Procedura zgłoszeń wewnętrznych

Ostatnio wpadł do mnie do kancelarii jeden ze stałych klientów. Właściciel średniej firmy produkcyjnej, człowiek twardo stąpający po ziemi. Rzucił teczką na biurko i mówi: „Panie Iwo, o co chodzi z tymi sygnalistami? Moi ludzie mają na mnie donosić? Przecież my jesteśmy jak rodzina!”. Westchnąłem, zamówiliśmy kawę i zaczęliśmy rozmawiać. Bo widzisz, procedura zgłoszeń wewnętrznych to nie jest zamach na Twoją firmę ani zachęta do pisania anonimów na szefa. To mechanizm, który – jeśli dobrze go ustawisz – może uratować Ci skórę, zanim problem wypłynie na zewnątrz, do mediów czy inspekcji. Ale jeśli zrobisz to „na odczep się”, ściągniesz na siebie kłopoty, przy których kontrola skarbowa to spacer po parku.

Czym tak naprawdę jest procedura zgłoszeń wewnętrznych?

Mówiąc najprościej, jak się da: to instrukcja obsługi dla pracownika, który widzi w firmie nieprawidłowości. Procedura zgłoszeń wewnętrznych określa zasady przyjmowania zgłoszeń o naruszeniach prawa wewnątrz organizacji. To dokument, który mówi Twoim ludziom: „Widzisz, że ktoś kradnie, łamie zasady BHP albo pierze brudne pieniądze? Zgłoś to nam bezpiecznie, a my się tym zajmiemy, zanim sprawa trafi do prokuratury”.

Dla Ciebie, jako pracodawcy, jest to system wczesnego ostrzegania. Zamiast dowiadywać się o problemach z pozwu sądowego albo wizyty smutnych panów o 6 rano, dowiadujesz się o nich z wewnętrznego kanału. Masz czas na reakcję. Masz kontrolę.

Kto musi wdrożyć procedurę (i dlaczego nie warto czekać)?

Zgodnie z ustawą, obowiązek ten dotyczy podmiotów prawnych, na rzecz których pracę zarobkową wykonuje co najmniej 50 osób. I tu uwaga – liczymy nie tylko etaty, ale też osoby na umowach cywilnoprawnych (B2B, zlecenia), jeśli wykonują pracę osobiście.

Wielu moich klientów pyta: „A co, jeśli mam 48 pracowników?”. Teoretycznie nie masz obowiązku ustawowego. Ale praktycznie? Zastanów się. Jeśli Twój pracownik zobaczy nadużycie i nie będzie miał wewnętrznego kanału zgłoszeń, to gdzie pójdzie? Pójdzie do mediów albo dokona tzw. zgłoszenia zewnętrznego (do Rzecznika Praw Obywatelskich). Wtedy tracisz kontrolę nad sytuacją. Dlatego, nawet mniejszym firmom sugeruję wdrożenie uproszczonych mechanizmów. To po prostu element higieny biznesowej i nowoczesnego podejścia do sygnalistów w prawie pracy.

Co musi zawierać dobra procedura zgłoszeń? (Checklista)

Nie wystarczy ściągnąć wzoru z internetu, zmienić nagłówek i wrzucić do szuflady. Taki „półkownik” (dokument leżący na półce) jest nic niewarty w sądzie. Prawidłowa procedura musi być skrojona na miarę Twojej firmy. Musi zawierać obligatoryjnie:

1. Wskazanie wewnętrznej jednostki: Kto przyjmuje zgłoszenia? Musi to być osoba lub dział (np. HR, Compliance Officer) upoważniony pisemnie i – co kluczowe – bezstronny.
2. Sposoby przekazywania zgłoszeń: Czy to będzie dedykowana skrzynka mailowa, formularz online, czy może spotkanie osobiste? Musisz dać możliwość zgłoszenia ustnego i pisemnego.
3. Tryb postępowania (follow-up): Co dzieje się ze zgłoszeniem? Kto je weryfikuje? Jakie działania następcze podejmujecie?
4. Maksymalne terminy: Masz 7 dni na potwierdzenie przyjęcia zgłoszenia i maksymalnie 3 miesiące na przekazanie sygnaliście informacji zwrotnej o podjętych działaniach.
5. Klauzulę o poufności: To świętość. Dane sygnalisty są chronione. Jeśli wyciekną – masz gigantyczny problem.

👀 Zobacz także: Co grozi pracodawcy za łamanie przepisów (nie tylko o sygnalistach)?

Konsultacje: Nie pomijaj tego kroku!

To jest moment, na którym wykłada się 80% firm robiących to „na szybko”. Ustawodawca wymaga, aby procedura została skonsultowana z zakładową organizacją związkową albo z przedstawicielami pracowników (jeśli związków nie ma).

Nie możesz po prostu ogłosić: „Od jutra mamy procedurę”. Musisz usiąść do stołu, pokazać projekt, wysłuchać uwag. Konsultacje muszą trwać nie krócej niż 5 dni i nie dłużej niż 10 dni. Jeśli pominiesz ten etap, cała procedura może zostać podważona jako nieważna. Szanuj prawa związków zawodowych i przedstawicieli załogi – to się opłaca, bo buduje zaufanie do samego systemu zgłoszeń.

Poufność a RODO: Gdzie czyhają pułapki?

Wdrażając procedurę, stajesz się administratorem bardzo wrażliwych danych. Wyobraź sobie, że Jan Kowalski zgłasza mobbing ze strony dyrektora. Jeśli ta informacja wycieknie do dyrektora, a ten zwolni Kowalskiego, to Ty odpowiadasz za brak szczelności systemu.

Musisz zadbać o to, by dostęp do zgłoszeń miały tylko i wyłącznie osoby upoważnione. Żadnego przesyłania maili „do wiadomości zarządu”. Żadnych plotek na papierosie. Procedura musi jasno określać, jak chronimy tożsamość sygnalisty oraz osoby, której zgłoszenie dotyczy. Pamiętaj, żeby zaktualizować swoją dokumentację pracowniczą i rejestry RODO o procesy związane z przetwarzaniem danych w ramach whistleblowingu.

Co się dzieje po zgłoszeniu? Działania następcze

To jest ten element, o którym firmy często zapominają. Myślą, że wystarczy postawić skrzynkę na listy. Nie. Ustawa wymaga od Ciebie podjęcia „działań następczych”. Co to znaczy?

Musisz zweryfikować prawdziwość zgłoszenia. To może być wewnętrzne dochodzenie, rozmowy z pracownikami (dyskretne!), audyt dokumentów. Jeśli zgłoszenie się potwierdzi – musisz podjąć kroki naprawcze. Może to być zmiana procedur, szkolenie, a w skrajnych przypadkach – zwolnienie sprawcy naruszenia lub zawiadomienie organów ścigania.

I najważniejsze: musisz poinformować sygnalistę o tym, co zrobiłeś. Masz na to 3 miesiące. Jeśli tego nie zrobisz, sygnalista ma prawo dokonać zgłoszenia zewnętrznego.

Warto o tym pamiętać, zwłaszcza że sygnaliści mają zapewnioną bardzo mocną ochronę przed zwolnieniem. Nawet jeśli zgłoszenie okaże się niesłuszne (ale złożone w dobrej wierze!), nie możesz wyciągnąć wobec takiej osoby negatywnych konsekwencji.

Jak to wdrożyć i nie osiwieć?

Zacznij od audytu. Policz pracowników. Jeśli masz powyżej 50 – działaj. Jeśli mniej, ale działasz w branży finansowej czy transportowej – sprawdź przepisy szczególne, bo tam progi mogą nie obowiązywać.

Przygotuj projekt procedury. Skonsultuj go z ludźmi. Wybierz kanały zgłoszeń, które są realne do obsługi (nie kupuj drogiego systemu IT, jeśli wystarczy bezpieczna skrzynka e-mail, pod warunkiem, że IT nie ma do niej wglądu). Przeszkol kadrę. Uświadom managerom, że odwet to najgorsze, co mogą zrobić.