie przez e-mail helpdesku.
Enterprise daje własny audit log z możliwością eksportu do SIEM; MŚP dostaje prosty eksport CSV/JSON gotowy do audytu.
Enterprise ma rozbudowane workflow i routing; MŚP zwykle obsługuje jedną lub dwie ścieżki obsługi sprawy.
Enterprise obsługuje wielojęzyczność i wiele spółek w jednym panelu; MŚP często ogranicza się do jednego języka roboczego.

Jeśli chcecie szybkiego zestawienia, jak konkretne platformy ustawiają się w bezpośrednim starciu, pomocna będzie strona porównawcza (vs) — pozwala zweryfikować, czy wyższa cena faktycznie oznacza lepsze pokrycie wymogów ustawowych i normy ISO 37002.

Realne widełki cenowe w Polsce i w UE

Twarde liczby są najbardziej wartościową częścią tego artykułu, więc pozwolę sobie je pogrupować. Poniżej przedstawiam abonament roczny sygnaliści w PLN netto dla Polski w 2026 roku w różnych segmentach. Kwoty obejmują licencję SaaS u wiodących europejskich dostawców i nie obejmują wdrożenia ani szkoleń (te rozpisuję niżej).

Segment organizacji	Typowy zakres roczny (PLN netto)	Co wliczone
Mikro (do 50 pracowników)	0–3 000	Często darmowe lub freemium, formularz + skrzynka
Małe MŚP (50–250)	1 200–6 000	SaaS flat fee, branding, podstawowy audit log
Średnie (250–1 000)	6 000–20 000	Wielojęzyczność, integracje mailowe, dashboardy
Duże enterprise (1 000+)	50 000–400 000	Wielospółkowe, SSO, GRC, SIEM, opiekun
Sektor publiczny i regulowany	80 000–500 000+	Dedykowane wdrożenie, dokumentacja przetargowa

W ujęciu europejskim ceny rosną o 20–40% względem Polski u największych dostawców enterprise, co wynika z wyższych kosztów pracy i bardziej rozbudowanych wymogów w Niemczech, Francji czy krajach nordyckich. Z kolei oferty z USA i Wielkiej Brytanii bywają tańsze w licencji, ale dokładają koszty strefy prawnej — transfer danych poza EOG, brak domyślnej zgodności z RODO, brak szwajcarskiego lub unijnego hostingu.

Co składa się na te widełki w praktyce? Dla małej firmy 60-osobowej w Polsce rozsądny budżet na system whistleblower w pierwszym roku to 2 500–5 000 zł za licencję i 2 000–4 000 zł za szkolenia oraz wewnętrzne wdrożenie — łącznie rzadko powyżej 9 000 zł. Dla średniej firmy 500-osobowej to 12 000–25 000 zł rocznie. Dla dużej organizacji z sektora finansowego pierwszy rok to najczęściej 150 000–350 000 zł, przy czym około 30–40% tej kwoty stanowi wdrożenie, a reszta — licencja wieloletnia i utrzymanie.

Przy pytaniu ile kosztuje kanał zgłoszeń, warto pamiętać, że nie każdy dostawca ujawnia ceny publicznie. To powinno być sygnał ostrzegawczy: vendor, który nie potrafi podać widełek bez dwóch rund spotkań handlowych, zwykle ma wyższe stawki i mniej przejrzysty model.

Ukryte koszty: integracje, certyfikacje, audyty

Liczba w nagłówku oferty to dopiero pierwsza warstwa. Doświadczeni compliance officerzy wiedzą, że cena systemu zgłoszeń sygnalistów różni się od ceny „do wdrożenia" o 30–80% w zależności od tego, jak wiele integracji i certyfikacji wymusza wasza branża.

Integracje to pierwsza linia ukrytych kosztów:

SSO/SAML 2.0 z Azure AD lub Okta — często darmowe w SaaS, ale w enterprise płatne jako moduł (5 000–20 000 zł rocznie).
Powiadomienia do Microsoft Teams / Slack — zwykle bezpłatne w prostych narzędziach, ale zaawansowane webhooki i routing już nie.
Eksport spraw do ServiceNow, Jira, SAP GRC — to osobny moduł lub projekt wdrożeniowy.
API do SIEM (Splunk, Elastic, QRadar) — w bankach standard; poza licencją liczy się tu dokumentacja i utrzymanie.
Współpraca z systemami zarządzania dokumentacją (DMS, archiwum) — bywa potrzebna w sektorze publicznym.

Certyfikacje i dokumentacja to druga linia. Sam certyfikat ISO 27001 dostawcy nie jest pozycją kosztową po waszej stronie, ale audyt, weryfikacja i odnowienie po waszej stronie już tak. W regulowanych branżach organizacja sama potrzebuje:

wewnętrznego audytu kanału co najmniej raz w roku (5 000–25 000 zł, jeśli outsourcowany);
aktualizacji polityki bezpieczeństwa i instrukcji stanowiskowej po każdej zmianie przepisów;
przeglądu RODO i DPIA (Data Protection Impact Assessment) dla kanału.

Audyty zewntrzne to trzecia, często niedoszacowana linia. W spółkach giełdowych audytor (PwC, EY, Deloitte, KPMG, BDO, Mazars) zapyta o dowód skuteczności kanału — logi, czas obsługi, raportowanie. Brak porządnej dokumentacji oznacza konieczność poświęcania czasu compliance officera na przygotowanie materiałów, co przekłada się na realne pieniądze. Dobry system powinien mieć dziennik gotowy do audytu w standardowych formatach eksportu.

Dla compliance officerów prowadzących większe projekty, ścieżka dedykowana (for compliance officers) ułatwia zaplanowanie tych wydatków w skali roku — z rozbiciem na licencję, szkolenia, audyt i ewentualne integracje.

Pytania, które warto zadać dostawcy przed wyceną

Zanim podpiszecie zamówienie, poświęćcie 30 minut na rozmowę, która zaoszczędzi Wam 30 tysięcy złotych. Poniżej konkretna checklista pytań, które porządkują rozmowę z handlowcem i wydobywają ukryte założenia z oferty:

Czy w cenie licencji jest branding formularza i subdomena (np. zgloszenia.mojafirma.pl)? Wielu dostawców oferuje to jako dodatek albo wymaga wyższej warstwy cenowej.
Ile ścieżek obsługi spraw (workflow) jest w cenie? Czy mogę kierować zgłoszenia do compliance, HR i audytu jednocześnie?
Jak działa szyfrowanie? Czy dostawca ma architekturę zero-access (nie może sam odczytać treści), czy tylko szyfrowanie „in transit i at rest"? To różnica klasy bezpieczeństwa, a nie szczegół techniczny.
Gdzie fizycznie leżą serwery i jakie mają certyfikaty? Szwajcarski hosting w certyfikowanym ISO 27001 centrum danych to dziś złoty standard — warto zapytać o lokalizację, a nie tylko „czy dane są w UE".
Jak wygląda eksport do audytu? Czy dostaję niezmienny log aktywności, podpisane paczki eksportu, automatyczne potwierdzenie terminów 7 dni i 3 miesięcy?
Co z wielojęzycznością? Czy interfejs po stronie zgłaszającego i badacza obsługuje potrzebne języki bez dodatkowych opłat?
Jak liczona jest cena przy wzroście organizacji? Czy to flat fee, czy zapłacę więcej, gdy zatrudnię 50 dodatkowych osób?
Jaki jest realny SLA na support? 24/7 czy tylko e-mail w godzinach pracy?
Czy cena obejmuje szkolenia i materiały? Kto przygotowuje komunikację wewnętrzną o uruchomieniu kanału?
Jaki jest koszt wyjścia? Czy mogę wyeksportować wszystkie dane w otwartym formacie po zakończeniu umowy?

Te dziesięć pytań odsiewa 80% ofert, które na pierwszy rzut oka wyglądają atrakcyjnie, ale po dogłębnym sprawdzeniu okazują się droższe w utrzymaniu niż rozwiązania premium z przejrzystym cennikiem.

Kiedy darmowe narzędzie naprawdę wystarczy, a kiedy nie

Infographic: Kiedy darmowe narzędzie naprawdę wystarczy, a kiedy nie Darmowe rozwiązania mają swoje miejsce — ale tylko w wąskim zakresie. Ustawodawca w art. 24 ustawy o ochronie sygnalistów wymaga, by kanał był: (1) poufny, (2) obsługiwany przez wyznaczoną osobę lub jednostkę, (3) dostępny dla sygnalistów i, w rozsądnym zakresie, dla osób trzecich, oraz (4) udostępniony w sposób zrozumiały dla osób z niepełnosprawnościami. Darmowe narzędzie może to spełnić w przypadku mikro i małych organizacji, ale tylko wtedy, gdy rozumiecie, na co się godzicie.

Kiedy darmowe wystarczy:

Organizacja zatrudnia poniżej 50 pracowników i nie działa w sektorze regulowanym.
Nie przetwarzacie danych wrażliwych (zdrowie, dane karalności, tajemnica bankowa).
Macie wewnętrzną osobę odpowiedzialną za obsługę sprawy z doświadczeniem w RODO.
Nie podlegacie pod DORA, MiCA, wytyczne EBA ani nadzór FINMA/KNF.
Akceptujecie fakt, że dostawca może zmienić warunki, zamknąć usługę lub pokazać reklamy (choć w wiarygodnych narzędziach whistleblowing reklam nie ma).

Kiedy darmowe narzędzie to fałszywa oszczędność:

Powyżej 50 pracowników — ustawa wymaga prowadzenia kanału, a jego niezgodność grozi karą do 10 mln zł.
W sektorze finansowym, gdzie wymaga się niezmiennego logu, retencji wieloletniej i dowodów dla audytora.
W opiece zdrowotnej, gdzie dane pacjentów mogą się pojawić w zgłoszeniu, a każdy wyciek to potencjalne naruszenie RODO i przepisów branżowych.
W spółkach z udziałem Skarbu Państwa i w samorządach, gdzie wymóg transparentności wymusza prowadzenie kanału zgodnego z normą ISO 37002:2021.
W organizacjach z oddziałami w kilku krajach UE — każdy kraj może mieć dodatkowe wymogi krajowe (np. Niemcy — Hinweisgeberschutzgesetz, Francja — Loi Sapin II, Holandia — Wet Huis voor klokkenluiders).

Praktyczna zasada jest taka: ile kosztuje kanał zgłoszeń zależy od tego, ile kosztuje was awaria tego kanału. Dla małej spółki IT awaria to stracony weekend i kilka tysięcy złotych. Dla banku albo szpitala to potencjalnie utrata reputacji, kara regulatora i odpowiedzialność osobista członków zarządu.

Sprawdź aktualne plany i kalkulator ceny dla swojej organizacji na pricing.