Sygnaliści w firmie: procedura zgłoszeń wewnętrznych i zakaz działań odwetowych

Sygnalista nie jest po prostu osobą składającą każdą skargę

Ustawa z 14 czerwca 2024 r. reguluje określone informacje o naruszeniu prawa uzyskane w kontekście związanym z pracą. Zgłoszenie dotyczące sporu o pojedynczą ocenę pracowniczą nie zawsze mieści się w ustawowym katalogu. Istotne jest źródło informacji, jej zakres przedmiotowy i uzasadnione podstawy przekonania zgłaszającego o prawdziwości danych w chwili zgłoszenia. Procedura organizacji może dodatkowo obejmować inne wskazane kategorie, ale trzeba jasno rozróżnić reżimy ochronne.

Kiedy organizacja musi mieć procedurę

Art. 23 ustawy wiąże obowiązek co do zasady z podmiotami, na rzecz których wykonuje pracę zarobkową co najmniej 50 osób, według zasad liczenia przewidzianych ustawą i dat referencyjnych. Nie liczy się wyłącznie nominalnej liczby umów o pracę. Przepis przewiduje także istotne wyjątki dla określonych sektorów, w których próg nie ma zastosowania. Dlatego kwalifikacja powinna uwzględniać umowy cywilnoprawne i rzeczywisty profil działalności.

Kanały zgłoszeń muszą zapewniać poufność

Organizacja może przyjmować zgłoszenia poprzez odpowiednie mechanizmy pisemne i ustne, ale musi zapewnić przewidziane prawem zabezpieczenia tożsamości zgłaszającego i innych osób. Sam adres poczty elektronicznej dostępny dla całego działu HR jest często niewystarczający. Warto ograniczyć dostęp do wyznaczonych osób, ustalić sposób autoryzacji, retencję i dokumentowanie czynności. Poufność chroni zarówno sygnalistę, jak i osoby, których dotyczą zarzuty.

Bezstronność osób badających zgłoszenie

Procedura powinna wskazywać uprawnioną i bezstronną osobę albo jednostkę odpowiedzialną za działania następcze. Jeżeli zgłoszenie dotyczy członka zarządu albo bezpośredniego przełożonego osoby rozpoznającej, konieczny jest mechanizm zarządzania konfliktem interesów. Nie wystarczy zapewnienie, że „sprawę zawsze bada szef działu”, jeśli może on być uczestnikiem zdarzenia. Zewnętrzny podmiot może wykonywać określone czynności na podstawie umowy, lecz organizacja nadal odpowiada za swoje ustawowe obowiązki.

Potwierdzenie zgłoszenia w 7 dni

Art. 25 przewiduje obowiązek potwierdzenia sygnaliście przyjęcia zgłoszenia wewnętrznego zasadniczo w ciągu 7 dni od otrzymania, chyba że nie podał adresu do kontaktu umożliwiającego przekazanie potwierdzenia. Warto wdrożyć bezpieczne rozwiązanie techniczne rejestrujące datę przyjęcia i wysłania komunikatu. Nie należy przekazywać potwierdzenia na przypadkowy adres, jeśli mogłoby to ujawnić fakt zgłoszenia osobie nieuprawnionej.

Informacja zwrotna w ciągu 3 miesięcy

Ustawa przewiduje maksymalny termin na przekazanie informacji zwrotnej nieprzekraczający co do zasady 3 miesięcy od potwierdzenia przyjęcia, a gdy potwierdzenia nie przekazano – od upływu 7 dni od dokonania zgłoszenia, przy uwzględnieniu ustawowych wyjątków dotyczących braku adresu kontaktowego. Informacja powinna odnosić się do planowanych lub podjętych działań i ich uzasadnienia. Nie oznacza to jednak obowiązku ujawnienia wszystkim uczestnikom pełnej dokumentacji postępowania wewnętrznego.

Zakaz działań odwetowych

Ustawa chroni osoby spełniające ustawowe warunki przed określonymi działaniami odwetowymi związanymi ze zgłoszeniem. W praktyce ryzyko dotyczy nie tylko zwolnienia, lecz również nieuzasadnionego ograniczania awansów, pogorszenia warunków współpracy, nacisku lub działań reputacyjnych. Każdy spór wymaga analizy przyczyn decyzji kadrowej i możliwego związku ze zgłoszeniem. Nie należy też przyjmować, że status sygnalisty zwalnia z wszystkich obowiązków zawodowych niezwiązanych ze zgłoszeniem.

RODO i ochrona danych osób wskazanych w zgłoszeniu

Zgłoszenia mogą obejmować dane osobowe, dokumentację finansową, dane pracowników i informacje o zarzucanych naruszeniach. Podmiot musi stosować właściwe podstawy przetwarzania, minimalizację, kontrolę dostępu i retencję przewidzianą prawem. Nie należy automatycznie przekazywać szczegółów zarzutów całej kadrze menedżerskiej. Ochrona zgłaszającego nie oznacza prawa do zbierania nieograniczonej ilości prywatnych informacji o osobach trzecich.

Procedura anonimowych zgłoszeń

Ustawa wymaga odpowiedniego odniesienia się w procedurze do postępowania z informacjami zgłaszanymi anonimowo. Organizacja powinna w jasny sposób wskazać przyjęty model i zasady dalszej oceny takich sygnałów. Nie należy obiecywać możliwości bezpiecznej komunikacji zwrotnej, jeśli system techniczny nie zapewnia jej w przypadku pełnej anonimowości. Zawsze warto dbać o autentyczność materiału i ochronę osób mogących zostać niesłusznie wskazanych.

Rejestr zgłoszeń i działania następcze

Podmiot zobowiązany powinien prowadzić odpowiednią dokumentację zgłoszeń i podjętych działań, z zachowaniem właściwych terminów i poufności. Nie każda informacja wymaga identycznej eskalacji, ale każda powinna być oceniona zgodnie z przyjętą procedurą. W poważnych sprawach możliwe jest skierowanie ustaleń do właściwych organów, zależnie od obowiązków prawa. Należy oddzielić wstępną weryfikację od finalnych ustaleń, aby nie traktować niepotwierdzonego zarzutu jako faktu.

Audyt skuteczności procedury

Dobra polityka sygnalistów określa nie tylko kanał zgłoszenia, ale także terminy, odpowiedzialność, bezpieczeństwo danych, sposób raportowania i kontrolę działań odwetowych. Warto okresowo testować dostęp do systemu, zastępstwa nieobecnych osób i prowadzenie postępowań w sprawach dotyczących kierownictwa. Dokument powinien być dostępny dla osób objętych zakresem ustawy, w tym w odpowiednim momencie dla kandydatów podczas rekrutacji. Pozorne wdrożenie bez realnych upoważnień bywa źródłem poważnego ryzyka compliance.

Działania odwetowe mogą być pośrednie

Ochrona sygnalisty nie ogranicza się do zakazu formalnego zwolnienia z pracy. W zależności od okoliczności działania odwetowe mogą polegać na ograniczaniu możliwości awansu, izolowaniu zawodowym, nieuzasadnionym pogarszaniu ocen albo nacisku na rozwiązanie współpracy. Nie każda niekorzystna decyzja pracodawcy jest jednak automatycznie odwetem. Organizacja powinna potrafić wykazać jej rzeczywiste, niezależne od zgłoszenia podstawy oraz przejrzysty proces podejmowania decyzji.

Zgłoszenie zewnętrzne a kanał wewnętrzny

Ustawa przewiduje również mechanizm zgłoszeń zewnętrznych do właściwych organów. Procedura firmowa nie powinna wprowadzać pracowników w błąd, że każda informacja musi zostać najpierw skierowana do pracodawcy. Należy zapewnić rzetelne informacje o dostępnych ścieżkach oraz odpowiadających im warunkach ochrony. Jednocześnie kanał wewnętrzny, jeśli działa bezstronnie i bezpiecznie, może pozwalać na szybsze wykrycie i wyeliminowanie nieprawidłowości w organizacji.

Audyt kanału zgłoszeń po kilku miesiącach

Wdrożenie systemu powinno być okresowo testowane w praktyce: czy potwierdzenia są wysyłane terminowo, czy nie ma nieuprawnionych dostępów, czy zarejestrowano działania następcze i czy sygnalista otrzymał odpowiednią informację zwrotną. Warto również weryfikować bezpieczeństwo zewnętrznej platformy, właściwe upoważnienia i zgodność okresów przechowywania danych. Procedura, która funkcjonuje wyłącznie jako plik PDF w intranecie, nie zapewnia realnej ochrony ani pracownikowi, ani organizacji.

Powiązane analizy

Kultura compliance w organizacji · Tajemnica przedsiębiorstwa po odejściu pracownika