Ashio whistleblowing software

Sep 27, 2026

Procedura zgłoszeń wewnętrznych — wzór zgodny z ustawą i checklistą dla MŚP

Procedura zgłoszeń wewnętrznych — wzór zgodny z ustawą i checklistą dla MŚP

Większość MŚP pisze swoją procedurę zgłoszeń wewnętrznych „od zera" i pomija trzy elementy, których żąda ustawa o ochronie sygnalistów. Poniżej znajdziesz wzór procedury zgłoszeń wewnętrznych, który można zaadaptować w jeden dzień roboczy, razem z checklistą dla firmy 20–250-osobowej i wskazaniem, kto zatwierdza dokument i gdzie najczęściej pojawiają się błędy.

Spis treści

Najważniejsze wnioski

  • Procedura zgłoszeń wewnętrznych musi zawierać co najmniej: zakaz działań odwetowych, dane osoby lub jednostki obsługującej zgłoszenia, tryb przyjmowania zgłoszeń, termin 7 dni na potwierdzenie i 3 miesięcy na informację zwrotną.
  • Procedurę przyjmuje i zatwierdza pracodawca (zarząd, wspólnik lub osoba upoważniona w regulaminie); zatwierdzenie musi być udokumentowane datą i podpisem.
  • Formularz zgłoszenia, klauzula informacyjna RODO i wzór potwierdzenia odbioru to załączniki obowiązkowe — bez nich procedura nie spełnia wymogów ustawy.
  • W MŚP wystarczy wyznaczyć jedną osobę do obsługi zgłoszeń i jednego zastępcę, pod warunkiem że oboje przejdą krótkie szkolenie i zostaną wpisani do procedury z imienia i nazwiska.
  • Publikacja procedury musi obejmować wszystkich pracowników — intranet, ogłoszenie na tablicy lub za potwierdzeniem odbioru. Sam e-mail do działu kadr nie wystarczy.

Procedura zgłoszeń wewnętrznych — co dokładnie musi zawierać według ustawy

Procedura zgłoszeń wewnętrznych ustawa o ochronie sygnalistów wymienia wprost: zakaz działań odwetowych, wyznaczenie osoby lub jednostki obsługującej zgłoszenia, opis trybu przyjmowania zgłoszeń, terminy na potwierdzenie (7 dni) i informację zwrotną (3 miesiące), a także zasady archiwizacji i poufności. W praktyce każdy z tych elementów procedury zgłoszeń wewnętrznych trzeba opisać jednym lub dwoma akapitami — nie wystarczy ich wymienić.

Wzór procedury sygnalistów, który działa w MŚP, ma zawsze tę samą strukturę: nagłówek z datą wejścia w życie, podstawa prawna (ustawa z dnia 14 czerwca 2024 r. o ochronie sygnalistów oraz dyrektywa 2019/1937), definicje, opis każdego z wymienionych wyżej elementów, załączniki i podpis zatwierdzającego. Brak choćby jednego bloku powoduje, że audytor albo sąd zakwestionuje dokument w całości — bo procedura ma być wewnętrznie spójna, nie „wybiórcza".

W MŚP warto już na tym etapie odwołać się do ramy europejskiej: eu whistleblowing directive pokazuje, że wymogi polskiej ustawy wynikają wprost z prawa unijnego, a nie z nadregulacji krajowej. To pomaga w rozmowie z zarządem, który czasem pyta, „czy to naprawdę konieczne".

Jak wyznaczyć osobę lub jednostkę obsługującą zgłoszenia w MŚP

Osobą obsługującą zgłoszenia może być pracownik, grupa pracowników lub jednostka organizacyjna — w 50-osobowej firmie najprostsze jest wyznaczenie jednej osoby z imienia i nazwiska oraz jednego zastępcy na czas jej nieobecności. Kto zatwierdza procedurę zgłoszeń, ten sam zatwierdza wyznaczenie — potrzebny jest pisemny dokument (aneks do umowy, zakres obowiązków lub uchwała zarządu).

Kto może pełnić tę rolę i jakich konfliktów unikać?

Wyznaczona osoba nie może być bezpośrednim przełożonym zgłaszającego w sprawie, której dotyczy zgłoszenie, ani osobą, wobec której zachodzą inne oczywiste przesłanki stronniczości — ustawa wymaga bezstronności i niezależności. W praktyce oznacza to, że właściciel jednoosobowej spółki z o.o. nie powinien sam siebie wyznaczać do obsługi zgłoszeń o sobie; lepiej powierzyć tę rolę zewnętrznemu pełnomocnikowi albo firmie świadczącej obsługę kanału.

Rola wymaga też konkretnych kompetencji: rozpoznania naruszenia, prowadzenia rozmowy z sygnalistą, dokumentowania kroków, znajomości RODO przy przetwarzaniu danych w zgłoszeniu. Wzór procedury sygnalistów powinien wprost wskazać, że osoba obsługująca przeszła krótkie szkolenie wstępne i ma dostęp do internal reporting channel — kanału, którym będą wpływać zgłoszenia. Bez tego punktu procedura wygląda na fikcyjną, a audytor zapyta, kto realnie odpowiada na zgłoszenia.

Jak opisać tryb przyjmowania zgłoszeń i 7-dniowe potwierdzenie

Procedura przyjmowania zgłoszeń musi wskazać wszystkie dopuszczalne formy ich wniesienia: pisemnie (e-mail, formularz papierowy, platforma), ustnie (rozmowa na żądanie) i w każdym innym formacie, który zapewnia poufność. W MŚP wystarczy wymienić trzy kanały i napisać, że zgłoszenie ustne jest dokumentowane za zgodą sygnalisty.

Jak udokumentować 7-dniowe potwierdzenie bez ujawniania sygnalisty?

Potwierdzenie odbioru trzeba wysłać w ciągu 7 dni od dnia złożenia zgłoszenia — liczy się data wpływu, nie data nadania odpowiedzi. W praktyce procedura powinna przewidzieć, że automatyczne potwierdzenie generuje internal reporting channel, a osoba obsługująca jedynie je weryfikuje; ręczne wysyłanie e-maili jest wolne i łatwo je przeoczyć.

W treści potwierdzenia nie podaje się szczegółów zgłoszenia, które mogłyby zdradzić tożsamość sygnalisty — wystarczy krótka informacja: „Potwierdzamy otrzymanie zgłoszenia z dnia X. Numer sprawy: Y. Kolejny kontakt — do trzech miesięcy." To zdanie wzór procedury sygnalistów powinien zawierać jako wzór, inaczej każdy pracownik będzie pisał potwierdzenia po swojemu i narazi firmę na zarzut braku jednolitego trybu.

Jak uregulować komunikację zwrotną i 3-miesięczne działania następcze

Komunikacja zwrotna oznacza przekazanie sygnaliście informacji o planowanych lub podjętych działaniach następczych — nie o samym naruszeniu ani o tożsamości sprawcy. Ustawa daje na to 3 miesiące od potwierdzenia odbioru, więc procedura musi zamknąć ten termin jednym akapitem z datą i obowiązkiem wpisu do rejestru spraw.

Co konkretnie napisać o działaniach następczych?

Wystarczy wymienić trzy do pięciu kategorii: weryfikacja zgłoszenia, postępowanie wyjaśniające, decyzja o zasadności, przekazanie organowi publicznemu lub policji, zamknięcie sprawy bez dalszych kroków. Każda z nich powinna mieć przypisany termin wewnętrzny — np. weryfikacja do 14 dni, decyzja do 2 miesięcy — żeby osoba obsługująca nie musiała wymyślać harmonogramu od zera.

Elementy procedury zgłoszeń wewnętrznych w tej części są najczęściej pomijane, bo MŚP zakłada, że „sprawa się sama rozwiąże". To klasyczny błąd: audyt for compliance officers zwykle zaczyna się od pytania, czy były działania następcze i czy były udokumentowane. Brak wpisu w rejestrze oznacza, że procedura istnieje na papierze, ale w praktyce nie działa.

Jakie załączniki dołączyć do procedury (formularz, klauzula RODO, wzór potwierdzenia)

Procedura bez załączników jest niekompletna — potrzebny jest formularz zgłoszenia (z polami minimalnymi: dane kontaktowe lub opcja anonimowości, opis naruszenia, kontekst), klauzula informacyjna RODO i wzór potwierdzenia odbioru. Każdy z tych dokumentów powinien być oznaczony numerem załącznika i datą, żeby nie „wymknąć się" przy kolejnej aktualizacji procedury.

Które załączniki są obowiązkowe, a które opcjonalne?

Obowiązkowe są trzy: wzór formularza (papierowy lub elektroniczny), klauzula RODO oparta na art. 13 i 14 RODO oraz wzór potwierdzenia odbioru. Opcjonalne, ale silnie zalecane, to wzór informacji zwrotnej po 3 miesiącach i wzór wpisu do rejestru spraw — ich obecność skraca szkolenie nowej osoby obsługującej.

Treść klauzuli RODO nie jest dowolna: musi informować o administratorze, celu przetwarzania, podstawie prawnej (art. 6 ust. 1 lit. c i f RODO w zw. z ustawą o ochronie sygnalistów) i prawach osoby, której dane dotyczą. W praktyce można oprzeć ją na gotowych wzorach gdpr, które zawierają już wymagane elementy i nie wymagają pisania klauzuli od zera. Bez kompletnych załączników wzór procedury zgłoszeń wewnętrznych zostanie zakwestionowany przy pierwszej kontroli UODO.

Checklista wdrożenia krok po kroku dla 20–250-osobowej firmy

Checklista wdrożenia krok po kroku dla 20–250-osobowej firmy Checklista wdrożenia dla firmy 20–250-osobowej składa się z dziesięciu kroków i mieści się w jednym tygodniu roboczym. Każdy krok ma właściciela i datę — bez tego procedura pozostanie w szufladzie.

  1. Dzień 1–2: Wyznacz osobę obsługującą i zastępcę, sprawdź konflikty interesów.
  2. Dzień 2: Zaadaptuj wzór procedury sygnalistów do specyfiki firmy (sektor, struktura, liczba lokalizacji).
  3. Dzień 3: Dodaj załączniki: formularz, klauzulę RODO, wzory potwierdzenia i informacji zwrotnej.
  4. Dzień 3–4: Skonfiguruj kanał zgłoszeniowy Ashio, w którym zgłoszenia wpływają do osoby obsługującej z automatycznym śledzeniem terminów..
  5. Dzień 4: Przeprowadź krótkie szkolenie osoby obsługującej (do 2 godzin).
  6. Dzień 5: Uchwal procedurę (uchwała zarządu, decyzja wspólnika lub aneks do regulaminu).
  7. Dzień 5: Udokumentuj zatwierdzenie datą i podpisem.
  8. Dzień 6: Opublikuj procedurę w intranecie i na tablicy ogłoszeń, wyślij e-mail do wszystkich pracowników.
  9. Dzień 6: Zbierz potwierdzenia zapoznania się (pisemne lub elektroniczne).
  10. Dzień 7: Uruchom rejestr spraw i ustal roczny przegląd procedury.

Checklista pokazuje, że wzór procedury zgłoszeń wewnętrznych to nie tylko dokument, ale też konfiguracja techniczna i komunikacja wewnętrzna. Pominięcie któregoś kroku (np. potwierdzeń zapoznania) nie unieważnia procedury formalnie, ale w razie incydentu obniża pozycję pracodawcy przed sądem.

Najczęstsze błędy MŚP przy uchwale i publikacji procedury

Najczęstsze błędy to: brak zakazu działań odwetowych w treści procedury, brak wskazania osoby obsługującej z imienia i nazwiska, brak wzoru potwierdzenia 7-dniowego, brak klauzuli RODO i publikacja wyłącznie w intranecie bez potwierdzeń zapoznania. Każdy z tych braków sam w sobie dyskwalifikuje dokument jako spełniający ustawę — bo ustawa wymaga każdego z tych elementów osobno.

Jak naprawić procedurę, jeśli już została uchwalona z błędami?

Procedurę można poprawić uchwałą nowelizującą — nie trzeba uchwalać całości od nowa, wystarczy załącznik z poprawionymi elementami. W praktyce oznacza to: nowy załącznik z klauzulą RODO, poprawiony wzór potwierdzenia, doprecyzowanie osoby obsługującej. Każda poprawka powinna mieć numer wersji i datę, inaczej audytor nie odróżni wersji obowiązującej od archiwalnej.

W MŚP rośnie też ryzyko błędu w publikacji: procedura trafia na intranet, ale pracownicy z produkcji czy magazynu nie mają do niego dostępu albo nie zostali poinformowani. W takiej sytuacji procedura istnieje, ale nie jest „wewnętrznie skuteczna", co przy odwołaniu do RODO gdpr jest osobnym problemem. Najprostsze rozwiązanie to papierowe potwierdzenia zapoznania na spotkaniu zespołu — dwa zdania i podpis każdego pracownika.

Co wybrać: własną procedurę z szablonu czy gotowe narzędzie z procedurą

Właściciel MŚP stoi przed decyzją, czy prowadzi procedurę sam na arkuszu kalkulacyjnym i skrzynce e-mail, czy powierza ją narzędziu, które automatycznie śledzi terminy i prowadzi dziennik gotowy do audytu. Pierwsze rozwiązanie jest darmowe, ale wymaga od osoby obsługującej pełnej dyscypliny: ręcznego potwierdzania po 7 dniach, pisania informacji zwrotnej po 3 miesiącach i tworzenia pliku gotowego do audytu. Drugie rozwiązanie kosztuje stałą opłatę miesięczną, ale automatyzuje wszystkie trzy elementy procedury zgłoszeń wewnętrznych, które ustawa wymienia wprost.

Ashio to oprogramowanie, które obsługuje właściciela MŚP w bieżącym prowadzeniu kanału zgłoszeń zgodnie z wymogami ustawy. i pilnuje terminów za niego: automatyczne potwierdzenie po 7 dniach, informacja zwrotna po 3 miesiącach, dziennik gotowy do audytu, w stałej cenie dla całej organizacji, bez opłat wdrożeniowych i bez limitu spraw — co przy rosnącej liczbie zgłoszeń eliminuje rozliczanie „per pracownik" lub „per sprawa"., bez opłat wdrożeniowych i bez limitu spraw — co przy rosnącej liczbie zgłoszeń eliminuje rozliczanie „per pracownik" lub „per sprawa". Rozwiązanie jest przeznaczone dla MŚP szukających jednopłatnego, w pełni anonimowego kanału zgłoszeń zgodnego z RODO i dyrektywą 2019/1937 — pełna lista funkcji i cen jest dostępna na stronie [pricing].(https://ashio.eu/pl/pricing). Dla firm o bardziej złożonej strukturze warto rozważyć, czy wybrane narzędzie odpowiada specyfice organizacji — Ashio jest przeznaczone dla europejskich MŚP szukających prostego, jednopłatnego kanału zgłoszeń.

Często zadawane pytania

Kto zatwierdza procedurę zgłoszeń w spółce z o.o.?

Procedurę zgłoszeń zatwierdza organ, który w spółce z o.o. podejmuje decyzje wewnętrzne niezastrzeżone dla zgromadzenia wspólników — najczęściej zarząd, w formie uchwały. Jednoosobowa spółka z o.o. wymaga decyzji jedynego wspólnika; w spółce osobowej decyzji wspólników. Zatwierdzenie musi być udokumentowane datą i podpisem, bo od niej biegnie obowiązek publikacji i termin 7 dni na potwierdzenie pierwszych zgłoszeń.

Czy procedura zgłoszeń wewnętrznych może być jednocześnie polityką antyodwetową?

Nie — to dwa osobne dokumenty. Procedura opisuje kanał i tryb postępowania ze zgłoszeniami, polityka antyodwetowa opisuje zakaz działań odwetowych i konsekwencje za ich naruszenie. W MŚP oba dokumenty mogą być krótkie (po 2–3 strony), ale nie powinny być utożsamiane, bo ustawa wymaga zakazu odwetu jako elementu procedury, a nie osobnej polityki. W praktyce zapis o zakazie odwetu powinien być w procedurze jako jeden z pierwszych punktów i równolegle powtórzony w polityce antyodwetowej.

Co zrobić, gdy w firmie nie ma działu HR ani compliance?

W MŚP bez etatowego compliance oficera rolę osoby obsługującej zgłoszenia pełni najczęściej właściciel lub wyznaczony pracownik administracji, ale musi spełniać warunek bezstronności. Jeśli jedyny kandydat jest w konflikcie interesów (np. jest właścicielem i jednocześnie osobą, której zgłoszenia mogą dotyczyć), konieczne jest powierzenie roli zewnętrznemu pełnomocnikowi lub skorzystanie z usługi, w której obsługę prowadzi niezależna strona. Brak takiego rozwiązania oznacza, że procedura formalnie istnieje, ale nie spełnia wymogu niezależności.

Jak często aktualizować procedurę po pierwszym uchwaleniu?

Ustawa nie narzuca terminu przeglądu, ale praktyka audytowa zaleca przegląd raz w roku lub bezpośrednio po każdej zmianie struktury (np. fuzja, nowa lokalizacja, zmiana osoby obsługującej). Każda aktualizacja powinna mieć numer wersji i być komunikowana pracownikom — inaczej obowiązuje starsza wersja, co przy kontroli UODO lub sądzie pracy jest poważnym ryzykiem.

Czy procedura musi być przetłumaczona na języki pracowników zagranicznych?

Jeśli w firmie pracują osoby, dla których polski nie jest językiem ojczystym i nie rozumieją dokumentu, procedura powinna być dla nich dostępna w języku, który rozumieją — w przeciwnym razie nie można mówić o skutecznej publikacji. W MŚP najczęściej wystarcza angielska wersja równoległa; przy większej liczbie języków warto użyć kanału zgłoszeniowego, który sam oferuje wielojęzyczny interfejs dla sygnalisty.

Źródła