Ashio whistleblowing software

Sep 24, 2026

System zgłoszeń dla małej firmy (20 osób) — co wybrać i od czego zacząć

System zgłoszeń dla małej firmy 20 osób — co wybrać i od czego zacząć

Wielu właścicieli firm z 15–25 pracownikami wciąż czeka, aż ustawa ich „dogoni". Tymczasem obowiązek informacyjny z art. 24 dotyczy już wszystkich zatrudniających, a od 2024 r. system zgłoszeń wewnętrznych obejmuje też małe podmioty prawne. Dla właściciela 20-osobowej firmy IT w Krakowie, który dostał pytanie od klienta korporacyjnego o kanał zgłoszeń, liczy się jedno: czy musi mieć pełny system zgłoszeń dla małej firmy 20 osób, czy wystarczy prosty formularz, a może nawet informacja na stronie. Odpowiedź zależy od tego, czy firma mieści się w definicji „podmiotu prawnego" z dyrektywy o sygnalistach i czy działa w sektorze, w którym obowiązek włączono wcześniej. W tym przewodniku rozbieram przepisy na czynniki pierwsze, porównuję warianty techniczne i podaję konkretny plan wdrożenia na pierwszy miesiąc — tak, żeby decyzję dało się podjąć w ciągu jednego dnia roboczego.

Spis treści

Najważniejsze wnioski

  • W 2026 r. pełny wewnętrzny kanał zgłoszeń muszą mieć wszystkie podmioty prawne zatrudniające co najmniej 50 osób; firmy liczące 20 osób wciąż mogą korzystać z uproszczenia, ale muszą udostępnić kanał do zewnętrznego zgłoszenia i wywiązać się z obowiązku informacyjnego.
  • Art. 24 dyrektywy UE 2019/1937 nakłada obowiązek informowania o możliwości zgłoszenia zewnętrznego na każdego pracodawcę — niezależnie od liczby etatów i branży.
  • Przy 20 pracownikach kluczowe są cztery funkcje: ochrona tożsamości zgłaszającego, terminowe potwierdzenie, bezpieczna komunikacja i dziennik zdarzeń gotowy na kontrolę; reszta to wygoda.
  • Wybór między skrzynką e-mail, formularzem na stronie a dedykowanym systemem zależy od ryzyka: dwa pierwsze rozwiązania kosztują mniej, ale tworzą luki w dowodach i zwykle nie spełniają wymogu poufności.
  • Wdrożenie kanału w firmie do 30 osób realnie zamyka się w 10–15 godzinach rozłożonych na dwa–trzy tygodnie, a roczny koszt działania zaczyna się od kilkuset złotych za proste rozwiązanie chmurowe i rośnie wraz z liczbą integracji.

Czy 20-osobowa firma musi mieć system zgłoszeń — stan prawny w 2026

Pełny wewnętrzny kanał zgłoszeń jest obowiązkowy tylko wtedy, gdy zatrudniasz co najmniej 50 pracowników — ta granica wynika wprost z art. 8 eu whistleblowing directive i została przeniesiona do polskiej ustawy o ochronie sygnalistów. Przy 20 pracownikach formalnie nie musisz jeszcze uruchamiać pełnego systemu, ale nie oznacza to, że możesz zignorować temat.

Dwa obowiązki działają już niezależnie od wielkości firmy. Po pierwsze, art. 24 dyrektywy nakazuje każdemu pracodawcy poinformować pracowników i współpracowników o możliwości zgłoszenia zewnętrznego do organu publicznego. Po drugie, jeśli obsługujesz klientów korporacyjnych albo wchodzisz w łańcuch dostaw podmiotu, który taki kanał musi mieć, najczęściej pojawia się wymóg posiadania choćby podstawowego narzędzia do przyjmowania sygnałów. W praktyce właściciel 20-osobowej firmy, który prowadzi działalność w branży usługowej, produkcyjnej czy IT, musi samodzielnie ocenić, czy jego kontrahenci nie wymuszą na nim posiadania systemu zgłoszeń dla małej firmy 20 osób wcześniej niż przepisy.

Co dokładnie mówi przepis o progu 50 osób

Próg liczy się według stanowisk, a nie unikalnych osób, i obejmuje wszystkie formy zatrudnienia oraz współpracy, które wykazujesz w danym roku kalendarzowym przed 1 stycznia. Praktycznie oznacza to, że jeśli masz 18 etatów plus pięciu stałych zleceniobiorców, formalnie wchodzisz w 50. W takiej sytuacji internal reporting channel staje się obowiązkowy od następnego roku.

Które sektory zostały objęte wcześniej

Niezależnie od liczby pracowników, pełny system muszą mieć firmy działające w sektorach finansowym, ochrony zdrowia, transportu, energetyki, infrastruktury krytycznej oraz w jednostkach samorządu terytorialnego. W tych branżach samo 20 osób wystarczy, żeby obowiązek zaistniał.

Co zrobić, gdy ustawa nie wymaga kanału, ale wymaga informowania

Obowiązek informacyjny z art. 24 dotyczy wszystkich pracodawców bez względu na liczbę etatów. W praktyce sprowadza się do trzech rzeczy: wskazania organu publicznego, do którego można zgłosić naruszenie, podania sposobu kontaktu i udostępnienia tych informacji na stronie internetowej oraz w miejscu zwyczajowo przyjętym do komunikacji z pracownikami.

Realne minimum to krótki akapit w regulaminie pracy, sekcja w intranecie i baner na stronie z odnośnikiem do strony Rzecznika Praw Obywatelskich, który pełni funkcję organu ds. zgłoszeń zewnętrznych. To kosztuje godzinę pracy i nie wymaga zakupu żadnego narzędzia.

Jak rozdzielić obowiązek informowania od kanału zgłoszeń

Informowanie to transparentność, kanał to proces. Jeśli chcesz jedynie wywiązać się z obowiązku informacyjnego, wystarczy wspomniana wyżej trójka kroków. Jeśli chcesz mieć realną możliwość przyjęcia i obsługi zgłoszenia — na przykład dlatego, że wymaga tego klient — musisz już uruchomić co najmniej prosty formularz z szyfrowaną komunikacją.

Jakie funkcje są faktycznie potrzebne przy 20 pracownikach, a co jest zbędne

Przy 20 pracownikach potrzebujesz czterech filarów: bezpiecznego sposobu zgłaszania, automatycznego potwierdzenia odbioru, możliwości prowadzenia poufnej rozmowy oraz trwałego dziennika zdarzeń. Wszystko inne jest rozszerzeniem, które warto rozważyć dopiero wtedy, gdy pojawią się konkretne potrzeby: integracja z HR, zaawansowane uprawnienia czy dashboard dla zarządu.

Co realnie się przydaje przy małym zespole

Najważniejszy jest mechanizm wymiany wiadomości, w którym zgłaszający pozostaje anonimowy lub pseudonimowy, a osoba obsługująca widzi każdą wypowiedź. Drugie — automatyczne przypomnienia: dyrektywa wyznacza 7 dni na potwierdzenie i 3 miesiące na informację zwrotną. Trzecie — dziennik aktywności, który przy kontroli pokaże, kto, kiedy i co zrobił ze sprawą. Czwarte — wielojęzyczny formularz, jeśli w zespole są osoby nieposługujące się polskim na co dzień. Przy zatrudnieniu rzędu 20 osób ten ostatni punkt jest często pomijany, ale w praktyce wystarczy jedna osoba anglojęzyczna, żeby okazał się przydatny.

Co poczeka na później

Integracje z systemami HR, automatyczne raporty dla zarządu, zaawansowane polityki retencji, ankiety satysfakcji pracowników, rozbudowane role zespołowe — wszystko to można dokupić w drugiej kolejności. Przy 20 osobach proces obsługi prowadzi zwykle jedna lub dwie osoby, więc zaawansowane zarządzanie uprawnieniami jest zbędne.

Czy potrzebujesz obsługi wielu języków

Jeśli zatrudniasz obcokrajowców, to tak. Większość gotowych rozwiązań wspiera co najmniej kilkanaście języków formularza; warto to zweryfikować przed podpisaniem umowy. Tłumaczenie opisów kontekstowych pozostaje po stronie zgłaszającego lub osoby obsługującej.

Jak wybrać między skrzynką e-mail, formularzem a dedykowanym systemem

Skrzynka e-mail to najtańsze rozwiązanie, ale ma dwie poważne wady: identyfikuje nadawcę albo zmusza go do założenia jednorazowego konta, a wszystko, co trafia na serwer, da się bez trudu podsłuchać lub usunąć. Formularz na stronie rozwiązuje część problemów, o ile stoi za nim szyfrowanie i izolacja od ogólnej skrzynki, ale wciąż tworzy silos informacyjny i wymaga ręcznego pilnowania terminów. Dedykowany system łączy formularz, komunikację, dziennik i automatyczne przypomnienia w jednym procesie.

Kiedy wystarczy e-mail lub formularz

E-mail wystarczy, jeśli obsługujesz jedną–dwie sprawy rocznie, a zgłaszający jest skłonny podać dane kontaktowe. Formularz wystarczy, jeśli chcesz wygodnie zbierać zgłoszenia i dyskretnie odpowiadać, ale nie planujesz rozbudowanej ścieżki audytu. Oba rozwiązania sprawdzą się w firmie rodzinnej, biurze doradczym albo kancelarii z kilkunastoma osobami.

Kiedy lepszy będzie dedykowany system

Dedykowany system zwykle wybierają firmy, które muszą wykazać gotowość wobec klientów korporacyjnych albo obsługują więcej niż pięć spraw rocznie. Jeśli prowadzisz software house, agencję reklamową albo firmę logistyczną, w praktyce lepiej od razu wybrać narzędzie, które od pierwszego dnia zbiera zgłoszenia zgodnie z normą ISO 37002 i pozwala tworzyć ścieżkę audytu bez dodatkowej pracy.

Jak porównać koszt i ryzyko trzech wariantów

E-mail kosztuje zero złotych, ale ryzyko utraty reputacji i danych przy jednym wycieku jest wysokie. Formularz kosztuje kilkaset złotych rocznie, jeśli korzystasz z gotowej wtyczki, albo kilka dni pracy programisty, jeśli budujesz coś własnego. Dedykowany system to wydatek rzędu od kilkuset do kilku tysięcy złotych rocznie w zależności od wybranego wariantu. Decyzję najlepiej oprzeć na pytaniu, ile realnie kosztowałaby jedna źle obsłużona sprawa: kara, odpływ klienta, proces sądowy.

Ile kosztuje wdrożenie kanału w MŚP i jak wygląda pierwszy miesiąc

Realny budżet pierwszego miesiąca to od trzystu do trzech tysięcy złotych za samo narzędzie, plus czas właściciela lub HR-u. Jeśli korzystasz z rozwiązania chmurowego w modelu subskrypcyjnym, płacisz co miesiąc stałą kwotę niezależnie od liczby zgłoszeń; przy płatności rocznej często wychodzi taniej o kilkanaście procent.

Jeśli wahasz się między opcjami, najprostszym sposobem na sprawdzenie, czy dane narzędzie współgra z Twoim zespołem, jest uruchomienie go w wariancie próbnym. Model pricing jest tego dobrym punktem odniesienia: jeden plan dla całej organizacji, bez opłat za pojedyncze sprawy i bez ograniczeń liczby użytkowników, z 14-dniowym okresem próbnym bez karty kredytowej. Pozwala to w ciągu dwóch tygodni ocenić, czy funkcje odpowiadają Waszym realnym potrzebom.

Co składa się na realny koszt wdrożenia

Narzędzie to nie wszystko. Trzeba doliczyć czas potrzebny na stworzenie procedury zgłoszeń wewnętrznych (zwykle trzy do pięciu stron), przeszkolenie osoby przyjmującej zgłoszenia, przygotowanie komunikacji do zespołu oraz aktualizację regulaminu. Każdy z tych kroków zabiera od dwóch do ośmiu godzin.

Jak zaplanować pierwszy miesiąc

Tydzień pierwszy: decyzja o narzędziu, wybór osoby odpowiedzialnej, opis procesu. Tydzień drugi: konfiguracja, import polityk, przetestowanie formularza. Tydzień trzeci: komunikacja wewnętrzna, krótkie szkolenie, wpis w regulaminie. Tydzień czwarty: podsumowanie, zebranie uwag, drobne poprawki. Po miesiącu masz działający kanał i pełną ścieżkę audytu.

Krok po kroku: wdrożenie systemu zgłoszeń w firmie do 30 osób

Krok po kroku: wdrożenie systemu zgłoszeń w firmie do 30 osób Poniższy plan zakłada, że korzystasz z gotowego rozwiązania chmurowego. Jeśli budujesz coś własnego, dodaj czas na testy penetracyjne i zgodność z RODO — w praktyce własna implementacja rzadko opłaca się poniżej stu pracowników.

Krok 1: powołanie osoby odpowiedzialnej

Wybierz jedną lub dwie osoby, które będą przyjmować zgłoszenia i prowadzić proces. Najczęściej jest to HR lub compliance officer; w bardzo małej firmie może to być właściciel lub wyznaczony pracownik zaufania. Warto, żeby ta osoba miała pisemne pełnomocnictwo i dostęp do dziennika spraw.

Krok 2: wybór i konfiguracja narzędzia

Przy wyborze zwróć uwagę na: szyfrowanie end-to-end, hostowanie w Europie, możliwość anonimowej komunikacji, wielojęzyczność formularza, automatyczne śledzenie terminów oraz możliwość przeglądu dziennika zdarzeń pod kątem kontroli. Sprawdź też, czy dostawca ma gotowe szablony polityki i procedury zgłoszeń.

Krok 3: dokumentacja procedury

Przygotuj krótką procedurę (trzy do pięciu stron), która opisuje: kto może zgłaszać, w jaki sposób, co dzieje się po zgłoszeniu, kto je obsługuje, jak wygląda komunikacja zwrotna, jak długo przechowujesz dane i w jaki sposób zapewniasz ochronę tożsamości. Procedura powinna być dostępna dla wszystkich pracowników.

Krok 4: komunikacja wewnętrzna

Zapowiedz kanał w e-mailu do zespołu, na spotkaniu ogólnym i w intranecie. W treści powołaj się na dyrektywę o sygnalistach i wyjaśnij, że zgłoszenia mogą być anonimowe. Dodaj krótki film lub instrukcję jednoekranową, jak złożyć zgłoszenie.

Krok 5: szkolenie osoby obsługującej

Osoba przyjmująca zgłoszenia powinna umieć: prowadzić komunikację z zachowaniem poufności, oceniać, czy zgłoszenie dotyczy naruszenia z art. 3 dyrektywy, reagować w terminach 7 dni (potwierdzenie) i 3 miesięcy (informacja zwrotna), przekazywać sprawy do odpowiednich jednostek wewnętrznych i dokumentować wszystko w dzienniku.

Krok 6: przegląd i doskonalenie

Po pierwszym kwartale zrób przegląd: ile zgłoszeń wpłynęło, ile z nich było anonimowych, jak szybko reagował zespół, czy pojawiały się wzorce (np. regularne skargi z tej samej lokalizacji). Na tej podstawie popraw procedurę i komunikację.

Jakie integracje warto rozważyć od początku

Kalendarz osoby obsługującej (automatyczne przypomnienia), system ticketowy, jeśli już go używasz, oraz jednorazowy eksport ścieżki audytu do PDF w celu archiwizacji. Integracje z pełnym stosem HR-owym zwykle opłacają się dopiero powyżej pięćdziesięciu pracowników.

Jak uniknąć najczęstszych błędów wdrożeniowych

Najczęstsze pułapki to brak pisemnej procedury, brak szkolenia osoby obsługującej, brak informacji na stronie internetowej (art. 24) oraz brak testów formularza przed uruchomieniem. Łatwiej jest temu zapobiec niż naprawiać po fakcie — zwłaszcza gdy sprawa trafi do organu lub mediów.

Najczęstsze pytania właścicieli małych firm o kanał zgłoszeń

Kiedy firma z 20 pracownikami naprawdę musi mieć kanał zgłoszeń?

Pełny wewnętrzny kanał staje się obowiązkowy, gdy zatrudniasz co najmniej 50 osób albo działasz w sektorze, w którym próg nie ma zastosowania (finanse, ochrona zdrowia, transport, energetyka, infrastruktura krytyczna, samorządy). Nawet jeśli nie osiągasz progu, musisz udostępnić informację o możliwości zgłoszenia zewnętrznego do Rzecznika Praw Obywatelskich i wskazać sposób kontaktu — to obowiązek informacyjny z art. 24 eu whistleblowing directive.

Czy mogę po prostu zostawić skrzynkę e-mail do zgłoszeń?

Możesz, ale w praktyce to rozwiązanie nie spełnia wymogu poufności z art. 16 dyrektywy: serwer pocztowy widzi adres nadawcy, a skrzynka nie daje możliwości anonimowej rozmowy. Dla małej firmy najrozsądniejszym minimum jest formularz z szyfrowaną komunikacją; przy większej liczbie spraw warto sięgnąć po gotowy internal reporting channel.

Ile kosztuje najtańsze sensowne rozwiązanie dla MŚP?

Najtańsze sensowne rozwiązanie dla małej firmy to gotowy system w modelu subskrypcyjnym, który obejmuje szyfrowanie, wielojęzyczny formularz i dziennik zdarzeń. Rocznie wychodzi to zwykle kilkaset do kilku tysięcy złotych. Warto pamiętać, że istnieje różnica między „systemem tanim" a „systemem, którego nie trzeba utrzymywać we własnym zakresie" — w drugim wariancie rachunek rośnie o czas programisty i koszt audytu bezpieczeństwa.

Co lepiej wybrać dla HR-u: osobny system czy funkcję w ramach platformy HR?

Dla 20-osobowej firmy osobny system zwykle ma większy sens. Platformy HR-owe oferują co prawda funkcję zgłoszeń, ale ich rozwiązania są projektowane pod tysiące pracowników i zwykle nie spełniają wymogu pełnej poufności w modelu self-service. Gotowy kanał for hr leaders jest prostszy w obsłudze i daje pełną ścieżkę audytu już od pierwszej sprawy.

Czy mogę wdrożyć system sam, bez prawnika?

Tak, w przypadku gotowego systemu, który ma wbudowane szablony polityki i procedury. Jeśli jednak Twoja branża jest regulowana lub obsługujesz dane szczególnych kategorii, warto zlecić przegląd procedury specjaliście ds. RODO lub compliance.

Jak długo przechowujemy zgłoszenia?

Artykuł 6 dyrektywy wskazuje, że dane osobowe przechowujesz tylko przez czas niezbędny do realizacji celu — zwykle do zakończenia sprawy i zamknięcia postępowania. W praktyce oznacza to od kilku miesięcy do dwóch lat w zależności od złożoności sprawy i ewentualnych postępowań kontrolnych. Po tym okresie dane powinny zostać usunięte.

Źródła