Ashio whistleblowing software

Sep 4, 2026

Postępowanie wyjaśniające po zgłoszeniu sygnalisty – procedura krok po kroku

Cover: Postępowanie wyjaśniające po zgłoszeniu sygnalisty – procedura krok po kroku

Trzy miesiące na zakończenie, siedem dni na potwierdzenie, trzydzieści dni na odpowiedź – i zero marginesu błędu, gdy zgłoszenie dotyczy prezesa. Właśnie tak wygląda postępowanie wyjaśniające sygnaliści krok po kroku w reżimie ustawy z 14 czerwca 2024 r. o ochronie sygnalistów. Poniżej znajdziesz kompletną procedurę: od momentu przyjęcia zgłoszenia, przez wyznaczenie osoby wyjaśniającej i zbieranie dowodów, aż po raport końcowy i decyzję o działaniach następczych. Tekst jest przeznaczony przede wszystkim dla osób odpowiedzialnych za zgodność – compliance officerów, prawników wewnętrznych i liderów zespołów HR.

Spis treści

Kiedy rozpocząć postępowanie wyjaśniające – sygnały formalne

Postępowanie wyjaśniające rozpoczyna się z chwilą wpłynięcia zgłoszenia zewnętrznego lub wewnętrznego w rozumieniu art. 4 ustawy o ochronie sygnalistów. W praktyce nie czekasz na pełną dokumentację – liczy się moment, w którym pracownik podmiotu publicznego lub prywatnego (zatrudniony na umowie o pracę, zlecenie, B2B, a także stażysta czy wolontariusz) składa informację o naruszeniu prawa. Żeby procedura wyjaśniania zgłoszeń wewnętrznych była ważna, każde zgłoszenie musi zostać zarejestrowane w sposób, który potwierdza datę i godzinę jego przyjęcia.

Za naruszenie prawa ustawa uznaje m.in. korupcję, naruszenia prawa pracy, zamówień publicznych, ochrony środowiska, bezpieczeństwa produktów, ochrony prywatności i danych osobowych, bezpieczeństwa sieci i systemów teleinformatycznych. Nie ma znaczenia, czy zgłoszenie dotyczy prezesa, rady nadzorczej, czy szeregowego specjalisty – w każdym przypadku podmiot ma obowiązek podjąć postępowanie.

Formalne sygnały rozpoczęcia:

  • Wpis do rejestru zgłoszeń z nadaniem numeru sprawy.
  • Potwierdzenie przyjęcia zgłoszenia w terminie 7 dni (ust. art. 32 ust. 1).
  • Wstępna klasyfikacja: czy zgłoszenie mieści się w katalogu naruszeń prawa, czy dotyczy interesu publicznego i czy jest wystarczająco konkretne.

Jeśli zgłoszenie jest anonimowe lub wstępnie niewystarczające, postępowanie i tak się toczy – sygnalista nie musi się ujawniać, a Ty nie możesz odmówić przyjęcia. Nie rozpoczynasz postępowania wyłącznie wtedy, gdy zgłoszenie dotyczy życia prywatnego, nie dotyczy interesu publicznego lub jest oczywiście bezzasadne (art. 32 ust. 2). W takiej sytuacji konieczna jest pisemna decyzja z uzasadnieniem.

Warto też rozróżnić zgłoszenie wewnętrzne od zewnętrznego: kanały wewnętrzne obsługujesz sam, a zgłoszenia do Rzecznika Praw Obywatelskich czy organów publicznych (np. UOKiK, KNF) kierujesz poza organizację. W obu przypadkach Twoim obowiązkiem jest zapewnić poufność tożsamości i chronić sygnalistę przed działaniami odwetowymi.

Wyznaczenie osoby wyjaśniającej i zakres jej uprawnień

Po zarejestrowaniu zgłoszenia kolejnym krokiem jest wyznaczenie osoby wyjaśniającej, nazywanej też „osobą odpowiedzialną za prowadzenie postępowania wyjaśniającego". Zgodnie z art. 7 ustawy o ochronie sygnalistów, organizacja może powołać w tym celu jedną osobę lub wewnętrzną jednostkę organizacyjną – np. dział compliance, audytu wewnętrznego lub wyznaczoną komórkę ds. etyki. Kluczowe jest, aby osoba wyjaśniająca spełniała trzy warunki:

  1. Bezstronność i niezależność – nie może być bezpośrednim przełożonym sygnalisty ani osoby, której dotyczy zgłoszenie, ani nie może być w innej relacji służbowej, która rodziłaby konflikt interesów.
  2. Kompetencje merytoryczne – znajomość obszaru, którego dotyczy naruszenie (np. prawo pracy, finanse, cyberbezpieczeństwo), oraz doświadczenie w prowadzeniu postępowań wyjaśniających.
  3. Dostęp do informacji i dokumentów – prawo do wglądu w akta, logi, maile, nagrania z monitoringu, a także do przesłuchiwania świadków.

W małych organizacjach (do 50 pracowników) często funkcję tę pełni sam pracodawca, ale ustawodawca tego nie zabrania – pod warunkiem, że wyznaczona osoba nie jest stroną postępowania. W większych podmiotach standardem jest formalny zespół: compliance officer jako lider, ekspert merytoryczny (np. prawnik lub audytor) i notujący pracownik wsparcia.

Zakres uprawnień osoby wyjaśniającej:

  • Prawo żądania wyjaśnień od pracowników i współpracowników.
  • Dostęp do dokumentacji pracowniczej, finansowej i technicznej w niezbędnym zakresie.
  • Możliwość zabezpieczenia dowodów – np. kopii dysków, logów VPN, nagrań z kamer.
  • Prawo do wnioskowania o wstrzymanie decyzji personalnych wobec sygnalisty do czasu zakończenia postępowania (środek zapobiegający działaniom odwetowym).
  • Obowiązek zachowania poufności tożsamości sygnalisty i osoby, której dotyczy zgłoszenie.

Wyznaczenie osoby wyjaśniającej musi być udokumentowane – najlepiej imiennym zarządzeniem lub wpisem w rejestrze zgłoszeń z datą i podpisem. Brak takiego dokumentu to pierwszy sygnał ostrzegawczy dla organu kontrolującego, że procedura była prowadzona doraźnie, a nie systemowo.

Warto, żeby osoba wyjaśniająca otrzymała pisemny zakres uprawnień i obowiązków, w tym termin realizacji (np. 45 dni roboczych), oczekiwany format raportu i zasady komunikacji z kadrą zarządzającą. Taki dokument staje się później dowodem rzetelności postępowania, jeśli dojdzie do kontroli PIP lub postępowania sądowego.

Plan postępowania: ustalenie stanu faktycznego, przesłuchania, dokumentacja

Procedura wyjaśniania zgłoszeń wewnętrznych bez planu zamienia się w improwizację, a ta szybko staje się pozwą. Dlatego osoba wyjaśniająca w ciągu pierwszych 3–5 dni roboczych powinna sporządzić plan postępowania, który zawiera co najmniej:

  • Hipotezę roboczą – co dokładnie miało miejsce, kto mógł być zaangażowany, jaki jest interes publiczny naruszenia.
  • Zakres czasowy i podmiotowy – od kiedy do kiedy trwało potencjalne naruszenie, których pracowników dotyczy.
  • Listę dowodów do zabezpieczenia – maile, faktury, logi, umowy, nagrania, korespondencja.
  • Kolejność przesłuchań – sygnalista (jeśli się ujawnił), świadkowie, osoba, której dotyczy zgłoszenie.
  • Harmonogram z datami pośrednimi i terminem zakończenia.

Ustalenie stanu faktycznego

Zaczynasz od zebrania dokumentów źródłowych. W zależności od rodzaju naruszenia będą to np. umowy, faktury, polecenia służbowe, maile, logi systemowe, raporty audytu, dane z monitoringu CCTV, zapisy rozmów telefonicznych (jeśli legalnie nagrywanych). Każdy dowód powinien zostać oznaczony sygnaturą, datą pozyskania i sposobem zabezpieczenia (np. „kopia binarnego dysku – hash SHA-256: …"). To zabezpiecza łańcuch dowodowy.

W sprawach dotyczących cyberbezpieczeństwa warto współpracować z Bezpieczeństwo i zgodność RODO – specjaliści ds. bezpieczeństwa IT pomogą zabezpieczyć logi i prześledzić wektory ataku. Z kolei jeśli zgłoszenie dotyczy potencjalnego naruszenia RODO, konieczne jest zaangażowanie Inspektora Ochrony Danych, by przesłuchania nie naruszały praw osób, których dane są przetwarzane.

Przesłuchania

Przesłuchania prowadzisz w formie uporządkowanej rozmowy, najlepiej z notatką służbową lub protokołem. Pamiętaj o kilku zasadach:

  • Zapewnij poufność rozmowy i wyłącznie osób uprawnionych.
  • Poinformuj rozmówcę o celu przesłuchania i podstawie prawnej.
  • Notuj pytania i odpowiedzi dosłownie; unikaj streszczania, które może zniekształcić sens.
  • Poproś o podpis pod notatką lub protokołem.
  • Nie składaj obietnic – ani co do wyniku, ani co do działań odwetowych.

Dowody w postępowaniu wyjaśniającym mają charakter nieformalny (to nie jest postępowanie karne), ale powinny być tak zabezpieczone, aby można je było później wykorzystać w postępowaniu sądowym, dyscyplinarnym lub przed organem regulacyjnym. Dlatego warto, żeby każdy dowód miał:

  • opis (co to jest),
  • źródło (kto przekazał lub skąd pobrano),
  • datę pozyskania,
  • sposób zabezpieczenia (np. kopia cyfrowa z hasłem, oryginał w sejfie).

Dokumentacja

Wszystkie czynności powinny być ewidencjonowane w chronologicznym dzienniku postępowania, który stanie się później załącznikiem do raportu końcowego. Każda czynność – od rozmowy telefonicznej, przez pobranie logów, po przesłuchanie – wymaga wpisu z datą, uczestnikami i skróconym opisem. Dobrą praktyką jest prowadzenie sprawy w dedykowanym narzędziu z funkcją rejestracji zgłoszeń i obsługą eu whistleblowing compliance. Takie rozwiązania zapewniają audytowalność i automatyczną archiwizację.

Terminy ustawowe: potwierdzenie (7 dni), odpowiedź (30 dni), zamknięcie (3 miesiące)

Ustawa narzuca trzy twarde terminy, których przekroczenie jest podstawą do stwierdzenia naruszenia obowiązków przez pracodawcę:

1. Potwierdzenie przyjęcia zgłoszenia – 7 dni

Od dnia wpłynięcia zgłoszenia masz 7 dni na potwierdzenie jego przyjęcia sygnaliście (art. 32 ust. 1). Potwierdzenie powinno zawierać:

  • numer sprawy,
  • informację o osobie lub jednostce wyznaczonej do prowadzenia postępowania,
  • podstawowe zasady dalszego komunikowania się.

Potwierdzenia nie wysyłasz, jeśli sygnalista nie podał danych kontaktowych lub zgłoszenie jest anonimowe i nie ma kanału zwrotnego – wtedy odnotowujesz brak możliwości w rejestrze.

2. Odpowiedź merytoryczna – 30 dni (termin 30 dni sygnaliści)

To najważniejszy termin operacyjny. W ciągu 30 dni od dnia potwierdzenia (a w praktyce – od dnia zgłoszenia, jeśli nie ma potwierdzenia) musisz przekazać sygnaliście informację o podjętych lub planowanych działaniach następczych oraz uzasadnienie, jeśli postępowanie nie zostanie wszczęte. Pamiętaj: to nie jest jeszcze raport końcowy, a jedynie informacja o statusie sprawy.

Przekroczenie tego terminu bez obiektywnego uzasadnienia (np. sprawa szczególnie złożona, duża liczba świadków) stanowi naruszenie ustawy. W uzasadnionych przypadkach termin można wydłużyć do 3 miesięcy, ale wyłącznie wtedy, gdy:

  • charakter sprawy wymaga dodatkowego dochodzenia,
  • zgłoszenie dotyczy wielu krajów lub jednostek organizacyjnych,
  • istnieje ryzyko zniszczenia dowodów przy zbyt szybkim działaniu.

Wydłużenie wymaga pisemnej decyzji z uzasadnieniem i informacji do sygnalisty przed upływem 30 dni.

3. Zamknięcie postępowania – 3 miesiące

Całe postępowanie wyjaśniające powinno zakończyć się w ciągu 3 miesięcy od dnia zgłoszenia. W tym czasie:

  • zbierzesz i ocenisz dowody,
  • przeprowadzisz przesłuchania,
  • sporządzisz raport końcowy z wnioskami,
  • przekażesz rekomendacje działań następczych (np. dyscyplinarne, organizacyjne, prawne),
  • poinformujesz sygnalistę o wyniku.

Trzymiesięczny termin jest krótki w porównaniu z postępowaniami karnymi czy sądowymi, ale świadomie – ustawodawca chce, by sygnalista szybko wiedział, jaki był skutek jego zgłoszenia.

Konsekwencje przekroczenia terminów

  • Odpowiedzialność organizacji – brak dochowania terminów to przesłanka do stwierdzenia naruszenia obowiązków przez organ kontrolny (np. PIP w zakresie prawa pracy).
  • Odpowiedzialność osobista – osoby odpowiedzialne za prowadzenie postępowania mogą ponieść konsekwencje dyscyplinarne.
  • Szkoda dla sygnalisty – opóźnienie działania zwiększa ryzyko działań odwetowych i zacierania dowodów, a to bezpośrednio przekłada się na skuteczność całego systemu.

W praktyce warto prowadzić kalendarz terminów z automatycznymi przypomnieniami – szczególnie gdy masz w toku kilka spraw jednocześnie. Jeśli zarządzasz dużą organizacją, Rozwiązanie compliance znajdziesz praktyczne wskazówki, jak zorganizować taki proces w zespole.

Najczęstsze błędy, które prowadzą do odpowiedzialności organizacji

Nawet najlepiej napisany regulamin nie zabezpieczy organizacji, jeśli samo postępowanie jest prowadzone wadliwie. Poniżej lista najczęstszych błędów, które widziałem w praktyce i które stanowią podstawę do stwierdzenia naruszenia obowiązków przez pracodawcę:

1. Brak pisemnego wyznaczenia osoby wyjaśniającej

Często spotykana sytuacja: „Ktoś się tym zajmuje" – bez pisemnego zakresu obowiązków, bez wyłączenia z obszaru konfliktu interesów. To klasyczny błąd formalny, który sygnalista może podnieść w sądzie.

2. Pominięcie art. 7 ustawy o ochronie sygnalistów

Wielu pracodawców zapomina, że art. 7 wymaga, by osoba prowadząca postępowanie była bezstronna i niezależna. Wyznaczenie bezpośredniego przełożonego sygnalisty, dyrektora finansowego, którego dotyczy sprawa, albo członka zarządu – to naruszenie.

3. Brak potwierdzenia w terminie 7 dni

Przeoczenie pierwszego terminu – szczególnie gdy zgłoszenie wpływa w piątek wieczorem – to jeden z najczęstszych błędów proceduralnych. Konsekwencja: formalne naruszenie obowiązków.

5. Niezabezpieczenie dowodów

Postępowanie wyjaśniające bez zabezpieczenia dowodów to postępowanie, które niczego nie udowodni. Kluczowe: kopie binarne dysków, logi VPN, zapisy CCTV, maile. Bez tego raport końcowy będzie oparty na domysłach.

6. Rozmowa z osobą, której dotyczy zgłoszenie, bez przygotowania

Częsty błąd: natychmiastowe „przesłuchanie" osoby podejrzanej – zanim zabezpieczysz dokumenty. Osoba dowiaduje się o zgłoszeniu, zaczyna zacierać ślady i postępowanie kończy się bez konkretnych ustaleń.

7. Brak informacji zwrotnej do sygnalisty

Nawet jeśli postępowanie trwa dłużej, sygnalista musi wiedzieć, że jego sprawa nie została zapomniana. Brak informacji zwrotnej rodzi poczucie bezsilności i ryzyko zgłoszenia zewnętrznego.

8. Działania odwetowe wobec sygnalisty

Najpoważniejszy błąd. Jakiekolwiek działania odwetowe (zwolnienie, degradacja, nieprzedłużenie umowy) są zakazane i stanowią podstawę do roszczeń odszkodowawczych. Ochrona obejmuje także osoby powiązane (np. współpracowników, rodzinę).

9. Brak procedury dokumentacyjnej

Postępowanie bez dokumentacji to postępowanie, którego nie da się obronić w sądzie. Brak notatek ze spotkań, brak rejestru pobranych dowodów, brak raportu końcowego – to wszystko elementy, które organ kontrolujący potraktuje jako nierzetelność.

10. Mieszanie ról: wyjaśniający = decydent

Osoba wyjaśniająca nie powinna jednocześnie decydować o sankcjach dyscyplinarnych. Jej rolą jest zbadanie sprawy i przedstawienie ustaleń – decyzje podejmuje odrębny organ (np. komisja etyki, zarząd).

Organizacje, które unikają tych błędów, są w stanie skutecznie bronić się w ewentualnym postępowaniu kontrolnym lub sądowym. Warto też okresowo weryfikować, czy Wewnętrzny kanał zgłoszeń działa prawidłowo i czy procedury są aktualizowane po każdej większej sprawie.

Wzór raportu końcowego z postępowania wyjaśniającego

Infographic: Wzór raportu końcowego z postępowania wyjaśniającego Raport końcowy to najważniejszy dokument w całym postępowaniu. Pełni trzy funkcje: dowodową (dla organu kontrolującego i sądu), decyzyjną (dla zarządu) i ochronną (dla organizacji). Poniżej propozycja struktury, którą możesz dostosować do specyfiki swojej organizacji.

Nagłówek raportu

  • Tytuł: „Raport końcowy z postępowania wyjaśniającego".
  • Numer sprawy: zgodny z rejestrem zgłoszeń.
  • Data sporządzenia.
  • Dane osoby wyjaśniającej (imię, nazwisko, stanowisko).
  • Podstawa prawna: art. 7 ustawy o ochronie sygnalistów.

Sekcja 1. Podstawy wszczęcia postępowania

  • Data i sposób przyjęcia zgłoszenia.
  • Treść zgłoszenia (w zakresie niezbędnym, bez danych nieistotnych).
  • Kwalifikacja wstępna (naruszenie prawa z katalogu ustawowego).
  • Decyzja o wszczęciu postępowania wyjaśniającego.

Sekcja 2. Zakres postępowania

  • Hipoteza robocza.
  • Okres badany.
  • Osoby objęte postępowaniem (bez ujawniania sygnalisty, jeśli jest anonimowy).
  • Termin prowadzenia postępowania i ewentualne przedłużenie (z uzasadnieniem).

Sekcja 3. Przeprowadzone czynności

  • Lista przesłuchań (kto, kiedy, w jakiej formie).
  • Lista zabezpieczonych dowodów z oznaczeniami.
  • Lista wniosków o dokumenty.
  • Lista odmów i ich uzasadnień.
  • Konsultacje zewnętrzne (np. z prawnikiem, Inspektorem Ochrony Danych).

Sekcja 4. Ustalenia faktyczne

Opis stanu faktycznego z podziałem na:

  • ustalenia bezsporne – fakty potwierdzone przez wszystkie strony,
  • ustalenia sporne – rozbieżności w wersjach zdarzeń,
  • ocena wiarygodności – której wersji postępowanie daje wiarę i dlaczego.

Sekcja 5. Ocena prawna

  • Czy doszło do naruszenia prawa, a jeśli tak – jakiego.
  • Jakie przepisy zostały naruszone.
  • Czy naruszenie miało charakter umyślny, nieumyślny, rażący.
  • Czy istnieją przesłanki do odpowiedzialności dyscyplinarnej, cywilnej lub karnej.

Sekcja 6. Wnioski i rekomendacje

  • Decyzja o zasadności zgłoszenia (zasadne / częściowo zasadne / niezasadne).
  • Rekomendowane działania następcze: dyscyplinarne, organizacyjne, prawne, szkoleniowe.
  • Działania prewencyjne na przyszłość.
  • Propozycje zmian w procedurach wewnętrznych.

Sekcja 7. Informacja zwrotna dla sygnalisty

  • Treść informacji o podjętych lub planowanych działaniach następczych.
  • Sposób i data przekazania.
  • Ochrona poufności tożsamości.

Załączniki

  • Kopie zabezpieczonych dowodów (w formie elektronicznej z hashami).
  • Notatki z przesłuchań.
  • Korespondencja z sygnalistą.
  • Decyzja o przedłużeniu terminu (jeśli dotyczy).
  • Oświadczenie osoby wyjaśniającej o bezstronności.

Raport podpisuje osoba wyjaśniająca, a w przypadku komisji – wszyscy jej członkowie. Dokument jest przechowywany przez okres wymagany przepisami (co do zasady przez cały czas trwania stosunku pracy i 3 lata po jego zakończeniu), z pełnym poszanowaniem zasad poufności.

W praktyce wiele organizacji prowadzi raport w dedykowanym narzędziu do obsługi zgłoszeń, co pozwala na automatyczną archiwizację, kontrolę dostępu i generowanie raportów statystycznych dla zarządu.

Źródła

Pobierz checklistę kontrolną postępowania wyjaśniającego na stronie /pl/internal-reporting-channel i przećwicz procedurę na swoim przypadku.