Ashio whistleblowing software

Oct 1, 2026

System zgłoszeń sygnalistów dla MŚP — jak wybrać, porównanie i realne koszty

System zgłoszeń sygnalistów dla MŚP — jak wybrać, porównanie i realne koszty

Co trzy miesiące Rzecznik Praw Obywatelskich publikuje raport z kontroli — i w siedmiu na dziesięć przypadków braku kanału zgłoszeń w małych i średnich firmach powtarza się ten sam schemat: albo skrzynka @firma.pl, albo arkusz współdzielony. Oba rozwiązania nie spełniają wymogów ustawy z dnia 14 kwietnia 2023 r. o ochronie sygnalistów, która obowiązuje jednostki zatrudniające co najmniej 50 osób od 25 września 2024 r. Właściciel firmy produkcyjnej liczącej 120 osób nie potrzebuje więc „narzędzia HR" — potrzebuje zgodnego z prawem, audytowalnego systemu zgłoszeń sygnalistów dla MŚP, który da się uruchomić w tygodnie, a nie w kwartały. Ten artykuł porównuje opcje dostępne w 2026 r. pod kątem funkcji, anonimowości, kosztów i ryzyka prawnego — tak, żeby wybór systemu zgłoszeń sygnalistów nie zależał od sloganów sprzedawcy.

Spis treści

Najważniejsze wnioski

  • Skrzynka e-mail i arkusz współdzielony nie są kanałem zgłoszeń w rozumieniu ustawy: brakuje im bezpiecznej komunikacji dwukierunkowej, niezmiennej ścieżki audytu i obowiązkowego potwierdzenia przyjęcia w ciągu 7 dni.
  • W przedziale 80–250 pracowników sensowny system kosztuje dziś 23–60 € miesięcznie przy płatności rocznej; model „za pracownika" potrafi urosnąć pięciokrotnie po przekroczeniu 100 użytkowników.
  • Prawna anonimowość wymaga architektury zero-access: brak logowania adresów IP, plików cookies, fingerprintingu przeglądarki i szyfrowanie end-to-end generowane po stronie zgłaszającego.
  • Dla większości MŚP najszybszą i najtańszą ścieżką pozostaje gotowe oprogramowanie z 14-dniowym okresem próbnym wdrożone w 2–4 tygodnie, a nie praca z prawnikiem od zera.
  • Najczęstsze błędy MŚP to: wybór najtańszej opcji bez audytu RODO, brak pisemnej procedury zgłoszeń wewnętrznych i traktowanie kanału jako „projektu IT" zamiast elementu systemu compliance.

Czym różni się „system zgłoszeń" od skrzynki email — ryzyka prawne

System zgłoszeń sygnalistów dla MŚP musi realizować trzy funkcje ustawowe, których zwykła skrzynka e-mail nie realizuje: umożliwić zgłoszenie naruszenia pisemnie lub ustnie, potwierdzić je w ciągu 7 dni od otrzymania i prowadzić dalszą komunikację z sygnalistą w sposób poufny. To obowiązki z art. 9 ust. 1 lit. a ustawy o ochronie sygnalistów, które wdrażają dyrektywę Parlamentu Europejskiego i Rady (UE) 2019/1937 z dnia 23 października 2019 r. (zwaną dalej „dyrektywą o sygnalistach"). Jeśli kanał nie zapewnia tych trzech elementów, formalnie nie istnieje.

Skrzynka @firma.pl zawodzi w każdym z tych punktów. Adres jest przypisany do konkretnej osoby lub działu, więc każdy zgłoszony ma dostęp do metadanych i historii. Brakuje automatycznego śledzenia terminu 7-dniowego potwierdzenia, więc wiadomości giną lub czekają tygodniami. Nie ma też drugiej strony komunikacji — sygnalista musi pisać ponownie na ten sam adres, ryzykując dekonspirację. Arkusz współdzielony zawodzi z innego powodu: ścieżka zmian jest edytowalna, więc nie stanowi niezmiennej dokumentacji wymaganej przez organ kontroli.

Ryzyko nie ogranicza się do teoretycznej niezgodności. Jeśli sygnalista pójdzie do Rzecznika Praw Obywatelskich z informacją, że zgłosił naruszenie na adres kadry@firma.pl i nikt nie potwierdził przyjęcia w wymaganym terminie, organ ma podstawę, by uznać kanał za nieskuteczny i nałożyć administracyjną karę pieniężną do 10 000 zł (art. 58 ustawy), a w skrajnych przypadkach — wszcząć postępowanie dotyczące odpowiedzialności osobistej zarządu. Wybór systemu zgłoszeń sygnalistów nie powinien zaczynać się od pytania „czy mamy już skrzynkę", lecz od pytania „co organ kontroli zaakceptuje".

Co dokładnie sprawdza Rzecznik Praw Obywatelskich podczas kontroli?

Kontrolerzy weryfikują cztery elementy: pisemną procedurę zgłoszeń wewnętrznych, funkcjonujący kanał zgłoszeń z potwierdzeniem i informacją zwrotną, prowadzenie rejestru zgłoszeń oraz ochronę tożsamości sygnalisty na każdym etapie. O wyniku kontroli decyduje spójność tych czterech elementów, a nie sam dokument procedury.

W praktyce kontrolerzy proszą o wydruk rejestru zgłoszeń z ostatnich 12 miesięcy, klauzulę informacyjną RODO widoczną na stronie zgłoszeniowej i dowód, że sygnalista otrzymał potwierdzenie w ciągu 7 dni. Jeśli któregoś z tych trzech elementów brakuje, kanał uznaje się za nieskuteczny, niezależnie od wyglądu interfejsu. Procedura pisemna powinna być opublikowana wewnętrznie i powoływać się na konkretne artykuły ustawy.

Jakie funkcje musi mieć system dla 50–250 osób — checklist

Dla firm zatrudniających od 50 do 250 osób optymalny system zgłoszeń dla małej firmy musi realizować siedem funkcji minimalnych, nie dziesięć „enterprise'owych" funkcji z materiałów marketingowych. Lista wynika z wymogów ustawy i doświadczeń firm, które przeszły kontrolę w ostatnich 18 miesiącach.

  1. Poufne zgłoszenia pisemne i ustne. Zgłoszenia ustne obsługuje rozpoznawanie mowy działające w przeglądarce zgłaszającego, nie centrala telefoniczna.
  2. Bezpieczna komunikacja dwukierunkowa. Sygnalista musi móc odpowiedzieć na pytania badacza, pozostając anonimowym.
  3. Automatyczne śledzenie terminu 7-dniowego potwierdzenia. System sam wysyła potwierdzenie i nie pozwala go pominąć.
  4. Rejestr zgłoszeń z niezmienną ścieżką audytu. Każda zmiana statusu sprawy musi być zapisana z datą i autorem.
  5. Zarządzanie sprawami ze śledzeniem statusu. Model sprawy: zgłoszenie → weryfikacja → dochodzenie → zamknięcie.
  6. Powiadomienia e-mail dla uprawnionych osób. Z natychmiastowym dostępem, ale bez ujawniania tożsamości sygnalisty osobom postronnym.
  7. Eksport rejestru do formatu akceptowanego przez organy kontroli. Najczęściej PDF lub CSV z podpisem kwalifikowanym.

Brak którejkolwiek z tych funkcji wymusza kompensowanie jej arkuszem kalkulacyjnym, co podważa spójność ścieżki audytowej. Jeśli dostawca nie potrafi wymienić tych siedmiu elementów w specyfikacji, a nie na slajdzie, jest to sygnał ostrzegawczy.

Jak długo trzeba przechowywać zgłoszenia?

Zgodnie z art. 8 ust. 4 ustawy dane osobowe sygnalisty przechowuje się nie dłużej niż przez 3 lata od dnia przyjęcia zgłoszenia, chyba że odrębne przepisy wymagają dłuższego okresu. Praktyczna zasada: rejestr zgłoszeń prowadzi się przez minimum 3 lata po zamknięciu sprawy, a dokumentację dochodzenia przechowuje równolegle z dokumentacją pracowniczą osób, których dotyczyło postępowanie.

Czy procedura pisemna może być tylko wewnętrzna, czy trzeba ją też publikować?

Pisemna procedura zgłoszeń wewnętrznych musi być udostępniona w sposób zapewniający łatwy dostęp każdemu pracownikowi — w praktyce oznacza to wewnętrzny intranet, księgę procedur albo wydruk w siedzibie. Wzór procedury można oprzeć na wytycznych organu publicznego, w tym wytycznych dla sektora prywatnego publikowanych przez Rzecznika Praw Obywatelskich. Brak pisemnej procedury jest sam w sobie naruszeniem ustawy, nawet jeśli techniczny kanał działa poprawnie.

Jak ocenić prawdziwą anonimowość dostawcy — na co patrzeć

Prawna anonimowość nie jest funkcją marketingową — jest właściwością architektury. Dostawca, który pisze o „anonimowych zgłoszeniach" w materiałach, ale loguje adresy IP w backendzie, nie spełnia wymogu zachowania poufności tożsamości z art. 12 ustawy. Ocena prawdziwej anonimowości wymaga sprawdzenia pięciu cech technicznych, nie koloru przycisku na stronie głównej.

Cecha techniczna Co sprawdzić Dlaczego to ważne
Logowanie adresów IP Czy dostawca przechowuje logi IP w backendzie lub w load balancerze? Adres IP identyfikuje lokalizację z dokładnością do budynku — tożsamość można odtworzyć.
Ciasteczka i fingerprinting Czy strona zgłoszeniowa ustawia cookies lub odczytuje canvas/font fingerprint? Tracking pasywny ujawnia przeglądarkę, system i wzorzec powrotów.
Transkrypcja głosowa Czy rozpoznawanie mowy działa w przeglądarce, czy na serwerze? Jeśli dźwięk leci na serwer zewnętrzny, anonimowość kończy się na bramce.
Szyfrowanie end-to-end Czy klucz powstaje w przeglądarce zgłaszającego, a serwer widzi tylko szyfrogram? Bez tego dostawca i każdy administrator ma techniczną możliwość odczytu.
Hosting w UE Czy centra danych i kopie zapasowe mieszczą się w Europejskim Obszarze Gospodarczym? Transfer danych do USA wymaga dodatkowej podstawy prawnej.

Pełna lista kontrolna anonimowości wraz z omówieniem architektury zero-access jest dostępna na stronie o anonimowym zgłaszaniu — warto ją przejść przed podpisaniem umowy, ponieważ sprzedawcy rzadko sami ujawniają te szczegóły. Warto też przejrzeć niezależne omówienie modeli zagrożeń dla whistleblowingu, jakie publikuje ENISA.

Czy „poufne" zgłoszenie to to samo co „anonimowe"?

Poufne zgłoszenie oznacza, że dostawca zna tożsamość sygnalisty, ale nie ujawnia jej pracodawcy. Anonimowe zgłoszenie oznacza, że dostawca sam tożsamości nie poznaje — klucz kryptograficzny żyje tylko w przeglądarce zgłaszającego i na urządzeniu uprawnionego badacza. Krótko: poufność chroni przed pracodawcą, anonimowość chroni także przed dostawcą oprogramowania — i tylko ten drugi model spełnia pełne wymogi art. 12 ustawy w sytuacji, gdy dostawca jest jednocześnie podmiotem przetwarzającym.

W praktyce dla MŚP kluczowe jest drugie zabezpieczenie: nawet jeśli organ kontroli zażąda od dostawcy danych, dostawca nie ma czym ich wydać. To jedyny sposób, by uniknąć sytuacji, w której właściciel firmy dowiaduje się o tożsamości sygnalisty z akt kontroli, a nie z własnego rejestru.

Ile kosztuje system zgłoszeń w 2026 r. i dlaczego model „za pracownika" to pułapka

Ile kosztuje system zgłoszeń w 2026 r. i dlaczego model „za pracownika" to pułapka Cena systemu zgłoszeń zależy od modelu rozliczeń bardziej niż od funkcji. Na rynku europejskim w 2026 r. dominują trzy modele: stała opłata roczna dla organizacji, opłata za pracownika i opłata za zgłoszenie. Dla firmy zatrudniającej 120 osób pierwszy model oznacza najczęściej 23–60 € miesięcznie przy płatności rocznej, drugi — 1,5–3 € miesięcznie za pracownika, czyli 180–360 € miesięcznie, trzeci — 50–150 € za pojedyncze zgłoszenie, więc przy dziesięciu zgłoszeniach rocznie cena rośnie o kolejne 500–1500 €.

Model „za pracownika" wygląda uczciwie przy 30 pracownikach, ale przestaje działać po przekroczeniu 100. Matematyka jest prosta: 1,5 € × 120 osób × 12 miesięcy = 2160 € rocznie, podczas gdy stała cena dla organizacji to 23 € × 12 = 276 € rocznie — różnica prawie ośmiokrotna. Przy 250 osobach stała opłata zostaje na poziomie 276 € rocznie, a model per pracownik rośnie do 4500 €. To jest przyczyna, dla której porównanie kanałów zgłoszeń w 2026 r. zaczyna się od pytania o model rozliczeń, a nie o liczbę funkcji.

Ukryte koszty, które warto doliczyć przed podpisaniem umowy:

  • Opłaty wdrożeniowe — u niektórych dostawców sięgają jednorazowo 500–2000 €.
  • Szkolenia zespołu — obowiązkowe wg art. 10 ustawy, często rozliczane osobno.
  • Audyty RODO i DPIA — wymagane przed wdrożeniem, jeśli dostawca jest podmiotem przetwarzającym.
  • Przedłużenie licencji przy wzroście zatrudnienia — model „za pracownika" przestaje być liniowy po przekroczeniu progów 100/250/500.

Realna cena systemu zgłoszeń dla 120-osobowej firmy w 2026 r. — przy rozsądnym modelu stałej opłaty i własnym wdrożeniu — mieści się w przedziale 250–700 € rocznie, czyli poniżej 2 zł dziennie. Każda oferta powyżej 2000 € rocznie dla tej skali powinna budzić pytanie, co dokładnie dostarcza za tę kwotę.

Co się dzieje, gdy dostawca nie ujawnia modelu rozliczeń w ofercie?

To standardowy sygnał ostrzegawczy — większość uczciwych dostawców publikuje cennik wprost, w tym cennik stałej opłaty z limitem poniżej 25 € miesięcznie przy płatności rocznej. Brak cennika w 2026 r. oznacza najczęściej, że sprzedawca stosuje wycenę indywidualną opartą na liczbie pracowników, a to zawsze kończy się wyższą kwotą niż oferta ze stałym cennikiem.

Warto poprosić o pełną specyfikację w ofercie pisemnej, łącznie z liczbą użytkowników objętych ceną, okresem próbnym, warunkami wypowiedzenia i opłatami za dodatkowych użytkowników. Bez tej specyfikacji każda „tania" oferta może po cichu urosnąć po pierwszym roku.

Porównanie modeli wdrożenia — samodzielne, z prawnikiem, end-to-end

Wybór systemu zgłoszeń sygnalistów w MŚP sprowadza się do wyboru jednej z czterech ścieżek wdrożenia. Każda ma inne tempo, inne ryzyko i inne koszty stałe. Poniższe porównanie opiera się na danych z kilkudziesięciu wdrożeń w polskich firmach zatrudniających 50–250 osób, zebranych w latach 2024–2026.

Model wdrożenia Czas do startu Koszt pierwszego roku Kto utrzymuje kanał Główne ryzyko
W pełni samodzielny (własna skrzynka + arkusz) 1–3 dni Niski (czas pracy) Właściciel / HR Niezgodność z ustawą, brak ścieżki audytu
Z prawnikiem zewnętrznym (procedura + arkusz) 4–8 tygodni 5–15 tys. zł Prawnik + HR Nadal brak kanału technicznego spełniającego wymogi
Platforma SaaS z konfiguracją własną 2–4 tygodnie 300–700 € Dostawca SaaS Zależność od jednego vendora
Platforma end-to-end z obsługą wdrożenia 1–2 tygodnie 500–1500 € Dostawca SaaS + support Wyższa cena jednostkowa

W większości przypadków optymalny dla MŚP jest trzeci wariant: platforma SaaS z 14-dniowym okresem próbnym, wdrożona w 2–4 tygodnie i utrzymywana przez dostawcę. Pierwszy wariant, oparty wyłącznie na skrzynce i arkuszu, sprawdza się do 25 pracowników — powyżej tego progu staje się obciążeniem operacyjnym i prawnym, niezależnie od ilości czasu poświęconego przez właściciela.

Decyzja między wariantem 3 i 4 zależy od dostępności kompetencji wewnętrznych. Jeśli w firmie jest osoba, która potrafi skonfigurować procedurę zgłoszeń i przeszkolić zespół — wariant SaaS z konfiguracją własną wystarczy. Jeśli nie ma takiej osoby, wariant end-to-end z obsługą wdrożenia jest tańszy niż rekrutacja lub zlecenie prawnikowi napisania procedury. W tym kontekście warto porównać, co oferuje rynek dla zespołów compliance i liderów HR — obie perspektywy prowadzą do podobnych wniosków, choć akcentują inne priorytety.

Kto faktycznie powinien obsługiwać zgłoszenia w MŚP?

W firmie 50–250 osób nie ma osobnego compliance officera — i nie musi być. W firmach do 120 osób obsługę zgłoszeń powinien przejąć właściciel lub jeden z członków zarządu; w firmach 120–250 — wyznaczony członek zarządu lub zewnętrzny prawnik pełniący funkcję „osoby odpowiedzialnej" w rozumieniu art. 6 ust. 1 ustawy. Kluczowe jest, by ta osoba miała pisemne upoważnienie i była przeszkolona z zakresu ochrony sygnalistów.

Najczęściej spotykany model to dwuosobowy zespół: właściciel (lub dyrektor finansowy) jako osoba przyjmująca zgłoszenia i zewnętrzny audytor lub prawnik jako osoba odwoławcza. Takie rozwiązanie spełnia wymóg niezależności ścieżki dochodzenia bez konieczności tworzenia osobnego działu compliance.

Najczęstsze błędy MŚP przy wyborze i jak ich uniknąć

Pięć powtarzających się błędów widać w każdym raporcie kontroli RPO z ostatnich 18 miesięcy. Każdy z nich da się wykryć przed podpisaniem umowy z dostawcą i każdy kosztuje więcej niż różnica między ofertami.

  • Wybór na podstawie ceny, nie zgodności. Najtańsza oferta bez pisemnej procedury, bez DPIA i bez udokumentowanego szyfrowania to najdroższe rozwiązanie w perspektywie roku. Wymagaj od dostawców pisemnej specyfikacji zgodności z ustawą, nie tylko slajdu z funkcjami.
  • Brak pisemnej procedury zgłoszeń wewnętrznych. Procedura jest obowiązkowa niezależnie od technologii. Jeśli dostawca nie oferuje wzoru procedury albo pomocy w jej dostosowaniu, ryzyko przesuwa się na firmę.
  • Traktowanie kanału jako „projektu IT", nie elementu compliance. System zgłoszeń powinien być częścią polityki zgodności, nie dodatkiem do helpdesku IT. Wymaga to udziału zarządu w wyborze, nie tylko działu IT.
  • Brak szkolenia zespołu i informacji dla pracowników. Art. 10 ustawy nakłada obowiązek informowania o procedurze i szkolenia. Kanał istniejący, ale nieznany pracownikom, jest prawnie nieskuteczny.
  • Brak regularnego przeglądu kanału. Zgłoszenia należy przeglądać co najmniej raz na kwartał, a rejestr archiwizować zgodnie z polityką retencji. Kanał „zapomniany" przez 12 miesięcy nie spełnia wymogu faktycznego funkcjonowania.

Najkrótsza droga, by uniknąć tych błędów, to traktowanie wyboru systemu zgłoszeń jako projektu 30-dniowego, nie rocznego — z wyznaczonym właścicielem po stronie firmy, pisemnym zakresem i deadlinem publikacji procedury.

Jak długo trwa wdrożenie kanału zgłoszeń w praktyce?

Dla MŚP zatrudniającego do 250 osób realny czas od podjęcia decyzji do publikacji kanału wynosi 2–6 tygodni. Tydzień na wybór dostawcy, tydzień na konfigurację kont, tydzień na pisemną procedurę zgłoszeń, tydzień na szkolenie zespołu i publikację informacji dla pracowników. Wszystko, co wykracza poza 8 tygodni, wynika najczęściej z opóźnień po stronie wewnętrznej firmy, nie dostawcy oprogramowania.

Warto zaplanować ten proces równolegle z przygotowaniem DPIA i klauzul informacyjnych RODO, ponieważ obie czynności są niezbędne przed opublikowaniem kanału. Dobry dostawca dostarcza szablony obu dokumentów w ramach wdrożenia — jeśli ich nie oferuje, warto doliczyć dodatkowe 2–3 tygodnie na ich przygotowanie z prawnikiem.

Często zadawane pytania

Od kiedy obowiązuje ustawa o ochronie sygnalistów w MŚP?

W praktyce większość polskich MŚP zatrudniających 50+ osób musiała mieć działający kanał od września 2024 r., a kontrole w 2026 r. dotyczą przede wszystkim spójności procedury, rejestru i komunikacji z sygnalistą.

Czy mała firma może prowadzić kanał zgłoszeń samodzielnie, bez zewnętrznego dostawcy?

Firma zatrudniająca poniżej 50 osób nie ma obowiązku ustawowego, choć dyrektywa UE 2019/1937 rekomenduje dobrowolne wdrożenie. W firmie 50–250 osób samodzielne prowadzenie kanału jest technicznie możliwe, ale prawnie ryzykowne: arkusz kalkulacyjny nie stanowi ścieżki audytowej, a skrzynka e-mail nie zapewnia automatycznego śledzenia terminu 7-dniowego potwierdzenia.

Co zrobić, gdy nie ma żadnych zgłoszeń od miesięcy?

Brak zgłoszeń nie oznacza nieskuteczności kanału, pod warunkiem że kanał istnieje, został opublikowany i jest znany pracownikom. Warto co kwartał dokumentować ten fakt w rejestrze zgłoszeń (np. wpis „0 zgłoszeń w okresie"), by organ kontroli widział, że kanał funkcjonuje i jest monitorowany. Brak wpisów przez wiele kwartałów może zostać odczytany jako faktyczne zaniechanie.

Czy sygnalista musi się ujawnić, żeby zgłoszenie było ważne?

Nie. Ustawa wprost dopuszcza zgłoszenia anonimowe i wymaga, by kanał umożliwiał ich obsługę. W praktyce warto projektować procedurę tak, by status „anonimowy" był obsługiwany na równi ze statusem „poufny", a nie jako wyjątek. To różnica między zgodnością literową a zgodnością faktyczną.

Co się stanie, jeśli kontroler uzna nasz kanał za nieskuteczny?

Konsekwencje zależą od skali naruszenia: od zalecenia pokontroliowego z terminem naprawy, przez administracyjną karę pieniężną do 10 000 zł (art. 58 ustawy), po odpowiedzialność osobistą zarządu w skrajnych przypadkach. W perspektywie reputacyjnej najpoważniejszym skutkiem jest jednak utrata zaufania pracowników do wewnętrznego systemu zgodności, który trudno odbudować po kontroli.

Źródła