Ashio whistleblowing software

Oct 11, 2026

Jak wdrożyć kanał zgłoszeń sygnalistów w MŚP — krok po kroku

Jak wdrożyć kanał zgłoszeń sygnalistów w MŚP — krok po kroku

Większość MŚP nie wie, od czego zacząć wdrożenie kanału zgłoszeń — a termin ustawowy już obowiązuje. Realny plan, jak wdrożyć kanał zgłoszeń sygnalistów w MŚP, da się zamknąć w czterech do sześciu tygodni, jeśli od pierwszego dnia wiadomo, kto podejmuje decyzje, kto obsługuje sprawy i jakie terminy trzeba dotrzymać. Poniżej znajdziesz gotowy plan wdrożenia kanału zgłoszeń dla małej firmy — od uchwały zarządu do pierwszego raportu, z realistycznymi terminami i listą pułapek, które kosztują MŚP najwięcej.

Spis treści

Najważniejsze wnioski

  • Cały proces, od decyzji zarządu do pierwszego funkcjonującego kanału, mieści się w 30–45 dniach roboczych, o ile nie przeciągasz polityki zgłoszeń i nie czekasz z komunikacją do pracowników.
  • Ustawa z dnia 14 czerwca 2024 r. o ochronie sygnalistów nakłada na pracodawców zatrudniających co najmniej 50 osób obowiązek ustanowienia kanału zgłoszeń wewnętrznych — termin wdrożenia upłynął 25 września 2024 r., więc opóźnienie kosztuje realnie.
  • Trzy rzeczy muszą być gotowe pierwszego dnia: imienna uchwała zarządu, wyznaczona jednostka obsługująca oraz kanał techniczny spełniający wymóg poufności i anonimowości.
  • Najczęstsze zarzuty po kontroli PIP to brak procedury, brak potwierdzenia w terminie 7 dni i brak informacji zwrotnej w terminie 3 miesięcy — wystarczy jedno takie uchybienie w dokumentacji.
  • Dla MŚP do 250 pracowników nie potrzebujesz zewnętrznego prawnika do obsługi zgłoszeń, ale potrzebujesz zewnętrznego narzędzia, które udźwignie anonimowość i ścieżkę audytu.

Dlaczego MŚP nie mogą już dłużej czekać z wdrożeniem kanału zgłoszeń

Ustawa z 14 czerwca 2024 r. o ochronie sygnalistów obowiązuje pracodawców prywatnych zatrudniających co najmniej 50 osób od 25 września 2024 r., a organy publiczne i większe spółki prawa handlowego — od 25 marca 2024 r.; termin wdrożenia już minął, a wewnętrznego kanału wciąż brakuje w dużej części kwalifikujących się firm. W praktyce oznacza to, że kontrolujący mogą zapytać o procedurę, logi i gotowość do obsługi zgłoszenia w dniu wizytacji — a nie po otrzymaniu wezwania.

Sektor MŚP ignoruje temat, bo ustawa brzmi jak przepis korporacyjny z dużej firmy. Tymczasem dotyczy zaskakująco wielu podmiotów: zakładów produkcyjnych, kancelarii prawnych, biur rachunkowych, spółek IT zatrudniających deweloperów, przychodni i centrów usług wspólnych. Każda firma, która w dowolnym okresie 6 miesięcy przekroczyła próg 50 osób, wchodzi w zakres podmiotowy.

Przekonanie, że „nikt u nas nie zgłasza naruszeń”, jest najdroższym mitem w całym wdrożeniu. Sygnaliści zgłaszają tam, gdzie czują, że kanał jest bezpieczny i że firma nie ukryje sprawy. Gdy kanału nie ma, sprawy i tak wyciekają — ale już do mediów, do konkurentów albo do regulatora, który traktuje wyciek jak symptom braku należytej staranności.

Opieszałość MŚP ma jeszcze jeden wymiar: brak kanału nie zwalnia z obowiązku rzetelnej reakcji, gdy zgłoszenie przyjdzie kanałem nieformalnym — mailem do zarządu, rozmową przy kawie, donosem przez klienta. Jeśli nie macie procedury, każda taka sytuacja staje się dowodem, że organizacja nie wypełnia obowiązków ustawowych. Wdrożenie porządkuje tę przestrzeń zanim pojawi się prawdziwa sprawa.

Co musi zrobić zarząd przed startem — uchwała, budżet i wybór jednostki obsługującej

Zarząd musi podjąć jedną uchwałę intencyjną, wybrać jednostkę obsługującą i zamknąć budżet na trzy pozycje: narzędzie, szkolenie i obsługę prawną na pierwszy kwartał. Pierwsza decyzja to imienne wyznaczenie osoby lub komórki odpowiedzialnej za prowadzenie postępowań wyjaśniających — w MŚP najczęściej jest to jeden compliance officer albo prawnik in-house, a w spółkach 50–150 osób często dyrektor HR lub kontroler wewnętrzny.

Druga decyzja dotyczy zakresu. Ustawa pozwala obsługiwać zgłoszenia samodzielnie albo zlecić to podmiotowi zewnętrznemu, ale zakres kompetencji zewnętrznego pełnomocnika musi być jasno spisany — inaczej PIP potraktuje outsourcing jako pozorny. W MŚP do 250 osób najczęściej spotykany układ to jedna osoba w kadrze zarządzającej plus zewnętrzne wsparcie prawne do spraw trudnych lub powtarzających się. To rozwiązanie daje kontrolę nad dokumentacją i jednocześnie dostęp do specjalisty bez etatu.

Trzecia decyzja to budżet, który w małej firmie powinien obejmować: roczną licencję na kanał, dwie godziny szkolenia dla kadry menedżerskiej, pół dnia warsztatów dla zespołu HR i rezerwę na obsługę pierwszych trzech–pięciu spraw. Wpisanie tych pozycji do planu finansowego na dany rok obrotowy zdejmuje z niego ciągłe tłumaczenie się przed zarządem o kosztach i przyspiesza kolejne decyzje w trakcie wdrożenia.

Ostatnia decyzja po stronie zarządu dotyczy tego, kto ma dostęp do danych wrażliwych. Niezależnie od tego, czy kanał obsługuje jedna osoba, czy zespół, dostęp do treści zgłoszeń powinien być ograniczony minimum i rejestrowany. To jeden z warunków, które audytor sprawdza przy pierwszej kontroli — i najłatwiejszy do spełnienia, jeśli od początku używacie narzędzia z logowaniem operacji.

Na każdym spotkaniu zarządu pada jeszcze jedno pytanie: kto faktycznie poprowadzi sprawę, gdy zgłoszenie dotyczy członka zarządu, wspólnika lub dyrektora finansowego. Odpowiedź musi być spisana zanim powstanie kanał. Najczystsze rozwiązanie w MŚP to komisja trzyosobowa — compliance, HR i zewnętrzny prawnik — z jasnym podziałem głosów i obowiązkiem rotacji przewodniczącego co najmniej raz na rok.

Jak przygotować politykę i procedurę zgłoszeń wewnętrznych w 7 dni

Polityka i procedura zgłoszeń wewnętrznych powinny powstać w tydzień roboczy, jeśli korzystacie z gotowego szablonu opartego o normę ISO 37002:2021 (Systemy zarządzania zgłoszeniami nieprawidłowościami — wytyczne) i adaptujecie go pod specyfikę firmy. Dokument nie musi być obszerny — w MŚP sprawdza się 4–6 stron A4, podzielonych na trzy warstwy: zasady ogólne, procedura postępowania po otrzymaniu zgłoszenia oraz karta obowiązków pracowników i kierownictwa.

Co powinna zawierać polityka, a czego unikać

Polityka musi wymieniać kategorie naruszeń objętych zgłoszeniem. Ustawa posługuje się pojęciem „naruszenia prawa” w obszarach takich jak prawo pracy, zamówienia publiczne, usługi finansowe, bezpieczeństwo produktów, ochrona środowiska, ochrona prywatności i bezpieczeństwo sieci. Nie trzeba powtarzać ustawowej listy słowo w słowo, ale katalog w polityce nie może być od niej węższy — w przeciwnym razie pracownik zgłosi naruszenie, którego polityka nie obejmuje, a formalnie będzie poza zakresem kanału.

Polityka powinna też jasno oddzielać kanał wewnętrzny od zewnętrznego. Sygnalista ma prawo wybrać, czy zgłasza do pracodawcy, czy bezpośrednio do Rzecznika Praw Obywatelskich albo organu publicznego. Jeśli tej informacji nie ma w procedurze, naruszacie obowiązek informacyjny, a nie ma żadnego praktycznego powodu, żeby ją pominąć.

Unikajcie dwóch rzeczy: języka, który odstrasza zgłaszającego (zapowiedzi „kar dyscyplinarnych w przypadku fałszywego zgłoszenia” — ustawa zabrania takich konsekwencji dla zgłoszeń w dobrej wierze) oraz zbyt długich formularzy. Im prostsze pierwsze okno zgłoszenia, tym więcej sygnałów dociera do jednostki obsługującej.

Procedura krok po kroku — siedem dni od projektu do podpisu

  • Dzień 1–2: przydzielcie właściciela dokumentu (zwykle compliance officera) i ustalcie jednego recenzenta merytorycznego.
  • Dzień 3–4: ściągnijcie wzorzec zgodny z ISO 37002:2021 lub polskim przewodnikiem dobrych praktyk, oceńcie fragmenty wymagające personalizacji.
  • Dzień 5: wpiszcie realne dane — imienne wskazanie jednostki obsługującej, faktyczny adres URL kanału, termin na potwierdzenie (7 dni) i na informację zwrotną (3 miesiące).
  • Dzień 6: recenzja prawna i poprawki.
  • Dzień 7: podpis zarządu, publikacja w intranecie, wpis do rejestru dokumentów.

Ten harmonogram działa, bo jest oparty o realne ograniczenie: w małej firmie nie ma komitetu redakcyjnego i nie ma procesu akceptacji w pięciu ringach. Jeśli polityka nie została podpisana po dwóch tygodniach, problem leży po stronie niejasnego podziału odpowiedzialności — wtedy wracacie do sekcji o uchwale zarządu.

Jak skonfigurować kanał zgłoszeń i formularz dla pracowników

Jak skonfigurować kanał zgłoszeń i formularz dla pracowników Konfiguracja samego kanału technicznego zajmuje zwykle jeden dzień roboczy, jeśli wybierzecie narzędzie, które nie wymaga wdrożenia po stronie IT, integracji z SSO ani szkolenia z zakresu cyberbezpieczeństwa. Decyzja, którą musicie podjąć wcześniej, dotyczy tego, czy kanał ma być dostępny wyłącznie dla pracowników i współpracowników, czy również dla klientów i dostawców; ustawa wymaga kanału dla osób uzyskujących informacje o naruszeniu w kontekście związanym z pracą, a poszerzenie zakresu nie jest zabronione i często poprawia jakość sygnałów.

Anonimowość, szyfrowanie i przechowywanie danych

Kanał musi zapewniać poufność tożsamości zgłaszającego i osoby, której dotyczy zgłoszenie. W praktyce oznacza to trzy wymagania, które łatwo zweryfikować na demo. Po pierwsze, adres IP zgłaszającego nie powinien być logowany, a jeżeli platforma musi go przechowywać ze względów technicznych — powinien być skrótowany i niedostępny dla osób obsługujących sprawy. Po drugie, korespondencja między zgłaszającym a jednostką obsługującą powinna być szyfrowana tak, aby nawet dostawca narzędzia nie miał do niej dostępu; szukajcie rozwiązań, które używają kluczy generowanych na urządzeniu zgłaszającego. Po trzecie, dane powinny być przechowywane w Unii Europejskiej, najlepiej w jurysdykcji z własnym nadzorem ochrony danych, takiej jak Szwajcaria, Niemcy, Irlandia czy kraje nordyckie.

Formularz — ile pól wystarczy

Pierwsze okno zgłoszenia nie powinno wymagać więcej niż pięciu pól swobodnego tekstu: co się stało, kiedy, gdzie, kogo dotyc, czy zgłaszający chce ujawnić tożsamość. Datę i miejsce można opisać własnymi słowami — nie każdy pracownik pamięta dokładne daty, a sztywne pola kalendarzowe zniechęcają do zgłoszenia. Formularz powinien też umożliwiać dodanie załącznika, gdy zgłoszenie dotyczy dokumentów lub korespondencji, oraz wyraźnie informować o tym, że zgłoszenie może być anonimowe i że ustawa zabrania działań odwetowych wobec sygnalisty działającego w dobrej wierze.

Jeśli korzystacie z rozwiązania gotowego — takiego jak polski system zgłoszeń dla MŚP — formularz zgłoszenia i obsługa sprawy (wraz ze statusami) są już wbudowane, więc nie wymaga to budowania ich od zera. Pierwszy test warto przeprowadzić tego samego dnia — wysłać zgłoszenie próbne z innego urządzenia i sprawdzić, czy ścieżka od formularza do waszej skrzynki działa w obie strony.

Jeśli rozważacie zaczęcie od wersji próbnej, można sign up i przejść przez konfigurację zanim podpiszecie uchwałę budżetową. Pozwala to zweryfikować, że narzędzie spełnia wymagania poufności zanim zarząd zdecyduje o zakupie.

Kto ma dostęp do treści zgłoszeń

Dostęp operacyjny do treści powinna mieć dokładnie ta osoba lub komisja, która jest wskazana w polityce. W MŚP najczęściej są to maksymalnie dwie osoby — compliance officer i dyrektor HR. Pozostałym członkom zarządu dostęp przysługuje wyłącznie wtedy, gdy zgłoszenie dotyczy obszaru bezpośrednio przez nich nadzorowanego i po podjęciu decyzji przez jednostkę obsługującą. Każdy dostęp powinien być logowany z datą, godziną i powodem — to nie jest nadmiarowy wymóg, to podstawa do obrony dokumentacji w kontroli.

Kiedy i jak poinformować pracowników — plan komunikacji w pierwszych 30 dniach

Komunikacja do pracowników powinna zaczynać się równolegle z uruchomieniem kanału, a nie po fakcie. Najczęstszy błąd MŚP to czekanie z ogłoszeniem do momentu, gdy „wszystko jest dopięte” — wtedy zwykle mija miesiąc od technicznego startu, a ludzie albo zapominają o kanale, albo traktują go jako reakcję na ostatni incydent. Zamiast tego komunikacja startuje w dniu uruchomienia, a jej treść rośnie przez pierwszy miesiąc.

Tydzień 1 — ogłoszenie startu

W pierwszym tygodniu wyślijcie krótki komunikat mailowy do wszystkich pracowników, współpracowników i zleceniobiorców, który: wymienia datę uruchomienia kanału, podaje adres URL, wyjaśnia, że zgłoszenia mogą być anonimowe, przypomina o zakazie działań odwetowych i linkuje do pełnej procedury. Ton komunikatu powinien być rzeczowy, nie alarmistyczny. Nie piszcie „po ostatnich wydarzeniach…” — nawet jeśli wdrożenie wynika z prawdziwego incydentu, sygnał dla pracowników jest taki, że kanał służy konkretnej sprawie.

Tydzień 2 — spotkanie zespołowe

W drugim tygodniu zorganizujcie krótkie spotkanie (30 minut) dla kadry menedżerskiej i liderów zespołów. Compliance officer wyjaśnia, jak rozpoznawać sygnały nieformalne, kiedy eskalować, a kiedy odesłać pracownika do kanału. Najważniejsza zasada spotkania: kierownik nie jest odbiorcą zgłoszenia i nie powinien samodzielnie prowadzić postępowania wyjaśniającego, nawet jeśli zna sprawę od lat. To jedno zdanie powtarzane w kółko ratuje dokumentację w kontroli.

Tydzień 3 — fizyczne przypomnienia

W trzecim tygodniu rozwieszcie plakat w częściach wspólnych (kuchnia, korytarz przy wejściu, strefa przy szafkach), z kodem QR prowadzącym do formularza zgłoszenia. W biurze stacjonarnym plakat działa lepiej niż kampania mailowa, bo przypomina o kanale osobom, które rzadko czytają newslettery. W firmie zdalnej albo hybrydowej zadbajcie o ten sam QR na slajdzie cotygodniowej prezentacji i w stopce mailowej HR.

Tydzień 4 — komunikat zwrotny do zarządu

Pod koniec pierwszego miesiąca compliance officer przygotowuje dla zarządu krótki raport: ile zgłoszeń wpłynęło, w jakich kategoriach, ile potwierdzono w terminie 7 dni, ile zamknięto w terminie 3 miesięcy. Raport nie musi ujawniać treści zgłoszeń ani tożsamości — ma pokazać, że procedura działa. Jeśli liczba zgłoszeń wynosi zero, to też jest informacja dla zarządu: kanał został wdrożony prawidłowo, ale wymaga dodatkowej komunikacji albo uproszczenia formularza.

Pierwsze zgłoszenie w praktyce — od potwierdzenia 7-dniowego do feedbacku po 3 miesiącach

Pierwsze zgłoszenie zwykle przychodzi szybciej niż się spodziewacie, nawet w firmie, która „z problemami nie jest kojarzona”. W pierwszej połowie roku od wdrożenia spodziewajcie się od jednego do pięciu zgłoszeń w firmie 100–200-osobowej; w firmie 50-osobowej często zero przez pierwszy kwartał i jedno–dwa przez pierwszy rok. Liczba nie jest wskaźnikiem jakości kanału — jest wskaźnikiem zaufania, które się buduje latami.

Termin 7 dni — potwierdzenie przyjęcia

Potwierdzenie nie jest informacją zwrotną o meritum, a jedynie dowodem, że zgłoszenie dotarło i zostało zarejestrowane. Wysyłacie je przez kanał zwrotny na tej samej platformie, której użył zgłaszający, a w treści podajecie numer sprawy, zakres wstępnej oceny i przewidywany termin dalszych kroków. Jeśli zgłoszenie było anonimowe i nie da się odpowiedzieć na ten sam adres, do potwierdzenia służy numer referencyjny i instrukcja logowania przez bezpieczny link.

Ścieżka postępowania wyjaśniającego

Pierwszy etap to wstępna ocena: czy sprawa mieści się w zakresie polityki, czy wymaga natychmiastowego zabezpieczenia dowodów, czy istnieje ryzyko kontynuowania naruszenia. W MŚP ta ocena zajmuje zwykle trzy do pięciu dni roboczych. Jeśli sprawa dotyczy bezpieczeństwa lub ciągłości działania, angażujecie kierownictwo wyższego szczebla, ale samo zgłoszenie pozostaje w kolejce obsługiwanej przez jednostkę — nie przez zarząd.

Drugi etap to postępowanie wyjaśniające: zebranie dokumentów, przesłuchanie świadków, ustalenie faktów. W MŚP do 250 osób postępowanie zajmuje zwykle dwa do sześciu tygodni, rzadko dłużej. Każdy krok powinien być odnotowany w aktach sprawy z datą i osobą odpowiedzialną — to jeden z elementów, który audytor sprawdza w pierwszej kolejności.

Trzeci etap to decyzja i działania następcze: korekta procedury, rozmowa z osobą, której dotyczy sprawa, zgłoszenie do organu, gdy naruszenie tego wymaga. Decyzja powinna być podjęta najpóźniej na 30 dni przed upływem terminu trzymiesięcznego, tak aby zdążyć z informacją zwrotną dla zgłaszającego.

Termin 3 miesiące — informacja zwrotna

Informacja zwrotna to nie jest ujawnienie wyniku postępowania wobec osób trzecich. To wysyłany zgłaszającemu komunikat o podjętych działaniach, planowanych zmianach albo o braku podstaw do dalszych kroków. Zgłaszający musi dostać tę informację w ciągu trzech miesięcy od potwierdzenia, a jeśli postępowanie się przedłuża — w ciągu trzech miesięcy od potwierdzenia trzeba wysłać informację pośrednią. Zaniedbanie tego terminu jest najczęściej cytowane w decyzjach PIP i Rzecznika.

Co robić, gdy zgłoszenie dotyczy członka zarządu lub osoby bliskiej kierownictwu

To jest moment, w którym mała firma wchodzi w tryb niebezpieczny proceduralnie, bo trudno znaleźć obiektywnego recenzenta wewnątrz organizacji. Rozwiązanie jest jedno: zewnętrzny prawnik jako niezależny recenzent postępowania, ze wskazaniem w polityce, że w takich sprawach jednostka obsługująca działa w porozumieniu z nim. Koszt jednorazowy — nie warto oszczędzać.

Najczęstsze błędy MŚP przy wdrożeniu i jak ich uniknąć

Doświadczenie pierwszych kontroli PIP wskazuje na pięć powtarzających się uchybień, które wspólnie odpowiadają za większość decyzji stwierdzających braki w procedurze. Wszystkie są trywialne do uniknięcia, jeśli wie się o nich przed startem.

Brak pisemnej uchwały zarządu o wdrożeniu

Audytor pyta o dokument powołujący kanał. Jeśli odpowiedzią jest mail albo wpis w intranecie, kontrola rusza z miejsca. Uchwała to jedna strona: data, zakres, jednostka obsługująca, podpisy. Bez niej nie ma mowy o należytej staranności.

Mieszanie kanału zgłoszeń z innymi skrzynkami firmowymi

Jeśli zgłoszenia wpadają na info@firma.pl albo do ogólnej skrzynki HR, nie ma mowy o poufności. Każdy dostęp do tej skrzynki trzeba traktować jak dostęp do akt sprawy, a to prowadzi do absurdu — nikt nie powinien widzieć wszystkich spraw. Oddzielny adres, oddzielne konto, oddzielna autoryzacja dwuskładnikowa.

Brak informacji zwrotnej w terminie trzymiesięcznym

To najczęstsze uchybienie merytoryczne. Procedura jest spisana, kanał działa, ale w konkretnej sprawie zapomniano o terminie. Rozwiązanie to proste: ustawcie automatyczne przypomnienie o 30, 60 i 80 dniu od potwierdzenia. Narzędzie, które nie ma takich alertów, zamieńcie na takie, które je ma — wiele platform dla MŚP, w tym rozwiązania dedykowane for compliance officers, wysyła takie powiadomienia automatycznie.

Polityka pisana językiem prawniczym, którego pracownicy nie rozumieją

Jeśli przeciętny pracownik nie umie powiedzieć własnymi słowami, do czego służy kanał i jak go użyć, to polityka jest za długa albo za gęsta. Skróćcie ją do czterech stron i dodajcie infografikę w intranecie. Audyt nie kończy się na dokumentacji — obejmuje też rozmowy z pracownikami, którzy mają znać kanał.

Traktowanie sygnalisty jako petenta, a nie jako partnera proceduralnego

W pierwszych sprawach najczęściej widać napięcie między formalizmem a zwykłą ludzką przyzwoitością. Sygnalista zgłasza sprawę, czeka na kontakt, a potem słyszy w odpowiedzi ogólnikową formułkę. Z perspektywy audytora najważniejsze jest, by zgłaszający widział, że jego sprawa nie zniknęła — nawet jeśli nie możecie ujawnić szczegółów postępowania. Zasada trzymiesięcznego feedbacku jest tak krytyczna właśnie dlatego, że to jedyny moment, w którym zgłaszający dowiaduje się, że procedura działa.

Brak aktualizacji procedury po zmianach organizacyjnych

Firma się zmienia — nowy prezes, fuzja, zmiana siedziby, likwidacja działu. Procedura, która nie była aktualizowana od dwóch lat, zwykle wskazuje osoby i adresy nieistniejące. Raz na dwanaście miesięcy compliance officer powinien przejść przez cały dokument i potwierdzić, że dane kontaktowe, kompetencje i adresy URL są aktualne.

Realne wdrożenie, które prowadzicie w tym miesiącu, będzie procentować latami. Pierwsze półrocze po uruchomieniu kanału to czas budowania zaufania; drugie — czas, w którym pracownicy weryfikują, czy procedura działa w praktyce. Jeśli w tym okresie zachowacie terminowość i komunikację, kanał stanie się częścią normalnego funkcjonowania firmy zamiast dodatkowym obciążeniem compliance officera i jednorazowym projektem zamkniętym w Excelu.

Często zadawane pytania

Od czego zacząć wdrożenie kanału zgłoszeń w firmie 50-osobowej?

Pierwszy krok to pisemna uchwała zarządu z datą, wyznaczeniem jednostki obsługującej i budżetem. Dopiero potem wybieracie narzędzie, przygotowujecie politykę i komunikujecie kanał. Pominięcie uchwały oznacza, że cała procedura stoi na domniemaniu, którego audytor nie zaakceptuje.

Ile trwa wdrożenie kanału sygnalistów w praktyce?

Realnie od czterech do sześciu tygodni roboczych dla MŚP z istniejącym compliance officerem: jeden tydzień na politykę, jeden–dwa tygodnie na konfigurację narzędzia, jeden tydzień na komunikację, a reszta na szkolenie i pierwsze sprawy. Najdłużej trwają projekty, w których polityka nie ma właściciela albo narzędzie wymaga wdrożenia IT.

Checklista wdrożenia kanału zgłoszeń wewnętrznych — co musi się znaleźć?

Spis uchwały zarządu, imienne wskazanie jednostki obsługującej, adres URL kanału, termin 7 dni na potwierdzenie, termin 3 miesiące na informację zwrotną, zakaz działań odwetowych, opis kategorii naruszeń, zasady poufności, instrukcja dla kadry menedżerskiej i plan komunikacji. Brak którejkolwiek pozycji to luka, którą audytor odnotuje.

Wdrożenie kanału zgłoszeń sygnalistów krok po kroku — czy da się to zrobić bez zewnętrznego prawnika?

Tak, jeśli compliance officer ma wsparcie merytoryczne z szablonu zgodnego z ISO 37002:2021 i ma dostęp do jednej godziny konsultacji z radcą prawnym do weryfikacji końcowej dokumentu. Zewnętrzny prawnik jest natomiast niezbędny, gdy pierwsze zgłoszenie dotyczy członka zarządu albo osoby bliskiej kierownictwu — tam rola recenzenta musi być w pełni niezależna.

Czy kanał wewnętrzny zastępuje zgłoszenie do Rzecznika Praw Obywatelskich?

Nie, kanał wewnętrzny jest rozwiązaniem równoległym. Sygnalista może wybrać, czy chce zgłaszać do pracodawcy, czy bezpośrednio do Rzecznika albo organu publicznego. Procedura wewnętrzna musi o tej możliwości informować. W praktyce dobrze działający kanał wewnętrzny przejmuje większość spraw, ale sygnalista zawsze ma prawo wybrać drogę zewnętrzną.

Źródła