Ashio whistleblowing software

Sep 16, 2026

System zgłoszeń sygnalistów dla MŚP – case study wdrożenia w 60-osobowej firmie usługowej

Cover: System zgłoszeń sygnalistów dla MŚP – case study wdrożenia w 60-osobowej firmie usługowej

Wdrożenie systemu zgłoszeń w firmie na 60 osób nie musi kosztować fortuny ani trwać kwartał. Poniżej pokazujemy, jak konkretna polska spółka usługowa przeszła od skrzynki e-mail do pełnego kanału zgłoszeń w mniej niż dwa tygodnie — jakie kryteria przyjęła, czego szukała w oprogramowaniu whistleblowing dla 50+ pracowników i jakie decyzje zapadły na każdym etapie. To case study o wyborze systemu zgłoszeń sygnalistów dla MŚP, w którym liczy się przede wszystkim prostota, zgodność z ustawą i realne doświadczenia po pół roku użytkowania.

Spis treści

Kontekst firmy: branża usługowa, 60 pracowników, rozproszona struktura

Bohaterem tego case study jest spółka z sektora usług profesjonalnych — firma konsultingowa z siedzibą w Warszawie i trzema oddziałami regionalnymi (Kraków, Gdańsk, Wrocław). Zatrudnia 60 osób, z czego 52 to etatowi pracownicy merytoryczni, a 8 to kadra zarządzająca i back office. Struktura jest płaska: czterech partnerów, sześciu senior managerów, reszta to konsultanci i specjaliści. Rotacja jest umiarkowana — rocznie odchodzi i przychodzi około 10–12% zespołu, co oznacza, że onboarding nowych osób do polityki zgłoszeń to stały proces, a nie jednorazowe wydarzenie.

Rozproszona struktura ma znaczenie praktyczne. Zespoły pracują hybrydowo: około 40% czasu w biurze, reszta z domu lub z klientami. Pracownicy często spotykają się dopiero podczas cotygodniowych spotkań online. To oznacza, że klasyczny model „podejdź do dyrektora i powiedz, co Cię boli" nie działa — potrzebny jest kanał, w którym można zgłosić sprawę asynchronicznie, z dowolnego urządzenia, z zachowaniem anonimowości.

Firma świadczy usługi doradcze dla klientów korporacyjnych, w tym z sektora finansowego i publicznego. Z tego powodu już od 2022 roku podlegała wewnętrznym politykom antykorupcyjnym i antyfraudowym swoich największych klientów. Każdy nowy kontrakt wymagał wypełnienia ankiety due diligence, w której padało pytanie: „Czy Państwa firma posiada kanał do anonimowego zgłaszania naruszeń?". Do połowy 2024 roku odpowiedź brzmiała: „tak, jest skrzynka compliance@". To było kłamstwo, którego zarząd wolał nie powtarzać w nieskończoność.

Dodatkowym czynnikiem był charakter zespołu. Średnia wieku wynosiła 34 lata, ponad połowa pracowników miała doświadczenie w międzynarodowych korporacjach, a kilkanaście osób pracowało wcześniej w firmach, gdzie kanał zgłoszeń był standardem. Wewnętrzne ankiety pracownicze konsekwentnie pokazywały, że zespół oczekuje formalnych, pisemnych procedur, a nie „dogadania się po ludzku". To ułatwiło późniejszą komunikację wewnętrzną — pracownicy wiedzieli, o co chodzi, i sami domagali się zmiany.

Wyzwanie: brak jasnego kanału, niepewność co do zakresu obowiązków

Realnym problemem nie była formalna implementacja, tylko fakt, że firma przez lata funkcjonowała w szarej strefie. Skrzynka compliance@ istniała, ale nikt nie wiedział, kto ją monitoruje w piątek o 16:00, czy zapytania pracowników są archiwizowane, kto ma prawo odpowiadać i w jakim terminie. Co gorsza, kilka sytuacji z ostatnich dwóch lat — w tym sprawa domniemanego mobbingu i podejrzenie konfliktu interesów przy jednym z projektów — zostało „rozwiązanych" bezpośrednio między stronami, bez żadnej dokumentacji. To wystarczyło, żeby zarząd poczuł, że grunt się pali.

Drugim źródłem niepewności była ustawa o ochronie sygnalistów. Weszła w życie we wrześniu 2024 roku i nakłada obowiązki między innymi na pracodawców zatrudniających co najmniej 50 osób. Nasza firma konsultingowa przekraczała ten próg o 10 etatów — a więc podlegała w pełnym zakresie. Obowiązki obejmują: wdrożenie kanału zgłoszeń (pisemnego lub ustnego), przyjmowanie zgłoszeń anonimowych, potwierdzanie ich w terminie 7 dni, udzielanie informacji zwrotnej w terminie 3 miesięcy, prowadzenie rejestru zgłoszeń, ochronę tożsamości sygnalisty i zakaz działań odwetowych. Brzmi prosto, ale w praktyce każdy z tych punktów wymaga decyzji: kto potwierdza? kto prowadzi rejestr? co się dzieje, gdy sprawa dotyczy partnera zarządzającego?

Trzecim wyzwaniem był lęk przed nadmierną biurokracją. Zarząd nie chciał wdrażać systemu klasy enterprise z 20-osobowym zespołem compliance, który generuje 200 zgłoszeń rocznie i 80% z nich to fałszywe alarmy. Potrzebował narzędzia, które spełnia wymogi ustawy, ale nie przytłacza organizacji. Stąd decyzja, by traktować ten projekt nie jak „wdrożenie systemu compliance za 100 tysięcy złotych", tylko jak „kupno sensownego oprogramowania dla małej firmy, które robi dokładnie to, co trzeba, i ani trochę więcej".

Czwartą kwestią była integracja z tym, co już istnieje. Firma korzystała z Google Workspace, miała wewnętrzny intranet oparty na Confluence, a cała komunikacja wewnętrzna szła przez Slacka. Nowy kanał zgłoszeń nie mógł być kolejnym, oddzielnym narzędziem wymagającym logowania i osobnych powiadomień. Musiał być na tyle lekki, żeby pracownicy go zapamiętali i nie bali się z niego korzystać.

Kryteria wyboru systemu dla MŚP – po czym oceniać

Zarząd i dyrektor operacyjny spisali krótką listę kryteriów, zanim w ogóle zaczęli oglądać konkretne produkty. To była jedna z lepszych decyzji w tym projekcie, bo oszczędziła wielu tygodni porównywania czegoś, co i tak nie miało szansy zostać wybrane. Lista wyglądała następująco:

Zgodność z ustawą z pudełka. Kandydat musiał realizować wszystkie wymogi ustawy o ochronie sygnalistów bez konieczności pisania dodatkowych polityk wewnętrznych i ręcznego pilnowania terminów. Konkretnie: automatyczne potwierdzenie w 7 dni, automatyczny licznik 3 miesięcy na informację zwrotną, anonimowość domyślnie, rejestr zgłoszeń z eksportem do PDF i CSV. Wszystko inne było negocjowalne.

Przystępna cena i brak ukrytych opłat. Budżet startowy ustalono na około 1500–3000 zł rocznie. To oznaczało, że system musiał kosztować w granicach 20–50 euro miesięcznie. Wszystko powyżej tej kwoty wymagałoby dodatkowej argumentacji przed zarządem. Modele licencyjne typu „od użytkownika" albo „od zgłoszenia" odpadały od razu — przy 60 osobach i realistycznej liczbie 5–15 zgłoszeń rocznie nie miały sensu.

Czas wdrożenia poniżej dwóch tygodni. Nikt nie miał czasu na trzymiesięczny projekt wdrożeniowy z dziesięcioma spotkaniami discovery. Idealny scenariusz: kupno, konfiguracja formularza, branding, komunikacja do zespołu, start produkcyjny — wszystko w 10–14 dni roboczych.

Anonimowość techniczna, nie tylko deklaratywna. Skrzynka e-mail nie spełnia tego kryterium — w nagłówku maila widać adres IP. Prawdziwy system zgłoszeń dla małej firmy powinien umożliwiać zgłoszenie bez logowania, bez podawania danych i bez plików cookie ani mechanizmów śledzących na stronie zgłoszeniowej. To była żelazna linia, poniżej której żadne rozwiązanie nie przechodziło.

Hosting w Unii Europejskiej lub Szwajcarii. Dane zgłoszeń to dane wrażliwe. Firma już raz przeszła przez RODO-owy incydent związany z amerykańskim narzędziem analitycznym i nie chciała powtórki. Hosting w UE lub Szwajcarii, szyfrowanie end-to-end i zgodność z RODO — to były wymagania twarde.

Brak konieczności instalacji. Rozwiązania on-premise i self-hosted odpadały. Zespoły IT nie było — administracją zajmował się jeden pracownik na pół etatu. System musiał działać w przeglądarce, bez serwera, bez agenta, bez VPN-a.

Wsparcie po polsku. Komunikacja z dostawcą po polsku nie była może wymogiem absolutnym, ale zarząd uznał, że przy zgłoszeniach dotyczących polskich pracowników i polskiego prawa pracy, lepiej mieć partnera, który mówi tym samym językiem prawniczym.

Spośród kilkunastu systemów, które wstępnie rozważano (zarówno globalne platformy enterprise, jak i polskie rozwiązania niszowe), do krótkiej listy trafiły trzy. Po demonstracjach i rozmowach handlowych wybór padł na Ashio — przede wszystkim dlatego, że spełniał wszystkie siedem kryteriów jednocześnie, a pozostałe rozwiązania wymagały kompromisów w co najmniej dwóch obszarach.

Decyzja o wdrożeniu Ashio – krok po kroku

Proces decyzyjny trwał siedem dni roboczych i obejmował cztery spotkania. Pierwsze — wewnętrzne — dotyczyło ustalenia kryteriów (opisanych w poprzedniej sekcji) i podziału odpowiedzialności. Ustalono, że właścicielem projektu zostanie dyrektor operacyjny, a osobą odpowiedzialną za kontakt z dostawcą — specjalista ds. compliance, który wcześniej pracował w sektorze bankowym i znał specyfikę whistleblowingu od strony praktycznej.

Drugie spotkanie było demo z dwoma wybranymi dostawcami. Trwało łącznie cztery godziny i było bardzo konkretne: nie oglądano prezentacji ogólnych, tylko omawiano scenariusze realnych spraw z ostatnich dwóch lat („co by się stało, gdyby pracownik zgłosił mobbing przez ten kanał?", „jak wygląda eksport rejestru do PDF?", „kto widzi powiadomienia o nowym zgłoszeniu?"). To podejście ujawniło różnice, których nie widać na stronie produktowej.

Trzecie spotkanie — wewnętrzne — służyło porównaniu obu rozwiązań według wcześniej ustalonej matrycy kryteriów. Każdy z czterech uczestników niezależnie przyznał punkty w siedmiu kategoriach. Ashio wygrał w sześciu z siedmiu; przegrał jedynie w kategorii „rozpoznawalność marki na rynku polskim", co dla zarządu nie miało znaczenia — istotniejsze było to, czy system działa, niż to, czy jego logo znają wszyscy dyrektorzy finansowi.

Czwarte spotkanie było rozmową handlową i podpisaniem umowy. Zgodnie z publicznie dostępnym cennikiem Ashio, plan Standard wyceniony jest na 23 € miesięcznie i oferuje 14-dniowy bezpłatny okres próbny bez podawania karty kredytowej — co pozwala najpierw skonfigurować środowisko testowo, a dopiero potem sfinalizować zakup. To pozwoliło najpierw skonfigurować całe środowisko testowo, przeszkolić wyznaczone osoby, a dopiero potem sfinalizować zakup. W praktyce okres próbny trwał 12 dni — tyle wystarczyło, żeby ocenić, czy system spełnia oczekiwania.

Decyzja o wdrożeniu zapadła w piątek, a w poniedziałek ruszyła konfiguracja. Tempo było ważne, bo zarząd chciał uniknąć sytuacji, w której projekt „wisi" przez kilka tygodni bez postępu — z doświadczenia wiedzieli, że takie projekty mają tendencję do gubienia się w kalendarzu.

Konfiguracja formularza, branding i automatyczne terminy 7 dni / 3 miesiące

Konfiguracja zajęła trzy dni robocze i była wykonywana przez specjalistę ds. compliance przy wsparciu dyrektora operacyjnego. Pierwszego dnia utworzono konto, skonfigurowano podstawowe ustawienia organizacji i dodano logo firmy — branding pojawił się na stronie zgłoszeniowej — funkcja logo i brandingu firmy jest częścią planu Standard. wysyłanych do osób obsługujących kanał. Nie był to kosmetyczny detal — strona zgłoszeniowa miała wyglądać jak część oficjalnej infrastruktury firmy, a nie jak zewnętrzna aplikacja, co obniża barierę psychiczną dla zgłaszającego.

Drugiego dnia skonfigurowano sam formularz zgłoszeniowy. Treść pytań została napisana wspólnie z radą pracowniczą (o czym więcej w następnej sekcji) i obejmowała: opis sytuacji, datę lub okres zdarzenia, osoby zaangażowane (z opcją „nie wiem" dla anonimowych zgłoszeń), kategorię naruszenia, załączniki oraz pole na dodatkowe informacje. Ważne było, żeby formularz nie wymuszał podania danych kontaktowych — system obsługuje zgłoszenia anonimowe domyślnie, a zgłaszający sam decyduje, czy chce zostawić sposób kontaktu.

Trzeciego dnia skonfigurowano automatyczne terminy. To był moment, w którym ustawa o ochronie sygnalistów przestała być abstrakcją i zamieniła się w konkretne ustawienie w panelu administracyjnym. System automatycznie wysyła potwierdzenie przyjęcia zgłoszenia do 7 dni od wpłynięcia oraz przypomnienie o konieczności udzielenia informacji zwrotnej przed upływem 3 miesięcy. Wyznaczono dwóch odbiorców zgłoszeń — dyrektora operacyjnego i specjalistę ds. compliance — którzy wspólnie decydują, kto prowadzi daną sprawę. W przypadku, gdy zgłoszenie dotyczy któregoś z nich, automatycznie do grona odbiorców dołącza jeden z partnerów zarządzających, co zabezpiecza przed konfliktem interesów.

W tym samym dniu przeszkolono dwie osoby obsługujące kanał — pokazano im, jak wygląda rejestr zgłoszeń, jak eksportować dane do PDF lub CSV, jak dodawać notatki audytowe, jak zmieniać status sprawy i jak prowadzić bezpieczną komunikację ze zgłaszającym. Szkolenie trwało 90 minut i obejmowało dwa scenariusze testowe. Jednym z nich było zgłoszenie anonimowe dotyczące domniemanego konfliktu interesów partnera zarządzającego — chodziło o to, żeby obsługujący kanał wiedzieli, jak reagować, gdy sprawa dotyczy osoby na szczycie hierarchii.

Cała konfiguracja, od założenia konta do gotowości produkcyjnej, zamknęła się w trzech dniach roboczych. Kolejne dwa dni zajęły testy wewnętrzne i przygotowanie komunikacji do zespołu. Łącznie od decyzji „wdrażamy" do dnia startu minęło dziewięć dni roboczych — znacznie poniżej założonego limitu dwóch tygodni.

Komunikacja do zespołu i współpraca z radą pracowniczą

Komunikacja wewnętrzna była świadomie potraktowana jako osobny projekt, nie jako ogłoszenie wysłane mailem. Specjalista ds. compliance przygotował pakiet informacyjny, który został skonsultowany z radą pracowniczą na spotkaniu trwającym 75 minut. Rada pracownicza w tej firmie liczy pięć osób i ma formalny głos doradczy w sprawach dotyczących warunków pracy. Jej zgoda nie była wymagana prawnie, ale bez niej projekt nie miałby szans na powodzenie — a zarząd wiedział to z doświadczenia.

Rada zgłosiła trzy uwagi, z których dwie zostały uwzględnione. Pierwsza dotyczyła treści formularza — padło pytanie, czy pytanie „osoby zaangażowane" nie jest zbyt sugerujące i nie zniechęca osób zgłaszających sprawy dotyczące relacji między kolegami. Zmieniono formułę na „osoby, których dotyczy sprawa (jeśli wiesz)". Druga uwaga dotyczyła dostępu do rejestru zgłoszeń — rada poprosiła, żeby do rejestru nie miał dostępu partner zarządzający, którego sprawa dotyczyła w scenariuszu testowym. To zostało rozwiązane przez procedurę: w przypadku konfliktu interesów dostęp przechodzi na innego partnera lub, w skrajnym przypadku, na zewnętrznego pełnomocnika. Trzecia uwaga — o prośbie, żeby formularz był dostępny w języku ukraińskim — została odłożona do przyszłej iteracji, bo w momencie wdrożenia żaden pracownik nie zgłosił takiej potrzeby, a dodawanie pól językowych na zapas nie miało sensu.

Komunikacja do zespołu ruszyła tydzień przed startem kanału. Wszyscy pracownicy otrzymali maila z osobistym podpisem jednego z partnerów zarządzających. Mail zawierał: krótkie wyjaśnienie, czym jest ustawa o ochronie sygnalistów i dlaczego firma ją wdraża, link do strony zgłoszeniowej, opis procedury (kto odbiera zgłoszenie, jakie są terminy, co się dzieje po zgłoszeniu) oraz zapewnienie o ochronie tożsamości i zakazie działań odwetowych. Dodatkowo na każdym z trzech oddziałów odbyły się spotkania informacyjne w formie Q&A, które łącznie zgromadziły około 75% zespołu. Pozostałe 25% obejrzało nagranie.

Szczególnie istotny był sposób, w jaki komunikowano cel wdrożenia. Nie było to „robimy to, bo musimy" ani „dbamy o was". Było to „budujemy kulturę, w której każdy problem da się zgłosić bez strachu, i dajemy sobie nawzajem narzędzie, żeby to było możliwe". Ton był partnerski, nie paternalistyczny. To zadziałało — w pierwszym tygodniu po komunikacji zespół zadał więcej pytań o kanał niż o jakikolwiek inny projekt wewnętrzny w ostatnim kwartale.

Wybór systemu zgłoszeń sygnalistów dla MŚP nie kończy się na wdrożeniu technicznym. To, co decyduje o realnym wykorzystaniu kanału, to jakość komunikacji wewnętrznej. Można mieć najlepszy system na świecie, a jeśli pracownicy o nim nie wiedzą albo mu nie ufają, pozostanie pustą stroną internetową.

Pierwsze 6 miesięcy: liczba zgłoszeń, typy spraw, czas reakcji

Pierwsze pół roku funkcjonowania kanału przyniosło konkretne, mierzalne wyniki. W okresie od startu do końca szóstego miesiąca wpłynęło 11 zgłoszeń, z czego 8 było anonimowych. Dla porównania — w analogicznym okresie przed wdrożeniem, na skrzynkę compliance@ trafiało średnio 3–4 maile rocznie (głównie pytania proceduralne, nie zgłoszenia naruszeń). Skok jest znaczący i wynika z dwóch powodów: obniżonej bariery wejścia (anonimowość) oraz realnej świadomości, że kanał istnieje i działa.

Typy spraw, które wpłynęły, można podzielić na cztery kategorie. Pierwsza i najczęstsza — relacje między współpracownikami (4 zgłoszenia): dwa dotyczyły domniemanego mobbingu, jeden niegrzecznej komunikacji ze strony przełożonego, jeden poczucia nierównego traktowania przy podziale projektów. Druga kategoria — obawy o zgodność procesów z polityką klienta (3 zgłoszenia): pracownicy sygnalizowali, że w jednym z projektów procedury antykorupcyjne klienta nie są w pełni przestrzegane. Trzecia kategoria — bezpieczeństwo i warunki pracy (2 zgłoszenia): obawa o przeciążenie w zespole krakowskim oraz nieprawidłowe oznakowanie drogi ewakuacyjnej w biurze. Czwarta kategoria — anonimowe sygnały ogólne (2 zgłoszenia): komentarze dotyczące kultury organizacyjnej i zarządzania, bez wskazania konkretnego zdarzenia.

Czas reakcji na każde zgłoszenie zmieścił się w ustawowych terminach. Automatyczne potwierdzenie przyjęcia zgłoszenia wychodziło zawsze w ciągu 24 godzin od wpłynięcia, najczęściej w ciągu kilku godzin. Informacja zwrotna dla zgłaszającego — w przypadku zgłoszeń, gdzie podano sposób kontaktu — udzielana była w terminie od 2 do 9 tygodni, w zależności od złożoności sprawy. Żadne zgłoszenie nie przekroczyło granicy 3 miesięcy. Realnym wyzwaniem okazały się nie terminy, a jakość dochodzenia: dwie sprawy wymagały rozmów z wieloma osobami, jedna wymagała konsultacji z zewnętrznym prawnikiem (z uwagi na potencjalne konsekwencje dla klienta końcowego).

Najważniejszą obserwacją po pół roku jest to, że kanał zaczął żyć własnym życiem. Pracownicy zaczęli traktować go jako normalny element infrastruktury firmowej, a nie jako egzotyczne narzędzie compliance. Podczas spotkań zespołowych pojawiały się pytania „czy to też można zgłosić przez ten kanał?" — co świadczy o tym, że komunikacja wewnętrzna zadziałała.

W kontekście systemu zgłoszeń dla małej firmy, wyniki te pokazują, że nawet przy stosunkowo niewielkiej skali organizacji kanał rozwiązuje realne problemy. Nie chodzi o to, żeby co tydzień wpływało zgłoszenie korupcji — chodzi o to, żeby ludzie wiedzieli, że mają dokąd się zwrócić, gdy coś ich zaniepokoi. To buduje zaufanie, które procentuje w codziennej pracy.

Wnioski: co zadziałało, co wymagałoby zmiany przy skali 150 osób

Infographic: Wnioski: co zadziałało, co wymagałoby zmiany przy skali 150 osób Po sześciu miesiącach użytkowania firma ma jasny obraz tego, co zadziałało i co wymagałoby korekty przy większej skali organizacji. Podsumowując najważniejsze wnioski z wdrożenia kanału zgłoszeń dla małego i średniego przedsiębiorcy:

Co zadziałało dobrze:

Przede wszystkim prostota wdrożenia. Od decyzji do produkcyjnego startu minęło dziewięć dni roboczych, a konfiguracja techniczna zajęła trzy. Przy skali 60 osób nie było potrzeby angażowania działu IT ani zewnętrznego konsultanta. Jeden specjalista ds. compliance obsłużył cały proces przy wsparciu dyrektora operacyjnego. To jest właśnie ten profil kanału zgłoszeń dla małego średniego przedsiębiorcy, którego szukają zarządy MŚP — bez dramatu, bez wielomiesięcznego projektu, bez tysięcy godzin pracy poświęconej na konfigurację.

Po drugie, automatyczne terminy 7 dni i 3 miesięcy zdjęły z obsługujących kanał obowiązek pamiętania o terminach. Wcześniej, przy skrzynce e-mail, zawsze istniało ryzyko, że sprawa „przeleży" tydzień w skrzynce, bo nikt jej nie monitoruje w weekend. Teraz system automatycznie śledzi terminy i prowadzi dziennik aktywności, co zdejmuje odpowiedzialność z ludzi i przenosi ją na proces.. To zdejmuje odpowiedzialność z ludzi i przenosi ją na proces.

Po trzecie, współpraca z radą pracowniczą okazała się wartością dodaną, nie tylko formalnością. Uwagi rady poprawiły formularz, a sam fakt konsultacji zwiększył zaufanie zespołu do kanału. Pracownicy wiedzieli, że kanał nie został narzucony z góry, tylko był przedmiotem dyskusji.

Co wymagałoby zmiany przy skali 150 osób:

Po pierwsze, liczba zgłoszeń. W firmie na 60 osób wpłynęło ich 11 w pół roku, co daje około 22 rocznie. Przy 150 osobach, przy zachowaniu podobnej kultury zgłoszeniowej, można szacować 40–60 zgłoszeń rocznie. To wciąż nie jest liczba wymagająca osobnego zespołu, ale już wymaga jasnego podziału ról — kto jest pierwszym odbiorcą, kto decyduje o eskalacji, kto prowadzi rejestr. W obecnej konfiguracji wszystko spoczywa na dwóch osobach; przy większej skali potrzebny byłby formalny zespół składający się z trzech do pięciu osób z jasnym podziałem odpowiedzialności.

Po drugie, kategoryzacja zgłoszeń. W obecnej wersji formularza kategorie są cztery i są wystarczające. Przy większej skali i bardziej złożonej strukturze przydatne byłoby rozbudowane tagowanie — na przykład oddzielenie spraw dotyczących konkretnych oddziałów, kategorii zatrudnienia czy typu klienta. To ułatwiłoby analizę trendów i raportowanie zarządowi.

Po trzecie, komunikacja wewnętrzna. Przy 60 osobach wystarczyły mail od partnera i trzy spotkania Q&A. Przy 150 osobach potrzebna byłaby bardziej formalna kampania — szkolenia e-learningowe dla wszystkich nowych pracowników, regularne przypomnienia, może coroczny raport z funkcjonowania kanału (z zachowaniem pełnej anonimowości). To nie jest wymóg ustawowy, ale przy większej organizacji trudniej utrzymać kulturę zgłoszeniową bez świadomego wysiłku.

Po czwarte, eksport i archiwizacja. Rejestr zgłoszeń prowadzony w systemie wystarcza przy obecnej skali, ale przy 150 osobach warto rozważyć dłuższe archiwum eksportów — na przykład roczny eksport do PDF przechowywany w osobnym repozytorium dokumentów. To zabezpiecza na wypadek kontroli, audytu albo sytuacji, w której potrzebna jest historia dłuższa niż okres przechowywania w samym systemie.

Piąty wniosek dotyczy wyboru systemu zgłoszeń sygnalistów. To case study pokazuje, że wybór systemu zgłoszeń sygnalistów dla MŚP nie musi oznaczać kompromisu między zgodnością a prostotą. System spełniający wszystkie wymogi ustawy może być wdrożony w kilka dni, obsługiwany przez jedną osobę i kosztować ułamek tego, co platformy enterprise. Kluczem jest postawienie twardych kryteriów przed przeglądaniem produktów — w tej firmie lista siedmiu kryteriów pozwoliła odsiać 90% rozwiązań w ciągu jednego spotkania.

Często zadawane pytania

Czy firma na 60 osób rzeczywiście musi mieć system zgłoszeń sygnalistów?

Tak. Ustawa o ochronie sygnalistów obowiązuje pracodawców zatrudniających co najmniej 50 osób, niezależnie od branży. Próg liczy się według stanu zatrudnienia, nie rodzaju umowy w przeważającej części. Firma na 60 etatów podlega w pełnym zakresie i musi prowadzić kanał zgłoszeń, prowadzić rejestr, potwierdzać zgłoszenia w 7 dni i udzielać informacji zwrotnej w 3 miesiące.

Ile kosztuje system zgłoszeń dla małej firmy?

Plan Standard wyceniony jest na 23 € miesięcznie, z opcją przełączenia na rozliczenie roczne. Łączny roczny koszt przy cenie wyjściowej 23 € miesięcznie pozostaje wyraźnie poniżej 300 €, co stanowi kwotę znacząco niższą niż potencjalne konsekwencje braku kanału. To kwota nieporównywalnie niższa niż potencjalna kara za brak kanału. Warto przy wyborze zwrócić uwagę, czy dostawca oferuje okres próbny bez konieczności podawania karty — pozwala to przetestować system przed zakupem.

Czy oprogramowanie whistleblowing dla 50+ pracowników musi być drogie i skomplikowane?

Nie. Przedstawione wdrożenie pokazuje, że konfiguracja zajmuje trzy dni robocze, obsługa spoczywa na jednej-dwóch osobach, a cena mieści się w budżecie typowego MŚP. Kluczowe jest, by system realizował konkretne wymogi ustawy: anonimowość domyślnie, automatyczne terminy 7 dni i 3 miesiące, eksport rejestru do PDF lub CSV oraz hosting w UE lub Szwajcarii. Wszystko inne jest kwestią wyboru, nie konieczności.

Jak przekonać zarząd MŚP do wdrożenia kanału zgłoszeń?

Najskuteczniejszy argument to nie groźba kary, ale realne potrzeby biznesowe. W opisywanym przypadku decydujące były ankiety due diligence klientów korporacyjnych, które konsekwentnie pytały o kanał zgłoszeń. Drugim argumentem był fakt, że kilka spraw z ostatnich lat nie zostało formalnie obsłużonych i wracały jako plotki oraz napięcia w zespole. Trzecim — oczekiwania samych pracowników, którzy przyzwyczaili się do standardów korporacyjnych.

Czy mała firma powinna angażować zewnętrznego pełnomocnika do obsługi zgłoszeń?

Przy skali do 100 osób zazwyczaj nie ma takiej potrzeby. Wystarczy wyznaczyć jedną lub dwie osoby wewnętrzne i opisać procedurę eskalacji na wypadek konfliktu interesów. Przy skali powyżej 150 osób warto rozważyć zaangażowanie zewnętrznego pełnomocnika przynajmniej do spraw dotyczących najwyższego kierownictwa. To dodatkowe zabezpieczenie, nie koszt — i sygnał dla pracowników, że system jest naprawdę niezależny.

Źródła