Ashio whistleblowing software

Od skrzynki na @firma.pl do systemu zgłoszeń – case study MŚP

Cover: Od skrzynki na @firma.pl do systemu zgłoszeń – case study MŚP

Sześć tygodni. Tyle zajęło wdrożenie, które compliance officer wstrzymywał przez dwa kwartały, bo „system to za dużo jak na nas". W tym tekście pokazuję, jak wyglądała ta droga w jednym konkretnym MŚP — 80-osobowej firmie produkcyjnej z województwa łódzkiego — i dlaczego whistleblowing software dla MŚP nie musi być ciężkim projektem IT, żeby realnie podnieść poziom zgodności. To studium przypadku, nie poradnik produktowy. Skupiam się na decyzjach, danych i wnioskach, które możesz przenieść do własnej organizacji.

Spis treści

Kontekst: 80 osób, produkcja, dwie spółki zależne, audyt wewnętrzny

Firma, którą opisuję, działa w segmencie kontraktowej produkcji wyrobów dla branży AGD. Na koniec 2023 roku zatrudniała 78 osób na umowie o pracę i 4 zleceniobiorców stałych, z czego około 60 pracowało na hali, a 18 biurowo (kontrola jakości, planowanie, finanse, logistyka). Struktura właścicielska obejmowała dwie spółki zależne: jedną produkcyjną i jedną usługowo-handlową, współdzielące biuro, księgowość i część kadr. Łączna liczba osób objętych potencjalnym obowiązkiem zgłoszeniowym przekraczała próg 50 pracowników — a to oznacza, że dyrektywa UE 2019/1937 i jej polska transpozycja (ustawa o ochronie sygnalistów) faktycznie wymagały realnego kanału.

Triggersem do zmiany nie była jednak korespondencja z organem nadzoru, lecz audyt wewnętrzny zlecony przez radę wspólników pod koniec 2023. Audytor wskazał trzy słabe punkty: brak dedykowanego kanału zgłoszeń, brak udokumentowanej procedury obsługi zgłoszeń i brak mechanizmu potwierdzania przyjęcia sprawy w wymaganym 7-dniowym terminie. Dla zarządu był to sygnał, że dalsze odkładanie tematu oznacza rosnące ryzyko — wizerunkowe, ale też prawne. Dla compliance officera był to impuls, żeby wreszcie dostać mandat i budżet.

W tym kontekście wybór padł na whistleblowing software dla MŚP, ale kluczowe było jedno zastrzeżenie: ma być lekko, bez integracji z ERP, bez wdrożenia konsultingowego na trzy miesiące, bez armaty korporacyjnej, której utrzymanie przerośnie mały zespół.

Punkt startu: skrzynka mailowa i arkusz Excela

Przed wdrożeniem firma nie miała formalnego kanału. Praktyka wyglądała tak: pracownik, który chciał zgłosić problem (najczęściej nieprawidłowości w rozliczeniach czasu pracy, jakości dostaw surowców lub relacje z przełożonym), pisał na adres ogólny sygnalisty@firma.pl. Mail trafiał do działu HR, a stamtąd — w najlepszym razie — do compliance officera. W najgorszym ginął w skrzynce „Oferty i rekrutacje" albo był pomijany, bo nikt nie wiedział, kto ma go obsłużyć.

Drugim elementem systemu był arkusz Excela prowadzony przez jedną osobę. Kolumny: data wpływu, kategoria, status, przypisanie, termin odpowiedzi. Problem w tym, że arkusz nie był aktualizowany na bieżąco — co trzecie zgłoszenie lądowało w nim z opóźnieniem, a trzy zgłoszenia z 2023 roku nie zostały w ogóle wpisane. Audytor słusznie zauważył, że tak prowadzony rejestr nie spełnia funkcji dowodowej i nie pozwala udowodnić terminowości obsługi.

Dodatkowe słabości, które wypłynęły w rozmowach:

  • Brak anonimowości. Skrzynka mailowa identyfikowała nadawcę po adresie. Wielu pracowników nie chciało pisać ze służbowego konta — a prywatnego nie mieli zaufania wysyłać.
  • Brak potwierdzenia. Procedura milczała na temat tego, kto i kiedy ma potwierdzić przyjęcie zgłoszenia. Pracownicy nie wiedzieli, czy ktoś w ogóle przeczytał ich wiadomość.
  • Brak ścieżki audytu. Maile łatwo usunąć, załączniki zgubić, a odpowiedzi prowadzić w innym wątku. Przy kontroli nikt nie potrafił zrekonstruować pełnej historii sprawy.
  • Brak polityki poufności. W organizacji nie było zapisanych zasad, kto może zaglądać w treść zgłoszeń, kto je archiwizuje i jak długo.

To doświadczenie jest typowe. Wiele małych firm wybiera system zgłoszeń dla małej firmy dopiero wtedy, gdy zobaczy, jak kruche są domowe protezy zbudowane z maila i arkusza.

Decyzja: dlaczego wybrali dedykowane narzędzie

W grudniu 2023 compliance officer przygotował krótką analizę dla zarządu. Porównał trzy ścieżki: utrzymanie status quo (mail + Excel), wdrożenie ciężkiego systemu korporacyjnego (np. modułu w ramach platformy GRC) i wybór lekkiego, dedykowanego narzędzia. Wnioski były jasne.

Status quo nie rozwiązywał żadnego z trzech problemów wskazanych przez audytora. Ciężki system GRC oznaczał projekt trwający kwartał, koszt wdrożenia liczony w dziesiątkach tysięcy złotych, konieczność zaangażowania zewnętrznego konsultanta i realne ryzyko, że po jego zakończeniu nikt w organizacji nie będzie umiał samodzielnie obsługiwać narzędzia. Dla 80 osób z dwoma spółkami zależnymi byłoby to armata na muchę.

Dedykowany prosty system whistleblowing okazał się racjonalnym kompromisem. Ważne były trzy cechy:

  1. Anonimowość domyślna. Pracownik może zgłosić sprawę bez logowania, bez podawania danych, a mimo to prowadzić dwukierunkową komunację z badaczem przez bezpieczny link.
  2. Terminowość wbudowana w narzędzie. System samodzielnie pilnuje 7-dniowego potwierdzenia i 3-miesięcznego terminu odpowiedzi zwrotnej, a nie zostawia tego na pamięci HR-u.
  3. Zero integracji. Brak konieczności podłączania ERP, systemu kadrowego, Active Directory czy czegokolwiek innego. Formularz stoi, działa i nie wymaga utrzymania po stronie IT.

Przy wyborze kierowano się też kwestiami regulacyjnymi. Specyfika sektora wytwórczego, bliskie relacje z kontrahentami z Unii Europejskiej i rosnące wymagania klientów korporacyjnych w łańcuchu dostaw sprawiały, że samo spełnienie dyrektywy 2019/1937 nie wystarczało. Firma musiała pokazać, że kanał zgłoszeń jest naprawdę niezależny od kadr zarządzających i że obsługa zgłoszeń jest odporna na próby wpływu. To skłoniło compliance officera do sięgnięcia po kanał zgłoszeń 50 pracowników o architekturze zero-knowledge — takiej, w której nawet dostawca usługi nie jest w stanie odczytać treści spraw.

Wybór zapadł w drugiej połowie stycznia. Kluczowy był także kontekst porównawczy: w branżach silniej regulowanych, takich jak ubezpieczenia czy energetyka, wymagania wobec kanału zgłoszeń są jeszcze ostrzejsze. Stąd decyzja zapadła między innymi po przejrzeniu materiałów o whistleblowing software for insurance i whistleblowing software for energy, żeby mieć punkt odniesienia dla własnej oceny dojrzałości narzędzia.

Wdrożenie krok po kroku: 6 tygodni, bez integracji

Realny plan wdrożenia wyglądał tak.

Tydzień 1–2: przygotowanie proceduralne. Compliance officer spisał procedurę zgłoszeń wewnętrznych — kto przyjmuje zgłoszenie, kto je weryfikuje, kto prowadzi postępowanie wyjaśniające, kto podejmuje decyzję końcową. Wyznaczył dwóch badaczy spraw (jeden z HR, jeden z controllingu), którzy od tej pory byli jedynymi osobami z dostępem do treści zgłoszeń. Na tym etapie nie było jeszcze żadnego narzędzia — ale była mapa ról i obowiązków.

Tydzień 3: wybór dostawcy i konfiguracja. Po krótkim porównaniu trzech rozwiązań wybrano lekki system zgłoszeń wewnętrznych. Konfiguracja zajęła około dwóch dni roboczych: wgranie logo, ustawienie kategorii zgłoszeń (jakość, BHP, finanse, klimat pracy, inne), wybór języka formularza i wskazanie dwóch odbiorców. Najważniejsza decyzja dotyczyła domyślnej anonimowości — organizacja zdecydowała się ją włączyć, żeby obniżyć barierę wejścia.

Tydzień 4: testy i szkolenie badaczy. Dwóch wyznaczonych badaczy przeszło godzinne szkolenie wewnętrzne, które poprowadził compliance officer. Obejmowało ono: jak czytać zgłoszenia anonimowe, jak odpowiadać bez nacisku na identyfikację, jak prowadzić rejestr działań, jak obsługiwać terminy 7 dni i 3 miesięcy, jak eksportować dokumentację gotową do audytu. Równolegle uruchomiono środowisko testowe, w którym badacze przećwiczyli obsługę pięciu sztucznych zgłoszeń.

Tydzień 5: komunikacja wewnętrzna. Tu firma popełniła najwięcej błędów w pierwszej iteracji — i warto je opisać. Początkowo komunikat o nowym kanale zgłoszeń wysłano tylko mailem. Otwarcie formularza wyniosło 17%. Po dwóch tygodniach compliance officer zorganizował krótkie spotkania informacyjne na każdej zmianie (łącznie pięć 20-minutowych sesji). Dopiero wtedy otwarcie wzrosło do 64%, a w kolejnym miesiącu do 71%. Lekcja: w MŚP informacja o nowym narzędziu compliance nie może iść tylko mailem — potrzebuje osobistej interpretacji przełożonego.

Tydzień 6: uruchomienie i pierwszy miesiąc obserwacji. Formularz zgłoszeniowy został upubliczniony — w intranecie, w gablocie przy wejściu do hali, w stopce maili działu HR, a także w wiadomości powitalnej dla nowych pracowników. Pierwsze 30 dni nie przyniosły żadnego zgłoszenia, co w MŚP jest normalne i nie jest dowodem porażki. Compliance officer potraktował ten okres jako czas na uwiarygodnienie kanału: sam odpowiedział na trzy pytania pracowników zadane przez formularz, żeby pokazać, że narzędzie naprawdę działa.

Kluczowe było też to, że wdrożenie przebiegło jako system zgłoszeń bez integracji ERP. Żadna integracja z systemem kadrowym, księgowym czy produkcyjnym nie była potrzebna, ponieważ zgłoszenia compliance mają własny, niezależny obieg informacji. To znacząco obniżyło zarówno koszt wdrożenia, jak i ryzyko projektowe.

Pierwsze zgłoszenie i reakcja organizacji

Pierwsze prawdziwe zgłoszenie wpłynęło w dziewiątym tygodniu od uruchomienia formularza. Dotyczyło niewłaściwego — w ocenie zgłaszającego — sposobu rozliczania nadgodzin przez jednego z brygadzistów na drugiej zmianie. Zgłoszenie było anonimowe, ale zawierało konkretne daty i nazwiska świadków.

Reakcja organizacji była testem całego systemu. Procedura zadziałała następująco:

  • Dzień 1. System automatycznie oznaczył wpływ i wygenerował wewnętrzny numer sprawy. Compliance officer i drugi badacz otrzymali powiadomienia mailowe.
  • Dzień 2. Badacz z HR skontaktował się ze zgłaszającym przez bezpieczny kanał wbudowany w system — anonimowo, bez ujawniania tożsamości. Zadał trzy pytania doprecyzowujące.
  • Dzień 4. Zgłaszający odpowiedział przez ten sam kanał, uzupełniając informacje o trzy dodatkowe przypadki z ostatnich dwóch miesięcy.
  • Dzień 5. Compliance officer potwierdził przyjęcie zgłoszenia w wymaganym 7-dniowym terminie — zgodnie z eu whistleblowing compliance.
  • Tydzień 2–4. Postępowanie wyjaśniające: rozmowy z brygadzistą, przegląd grafików i ewidencji czasu pracy, analiza rozliczeń za ostatni kwartał.
  • Tydzień 6. Wydanie decyzji: potwierdzono nieprawidłowości w 11 z 18 zgłoszonych przypadków. Skorygowano rozliczenia, wdrożono dodatkowy przegląd grafików i poinformowano zgłaszającego o podjętych działaniach (bez ujawniania sankcji personalnych).
  • Tydzień 11. Zamknięcie sprawy z pełną informacją zwrotną dla zgłaszającego.

Cały obieg trwał 77 dni — poniżej wymaganego 3-miesięcznego terminu, z pełną dokumentacją gotową do audytu. Co ważne, reakcja organizacji nie ograniczyła się do obsługi sprawy. Po zamknięciu compliance officer przeprowadził krótkie spotkanie z kadrą średnią (brygadziści, mistrzowie zmian), tłumacząc, że kanał zgłoszeń nie jest narzędziem „wsadzania" kogoś do więzienia, lecz mechanizmem korekty błędów, zanim staną się poważnym problemem prawnym lub wizerunkowym.

Warto w tym miejscu podkreślić jedną rzecz: w MŚP rola przełożonego w procesie zgłoszeń jest kluczowa. Więcej o wzorcach współpracy compliance i HR przy tego typu wdrożeniach można przeczytać w materiale for hr leaders, który opisuje dokładnie tę samą dynamikę w nieco większych organizacjach.

Wyniki po 12 miesiącach: liczba zgłoszeń, czas zamknięcia, postawa pracowników

Infographic: Wyniki po 12 miesiącach: liczba zgłoszeń, czas zamknięcia, postawa pracowników Rok od uruchomienia kanału firma ma za sobą pełny cykl operacyjny. Poniżej podsumowanie, które compliance officer przedstawił zarządowi.

Liczba zgłoszeń. W ciągu 12 miesięcy wpłynęło 19 zgłoszeń. To dużo jak na 80 osób i dwie spółki zależne, ale nie jest to anomalia — w podobnej skali organizacji po pierwszym roku działania kanału normą jest 15–25 zgłoszeń rocznie. Rozkład tematyczny:

  • 8 spraw dotyczyło kwestii pracowniczych (rozliczanie czasu pracy, nadgodziny, urlopy, klimat w zespole).
  • 5 spraw dotyczyło jakości dostaw surowców i relacji z dostawcami.
  • 3 sprawy dotyczyły bezpieczeństwa i higieny pracy.
  • 2 sprawy dotyczyły podejrzenia oszustwa wewnętrznego (jedna potwierdzona, druga po wyjaśnieniu okazała się nieporozumieniem).
  • 1 sprawa dotyczyła naruszenia polityki ochrony danych — potwierdzona, naprawiona w ciągu 14 dni.

Czas zamknięcia spraw. Średni czas od wpływu do pełnej odpowiedzi zwrotnej wyniósł 41 dni. Żadna sprawa nie przekroczyła ustawowego terminu 3 miesięcy. Potwierdzenia przyjęcia w 7-dniowym terminie — 100% spraw. To była miara, która najbardziej zainteresowała audytora przy kolejnym przeglądzie.

Postawa pracowników. To najtrudniejsza do zmierzenia, ale najważniejsza zmienna. Trzy sygnały:

  1. Wzrost otwarć formularza. Z 64% w pierwszym miesiącu do 78% w dwunastym. W praktyce oznacza to, że pracownicy wiedzą o kanale, rozumieją, do czego służy, i nie boją się go otwierać.
  2. Spadek spraw rozstrzyganych anonimowo bez kontaktu. W pierwszym kwartale 6 z 7 zgłoszeń było w pełni jednokierunkowych — zgłaszający zostawiał sprawę i nie wracał. W ostatnim kwartale już tylko 1 z 5 zgłoszeń nie doczekała się dalszej komunikacji. To dowód zaufania: pracownicy wierzą, że warto rozmawiać z badaczem.
  3. Zmiana kultury korygowania błędów. W ankiecie poufnej przeprowadzonej po 9 miesiącach 73% respondentów zgodziło się ze stwierdzeniem „w naszej firmie łatwiej teraz zgłosić problem niż pół roku temu". To dla compliance officera ważniejsze niż wszystkie inne wskaźniki razem wzięte.

Koszt utrzymania kanału to stały, niewielki wydatek miesięczny w modelu pricing — bez dodatkowych opłat za integracje, moduły, użytkowników czy audyty. W przeliczeniu na pracownika to ułamek tego, co firma wydaje miesięcznie na kawę do biura.

Najważniejszą lekcją po roku było to, że whistleblowing software dla MŚP nie jest projektem IT, lecz projektem zaufania. Narzędzie jest potrzebne, ale ono jedynie utrwala zmianę kulturową, której nie da się zadekretować mailem. Wdrożenie było łatwe właśnie dlatego, że nie wymagało integracji z istniejącymi systemami — formularz stanął, działa i nie wymaga obsługi po stronie IT. Dzięki temu uwaga organizacji mogła pójść tam, gdzie naprawdę ją widać: na rozmowy z ludźmi, jakość odpowiedzi i konsekwencję w działaniu.

Jeśli prowadzisz podobną firmę i zastanawiasz się, od czego zacząć, najkrótsza uczciwa odpowiedź brzmi: zacznij od decyzji, nie od narzędzia. Wybierz whistleblowing software dla MŚP, które da się uruchomić w dniach, a nie w miesiącach, i które nie wymaga od Ciebie armii integratorów. Resztę zbudujesz sam — pod warunkiem, że naprawdę chcesz słuchać.

Zobacz, jak Ashio skaluje się od 50 pracowników – odwiedź /pl/pricing.

Źródła

Od skrzynki na @firma.pl do systemu zgłoszeń – case study MŚP | Ashio