Ashio whistleblowing software

Oct 4, 2026

Polityka ochrony sygnalistów — kompletny wzór zgodny z ustawą i jak go wdrożyć w MŚP

Polityka ochrony sygnalistów — kompletny wzór zgodny z ustawą i jak go wdrożyć w MŚP

Polityka ochrony sygnalistów to jeden z trzech dokumentów, które firma zatrudniająca co najmniej 50 osób musi mieć fizycznie na dysku przed wejściem w życie obowiązków wynikających z ustawy. Poniższy wzór polityki ochrony sygnalistów pokrywa wszystkie elementy wymagane przez art. 25 ustawy o ochronie sygnalistów, wskazuje miejsca, w których decyzję podejmuje zarząd, i zostawia gotowe klauzule do przekopiowania. Dokument jest napisany językiem zrozumiałym dla właściciela 40-osobowej firmy usługowej, a jednocześnie na tyle precyzyjnym, żeby inspektor PIP albo audytor wewnętrzny nie miał pola do zarzutu.

Spis treści

Najważniejsze wnioski

  • Wzór polityki ochrony sygnalistów musi zawierać co najmniej dziewięć elementów wskazanych w art. 25 ustawy — od trybu przyjmowania zgłoszeń po zasady archiwizacji.
  • Obowiązek wdrożenia procedury zgłoszeń wewnętrznych dotyczy podmiotów, w których według stanu na 1 stycznia lub 1 lipca danego roku pracę świadczy co najmniej 50 osób, niezależnie od formy zatrudnienia.
  • Polityka ochrony sygnalistów i procedura zgłoszeń wewnętrznych to dwa różne dokumenty, choć w MŚP bywają łączone w jeden plik — ustawodawca tego nie zabrania, ale wymaga, żeby oba obowiązki były czytelnie spełnione.
  • Wdrożenie polityki oznacza nie tylko jej uchwalenie, lecz także komunikację do zespołu, przeszkolenie osób obsługujących zgłoszenia i prowadzenie rejestru.
  • Politykę należy przeglądać co najmniej raz w roku oraz po każdej istotnej zmianie organizacyjnej — w przeciwnym razie dokument przestaje być „stosowany" w rozumieniu ustawy.

Polityka ochrony sygnalistów — co to właściwie jest i kto musi ją mieć

Polityka ochrony sygnalistów to wewnętrzny dokument organizacji, który mówi, w jaki sposób firma przyjmuje zgłoszenia naruszeń prawa, kto je obsługuje, jakie prawa przysługują zgłaszającemu i w jakim terminie następuje potwierdzenie oraz działania następcze. W małych i średnich przedsiębiorstwach pełni jednocześnie rolę deklaracji zarządu, instrukcji dla pracowników i dowodu staranności wobec organów nadzoru. Wzór polityki ochrony sygnalistów wykorzystywany w MŚP jest zwykle krótszy niż procedura w korporacji, ale musi spełniać te same wymogi formalne.

Obowiązek posiadania procedury zgłoszeń wewnętrznych wynika z art. 23 ustawy o ochronie sygnalistów i dotyczy podmiotów prywatnych oraz publicznych, w których według stanu na dzień 1 stycznia lub 1 lipca danego roku kalendarzowego wykonuje lub świadczy pracę co najmniej 50 osób. Liczy się każda forma świadczenia — umowa o pracę, zlecenie, dzieło, kontrakt B2B, a także osoby współpracujące na podstawie innych tytułów. Z obowiązku zwolnione są jednostki sektora finansowego objęte odrębnymi regulacjami (np. podlegające nadzorowi KNF), jednostki samorządu terytorialnego do 10 tys. mieszkańców oraz podmioty, w których brak procedury wynika z oceny ryzyka — przy czym samo zwolnienie musi być udokumentowane.

W praktyce decyzję o wdrożeniu podejmuje się, gdy próg 50 osób zostaje przekroczony. Jeśli 1 stycznia firma ma 49 osób, a do końca czerwca dobiera kolejną, 1 lipca stan znów się liczy i to on wyznacza obowiązek na drugie półrocze. W razie wątpliwości warto sprawdzić aktualny stan na gov.pl, gdzie Ministerstwo Rodziny, Pracy i Polityki Społecznej publikuje wyjaśnienia dotyczące progu i wyłączeń.

Kto nie musi wdrażać procedury? Mikroprzedsiębiorca zatrudniający 9 osób, który w żadnym półroczu nie przekracza progu 50 osób, formalnie nie ma obowiązku. Może jednak z własnej woli wprowadzić uproszczoną politykę, bo zwiększa bezpieczeństwo prawne zarządu i ułatwia obsługę sytuacji konfliktowych. W takim wariancie wzór warto skrócić do roli „zasad wewnętrznych" i nie powoływać się wprost na ustawę.

Co ustawa wymaga w polityce — obowiązkowe elementy bez ryzyka uchybienia

Ustawa w art. 25 precyzuje, co musi znaleźć się w procedurze zgłoszeń wewnętrznych, a wzór polityki ochrony sygnalistów w MŚP musi te elementy odzwierciedlać. Pominięcie któregokolwiek z nich otwiera zarzut, że procedura nie została skutecznie wdrożona, a wtedy sama ustawa nie daje sygnaliście ochrony. Dziewięć obowiązkowych bloków to:

  1. Tryb przyjmowania zgłoszeń — w tym kanały (pisemny, mailowy, ustny, osobisty), dane kontaktowe i informacja, czy dopuszcza się zgłoszenia anonimowe.
  2. Elementy, które musi zawierać zgłoszenie — opis naruszenia, dane sygnalisty (jeśli nie jest anonimowy) i dane osoby, której dotyczy zgłoszenie.
  3. Termin i sposób potwierdzenia przyjęcia zgłoszenia — 7 dni od dnia jego wpływu.
  4. Zakres informacji przekazywanych sygnaliście — w tym o planowanych lub podjętych działaniach następczych.
  5. Termin na działania następcze — nie dłużej niż 3 miesiące od potwierdzenia przyjęcia zgłoszenia.
  6. Środki ochrony sygnalisty — zakaz działań odwetowych, poufność, ograniczenie dostępu do danych.
  7. Zasady prowadzenia rejestru zgłoszeń — numer, przedmiot, dane osobowe, data wpływu i zakończenia.
  8. Upoważnienia do przetwarzania danych — kto, w jakim zakresie i na jakiej podstawie przetwarza dane sygnalistów i świadków.
  9. Tryb informowania pracowników — ogłoszenie procedury i szkolenie osób obsługujących zgłoszenia.

Każdy z tych punktów musi być w polityce nazwany wprost, a nie ukryty między zdaniami ogólnymi. Audytor, który czyta dokument po raz pierwszy, musi w ciągu kilku minut znaleźć odpowiedź na każde z powyższych pytań. Jeśli wzór polityki ochrony sygnalistów powstaje w firmie, w której HR i compliance obsługuje ta sama osoba, warto ten fakt opisać otwarcie — ustawodawca nie zabrania łączenia ról, ale wymaga, by było to transparentne.

Jak wygląda wzór polityki ochrony sygnalistów krok po kroku

Jak wygląda wzór polityki ochrony sygnalistów krok po kroku Wzór polityki ochrony sygnalistów w MŚP ma jedną z dwóch konstrukcji: albo jest samodzielnym dokumentem (5–7 stron), albo składa się z polityki i dołączonej procedury zgłoszeń wewnętrznych. W tym drugim wariancie polityka zawiera deklarację zarządu, zasady ochrony i tryb aktualizacji, a procedura — szczegóły operacyjne. Poniżej rozkład treści w kolejności, w jakiej czyta je pracownik i audytor.

Nagłówek i deklaracja zarządu

Dokument otwiera jednozdaniowa deklaracja: „Niniejsza Polityka ochrony sygnalistów obowiązuje w spółce [nazwa] od dnia [data] i została przyjęta uchwałą zarządu nr [numer] z dnia [data]". Wzór polityki ochrony sygnalistów w tej części musi zawierać wskazanie aktu prawnego, na podstawie którego dokument wchodzi w życie — czyli ustawy z dnia 14 czerwca 2024 r. o ochronie sygnalistów. Bez odwołania do podstawy prawnej pracownik nie wie, czy dokument ma moc wiążącą w rozumieniu przepisów.

Definicje i zakres podmiotowy

Krótki słownik pojęć jest w MŚP często pomijany, a szkoda — bo pracownicy mylą „sygnalistę" z „autorem skargi" albo „naruszenie prawa" z „konfliktem w zespole". Warto zdefiniować: naruszenie, działanie następcze, działanie odwetowe, osoba obsługująca zgłoszenie, rejestr. Definicje można oprzeć na słowniku z art. 3 ustawy.

Kanały zgłoszeń

W tej części wzór polityki ochrony sygnalistów wymienia wszystkie kanały, które firma faktycznie udostępnia. Jeśli korzysta z osobnego, szyfrowanego systemu zgłoszeń, należy podać adres URL, a jeśli obsługuje zgłoszenia pocztą wewnętrzną — adres i godziny, w których można zostawić pismo. Wzór procedury zgłoszeń wewnętrznych w MŚP często ogranicza się do trzech kanałów: e-mail, list i spotkanie osobiste z osobą obsługującą. Każdy z nich musi być opisany tak, by zgłaszający wiedział, czego się spodziewać po wysłaniu wiadomości.

Elementy zgłoszenia

Polityka powinna wymieniać, jakie informacje powinien podać sygnalista: opis naruszenia, kiedy i gdzie miało miejsce, kto jest osobą podejrzewaną, ewentualni świadkowie, a także dane kontaktowe, jeśli sygnalista wyraża zgodę na kontakt zwrotny. Wariant anonimowy należy opisać osobno — z informacją, że firma go dopuszcza (lub nie) i jakie są ograniczenia wynikające z braku możliwości dopytania.

Potwierdzenie i działania następcze

To serce dokumentu. Wzór polityki ochrony sygnalistów musi precyzyjnie wskazywać, że potwierdzenie następuje w terminie 7 dni od dnia wpływu, a informacja o działaniach następczych — nie później niż 3 miesiące od potwierdzenia. Terminy są nieprzekraczalne, ale w praktyce oznacza to „do końca siódmego dnia kalendarzowego" i „do końca trzeciego miesiąca kalendarzowego od potwierdzenia". Warto to rozbić wprost, bo różne interpretacje prowadzą do uchybień w audycie.

Ochrona sygnalisty i zakaz działań odwetowych

W tej części dokument wymienia konkretne środki ochrony: zakaz wypowiedzenia, zakaz degradacji, zakaz pozbawiania premii, ograniczenie dostępu do danych osobowych, a także konsekwencje wobec pracownika, który próbuje ustalić tożsamość sygnalisty. Wzór polityki ochrony sygnalistów w MŚP nie musi powtarzać wszystkich przykładów z ustawy, ale powinien wskazać, że ochrona obejmuje także osoby pomagające w zgłoszeniu i powiązane ze zgłaszającym.

Rejestr zgłoszeń

Rejestr jest prowadzony w formie elektronicznej lub papierowej, a polityka musi określać, kto ma do niego dostęp, jak długo dane są przechowywane i kto odpowiada za ich usunięcie. Domyślnie wpisy przechowuje się przez 5 lat od dnia zakończenia postępowania, chyba że odrębne przepisy stanowią inaczej. Wzór polityki ochrony sygnalistów w tej sekcji może odsyłać do osobnej instrukcji prowadzenia rejestru.

Upoważnienia do przetwarzania danych

Polityka musi wymieniać z imienia i nazwiska osoby upoważnione do przetwarzania danych sygnalistów i świadków. Upoważnienie powinno być wydane na piśmie, a zakres przetwarzania określony wprost (np. „przyjmowanie zgłoszeń", „prowadzenie rejestru", „przekazywanie informacji zwrotnej"). Wzór polityki ochrony sygnalistów w MŚP zwykle obejmuje 1–3 osoby — właściciel, specjalista HR i ewentualnie zewnętrzny audytor.

Tryb informowania i szkolenia

Ostatnia część dokumentu opisuje, jak firma informuje pracowników o polityce (e-mail, intranet, szkolenie wewnętrzne) i jak często aktualizuje wiedzę osób obsługujących zgłoszenia. Wystarczy krótkie szkolenie raz w roku, ale fakt jego przeprowadzenia trzeba udokumentować.

Polityka ochrony sygnalistów a procedura zgłoszeń wewnętrznych — czym się różnią i jak je spiąć

Polityka ochrony sygnalistów to dokument nadrzędny — deklaracja zarządu i ogólne zasady ochrony. Procedura zgłoszeń wewnętrznych to dokument operacyjny, który opisuje, co dokładnie dzieje się ze zgłoszeniem od momentu wpływu. W dużych organizacjach są to dwa odrębne akty. W MŚP coraz częściej łączy się je w jeden plik, co ustawodawca dopuszcza, o ile spełnione są wszystkie wymogi art. 25. Wzór polityki ochrony sygnalistów w wersji łączonej powinien mieć wyraźny podział na część deklaratywną i operacyjną, żeby audytor widział granicę kompetencji.

Różnicę widać na prostym przykładzie: polityka mówi, że „firma zakazuje działań odwetowych wobec sygnalistów i zapewnia poufność jego danych", a procedura mówi, że „osobą przyjmującą zgłoszenie jest X, potwierdzenie wysyła się w ciągu 7 dni, a rejestr prowadzony jest w pliku Y w folderze Z". Bez rozdzielenia obu warstw dokument staje się nieczytelny, a w razie kontroli trudno odpowiedzieć na pytanie „kto konkretnie odpowiada za przyjęcie zgłoszenia w poniedziałek o 9:00".

W praktyce wiele firm traktuje politykę ochrony sygnalistów jako dokument korporacyjny podpisywany przez zarząd, a procedurę — jako załącznik do regulaminu pracy albo wewnętrzną instrukcję dla osób obsługujących. Oba rozwiązania są dopuszczalne. Decyduje przejrzystość: w każdym wariancie musi istnieć jeden plik, w którym audytor w ciągu 15 minut znajdzie wszystkie dziewięć elementów z art. 25. Pomocna jest tu mapa dokumentów, o której dalej.

Jak wdrożyć politykę w MŚP bez pomocy kancelarii — komunikacja do zespołu

Samo uchwalenie polityki to połowa roboty. Audytor, który przyjdzie do firmy, zapyta, czy pracownicy wiedzą, że dokument istnieje, i czy wiedzą, do kogo zgłosić naruszenie. W MŚP wdrożenie sprowadza się do czterech kroków, z których każdy musi być udokumentowany.

Pierwszy krok to spotkanie zarządu, na którym polityka zostaje przyjęta uchwałą i podpisana. Drugi to komunikacja do zespołu — najczęściej e-mail do wszystkich pracowników z załączonym plikiem i krótkim streszczeniem (gdzie, jak i do kogo można zgłaszać). Trzeci to szkolenie osób obsługujących zgłoszenia — w MŚP zwykle jedno lub dwie osoby, które muszą znać procedurę na pamięć. Czwarty to wpis w rejestrze dokumentów i opublikowanie procedury w intranecie lub na tablicy ogłoszeń, jeśli firma takiej nie prowadzi.

Sama treść maila do pracowników nie musi być długa. Wystarczy zdanie: „Firma wprowadziła politykę ochrony sygnalistów. Od dziś każde naruszenie prawa możesz zgłosić mailem na adres [adres], w zamkniętej kopercie do skrzynki przy wejściu albo osobiście w gabinecie [osoba]. Twoje zgłoszenie zostanie potwierdzone w ciągu 7 dni, a informację o działaniach następczych otrzymasz w ciągu 3 miesięcy. Pełna treść polityki w załączeniu". Wzór polityki ochrony sygnalistów w tej komunikacji pełni funkcję informacyjną, nie szkoleniową — i tak musi być, bo zbyt rozbudowany przekaz pracownicy zignorują.

Dobrym rozwiązaniem jest też wewnętrzny kanał zgłoszeń, który zastępuje rozproszone narzędzia i daje jedno źródło prawdy. Jego opis w polityce powinien być krótki i konkretny: adres URL, kto ma dostęp, czy dopuszcza się anonimowość. W MŚP to wystarczający opis.

Na koniec warto przeprowadzić krótkie szkolenie (30–60 minut) z osobą obsługującą zgłoszenia i osobą odpowiedzialną za rejestr, żeby obie strony wiedziały, kto co robi w ciągu pierwszych 7 dni. Bez tego nawet najlepsza procedura zawodzi przy pierwszym zgłoszeniu, bo nikt nie wie, czyjego jest obowiązkiem.

Najczęstsze błędy w politykach, które widzi audytor

Wzór polityki ochrony sygnalistów ściągnięty z internetu bez adaptacji to najczęstsza przyczyna uchybień w MŚP. Drugą jest brak przeglądu po każdej zmianie organizacyjnej. Audytorzy zwracają uwagę na kilka powtarzających się błędów, które łatwo wyeliminować jeszcze przed kontrolą.

Pierwszy błąd to brak konkretnych kanałów zgłoszeń. Polityka mówi „zgłoszenia przyjmuje wyznaczony pracownik", ale nie wskazuje kto, gdzie i kiedy. Audytor w takim układzie nie jest w stanie ustalić, czy zgłoszenie w poniedziałek o 8:00 w ogóle mogłoby wpłynąć, a to wystarczy do stwierdzenia, że procedura nie działa.

Drugi błąd to pomieszanie polityki z procedurą w jednym akapicie. Dokument liczy 2 strony, nie ma podziału na deklarację i tryb operacyjny, a dziewięć elementów z art. 25 rozrzuconych jest w losowych miejscach. Audytor musi włożyć wysiłek, żeby je znaleźć — a sam fakt, że musi szukać, jest dla inspektora sygnałem ostrzegawczym.

Trzeci błąd to brak wskazania terminów 7 dni i 3 miesięcy wprost. Wzór polityki ochrony sygnalistów, który operuje pojęciami „niezwłocznie" i „bez zbędnej zwłoki", łamie ustawę. Terminy są sztywne i nie podlegają uznaniowości.

Czwarty błąd to brak rejestru albo prowadzenie rejestru w arkuszu kalkulacyjnym bez żadnych zabezpieczeń. Audytor oczekuje rejestru z numerem, datą wpływu, przedmiotem, statusem i datą zakończenia. W MŚP to może być prosty plik z hasłem, ale musi istnieć.

Piąty błąd to brak informacji ochronnej dla sygnalisty. Polityka wspomina ogólnie o „poufności", ale nie wymienia zakazu działań odwetowych i nie opisuje, co firma zrobi w razie ich wystąpienia. To wystarczy, żeby uznać procedurę za nieskuteczną.

Szósty błąd to brak szkolenia. Polityka istnieje od roku, ale nikt nie potrafi odpowiedzieć na pytanie „komu miałbym zgłosić naruszenie?". W MŚP łatwo to przeoczyć, bo nie ma działań szkoleniowych, a audytor szybko to wychwytuje.

Siódmy błąd to brak publikacji wewnętrznej. Procedura leży na dysku zarządu i nikt inny jej nie widzi. To najczęstsza sytuacja w firmach, które traktują dokument jako „zabezpieczenie na kontrolę", a nie realne narzędzie.

Kiedy i jak zaktualizować politykę — przegląd roczny i sygnały ostrzegawcze

Wzór polityki ochrony sygnalistów jest dokumentem żywym i wymaga przeglądu. Ustawa nie narzuca terminu, ale przyjęło się, że politykę aktualizuje się co najmniej raz w roku oraz po każdej zmianie, która wpływa na sposób obsługi zgłoszeń. Bez przeglądu dokument formalnie istnieje, ale w praktyce przestaje spełniać swoje zadanie.

Sygnałem do natychmiastowej aktualizacji jest zmiana osoby obsługującej zgłoszenia, zmiana adresu mailowego do zgłoszeń, zmiana siedziby, fuzja albo podział firmy, a także wejście w życie nowelizacji ustawy. Każda z tych sytuacji powoduje, że polityka przestaje odpowiadać rzeczywistości — a audytor porówna datę uchwały z datą ostatniej zmiany personalnej.

Dobrym zwyczajem jest wpisanie w politykę obowiązku przeglądu rocznego z konkretną datą graniczną (np. „każda edycja polityki podlega przeglądowi do końca pierwszego kwartału roku kalendarzowego"). Wzór polityki ochrony sygnalistów z takim zapisem zdejmuje z zarządu pytanie „kiedy właściwie mamy to zrobić". Wystarczy wpis w kalendarzu i protokół z przeglądu.

Podczas przeglądu warto odpowiedzieć na pięć pytań: czy kanały zgłoszeń działają, czy terminy 7 dni i 3 miesięcy są dotrzymywane, czy rejestr jest aktualny, czy lista osób upoważnionych odpowiada stanowi, czy pracownicy wiedzą o istnieniu dokumentu. Jeśli choć na jedno pytanie odpowiedź brzmi „nie", dokument wymaga korekty.

W MŚP przegląd zajmuje 2–3 godziny, w większości poświęcone na rozmowę z osobą obsługującą zgłoszenia. Nie trzeba angażować prawnika, jeśli od ostatniej edycji nie zmieniły się przepisy. Wystarczy nanieść zmiany, przygotować nową wersję, nadać jej kolejny numer i rozesłać komunikat do zespołu.

Checklistia gotowości: masz komplet dokumentów?

Poniższa checklista to praktyczne narzędzie do weryfikacji, czy MŚP ma komplet dokumentów zgodnych z ustawą o ochronie sygnalistów. Każdy punkt wymaga odpowiedzi „tak" albo „nie". Jeśli choć jeden punkt zostaje z odpowiedzią „nie", dokumentacja wymaga uzupełnienia przed kolejnym okresem sprawozdawczym.

  • Uchwała zarządu o przyjęciu polityki ochrony sygnalistów z datą i numerem — istnieje i jest podpisana.
  • Wzór polityki ochrony sygnalistów zawiera dziewięć elementów z art. 25 ustawy — wszystkie są wprost opisane.
  • Wskazane są konkretne kanały zgłoszeń (mail, list, osobisty, system) z adresami i godzinami dostępności.
  • Terminy 7 dni (potwierdzenie) i 3 miesięcy (działania następcze) są wpisane liczbowo, a nie opisowe.
  • Wskazane są osoby upoważnione do przetwarzania danych z imienia i nazwiska, z zakresem upoważnienia.
  • Prowadzony jest rejestr zgłoszeń w formie elektronicznej lub papierowej z numerem, datą, przedmiotem i statusem.
  • Sygnaliście zapewniona jest ochrona przed działaniami odwetowymi i poufność — zapis wyraźny, a nie ogólnikowy.
  • Pracownicy zostali poinformowani o polityce — e-mail, intranet, szkolenie albo spotkanie zespołu.
  • Osoby obsługujące zgłoszenia przeszły szkolenie — fakt udokumentowany.
  • Polityka była zaktualizowana w ciągu ostatnich 12 miesięcy albo po ostatniej zmianie organizacyjnej.
  • Procedura jest opublikowana wewnętrznie i dostępna dla każdego pracownika bez logowania do systemu zarządu.
  • W komunikacji do zespołu użyto wyłącznie adresu kanału zgłoszeń wpisanego do polityki — nie ma rozbieżności między dokumentem a praktyką.
  • Osoba obsługująca zgłoszenia potrafi wymienić z pamięci: kto, komu, w jakim terminie i w jakiej formie potwierdza przyjęcie.
  • Rejestr jest zabezpieczony hasłem lub przechowywany w szafie z ograniczonym dostępem — dostęp mają wyłącznie osoby upoważnione.

Jeśli wszystkie odpowiedzi brzmią „tak", dokumentacja jest gotowa. Jeśli choć 2–3 pozycje są na „nie", warto wrócić do wzoru polityki ochrony sygnalistów i uzupełnić braki przed pierwszym zgłoszeniem albo przed kontrolą.

W praktyce MŚP najczęściej utyka na pozycjach 2, 5, 8 i 10. Pominięcie którejkolwiek z nich nie dyskwalifikuje dokumentu, ale w połączeniu z brakiem szkolenia i brakiem publikacji tworzy obraz procedury pozornej. Audytor opisuje to w protokole i wskazuje jako „obszar do natychmiastowej poprawy". W dalszej perspektywie może to skutkować zarzutem nieskutecznego wdrożenia i pozbawienia sygnalisty ochrony. Warto więc domykać checklistę przed każdym przeglądem.

Często zadawane pytania

Czy wzór polityki ochrony sygnalistów można po prostu skopiować z internetu?

Skopiowanie samego szablonu nie wystarczy, bo dokument musi odzwierciedlać rzeczywisty stan organizacji: konkretne kanały, konkretne osoby, konkretne terminy. Wzór pobrany online jest punktem wyjścia, ale każda sekcja wymaga uzupełnienia o nazwy własne, adresy i zakresy upoważnień, inaczej audytor zakwestionuje skuteczność wdrożenia.

Jak często należy aktualizować politykę ochrony sygnalistów?

Przegląd powinien odbywać się co najmniej raz w roku oraz po każdej zmianie, która wpływa na obsługę zgłoszeń — zmianie osoby obsługującej, adresu, nazwy firmy albo struktury. Praktyka przyjęta w MŚP to przegląd do końca pierwszego kwartału, w którym od poprzedniej edycji minęło 12 miesięcy.

Czy polityka ochrony sygnalistów musi być podpisana przez zarząd?

Uchwała zarządu nadaje dokumentowi moc wewnętrzną i potwierdza, że zarząd akceptuje odpowiedzialność za jego stosowanie. Brak podpisu zarządu nie oznacza nieważności, ale w praktyce audytorskiej jest traktowany jako sygnał, że procedura nie została faktycznie wdrożona — zwłaszcza w MŚP, gdzie zarząd jest jednocześnie osobą obsługującą zgłoszenia.

Czy MŚP z 49 pracownikami musi mieć politykę ochrony sygnalistów?

Nie, jeśli 1 stycznia i 1 lipca danego roku stan zatrudnienia nie przekracza 50 osób. Jeśli jednak firma w drugiej połowie roku przekroczy próg, obowiązek powstaje od kolejnego półrocza i wtedy procedura musi być przygotowana przed pierwszym zgłoszeniem — nawet jeśli samo zgłoszenie jeszcze nie wpłynęło.

Co zrobić, gdy firma ma już politykę, ale nie jest zgodna z obowiązującymi przepisami?

Należy przygotować nową wersję, przyjąć ją uchwałą zarządu, poinformować zespół i zarchiwizować starą edycję. W praktyce audytorskiej liczy się data ostatniej aktualizacji i treść bieżącej wersji — historia dokumentu jest mniej istotna, jeśli obecna edycja spełnia wymogi.

Źródła