System zgłaszania naruszeń prawa, czyli tzw. whistleblowing, to dziś nie tylko prawny obowiązek, ale i realne narzędzie zwiększające bezpieczeństwo prawne, organizacyjne i reputacyjne przedsiębiorstwa. Skuteczny system ochrony sygnalistów buduje zaufanie w organizacji, umożliwia wczesne wykrycie nadużyć i pozwala na zapobieganie ryzykom. Wdrożenie takiego systemu wymaga jednak staranności, przygotowania i dobrego planowania. W tym poradniku pokażę Ci, jak krok po kroku zbudować skuteczny system zgłaszania naruszeń prawa – od audytu po ogłoszenie procedury w firmie.
🔍 Audyt i planowanie systemu zgłaszania naruszeń prawa
Dlaczego warto zacząć od audytu?
Każda organizacja jest inna. Dlatego pierwszym krokiem powinno być przeprowadzenie wewnętrznej analizy aktualnych mechanizmów, polityk i ryzyk. Tylko wtedy możliwe jest zaprojektowanie systemu dopasowanego do realnych potrzeb i specyfiki danego podmiotu.
Na tym etapie warto zbadać m.in.:
- historyczne przypadki naruszeń (np. nieprawidłowości kadrowe, nieetyczne zachowania, nadużycia finansowe),
- dotychczasowe praktyki w zakresie etyki i compliance,
- obowiązujące procedury antykorupcyjne, antymobbingowe i antydyskryminacyjne,
- kulturę organizacyjną (np. poziom zaufania do zarządu),
- strukturę organizacyjną i skalę działalności,
- wymogi regulacyjne (czy podmiot podlega np. przepisom AML, regulacjom UE itp.).
Dobrą praktyką jest zaangażowanie różnych grup pracowniczych, np. przedstawicieli działów HR, compliance, kadr, finansów czy IT.
Planowanie systemu whistleblowingowego
Na podstawie wyników audytu należy przygotować kompleksowy plan wdrożenia systemu, obejmujący m.in.:
- wybór i projekt kanałów zgłoszeń (pisemne, ustne, elektroniczne),
- wyznaczenie osób odpowiedzialnych za obsługę zgłoszeń i działania następcze,
- decyzję o obsłudze zgłoszeń anonimowych (czy będą rozpoznawane?),
- określenie zakresu zgłoszeń (czy obejmują np. mobbing i dyskryminację?),
- weryfikację zgodności z przepisami obowiązującymi w grupie kapitałowej (jeśli dotyczy),
- projekt harmonogramu wdrożenia procedury i szkoleń dla pracowników.
📄 Opracowanie procedury zgłoszeń wewnętrznych – obowiązek i dobra praktyka
Kiedy procedura jest obowiązkowa?
Zgodnie z art. 23 ust. 1 ustawy z 14 czerwca 2024 r. o ochronie sygnalistów, obowiązek wdrożenia procedury spoczywa na podmiotach prawnych, w których na dzień 1 stycznia lub 1 lipca danego roku pracuje co najmniej 50 osób (w przeliczeniu na pełne etaty – bez względu na podstawę zatrudnienia).
Wyjątki:
- jednostki organizacyjne gmin lub powiatów liczących mniej niż 10 000 mieszkańców nie muszą wdrażać tej procedury (art. 23 ust. 5 u.o.s.),
- niektóre organizacje z sektora finansowego, transportowego, środowiskowego, AML i compliance muszą wdrożyć procedurę niezależnie od liczby pracowników (art. 23 ust. 3 u.o.s.).
Pamiętaj! Nawet jeśli nie masz obowiązku prawnego wdrożenia procedury – warto to zrobić. Wewnętrzny system whistleblowingowy to tarcza ochronna przed ryzykami.
👥 Dobór osób odpowiedzialnych za przyjmowanie zgłoszeń
Jednym z najważniejszych wyborów organizacyjnych jest wyznaczenie osoby lub jednostki do obsługi zgłoszeń. Może to być:
- osoba wewnętrzna (np. z działu compliance, HR lub utworzona specjalnie funkcja koordynatora ds. sygnalistów),
- komisja wewnętrzna (stała lub doraźna),
- podmiot zewnętrzny (outsourcing – pod warunkiem zapewnienia poufności i bezstronności).
Kryteria doboru:
- niezależność funkcjonalna,
- brak konfliktu interesów,
- umiejscowienie w strukturze (czy ma realną swobodę działania?),
- przeszkolenie i przygotowanie merytoryczne.
🔐 Ochrona danych osobowych – zgodność z RODO i u.o.s.
System whistleblowingowy zawsze będzie obejmował przetwarzanie danych osobowych. Z tego względu:
- należy zapewnić minimalizację danych i przetwarzać je wyłącznie w celach zgłoszenia (art. 8 ust. 6 u.o.s.),
- przypadkowo zebrane dane należy usunąć w terminie 14 dni (art. 8 ust. 7 u.o.s.),
- trzeba wdrożyć mechanizmy zabezpieczające tożsamość sygnalisty (brak uprawnień dostępu, pseudonimizacja, szyfrowanie).
📌 Uwaga! Tożsamość sygnalisty można ujawnić wyłącznie:
- za jego wyraźną, dobrowolną zgodą,
- gdy wymaga tego postępowanie prowadzone przez organ publiczny lub sąd (z obowiązkiem wcześniejszego powiadomienia sygnalisty, chyba że grozi to postępowaniu – art. 8 ust. 2–4 u.o.s.).
📣 Konsultacja procedury z pracownikami
Zgodnie z art. 24 ust. 3 i 4 u.o.s., projekt procedury zgłoszeń wewnętrznych musi zostać skonsultowany:
- z każdą organizacją związkową działającą w podmiocie, lub
- z przedstawicielami pracowników (jeśli nie działają związki zawodowe).
📌 Konsultacje trwają od 5 do 10 dni. Warto:
- przeprowadzić spotkania wyjaśniające,
- udokumentować przebieg konsultacji (e-maile, protokoły),
- traktować opinię strony pracowniczej jako głos doradczy, ale nie wiążący.
🧭 Ogłoszenie procedury i informowanie nowych pracowników
Po zakończeniu konsultacji, procedura wchodzi w życie po 7 dniach od jej ogłoszenia (art. 24 ust. 5 u.o.s.).
Sposoby publikacji:
- intranet lub e-mail firmowy,
- portal pracowniczy,
- tablica ogłoszeń,
- strona internetowa (jako dobra praktyka – zwiększa transparentność).
Obowiązki informacyjne:
- Kandydaci do pracy lub współpracy muszą otrzymać informację o procedurze na etapie rekrutacji (art. 24 ust. 6 u.o.s.),
- forma może być skrócona, ale musi wskazywać główne zasady i zawierać link do pełnej wersji.
Struktura i treść procedury zgłoszeń wewnętrznych – co musi się w niej znaleźć?
Każda organizacja, która wdraża procedurę zgłoszeń wewnętrznych, musi spełnić określone wymogi ustawowe. To oznacza, że nawet jeśli procedura jest wdrażana dobrowolnie, nie można pominąć wymaganych elementów.
✅ Elementy obowiązkowe – art. 25 ust. 1 ustawy o ochronie sygnalistów
Każda procedura musi określać co najmniej:
- Osobę lub jednostkę przyjmującą zgłoszenia
Musi to być:- jednostka organizacyjna w strukturze firmy (np. dział compliance),
- osoba fizyczna (np. koordynator ds. sygnalistów),
- podmiot zewnętrzny (np. kancelaria prawna) – upoważniony do obsługi zgłoszeń.
- Sposób przekazywania zgłoszeń
Zgłoszenie można składać co najmniej:- pisemnie (np. na dedykowany adres e-mail, za pomocą formularza),
- ustnie (np. telefonicznie, osobiście po wcześniejszym umówieniu).
- Osobę podejmującą działania następcze
Może to być ta sama osoba/jednostka, co przyjmująca zgłoszenia, pod warunkiem zapewnienia bezstronności. Modele działań:- Komisja stała – zespół na stałe wyznaczony do weryfikacji zgłoszeń.
- Komisja ad hoc – skład dobierany do konkretnego przypadku.
- Tryb postępowania z anonimami
Organizacja może, ale nie musi przyjmować zgłoszeń anonimowych. Jeśli je dopuszcza, należy jasno określić:- czy będą rozpatrywane,
- w jaki sposób będą traktowane,
- czy wymagają innego trybu weryfikacji.
- Obowiązek potwierdzenia przyjęcia zgłoszenia w ciągu 7 dni
Dotyczy to zgłoszeń, w których sygnalista podał dane kontaktowe. - Obowiązek podjęcia działań następczych z należytą starannością
- Termin informacji zwrotnej – maks. 3 miesiące
Liczony:- od dnia potwierdzenia przyjęcia zgłoszenia, lub
- od 7 dnia po zgłoszeniu (jeśli nie było potwierdzenia),
o ile sygnalista podał dane kontaktowe.
- Informacje o możliwościach zgłoszeń zewnętrznych
W procedurze należy zamieścić informacje o:- Rzeczniku Praw Obywatelskich,
- organach publicznych,
- instytucjach UE (jeśli mają zastosowanie).
📝 Elementy fakultatywne – art. 25 ust. 2 u.o.s.
Organizacja może rozszerzyć procedurę o dodatkowe zapisy, w tym:
- katalog naruszeń regulacji wewnętrznych (np. polityki etycznej, zakaz przyjmowania prezentów),
- wskazanie obszarów ryzyka typowych dla danej branży (np. korupcja w zamówieniach publicznych, wycieki danych w sektorze IT),
- system zachęt do korzystania z wewnętrznego kanału zgłoszeń (np. szybsze działanie, pełna ochrona),
- informacja o możliwości pominięcia procedury wewnętrznej i zgłoszenia do organu publicznego.
📌 Co jeszcze warto uwzględnić?
Aby procedura była czytelna, zrozumiała i skuteczna, warto wprowadzić:
- definicję sygnalisty,
- katalog osób chronionych (np. osoby pomagające, współpracownicy sygnalisty),
- przykłady naruszeń – realne, z życia organizacji,
- etapy postępowania – od zgłoszenia po działania naprawcze,
- prawa i obowiązki stron (sygnalista, osoba, której dotyczy zgłoszenie),
- informacje o skutkach fałszywych zgłoszeń.
📢 Komunikacja, szkolenia i budowanie kultury zgłaszania naruszeń
Jak zachęcić do korzystania z procedury?
System działa tylko wtedy, gdy ludzie chcą z niego korzystać. Kluczem jest budowanie zaufania i świadomości.
Co warto wdrożyć?
- kampanię informacyjną – ulotki, plakaty, komunikaty mailowe,
- broszurę lub przewodnik dla pracowników – „Jak zgłaszać naruszenia?”,
- stronę internetową z informacjami o systemie zgłoszeń,
- szkolenia – obowiązkowe dla kadry kierowniczej i wybranych grup,
- cykliczne przypomnienia i aktualizacje informacji.
📌 Uwaga! Język komunikacji powinien być prostym, potocznym językiem, a nie formalnym „żargonem prawniczym”.
📚 Podsumowanie – dobre praktyki na etapie przygotowania systemu
✔ Zadbaj o staranny audyt organizacji – nie wdrażaj „szablonu”, tylko dopasuj system do siebie.
✔ Zaplanuj procedurę i kanały komunikacji, myśląc o poufności, skuteczności i zaufaniu.
✔ Pamiętaj, że nawet dobrowolne wdrożenie procedury musi być zgodne z ustawą.
✔ Konsultuj – zwiększa to zaangażowanie i akceptację systemu.
✔ Komunikuj jasno i ucz ludzi, jak korzystać z systemu – bez tego procedura będzie martwa.
📄 Podstawa prawna:
- art. 23–25, art. 8, art. 24, art. 29 – Ustawa z dnia 14 czerwca 2024 r. o ochronie sygnalistów
- RODO – Rozporządzenie (UE) 2016/679
- Dyrektywa Parlamentu Europejskiego i Rady (UE) 2019/1937
🔎 Tematy porad zawartych w poradniku:
- wdrożenie procedury dla sygnalistów
- obowiązki pracodawcy wobec sygnalistów
- whistleblowing w firmie 2025
- audyt systemu zgłoszeń wewnętrznych
- ochrona danych osobowych sygnalisty
🔗 Przydatne adresy urzędowe:
- https://www.rpo.gov.pl – Rzecznik Praw Obywatelskich
- https://uodo.gov.pl – Urząd Ochrony Danych Osobowych