Vnitřní oznamovací systém: povinnosti, lhůty a praxe

Povinnost zavést vnitřní oznamovací systém mají povinné subjekty, typicky zaměstnavatelé s 50 a více zaměstnanci, ale i vybrané veřejné instituce bez ohledu na velikost. Musí určit příslušnou osobu, potvrdit přijetí oznámení do 7 dnů, vyrozumět oznamovatele do 30 dnů (s možností prodloužení na 90 dnů), chránit jeho totožnost a evidenci uchovávat 5 let. Kdo tyto požadavky na oznamovací systém podcení, riskuje pokutu i ztrátu důvěry zaměstnanců.

Stručně:

• Firmy s více než 50 zaměstnanci musí mít zavedený bezpečný interní oznamovací systém s odpovídajícími lhůtami pro potvrzení a vyrozumění oznamovatele, jinak riskují pokutu až 1 million Kč.
• Při přesném dodržení lhůt 7, 30 a 90 dní je možné sdílet systém se souvisejícími subjekty jen u firem s 50 až 249 zaměstnanci, zatímco nad 250 zaměstnanců musí mít systém zajištěn samostatně.
• Evidence oznámení musí obsahovat data přijetí, obsah, posouzení a opatření, přičemž ji je nutné uchovávat po dobu pěti let a chránit identitu oznamovatele.
• Nejčastější chybou je používání nespecializovaného sdíleného e-mailu nebo nedostatečné školení personálu, což oslabuje spolehlivost a důvěru v systém.
• Kompletní a zabezpečená technická řešení nabízí například platforma Ashio, která umožňuje snadnou implementaci, sledování lhůt a GDPR kompatibilitu v jediném prostředí.

Obsah

• Koho se požadavky na oznamovací systém týkají
• Klíčové lhůty, evidence a sankce
• Kdo má být příslušnou osobou a jak zajistit její nezávislost
• Jaké kanály zvolit a jak je technicky zabezpečit
• Implementace vnitřního oznamovacího systému krok za krokem
• Uveřejnění informací a vztah k externímu systému
• Co v praxi nejčastěji podceňují firmy i úřady
• Jak Ashio pokryje technické požadavky na oznamovací systém
• Zdroje

Koho se požadavky na oznamovací systém týkají

Zákon č. 171/2023 Sb. o ochraně oznamovatelů definuje okruh povinných subjektů v § 8. Patří mezi ně soukromí i veřejní zaměstnavatelé, kteří v posledním kalendářním čtvrtletí zaměstnávali průměrně alespoň 50 osob, a dále specifické subjekty bez ohledu na počet zaměstnanců, jako jsou orgány veřejné moci, obce nad 10 000 obyvatel nebo vybrané finanční instituce.

Do počtu zaměstnanců se započítávají osoby v pracovním poměru, dohody o pracovní činnosti přepočítávají se na plný fond a dohody o provedení práce se obvykle nezapočítávají, pokud nezakládají srovnatelný rozsah práce. Praktické pravidlo je jednoduché: sečtěte fyzicky odpracované úvazky, ne hlavy.

Zaměstnavatelé se 50 až 249 zaměstnanci mají výhodu, kterou menší firmy často neznají:

• mohou si vnitřní oznamovací systém sdílet s jiným povinným subjektem, pokud jde o přijímání oznámení a posouzení jejich důvodnosti,
• odpovědnost za dodržení lhůt a nápravných opatření ale zůstává na každém subjektu samostatně,
• sdílení se nevztahuje na orgány veřejné moci, které musí mít vlastní systém vždy.

Subjekty nad 250 zaměstnanců tuto možnost nemají a musí provozovat systém samostatně.

Klíčové lhůty, evidence a sankce

Přesné dodržování lhůt rozhoduje o tom, jestli je systém funkční, nebo jen formalita na papíře. Podle příručky pro příslušné osoby platí tři pevné body:

• do 7 dnů od přijetí oznámení musí příslušná osoba potvrdit jeho příjem,
• do 30 dnů od přijetí musí oznamovatele vyrozumět o výsledku posouzení důvodnosti,
• lhůtu lze ve skutkově nebo právně složitých případech dvakrát prodloužit o 30 dnů, maximálně tedy na 90 dnů, a o prodloužení musí být oznamovatel informován.

Pokud oznamovatel požádá o osobní schůzku, musí ji povinný subjekt zajistit v přiměřené lhůtě, zpravidla nejpozději během následujících dvou týdnů od žádosti. To bývá v praxi podceňovaný detail, na který se často zapomíná při nastavování interních procesů.

Statistika, kterou přehlíží většina implementačních plánů: za porušení povinností podle zákona č. 171/2023 Sb. hrozí zaměstnavateli pokuta až 1 000 000 Kč, a to i v případě, že k porušení dojde jen v procesní rovině, nikoliv ve věci samotné.

Evidence oznámení musí obsahovat datum přijetí, obsah oznámení, jeho posouzení a opatření, ke kterým subjekt přistoupil. Dokumentaci je nutné uchovávat 5 let od přijetí oznámení, a přístup k obsahu oznámení i k totožnosti oznamovatele má mít výhradně určená příslušná osoba, nikdo jiný v organizaci.

Sankce se netýkají jen samotného nezřízení systému. Postihují i:

• znemožnění nebo ztížení podání oznámení,
• neposkytnutí odpovídající součinnosti příslušné osobě,
• porušení mlčenlivosti o totožnosti oznamovatele,
• přijetí odvetného opatření vůči osobě, která oznámení podala v dobré víře.

Kdo má být příslušnou osobou a jak zajistit její nezávislost

Příslušná osoba je srdcem celého systému. Zákon jí ukládá posoudit, zda oznámení spadá do působnosti zákona, zhodnotit jeho důvěryhodnost a navrhnout nápravná opatření. Nemusí vést vyšetřování jako orgán činný v trestním řízení, jde jí primárně o posouzení důvodnosti a ochranu oznamovatele, ne o trestněprávní kvalifikaci skutku.

Organizace má v zásadě dvě cesty:

• interní ombudsman – zaměstnanec s dostatečnou autoritou a znalostí firemního prostředí, obvykle z právního, personálního nebo compliance oddělení,
• externí dodavatel – advokátní kancelář nebo specializovaná firma, která funkci vykonává na smluvní bázi.

Interní řešení má výhodu rychlé orientace v provozních souvislostech, ale hrozí střet zájmů, pokud oznámení směřuje proti vedení. Externí řešení je nezávislejší, ale dražší a pomalejší v reakci na firemní specifika. V praxi se nejlépe osvědčuje kombinace obou přístupů: externí příslušná osoba pro citlivé případy týkající se vrcholového vedení, interní kontakt pro běžnou agendu.

Profesionální tip: Nastavte zastupitelnost už od prvního dne. Pokud je příslušná osoba na dovolené nebo nemocná a lhůta 7 dnů běží dál, žádná omluva vás před sankcí neochrání.

Doporučuje se také vést anonymizované statistiky o počtu a povaze oznámení a jednou ročně zveřejnit přehled aktivity systému. Podle příručky pro příslušné osoby taková transparentnost zvyšuje důvěru zaměstnanců v systém jako celek.

Jaké kanály zvolit a jak je technicky zabezpečit

Zákon vyžaduje, aby bylo oznámení možné podat písemně, ústně nebo, na žádost oznamovatele, osobně. V praxi to znamená minimálně jeden digitální kanál (webový formulář nebo e-mail), telefonní linku s možností záznamu hovoru a garantovanou možnost osobního setkání do 14 dnů od žádosti.

Zde nastává nejčastější technická chyba: běžná sdílená e-mailová schránka, ke které má přístup několik lidí z personálního oddělení, požadavky na oznamovací systém nesplňuje. Zákon totiž trvá na tom, že k obsahu oznámení a totožnosti oznamovatele smí mít přístup jen příslušná osoba. Sdílený inbox s více přihlašovacími účty a bez omezení administrátorských rolí tuto podmínku poruší v podstatě okamžitě.

Funkční technické nastavení kanálu by mělo obsahovat:

• dedikovaný přístupový účet vázaný výhradně na příslušnou osobu,
• auditní stopu zaznamenávající každý přístup k oznámení,
• šifrované úložiště oddělené od běžné firemní IT infrastruktury,
• možnost obousměrné anonymní komunikace, aby oznamovatel mohl dostávat informace o postupu bez odhalení identity.

Pro tento účel se v praxi nejlépe osvědčují specializované webové platformy, které kombinují anonymní obousměrnou komunikaci s kompletní auditní stopou, a to lépe než improvizovaná kombinace e-mailu a sešitu na sdíleném disku. Telefonní linku je vhodné doplnit záznamem hovoru se souhlasem volajícího nebo písemným záznamem obsahu, který se následně předá k podpisu oznamovateli.

Implementace vnitřního oznamovacího systému krok za krokem

Zavedení funkčního systému se dá rozdělit do pěti fází. Přeskočení kterékoliv z nich se dřív nebo později projeví buď v kontrole, nebo v reálném případu, kdy systém selže právě ve chvíli, kdy měl fungovat.

1. Vnitřní předpis. Sepište dokument, který definuje působnost systému, jmenuje příslušnou osobu, popisuje dostupné kanály a postup od přijetí oznámení po jeho vyřešení. Jako výchozí bod poslouží vzorový vnitřní předpis zveřejněný na portálu Oznamovatel.
2. Technické nasazení. Zřiďte kanály, nastavte přístupová práva výhradně pro příslušnou osobu a ověřte, že archivace splňuje požadavek na uchovávání po dobu 5 let.
3. Interní komunikace a školení. Seznamte zaměstnance s tím, jak a kde oznámení podat, a příslušnou osobu proškolte v posuzování důvodnosti a v komunikaci s oznamovatelem.
4. Testování procesu. Simulujte přijetí oznámení a projděte celý postup od potvrzení do 7 dnů až po vyrozumění do 30 dnů, ať víte, kde vznikají prodlení dřív, než nastane skutečný případ.
5. Monitoring a audit. Sledujte klíčové ukazatele, počet oznámení, průměrnou dobu vyřízení a dodržování lhůt, a systém alespoň jednou ročně auditujte.

Zavedení vnitřního oznamovacího systému bez těchto kroků obvykle vede k systému, který na papíře existuje, ale v reálné situaci se rozpadne na první námitku právníka protistrany.

Uveřejnění informací a vztah k externímu systému

Povinný subjekt musí způsobem umožňujícím dálkový přístup, tedy typicky na webových stránkách, uveřejnit informace o tom, jak oznámení podat, kdo je příslušnou osobou a jaké jsou dostupné kanály. Součástí by měl být i odkaz na externí oznamovací systém, který provozuje Ministerstvo spravedlnosti jako alternativu pro případy, kdy oznamovatel nechce využít interní kanál.

U skupinových nebo nadnárodních firem je běžné, že centrální systém sídlí v zahraničí. V takovém případě je rozumné doplnit ho paralelním lokálním řešením, protože jen tak lze prokázat dodržení českých lhůt a jazykových požadavků na komunikaci s oznamovatelem.

Co v praxi nejčastěji podceňují firmy i úřady

Nejčastější chybou bývá sdílený e-mail namísto dedikovaného kanálu, chybějící zastupitelnost příslušné osoby a podcenění interní komunikace, kdy zaměstnanci ani nevědí, že systém existuje. Viděl jsem organizace, které měly perfektně sepsaný vnitřní předpis, ale nikdo z provozu netušil, kam oznámení poslat.

Funguje kombinace interní znalosti provozu s externí nezávislostí pro citlivé případy. Bez pravidelného školení a alespoň ročního auditu se i dobře napsaný předpis časem promění v prázdný formální dokument.

Jak Ashio pokryje technické požadavky na oznamovací systém

Ashio je pro firmy, které řeší požadavky na oznamovací systém v praxi, řešením, které odpadá potřebu improvizovat s e-mailem a sešitem: anonymní webový kanál, kompletní auditní stopa a správa případů od přijetí po vyřešení běží na jedné platformě, data se ukládají v evropských datacentrech v souladu s GDPR. Příslušná osoba má přehled o lhůtách 7 a 30 dnů, zaměstnanci sledují stav svého oznámení bez rizika odhalení identity.

Pro firmy s 50 a více zaměstnanci, které řeší implementaci systému od nuly nebo nahrazují nevyhovující sdílený e-mail, je SaaS řešení rychlejší cestou než stavba vlastní infrastruktury. Pokud chcete vidět, jak konkrétně by nastavení vypadalo ve vaší organizaci, vyzkoušejte Ashio a projděte si demo se svým týmem.

This article is general information, not a substitute for advice from a qualified lawyer. Consult a qualified legal professional about your own circumstances before acting on anything here.

Zdroje

• Příručka pro příslušné osoby podle zákona č. 171/2023 Sb.
• Mzdy

Doporučené

• Oznamovací systém: povinnost, lhůty a realizace
• Zákon o ochraně oznamovatelů: všechny lhůty přehledně
• Vytvoření whistleblowing politiky: povinný obsah pro firmy
• Implementace směrnice 2019/1937: průvodce pro compliance týmy