Zgłoszenia wewnętrzne w firmie: procedura dla sygnalistów i rola zespołu

Czym są zgłoszenia wewnętrzne i po co firmie procedura

Zgłoszenie wewnętrzne to ustne albo pisemne przekazanie podmiotowi prawnemu informacji o naruszeniu prawa. Podmiot prawny jest prywatny albo publiczny.

Procedura posługuje się pojęciem działania następczego. To działanie podjęte w celu oceny prawdziwości informacji zawartych w zgłoszeniu oraz przeciwdziałania naruszeniu prawa będącemu przedmiotem zgłoszenia, w tym postępowanie wyjaśniające (edu.cba.gov.pl).

Procedura zgłoszeń wewnętrznych określa zasady zgłaszania naruszeń i nieprawidłowości, podejmowania działań następczych oraz ochrony osób dokonujących zgłoszeń. Tak określa to procedura GTV Poland S.A.

W procedurze GTV Poland S.A. zgłoszenie wewnętrzne obejmuje ustne lub pisemne przekazanie GTV Poland informacji o naruszeniu prawa lub wewnętrznych zasad, wartości czy procedur.

Podmiot publiczny to podmiot sektora publicznego. Ustawa obejmuje nim wszystkie podmioty sektora publicznego, z wyjątkiem organów gmin lub powiatów liczących do 10 000 mieszkańców.

Podmiot prywatny to osoba fizyczna prowadząca działalność gospodarczą, osoba prawna lub jednostka organizacyjna nieposiadająca osobowości prawnej, której ustawa przyznaje zdolność prawną, a także pracodawca – jeśli nie są podmiotami publicznymi.

Sygnalistą nie musi być obecny pracownik. Katalog w procedurze GTV Poland S.A. obejmuje pracownika lub współpracownika – bez względu na rodzaj pracy, zajmowane stanowisko i formę prawną powiązania.

Obejmuje też byłego pracownika i współpracownika, osobę uczestniczącą w rekrutacji lub innych negocjacjach poprzedzających zawarcie umowy o pracę albo umowy cywilnoprawnej, a także osobę prawną lub jednostkę organizacyjną nieposiadającą osobowości prawnej współpracującą na podstawie umowy cywilnoprawnej.

Ten katalog warto przenieść do własnej procedury: określa zakres ochrony i krąg osób, którym trzeba udostępnić kanał zgłoszeń.

Zgłoszenie musi dotyczyć kontekstu związanego z pracą. To przeszłe, obecne lub przyszłe działania związane z wykonywaniem pracy na podstawie stosunku pracy lub innego stosunku prawnego stanowiącego podstawę świadczenia pracy, usług albo pełnienia funkcji.

Informacja o naruszeniu prawa obejmuje naruszenie zaistniałe i potencjalne, uzasadnione podejrzenie naruszenia oraz informację o próbie ukrycia naruszenia prawa.

Cel procedury to zapobieganie nieprawidłowościom w miejscu pracy w zakresie wskazanym w przepisach powszechnie obowiązujących.

Wdrożenie porządkuje reakcję firmy: pracownik wie, gdzie i w jakiej formie zgłosić sprawę. Organizacja ma wyznaczone osoby, rejestr i ścieżkę działania następczego.

Zgłoszenie wewnętrzne to jeden z trzech trybów. Drugi to zgłoszenie zewnętrzne – ustne lub pisemne przekazanie informacji Rzecznikowi Praw Obywatelskich albo organowi publicznemu; trzeci to ujawnienie publiczne.

Procedura wewnętrzna reguluje pierwszy tryb, ale powinna być spójna z pozostałymi.

Zakres przedmiotowy warto doprecyzować w definicji. Obok naruszeń prawa procedura może obejmować naruszenia wewnętrznych zasad, wartości czy procedur obowiązujących w organizacji.

Takie rozszerzenie daje pracownikom jasny sygnał, że kanał służy również do zgłaszania nieprawidłowości wewnętrznych, których nie da się wprost przypisać do konkretnego przepisu.

Zgłoszenia zewnętrzne obsługuje organ publiczny. Potwierdza on sygnaliście przyjęcie zgłoszenia nie później niż w terminie 7 dni od dnia przyjęcia, a informację zwrotną przekazuje w terminie do 3 miesięcy, w uzasadnionych przypadkach do 6 miesięcy. Dane związane ze zgłoszeniem organ przechowuje przez 3 lata po zakończeniu roku kalendarzowego, w którym zakończono działania następcze (samorzad.gov.pl).

Tryby zgłoszeń: wewnętrzny, zewnętrzny i publiczne ujawnienie

Kogo obejmuje obowiązek wdrożenia procedury

Kryterium podstawowe jest kadrowe i zależne od daty. Przepisy stosuje się do podmiotu prawnego, na rzecz którego według stanu na dzień 1 stycznia lub 1 lipca danego roku wykonuje pracę zarobkową co najmniej 50 osób.

Ustawa zawiera własne zasady liczenia osób zatrudnionych. Przy weryfikacji progu nie wystarczy pobieżne spojrzenie na listę płac – trzeba zastosować reguły ustawowe.

Drugi krąg podmiotów jest niezależny od wielkości załogi. Obejmuje wszystkie podmioty sektora publicznego – z wyjątkiem organów gmin lub powiatów liczących do 10 000 mieszkańców.

Obejmuje też podmioty prawne wykonujące działalność w zakresie usług, produktów i rynków finansowych, przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, bezpieczeństwa transportu i ochrony środowiska. Te ostatnie muszą wdrożyć system ochrony sygnalistów niezależnie od liczby zatrudnionych.

Ustawa z dnia 14 czerwca 2024 r. o ochronie sygnalistów została opublikowana w Dzienniku Ustaw 24 czerwca 2024 r. Jej przepisy weszły w życie 25 września 2024 r.

Data jest istotna przy porządkowaniu dokumentacji. Jeśli procedura była przygotowywana przed wejściem w życie ustawy, trzeba sprawdzić, czy odpowiada ostatecznemu brzmieniu przepisów, w tym art. 25 określającemu elementy obligatoryjne procedury.

Praktyczny krok: wyznaczyć osobę odpowiedzialną za monitorowanie stanu zatrudnienia na 1 stycznia i 1 lipca oraz archiwizowanie danych źródłowych, na podstawie których ustalono liczbę zatrudnionych.

Dzięki temu organizacja może wykazać, czy i od kiedy podlegała obowiązkowi. Wychwyci też moment przekroczenia progu, np. po przejęciu zespołu lub gwałtownym wzroście rekrutacji.

Jak przygotować procedurę zgłoszeń wewnętrznych

Procedurę ustala się po konsultacjach. Dokument bazowy powinien zawierać wszystkie elementy obligatoryjne wskazane w art. 25 ustawy z dnia 14 czerwca 2024 r. o ochronie sygnalistów.

Zakres procedury obejmuje zasady zgłaszania naruszeń i nieprawidłowości, podejmowania działań następczych oraz ochrony osób dokonujących zgłoszeń. Tak określa to procedura GTV Poland S.A.

Procedura obejmuje też działania następcze i przekazywanie informacji zwrotnej. Informację zwrotną przekazuje się bez zbędnej zwłoki, nie później niż w terminie 3 miesięcy od potwierdzenia przyjęcia zgłoszenia, a w przypadku nieprzekazania potwierdzenia – od upływu 7 dni od dokonania zgłoszenia (edu.cba.gov.pl). W praktyce warto przygotować procedurę zgłoszeń wewnętrznych i prowadzić rejestr zgłoszeń wewnętrznych.

Procedura powinna też definiować działanie odwetowe. To bezpośrednie lub pośrednie działanie albo zaniechanie w kontekście związanym z pracą, spowodowane zgłoszeniem lub ujawnieniem publicznym, które narusza lub może naruszyć prawa sygnalisty albo wyrządzić mu nieuzasadnioną szkodę, w tym bezpodstawne inicjowanie postępowań przeciwko niemu (edu.cba.gov.pl). Procedura powinna wskazywać środki ochrony przed takimi działaniami.

Procedura powinna zapewniać ochronę osób dokonujących zgłoszeń. Kanały zgłoszeń powinny być dedykowane wyłącznie do komunikacji z sygnalistą (nik.gov.pl).

Procedura zgłoszeń wewnętrznych powinna gwarantować ochronę tożsamości sygnalisty i jego anonimowości. Dotyczy to także zgłoszeń anonimowych.

Procedura może zawierać wzór karty zgłoszenia jako załącznik. W procedurze GTV Poland S.A. karta zgłoszenia stanowi Załącznik nr 1.

To lista kontrolna, od której warto zacząć. Dopiero potem dodaje się rozwiązania własne, specyficzne dla organizacji, np. branżowe kategorie naruszeń.

Praktyczna kolejność wdrożenia: ustal, czy podmiot podlega obowiązkowi, przygotuj projekt procedury z elementami z art. 25, przeprowadź konsultacje i wyznacz kanały zgłoszeń.

Następnie wskaż zespół lub osoby przyjmujące zgłoszenia, uruchom rejestr, wykonaj czynności RODO, ustal datę wejścia w życie i poinformuj uprawnionych.

Na końcu dokumentuj zapoznanie pracowników i współpracowników oraz obsługuj zgłoszenia zgodnie z procedurą.

Podmioty należące do grupy kapitałowej mogą stworzyć wspólną procedurę zgłoszeń wewnętrznych. To rozwiązanie oszczędne przy wielu spółkach.

Wymaga jednak ustalenia, kto realnie przyjmuje zgłoszenia, kto prowadzi rejestry i jak rozdzielane są zadania między podmiotami. Wspólny dokument nie może pozostawiać wątpliwości, do której spółki trafia zgłoszenie dotyczące konkretnego zdarzenia.

Ustawa przewiduje obowiązek informowania o procedurze. Samo jej przyjęcie i podpisanie przez zarząd nie zamyka tematu.

Zasady informowania o możliwości dokonywania zgłoszeń powinny być częścią procedury. Obowiązek informowania o procedurze to odrębny etap wdrożenia.

Odrębny etap to wejście procedury w życie oraz poinformowanie osób uprawnionych do zgłaszania, czyli pracowników i współpracowników w rozumieniu przyjętych definicji.

Proces przygotowania warto udokumentować: wersję roboczą, przebieg konsultacji, zgłoszone uwagi i sposób ich rozstrzygnięcia oraz datę wejścia w życie. Taka dokumentacja przydaje się przy aktualizacji procedury i przy wykazywaniu, że obowiązek konsultacji został spełniony.

Przygotowanie procedury otwiera checklistę działań RODO. W jej skład wchodzą przegląd rejestru czynności przetwarzania, klauzule informacyjne, polityka retencji, upoważnienia, privacy by design i DPIA.

Okres przechowywania danych z rejestru, akt sprawy i korespondencji ze zgłaszającym powinien być ustalony w polityce retencji. To element przygotowania obsługi zgłoszeń.

Zalety i ryzyka wspólnych procedur dla grup kapitałowych

Kanały i formy zgłoszeń: ustne, pisemne i wzór karty

Procedura może przewidywać dwie podstawowe formy: zgłoszenie pisemne oraz ustne. Definicja zgłoszenia wewnętrznego mówi o ustnym lub pisemnym przekazaniu podmiotowi prawnemu informacji o naruszeniu prawa.

Kanały powinny być dedykowane wyłącznie do komunikacji z sygnalistą. NIK wskazała jako nieprawidłowość udostępnienie kanałów zgłoszeń, które nie były dedykowane wyłącznie do komunikacji z sygnalistą (nik.gov.pl).

Ustne zgłoszenie może przybrać formę bezpośredniego spotkania. Na wniosek sygnalisty zgłoszenie ustne może być dokonane podczas bezpośredniego spotkania zorganizowanego w terminie 14 dni od dnia otrzymania wniosku.

W praktyce warto wyznaczyć osoby, które mogą takie spotkanie przeprowadzić, i zabezpieczyć kalendarz. Dzięki temu osoba przyjmująca zgłoszenie zrealizuje je także pod nieobecność innych członków zespołu.

Zgłoszenia pisemne ułatwia wzór karty zgłoszenia stanowiący załącznik do procedury. W procedurze GTV Poland S.A. karta zgłoszenia jest wprost wskazywana jako wzór do dokonywania zgłoszeń wewnętrznych i stanowi Załącznik nr 1. Karta porządkuje opis zdarzenia i ogranicza liczbę doprecyzowujących rozmów.

Procedura powinna rozstrzygać, jak umożliwić zgłoszenia anonimowe i jak chronić tożsamość zgłaszającego. Trzeba ustalić, jak przyjąć zgłoszenie bez ujawniania tożsamości i jak oddzielić je od pozostałych danych.

Zapisy o anonimowości powinny być spójne z przyjętym modelem rejestru i ochrony danych osobowych.

Jeżeli kanałem jest infolinia, obowiązek informacyjny RODO spełnia się w formie komunikatu dźwiękowego. Przy dedykowanej skrzynce mailowej może to być autoresponder.

Rola zespołu ds. sygnalistów i osób przyjmujących zgłoszenia

W praktyce organizacja może określić, kto w firmie zajmuje się obsługą zgłoszeń.

Zadania związane z przyjmowaniem zgłoszeń, prowadzeniem rejestru i kontaktem ze zgłaszającym mogą być rozdzielone między kilka osób.

W procedurze można wyodrębnić role: osobę przyjmującą zgłoszenia, osobę prowadzącą rejestr oraz osobę kontaktującą się ze zgłaszającym. Dla każdej z nich warto wskazać zastępcę.

Do zadań zespołu należy przyjmowanie zgłoszeń, podejmowanie działań następczych oraz komunikacja z sygnalistą, w tym przekazanie potwierdzenia przyjęcia zgłoszenia i informacji zwrotnej (gov.pl).

Warto przypisać te zadania wcześniej, aby uniknąć opóźnień i niejasności.

Rozdzielenie ról między osobą przyjmującą zgłoszenie a zespołem obsługującym zapobiega sytuacji, w której zgłoszenie trafia do przełożonego, którego dotyczy, albo zatrzymuje się u osoby przyjmującej.

Szczegółowy podział zadań w zespole – kto przyjmuje zgłoszenia, kto prowadzi rejestr i kto kontaktuje się ze zgłaszającym – warto określić w procedurze wewnętrznej organizacji.

Kwestie organizacyjne, które najczęściej paraliżują obsługę zgłoszeń, warto rozstrzygnąć z góry. Wyznaczyć zastępcę dla każdego członka zespołu, określić zasady postępowania w razie konfliktu interesu (np. gdy zgłoszenie dotyczy członka zespołu lub osoby zarządzającej) oraz ustalić, kto przejmuje sprawę w razie nieobecności.

Takie ustalenia porządkują obsługę i zmniejszają ryzyko opóźnień.

Procedura powinna też gwarantować ochronę tożsamości sygnalisty i jego anonimowości.

Przy zgłoszeniach anonimowych szczególne znaczenie ma ochrona anonimowości sygnalisty.

Przebieg obsługi zgłoszenia wewnętrznego krok po kroku

Krok pierwszy: przyjęcie zgłoszenia w jednej z form przewidzianych procedurą – pisemnie albo ustnie. Jeżeli sygnalista wnioskuje o zgłoszenie ustne, spotkanie organizuje się w terminie 14 dni od dnia otrzymania wniosku.

Krok drugi: rejestracja. Warto prowadzić rejestr zgłoszeń wewnętrznych na bieżąco, a nie uzupełniać po fakcie.

Krok trzeci: potwierdzenie przyjęcia zgłoszenia. Potwierdzenie przyjęcia zgłoszenia ma znaczenie dla biegu terminu na informację zwrotną. Jeżeli potwierdzenia nie przekazano, termin liczy się od upływu 7 dni od dokonania zgłoszenia (edu.cba.gov.pl).

Krok czwarty: rozpatrzenie zgłoszenia i podjęcie działań następczych. W zależności od treści zgłoszenia może to oznaczać wyjaśnienie stanu faktycznego, zabezpieczenie dokumentów albo wewnętrzne ustalenia z osobami wskazanymi w zgłoszeniu – zawsze w zakresie niezbędnym do wyjaśnienia sprawy i z poszanowaniem zasady minimalizacji danych.

Krok piąty: kontakt ze zgłaszającym. Cała obsługa powinna być prowadzona z poszanowaniem poufności i ochrony tożsamości sygnalisty, a korespondencja i rejestr nie powinny być dostępne dla całej organizacji, w tym dla przełożonych mogących być stroną zgłoszenia.

Krok szósty: informacja zwrotna. Przekazuje się ją bez zbędnej zwłoki, nie później niż w terminie 3 miesięcy od potwierdzenia przyjęcia zgłoszenia. Jeżeli potwierdzenia nie przekazano, termin liczy się od upływu 7 dni od dokonania zgłoszenia (edu.cba.gov.pl).

Krok siódmy: zabezpieczenie dokumentacji i retencja. Polityka retencji określa okres przechowywania danych z rejestru, akt sprawy i korespondencji ze zgłaszającym.

Rejestr zgłoszeń wewnętrznych i dokumentacja

Rejestr zgłoszeń wewnętrznych to podstawowe narzędzie kontroli nad procesem. Powinien pozwalać na ustalenie, ile zgłoszeń wpłynęło, w jakich formach, na jakim etapie jest każde z nich i jakie działania następcze podjęto – bez otwierania akt konkretnej sprawy przez osoby nieupoważnione.

Rejestr obejmuje numer zgłoszenia, przedmiot zgłoszenia, datę dokonania zgłoszenia oraz dane osobowe sygnalisty i osoby, której dotyczy zgłoszenie. Dalej: adres do kontaktu sygnalisty, datę potwierdzenia przyjęcia zgłoszenia, datę przekazania informacji zwrotnej, informację o podjętych działaniach następczych oraz datę zakończenia sprawy (gov.pl).

Prowadzenie rejestru w arkuszu dostępnym dla wszystkich działów jest błędem, bo niweczy poufność.

Drugi filar dokumentacji to polityka retencji. W ramach przygotowań do obsługi zgłoszeń trzeba wykonać przegląd i aktualizację polityki retencji, tak aby okresy przechowywania danych z rejestru, akt sprawy i korespondencji ze zgłaszającym były ustalone i spójne z przepisami o ochronie danych osobowych.

Dokumentacja procesu – sama procedura, wzór karty zgłoszenia, wzory upoważnień, wzory klauzul informacyjnych – powinna być wersjonowana.

Każda zmiana przepisów, kanałów komunikacji albo struktury zespołu wymaga sprawdzenia, czy nie trzeba zaktualizować tych dokumentów. Historia zmian powinna być możliwa do odtworzenia.

Rejestr zgłoszeń wewnętrznych powinien być prowadzony na bieżąco.

Ochrona danych osobowych w obsłudze zgłoszeń

Obsługę zgłoszeń trzeba wpisać w dokumentację RODO. Pierwszy krok to przegląd i aktualizacja wpisu dotyczącego procesu obsługi zgłoszeń sygnalistów w rejestrze czynności przetwarzania, ze szczególnym uwzględnieniem podstaw prawnych legalizujących ten proces.

Przy przetwarzaniu danych zwykłych, np. danych kontaktowych sygnalisty, jako właściwe podstawy wskazuje się art. 6 ust. 1 lit. c oraz art. 6 ust. 1 lit. e RODO. Przy danych szczególnych, np. informacjach o stanie zdrowia – art. 9 ust. 2 lit. g oraz art. 9 ust. 2 lit. b RODO.

Kolejny element to klauzule obowiązku informacyjnego dedykowane odrębnym grupom: sygnalistom, osobom postronnym oraz członkom rodziny – zgodnie z art. 13 lub art. 14 RODO, w zależności od źródła pozyskania danych osobowych.

Forma i moment spełnienia obowiązku informacyjnego zależą od kanału komunikacji. Przy infolinii powinno to nastąpić w formie komunikatu dźwiękowego, a przy dedykowanych skrzynkach mailowych może nastąpić np. w ramach stosownego autorespondera.

W procesie trzeba też nadać upoważnienia do przetwarzania danych. Dotyczy to również danych szczególnych kategorii. Upoważnienia otrzymują osoby zaangażowane w obsługę zgłoszeń.

Upoważnienia powinny być powiązane z rejestrem osób upoważnionych i zakresem ich zadań. Nie wydaje się ich „na dział” bez wskazania konkretnych osób.

Dwie czynności mają charakter projektowy i powinny zostać wykonane przed uruchomieniem kanałów zgłoszeń: privacy by design dla procesu obsługi zgłoszeń sygnalistów oraz DPIA, czyli ocena skutków dla ochrony danych, zgodnie z Komunikatem Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca.

W sprawach ochrony danych osobowych właściwy jest Prezes Urzędu Ochrony Danych Osobowych.

Przy anonimowych zgłoszeniach zakres zbieranych danych oraz sposób ich oddzielenia od tożsamości zgłaszającego warto rozstrzygnąć właśnie na etapie privacy by design.

Praktyczna kolejność prac RODO obejmuje przygotowanie procedury, przegląd wpisu w rejestrze czynności przetwarzania, klauzule informacyjne, politykę retencji, upoważnienia, privacy by design i DPIA. Te czynności warto wykonać przed uruchomieniem kanałów zgłoszeń.

Wdrożenie w praktyce: informowanie pracowników i potwierdzenie zapoznania

Procedura musi być realnie zakomunikowana. Sam dokument w intranecie nie spełnia funkcji informacyjnej.

Najskuteczniejszy model łączy kilka kanałów: przekazanie procedury w formie elektronicznej lub papierowej, spotkanie informacyjne z omówieniem dopuszczalnych form zgłoszeń i terminów oraz wskazanie konkretnych osób przyjmujących zgłoszenia.

Odrębna kwestia to zapoznawanie nowych pracowników. W procedurze GTV Poland S.A. z treścią procedury zapoznaje się każdego przyjmowanego pracownika przed rozpoczęciem przez niego pracy. Pracownik potwierdza znajomość procedury, podpisując stosowne oświadczenie, które dołącza się do jego akt osobowych.

Potwierdzenie zapoznania powinno być dokumentowane tak, aby później wykazać, kto i kiedy został zapoznany oraz z którą wersją procedury.

Oświadczenia warto przechowywać razem z informacją o wersji dokumentu. Po aktualizacji procedury trzeba ponowić zapoznanie z nowym brzmieniem, a nie tylko odnotować sam fakt szkolenia.

Aktualizacja procedury pociąga za sobą konieczność ponownego poinformowania o niej osób uprawnionych. Jeśli zmieniają się kanały zgłoszeń, sposób działania infolinii albo wzór karty zgłoszenia, sama zmiana dokumentu bez komunikatu do załogi sprawi, że pracownicy będą nadal korzystać z nieaktualnych ścieżek.