Zgodność w praktyce
Kanał to łatwa część. Liczy się dyscyplina wokół niego: kto może czytać zgłoszenie, jak szybko trzeba odpowiedzieć, co trzeba przechowywać i gdzie prawo krajowe wymaga więcej niż dyrektywa.
Ostatnia weryfikacja: 1 listopada 2026
Lista kontrolna
Ustawione raz, pozwalają audytorowi, radzie pracowników lub inspekcji pracy zobaczyć działający proces, a nie formularz.
Udostępnij link do zgłoszeń w intranecie, w kodeksie postępowania i podczas wdrożenia nowych osób. Twoja polityka zgłoszeń powinna wskazywać kanał, mówić kto odbiera zgłoszenia i stwierdzać, że działania odwetowe są zabronione.
Administratorzy konta zarządzają wizerunkiem, zespołem i rozliczeniami i nie mogą otworzyć zgłoszenia. Osoby obsługujące sprawy czytają zgłoszenia i nigdy nie widzą faktury. To rozdzielenie sprawia, że obietnica jest prawdziwa: tylko zespół obsługujący sprawy może przeczytać zgłoszenie.
Jedna osoba to słaby punkt: urlopy, choroba i termin 7 dni nie podlegają negocjacjom. Zaproś drugą osobę, zewnętrznego doradcę albo oboje, i utrzymuj listę ról w aktualności.
Automatyczne potwierdzenie odnotowuje odbiór w chwili wpłynięcia zgłoszenia. Jeśli je wyłączysz, potwierdź ręcznie tego samego dnia. W obu przypadkach termin widnieje na sprawie, a zgłaszający ma link do śledzenia.
Termin liczy się od potwierdzenia, nie od zgłoszenia. Zmiany statusu i wiadomości na sprawie dokumentują, co przekazano zgłaszającemu, i wychodzą razem ze sprawą w eksporcie.
Przechowywanie ustawia się dla organizacji: na jeden, trzy lub pięć lat. Jest widoczne w informacji o prywatności, którą czyta zgłaszający. Wybierz okres wymagany przez prawo krajowe zamiast zostawiać wartość domyślną.
Role i niezależność
Niezależność jest wymogiem prawnym w większości państw członkowskich, a nie kwestią stylu. Wynikają z niej dwie decyzje: kto ma dostęp do zgłoszeń i kogo trzeba trzymać poza sprawą. Obie łatwiej podjąć przed pierwszym zgłoszeniem niż po nim.
Zasadniczo tak. Prawo UE nie zakazuje wprost, by prezes przyjmował zgłoszenia i podejmował działania następcze. Może to być rozwiązanie praktyczne, zwłaszcza w mniejszych organizacjach bez własnego działu compliance.
Wyznaczona funkcja ds. zgłoszeń musi jednak działać bezstronnie i niezależnie, bez konfliktu interesów. Dyrektywa UE o ochronie sygnalistów uznaje, że w mniejszych organizacjach funkcję tę można łączyć z inną rolą w firmie, pod warunkiem zachowania tych zabezpieczeń.
Prezes może więc rozpatrywać zgłoszenia dotyczące innych spraw, jeśli potrafi działać bezstronnie i niezależnie. Nie powinien rozpatrywać zgłoszeń dotyczących własnego postępowania ani sytuacji, w których jego osobiste interesy lub obowiązki tworzą konflikt interesów. W takich przypadkach zgłoszenie musi rozpatrzyć inna bezstronna i odpowiednio wykwalifikowana osoba: inny pracownik, członek organu nadzorczego lub zewnętrzny doradca.
Ashio rozdziela administrowanie kontem od obsługi spraw. Administrator konta zarządza subskrypcją, rozliczeniami, członkami zespołu i konfiguracją platformy, nie mając automatycznie dostępu do poufnych zgłoszeń, a rola obsługi daje dostęp do zgłoszeń i obsługi spraw bez wymagania dostępu do danych rozliczeniowych. Prezes może więc mieć subskrypcję na swoim koncie, otrzymywać faktury i zarządzać kontem, a jednocześnie pełnić rolę osoby obsługującej sprawy, gdy jest to właściwe.
Nasza rekomendacja: nawet jeśli prezes sam obsługuje zgłoszenia, przygotuj rozwiązanie zastępcze, zanim przyjdzie pierwsze zgłoszenie, aby inny pracownik albo zewnętrzny doradca z rolą obsługi mógł przejąć sprawę, gdy tylko pojawi się konflikt interesów. Daje to mniejszym organizacjom elastyczność i pomaga zachować bezstronność oraz wiarygodność procesu.
Osoba bezpośrednio uwikłana w zgłoszenie nie powinna odpowiadać za jego ocenę ani za działania następcze. To tworzy konflikt interesów i podważa bezstronność postępowania.
Jeśli organizacja ma tylko jedną wyznaczoną osobę obsługującą sprawy, powinna mieć rozwiązanie zastępcze na takie sytuacje. W zależności od struktury może to być inny odpowiednio wykwalifikowany pracownik, członek organu nadzorczego albo zewnętrzny doradca lub usługodawca.
Prawo UE pozwala, by funkcję ds. zgłoszeń wspierali zewnętrzni dostawcy, pod warunkiem zachowania niezbędnych zabezpieczeń niezależności, bezstronności i poufności.
Ashio rozdziela te dwie role, a rozwiązanie zastępcze przygotowuje się na liście zespołu: druga osoba z rolą obsługi, pracownik lub zewnętrzny doradca, jest już obecna, gdy zgłoszenie przychodzi, i może je przejąć, jeśli stała osoba obsługująca jest uwikłana. Rola obsługi przyznana później nie sięga zgłoszenia już złożonego.
Nasza rekomendacja: nawet jeśli organizacja ma tylko jedną stałą osobę obsługującą, przygotuj rozwiązanie zastępcze, zanim przyjdzie pierwsze zgłoszenie. Dzięki temu każde zgłoszenie można rozpatrzyć bezstronnie.
W Ashio nie, i właśnie dlatego są dwie role. Administrator konta nie może nadać sobie roli obsługi spraw, więc dostęp do zgłoszeń zawsze potrzebuje drugiej osoby, która go potwierdzi.
Każda zmiana roli trafia do dziennika aktywności zespołu wraz z osobą, która jej dokonała. Na pytanie, kto komu dał dostęp do zgłoszeń, można odpowiedzieć miesiące później, bez polegania na pamięci.
Organizacja jednoosobowa musi najpierw zaprosić współpracownika, bo nikt nie może nadać tej roli sobie. Jeśli to wygląda na tarcie, to takie samo tarcie jak drugi podpis przy płatności, i daje ten sam efekt: nikt nie wejdzie po cichu.
Tak. Prawo UE wyraźnie pozwala organizacjom wyznaczyć zewnętrzne podmioty trzecie do przyjmowania zgłoszeń i podejmowania działań następczych. Motyw 54 dyrektywy UE o ochronie sygnalistów wprost wymienia jako przykłady zewnętrznych prawników, audytorów i dostawców zewnętrznych platform zgłoszeń.
W mniejszych organizacjach może to być praktyczny sposób zapewnienia bezstronnej obsługi bez tworzenia własnego działu compliance. Zewnętrzny doradca może odpowiadać za przyjmowanie zgłoszeń, kontakt z sygnalistami i koordynację działań następczych.
Zewnętrzny dostawca musi zapewnić odpowiednie gwarancje niezależności, poufności, ochrony danych i tajemnicy zawodowej.
Ashio upraszcza zewnętrzną obsługę. Zaproś swojego zewnętrznego prawnika lub doradcę jako członka zespołu z rolą obsługi. Ma dostęp do właściwych zgłoszeń, terminów i historii audytu ze swojego konta, a każda jego czynność jest mu przypisana.
Dwie rzeczy łatwo przeoczyć. Doradca potrzebuje umocowania: Ashio dostarcza kanał zgłoszeń i obsługę spraw, ale samo nie prowadzi postępowań ani nie występuje jako twój pełnomocnik, więc organizacja uzgadnia z doradcą zakres. A dostęp jest przypisany do organizacji: doradca pracujący dla kilku podmiotów musi zostać zaproszony do każdej organizacji osobno.
Dzięki temu organizacja może korzystać z zewnętrznej wiedzy, a odpowiedzialność za własny system zgłoszeń pozostaje jasno określona.
Dyrektywa wyraźnie dopuszcza zewnętrznych prawników i doradców, ale krajowa ustawa ją wdrażająca może nakładać dodatkowe warunki, a wyznaczenie doradcy nie przenosi na niego odpowiedzialności prawnej organizacji.
Wymogi w poszczególnych krajach
To niektóre z krajowych różnic, które mogą wpływać na to, jak konfigurujesz i prowadzisz swój kanał zgłoszeń.
Wewnętrzna jednostka przyjmująca zgłoszenia musi działać niezależnie i bez konfliktu interesów. Osoby obsługujące mogą mieć inne zadania, jeśli nie tworzą one konfliktów, i muszą mieć niezbędne kompetencje.
Wszystkie zgłoszenia muszą być dokumentowane, a dane usuwa się co do zasady trzy lata po zakończeniu postępowania, chyba że dłuższe przechowywanie jest konieczne i proporcjonalne na podstawie obowiązującego prawa.
Jeśli działa rada pracowników, należy ocenić jej uprawnienia współdecydujące, zwłaszcza gdy oprogramowanie stanowi system techniczny służący do monitorowania zachowania lub wyników pracowników.
Organizacje objęte wymogami wewnętrznej procedury zgłoszeń muszą ustanowić procedurę przyjmowania i rozpatrywania zgłoszeń. Procedura musi wskazywać właściwą osobę, komórkę lub zewnętrznego dostawcę odpowiedzialnego za obsługę zgłoszeń.
CNIL wymaga ustalenia odpowiednich okresów przechowywania, opartych na celu przetwarzania i zasadach RODO. Nie istnieje jeden stały okres przechowywania mający zastosowanie do każdej sprawy zgłoszenia.
Loi Waserman rozszerzyła ochronę sygnalistów i zmieniła francuskie ramy, przybliżając je do dyrektywy UE.
Organizacja musi powołać Responsable del Sistema, osobę odpowiedzialną za wewnętrzny system informacji. Powołuje ją organ zarządzający, a osoba ta musi wykonywać zadania niezależnie i autonomicznie, bez otrzymywania poleceń w tej roli.
Organizacja musi potwierdzić otrzymanie zgłoszenia w ciągu 7 dni kalendarzowych i udzielić odpowiedzi w ciągu 3 miesięcy od jego otrzymania. W szczególnie złożonych przypadkach termin można przedłużyć o maksymalnie 3 miesiące.
Powołanie i odwołanie osoby odpowiedzialnej trzeba także zgłosić właściwemu organowi w ciągu 10 dni roboczych.
Wewnętrzny kanał zgłoszeń należy powierzyć autonomicznej osobie lub komórce z odpowiednio przeszkolonym personelem. W zależności od organizacji funkcja ta może być pełniona wewnętrznie lub zewnętrznie.
Zgłoszenia trzeba co do zasady potwierdzić w ciągu 7 dni i rozpatrzyć w ciągu 3 miesięcy. ANAC, Krajowy Urząd Antykorupcyjny, odpowiada za zewnętrzny kanał zgłoszeń i ma uprawnienia nadzorcze oraz egzekucyjne, w tym możliwość nakładania sankcji.
Pracodawcy objęci wymogami wewnętrznej procedury zgłoszeń muszą wyznaczyć niezależne osoby do przyjmowania zgłoszeń i zapewnić ich staranne rozpatrzenie.
Procedura musi przewidywać potwierdzenie w ciągu 7 dni i informację zwrotną w terminie maksymalnie 3 miesięcy od potwierdzenia.
Prawo pozwala też mniejszym pracodawcom z sektora prywatnego zatrudniającym od 50 do 249 pracowników dzielić zasoby do przyjmowania i wyjaśniania zgłoszeń, na obowiązujących warunkach.
Wewnętrzna procedura zgłoszeń musi wskazywać osobę lub jednostkę organizacyjną upoważnioną do przyjmowania zgłoszeń oraz bezstronną wewnętrzną osobę lub jednostkę odpowiedzialną za dalsze działania.
Zgłoszenia trzeba co do zasady potwierdzić w ciągu 7 dni i odpowiedzieć na nie w terminie maksymalnie 3 miesięcy, zgodnie z warunkami ustawowymi.
Przed ustanowieniem wewnętrznej procedury zgłoszeń organizacja musi skonsultować się z właściwą organizacją związkową lub, jeśli jej nie ma, z przedstawicielami pracowników. Konsultacje muszą trwać od 5 do 10 dni.
Informacje prawne należy zweryfikować z obowiązującymi przepisami krajowymi przed wdrożeniem. Ten przegląd obejmuje wybrane państwa członkowskie UE, a nie wszystkie 27. Wymogi krajowe mogą się zmieniać i zależeć od wielkości, sektora i struktury organizacji.
Ta strona to wskazówki operacyjne, nie porada prawna. O tym, co ciebie dotyczy, decyduje ustawa, rada pracowników i twoi prawnicy. Każda strona kraju podaje datę ostatniej weryfikacji.
Uruchom kanał, zaproś drugą osobę obsługującą i pozwól terminom pilnować się samym. 14 dni bezpłatnie, bez karty.