Ashio whistleblowing software

Sep 25, 2026

System zgłoszeń dla zarządu — jakiej odpowiedzialności naprawdę unika rada nadzorcza

System zgłoszeń dla zarządu — jakiej odpowiedzialności naprawdę unika rada nadzorcza

Ustawa o ochronie sygnalistów nakłada obowiązki na pracodawcę, ale to konkretne osoby — członkowie zarządu i rady nadzorczej — odpowiadają majątkiem osobistym, gdy kanał nie działa. System zgłoszeń dla zarządu to nie kwestia wizerunku ani „dobrej praktyki", lecz realna tarcza przed odpowiedzialnością cywilną i karną, którą można podzielić między spółkę a osoby pełniące funkcje. Pytanie brzmi nie „czy wdrożyć", lecz jaki system zgłoszeń dla zarządu realnie zdejmuje tę odpowiedzialność — i jak go prowadzić, żeby dokumentacja wytrzymała kontrolę, a członkowie organów mogli wykazać dochowanie należytej staranności.

Spis treści

Najważniejsze wnioski

  • Członkowie zarządu i rady nadzorczej odpowiadają osobiście za brak działającego kanału zgłoszeń, niezależnie od tego, czy spółka formalnie taki kanał posiada.
  • Właścicielem procesu jest zarząd, nie dział HR ani compliance — i to zarząd zatwierdza plan działań po każdym istotnym zgłoszeniu.
  • Audytor i prokuratura oczekują udokumentowanego łańcucha decyzji: od wpłynięcia zgłoszenia, przez potwierdzenie w 7 dni, po decyzję o działaniach następczych w 3 miesiące.
  • Raport roczny kanału zgłoszeń jest narzędziem obrony organu, a nie sprawozdaniem marketingowym — liczy się terminowość, poprawność klasyfikacji i ścieżka decyzyjna.

Dlaczego zarząd i rada nadzorcza nie są „poza kanałem"

Odpowiedzialność zarządu za kanał zgłoszeń wynika wprost z przepisów, które wymieniają „osoby pełniące funkcje kierownicze" jako adresatów obowiązków, a nie spółkę jako abstrakcję. W praktyce oznacza to, że w razie kontroli lub postępowania to konkretni członkowie organów muszą wykazać, że kanał działał, był dostępny, a zgłoszenia były obsługiwane zgodnie z terminami ustawowymi.

Rada nadzorcza z kolei odpowiada za nadzór nad realizacją obowiązków — nie za samo prowadzenie spraw, ale za to, czy zarząd w ogóle stworzył warunki do ich realizacji. Brak kanału, kanał formalny bez obsługi albo kanał obsługiwany poza strukturą spółki to trzy różne scenariusze, a każdy z nich przesuwa ciężar odpowiedzialności na osoby, a nie na podmiot.

W praktyce oznacza to jedno: system zgłoszeń dla zarządu musi być tak zbudowany, żeby każdy członek organu mógł w ciągu kilku minut odtworzyć, co wpłynęło, kto to obsłużył i jaką decyzję podjęto — bez konieczności przeszukiwania skrzynek mailowych i arkuszy.

Co ustawa mówi o roli organu — kto odpowiada za brak kanału

Ustawa z dnia 14 czerwca 2024 r. o ochronie sygnalistów, implementująca dyrektywę Parlamentu Europejskiego i Rady (UE) 2019/1937, wprost nakłada obowiązki na podmiot prywatny i publiczny, a odpowiedzialność za ich wykonanie ponoszą osoby faktycznie zarządzające podmiotem. W spółkach prawa handlowego są to członkowie zarządu; w strukturach z radą nadzorczą — również jej członkowie w zakresie nadzoru.

Kara administracyjna za brak działającego kanału może sięgać kilkudziesięciu tysięcy złotych, ale większym ryzykiem jest odpowiedzialność odszkodowawcza wobec osoby, która poniosła szkodę, bo nie mogła zgłosić naruszenia w sposób poufny i bezpieczny. W takim procesie sąd bada, czy po stronie organu doszło do niedbalstwa — a brak kanału, kanał martwy albo kanał bez obsługi to klasyczny dowód niedbalstwa.

Dlatego odpowiedzialność zarządu za kanał zgłoszeń zaczyna się dużo wcześniej niż pierwsza kontrola — zaczyna się od decyzji, jaki system zgłoszeń dla zarządu wdrożyć i kto go obsługuje. Jeśli tych decyzji nie ma, organ nie ma się czym bronić.

Kto w firmie zarządza zgłoszeniami, a kto tylko zatwierdza plan działań

Właścicielem procesu obsługi zgłoszeń jest zawsze zarząd — nawet jeśli bieżącą obsługę powierzył compliance officerowi lub HR. To rozróżnienie ma znaczenie prawne: organ zatwierdza plan działań po zgłoszeniu sygnalisty, a nie tylko „przyjmuje informację", że ktoś coś zgłosił.

W dobrze zbudowanym procesie widać wyraźny podział: zespół compliance lub HR przyjmuje zgłoszenie, klasyfikuje je, prowadzi komunikację z sygnalistą i przygotowuje rekomendację działań. Zarząd — na podstawie tej rekomendacji — podejmuje decyzję: zamknięcie sprawy, postępowanie wyjaśniające, zawiadomienie organów ścigania, zmiana procedury. Bez tego rozdziału nie ma mowy o należytej staranności; jest tylko biurokracja, która nie zdejmuje odpowiedzialności z organu.

W praktyce warto rozróżnić trzy role: operator kanału (codzienna obsługa), klasyfikator (decyzja, czy zgłoszenie mieści się w ustawie), decydent (organ zatwierdzający plan działań). Pomieszanie tych ról — zwłaszcza powierzenie organowi roli operatora — jest najczęstszym błędem, który audytor wychwytuje przy pierwszej kontroli.

Jak często zarząd powinien widzieć raport ze spraw — i czego wymaga od niego audytor

Raport roczny kanału zgłoszeń to za rzadko. Standardem, który wytrzymuje kontrolę, jest przegląd co najmniej raz na kwartał, a przy każdym zgłoszeniu o istotnym naruszeniu — natychmiast. Sam raport powinien zawierać nie liczbę spraw, lecz ich klasyfikację, czas reakcji na każdą z nich i status: wyjaśniona, w toku, przekazana organom.

Audytor i prokuratura zwracają uwagę przede wszystkim na trzy rzeczy: czy zgłoszenie zostało potwierdzone w ciągu 7 dni od wpłynięcia, czy działania następcze zostały podjęte lub uzasadnione w ciągu 3 miesięcy, oraz czy decyzja o dalszych krokach jest przypisana do konkretnej osoby z imienia i nazwiska. Brak któregokolwiek z tych elementów oznacza, że ścieżka audytu jest niekompletna, a odpowiedzialność zarządu za kanał zgłoszeń staje się trudna do obrony.

Rada nadzorcza a system sygnalistów powinna być rozumiana nie jako osobny projekt, lecz jako element nadzoru: rada żąda od zarządu raportu, weryfikuje go, a w razie nieprawidłowości wpisuje swoje uwagi do protokołu. Tak zbudowana relacja między organami jest właśnie tym, co sąd bada, oceniając należytą staranność.

Minimalna dokumentacja, którą musi pokazać członek zarządu w razie kontroli

Kontrola zaczyna się od pytania „pokaż mi jedno zgłoszenie od początku do końca". Jeśli członek zarządu nie jest w stanie wskazać pliku, w którym widać datę wpłynięcia, datę potwierdzenia, opis klasyfikacji, decyzję o dalszych krokach i osobę odpowiedzialną — dokumentacja jest niewystarczająca, niezależnie od tego, ile spraw faktycznie obsłużono.

Minimalny zestaw, który musi istnieć w każdej organizacji, to: regulamin zgłoszeń z datą wejścia w życie, potwierdzenie publikacji kanału wewnętrznie i zewnętrznie, wykaz osób upoważnionych do obsługi zgłoszeń, dziennik zdarzeń z datami i statusami, oraz rejestr decyzji podpisanych przez organ. Bez tych pięciu elementów nie da się mówić o działającym kanale — można mówić co najwyżej o stronie internetowej z formularzem.

Warto przy tym pamiętać, że dokumentacja nie służy do tego, żeby „coś pokazać" — służy do tego, żeby w razie postępowania udowodnić, że decyzje były podejmowane, a nie tylko rejestrowane. Różnica między „mamy zgłoszenie" a „mamy udokumentowaną decyzję o tym zgłoszeniu" jest różnicą między ryzykiem a ochroną.

Co zrobić, gdy obsługa kanału zostaje po stronie organu

Co zrobić, gdy obsługa kanału zostaje po stronie organu Pytanie, przed którym staje dziś większość zarządów i rad nadzorczych w średnich firmach, brzmi nie „czy wdrażać kanał", lecz kto realnie prowadzi ten proces na co dzień — i czy organ jest w stanie sam utrzymać tempo wymagane przez ustawę. Powierzenie obsługi jednej osobie w dziale HR, która równolegle prowadzi rekrutację, prowadzi do przeoczonych terminów i decyzji podejmowanych bez udziału zarządu; zatrudnienie zewnętrznego compliance officera rozwiązuje część problemu, ale generuje koszt stały i nie zdejmuje z organu obowiązku nadzoru.

W tej sytuacji wiele organizacji sięga po dedykowane oprogramowanie, które przejmuje terminowość, ścieżkę audytu i dokumentację decyzji — tak, by organ nie musiał budować tego sam. Jednym z rozwiązań, które zdejmują z zarządu ciężar codziennej obsługi, jest ashio — system prowadzony w szwajcarskich centrach danych z certyfikatem ISO 27001, w którym zgłoszenia są szyfrowane w przeglądarce jeszcze przed wysłaniem na serwer, a każda czynność — od potwierdzenia wpłynięcia po decyzję o dalszych krokach — trafia do niezmiennego dziennika. Stała cena 23 € miesięcznie przy płatności rocznej obejmuje całą organizację, bez limitu zgłoszeń i bez opłat wdrożeniowych, a 14-dniowy bezpłatny okres próbny pozwala sprawdzić, czy proces rzeczywiście zdejmuje z organu odpowiedzialność za terminowość — szczegóły są na stronie cenowej. Rozwiązanie jest adresowane przede wszystkim do średnich firm i organizacji, które chcą mieć pełną ścieżkę audytu bez utrzymywania własnego zespołu compliance.

Często zadawane pytania

Czy rada nadzorcza może ograniczyć swoją odpowiedzialność przez powołanie audytora wewnętrznego?

Nie. Audytor wewnętrzny może wspierać nadzór, ale odpowiedzialność rady nadzorczej za działanie kanału zgłoszeń wynika wprost z przepisów i nie przenosi się na osobę trzecią. Rada może jednak wykazać należytą staranność, jeśli żąda od zarządu raportów, weryfikuje je i odnotowuje swoje uwagi w protokołach posiedzeń.

Czy zarząd może powierzyć obsługę zgłoszeń jednej osobie spoza organu?

Tak, pod warunkiem że organ nadal zatwierdza plan działań po zgłoszeniu i zachowuje pełną ścieżkę decyzyjną. Powierzenie bieżącej obsługi nie zwalnia zarządu z odpowiedzialności za terminowość i klasyfikację spraw, a jedynie rozkłada obowiązki w ramach organizacji.

Jak często raport roczny kanału zgłoszeń powinien trafiać do rady nadzorczej?

Raport roczny kanału zgłoszeń jest wymagany ustawowo, ale w praktyce rada nadzorcza powinna otrzymywać przegląd co najmniej raz na kwartał, a w przypadku spraw o istotnym naruszeniu — niezwłocznie po podjęciu decyzji przez zarząd.

Co grozi członkowi zarządu, gdy kanał zgłoszeń nie działa?

Najczęściej odpowiedzialność administracyjna (kara pieniężna) oraz cywilna za szkodę wyrządzoną osobie, która nie mogła skutecznie zgłosić naruszenia. W skrajnych przypadkach — odpowiedzialność karna za brak realizacji obowiązków wynikających z ustawy o ochronie sygnalistów.

Czy plan działań po zgłoszeniu sygnalisty musi być zatwierdzany pisemnie?

Tak — dla celów dowodowych decyzja o dalszych krokach powinna mieć formę pisemną lub być odnotowana w systemie z datą i osobą zatwierdzającą. Bez tego nie da się wykazać, że działania następcze zostały faktycznie podjęte w ustawowym terminie 3 miesięcy.

Źródła