Procedura sygnalistów w firmie i wdrożenie

Kontrahent przesyła ankietę dostawcy i pyta o procedurę zgłaszania nieprawidłowości. Przed audytem trzeba wskazać kanał zgłoszeń, osoby odpowiedzialne i sposób ochrony sygnalisty. W firmie jest już dokument, ale nikt nie wie, kto sprawdza skrzynkę i co zrobić po otrzymaniu wiadomości.

Takie pytania dotyczą zarówno obowiązków prawnych, jak i przygotowania firmy do współpracy z większymi organizacjami. Dobrze wdrożona procedura pomaga bezpiecznie przyjmować zgłoszenia, wyjaśniać nieprawidłowości i pokazać kontrahentowi, jak firma zarządza tym obszarem.

Kto musi mieć procedurę sygnalistów

Co do zasady obowiązek ustanowienia procedury zgłoszeń wewnętrznych dotyczy podmiotów, na rzecz których według stanu na 1 stycznia lub 1 lipca danego roku pracę zarobkową wykonuje co najmniej 50 osób. Nie wystarczy jednak sprawdzić liczby osób na liście płac. Pracowników liczy się w przeliczeniu na pełne etaty, a obok nich uwzględnia się osoby świadczące pracę za wynagrodzeniem na innej podstawie, jeżeli nie zatrudniają do tej pracy innych osób. Może to obejmować zleceniobiorców i współpracowników B2B. [1]

Dla określonych rodzajów działalności próg 50 osób nie obowiązuje. Dotyczy to działalności objętej wskazanymi w ustawie regulacjami unijnymi m.in. w sektorze finansowym, przeciwdziałaniu praniu pieniędzy, bezpieczeństwie transportu i ochronie środowiska. Obowiązek wymaga sprawdzenia w odniesieniu do konkretnej działalności; sama nazwa branży nie rozstrzyga sprawy. [1]

Mniejsza firma, która nie podlega temu obowiązkowi, może wprowadzić procedurę dobrowolnie. Może też potrzebować mechanizmu zgłoszeń ze względu na wymagania kontrahenta. Wdrożenie ustawowej procedury i realizację zobowiązań wobec odbiorcy warto wtedy zaplanować razem.

Po co firmie system zgłaszania nieprawidłowości

Pracownik lub współpracownik może wcześniej dostrzec naruszenie dotyczące korupcji, ochrony danych, bezpieczeństwa produktów czy środowiska. Dostępny i poufny kanał daje możliwość przekazania tej informacji osobie, która wie, jak z nią postąpić. Firma zyskuje szansę na wcześniejsze wyjaśnienie problemu i ograniczenie jego skutków.

System musi jednocześnie chronić zgłaszającego przed odwetem oraz respektować prawa osób, których dotyczy zgłoszenie. Samo oskarżenie nie przesądza o naruszeniu. Potrzebne są bezstronna ocena, kontrola dostępu do informacji i udokumentowane działania.

Nie każda skarga pracownicza jest zgłoszeniem objętym ustawą. Trzeba rozróżnić ustawowy katalog naruszeń od spraw objętych procedurą antymobbingową, innymi regulacjami pracowniczymi lub standardami etycznymi. Możliwość rozszerzenia procedury wewnętrznej wymaga odpowiedniego uregulowania. [1]

Procedura sygnalistów w łańcuchu dostaw

Przy wyborze dostawcy duża organizacja może sprawdzać również sposób zarządzania ryzykiem prawnym i etycznym. Wymagania dotyczące zgłaszania nieprawidłowości bywają częścią kodeksu dostawcy, ankiety kwalifikacyjnej albo załącznika compliance do umowy.

To nie jest wyłącznie deklaracja wizerunkowa. Kingfisher wskazuje w publicznym raporcie Responsible Business Report 2024/25, że włącza swój kodeks postępowania do procesów zakupowych i umów z dostawcami, a kanał SpeakUp udostępnia również dostawcom i wykonawcom. To przykład powiązania standardów etycznych z relacją handlową; konkretne obowiązki dostawcy trzeba odczytać z jego umowy i przyjętych standardów. [2]

Firma zatrudniająca np. 30 osób może więc nie mieć ustawowego obowiązku wdrożenia procedury, a mimo to otrzymać od odbiorcy wymóg zapewnienia kanału zgłoszeń i ochrony przed odwetem. Sam próg zatrudnienia nie rozstrzyga, czy spełnia warunki współpracy.

Zależnie od treści uzgodnień brak odpowiednich rozwiązań może prowadzić do zaleceń audytowych, konieczności przedstawienia planu naprawczego lub trudności z uzyskaniem akceptacji jako dostawca. Jeżeli umowa przewiduje takie skutki, naruszenie wymagań może również wpływać na dalszą współpracę. Nie jest to jednak automatyczna sankcja wynikająca z samej ustawy o ochronie sygnalistów.

Co można wykazać podczas audytu dostawcy

Na potrzeby audytu warto umieć pokazać, kiedy przyjęto procedurę, jak poinformowano o niej osoby uprawnione, kto obsługuje kanał i jak zapewniono poufność. Znaczenie ma także to, czy osoby odpowiedzialne znają swoje zadania oraz czy ustalono sposób działania w razie ich nieobecności lub konfliktu interesów.

Dokumentacja powinna odpowiadać temu, co rzeczywiście działa. Nie należy deklarować w ankiecie całodobowej obsługi, anonimowości albo szczególnych zabezpieczeń, jeżeli firma ich nie zapewnia. Podobnie samo posiadanie procedury nie gwarantuje pozytywnego wyniku audytu ani zawarcia kontraktu.

Prawidłowo działający system może natomiast wspierać ocenę rzetelności dostawcy: pokazuje, że firma potrafi przyjąć informację o problemie, chronić uczestników postępowania i podjąć działania naprawcze.

Audyt nie daje kontrahentowi nieograniczonego dostępu do zgłoszeń. Sposób wykazania działania systemu trzeba pogodzić z ochroną tożsamości sygnalisty, danych innych osób i poufnych informacji. W zależności od zakresu audytu mogą wystarczyć dokumenty organizacyjne, opis procesu lub odpowiednio zanonimizowane informacje. [1, 3]

Wdrożenie dopasowane do organizacji

Przygotowanie procedury wymaga ustalenia, jak firma działa, jakie ma ryzyka i czego oczekują jej kontrahenci. Trzeba zaplanować kanały zgłoszeń, zakres uprawnień, komunikację z sygnalistą, rejestr, ochronę danych i postępowanie po otrzymaniu zgłoszenia.

Znaczenie ma również sposób przyjęcia dokumentów. Ustawa przewiduje konsultacje ze związkami zawodowymi albo właściwie wyłonionymi przedstawicielami osób świadczących pracę oraz okres pomiędzy ogłoszeniem procedury a jej wejściem w życie. Wymaga też przekazywania informacji o procedurze przy rozpoczynaniu rekrutacji lub negocjacji dotyczących wskazanych w ustawie form współpracy. [1]

Za nieustanowienie wymaganej procedury lub ustanowienie jej z istotnym naruszeniem wymogów ustawy osobie odpowiedzialnej grozi grzywna. Odrębnie uregulowano odpowiedzialność za utrudnianie zgłoszeń, odwet i bezprawne ujawnienie tożsamości sygnalisty. [1]

W BRP Legal Point przygotowuję dokumentację i pomagam przeprowadzić wdrożenie w konkretnej firmie. Uzgodniony zakres może obejmować ocenę obowiązków, procedurę i dokumenty towarzyszące, przygotowanie konsultacji i ogłoszenia, uporządkowanie upoważnień i wymogów RODO, instruktaż osób odpowiedzialnych oraz przygotowanie informacji potrzebnych w relacjach z kontrahentami.

Zewnętrzny punkt kontaktowy i wsparcie przy zgłoszeniach

W ramach współpracy mogę pełnić funkcję zewnętrznego punktu kontaktowego dla zgłoszeń wewnętrznych, niezależnego od bieżącej hierarchii służbowej firmy. Zakres obejmujący przyjmowanie zgłoszeń, potwierdzanie wpływu i komunikację ustalamy w umowie oraz dokumentacji wdrożeniowej. Zgłoszenie przekazane takim kanałem nadal pozostaje zgłoszeniem wewnętrznym firmy. [1]

Osobno ustalamy odpowiedzialność za merytoryczne rozpatrywanie spraw. Ustawa rozróżnia podmiot zewnętrzny przyjmujący zgłoszenia oraz bezstronną osobę lub jednostkę w strukturze organizacji upoważnioną do działań następczych. Dlatego sposób mojego udziału w wyjaśnianiu zgłoszeń dopasowujemy do zgodnego z ustawą modelu organizacyjnego. [1]

Przewidujemy również zasady wyłączenia od sprawy w razie konfliktu interesów. Ma to szczególne znaczenie, gdy zgłoszenie dotyczy zarządu, osoby przyjmującej zgłoszenia lub sprawy, w której wcześniej doradzała. Powierzenie obsługi kancelarii nie zwalnia firmy z jej ustawowych obowiązków.

Gotowość punktu kontaktowego w cenie wdrożenia

Zlecając mi przygotowanie i wdrożenie dokumentacji, otrzymujesz 12 miesięcy gotowości zewnętrznego punktu kontaktowego bez dodatkowej opłaty abonamentowej.

W tym okresie pozostaję wskazaną w procedurze osobą do kontaktu, monitoruję uzgodniony kanał w dni robocze i zapewniam przyjęcie zgłoszenia, potwierdzenie jego wpływu oraz bezpieczne skierowanie go do właściwej osoby zgodnie z przyjętym modelem. Zasady dostępności, zastępstwa i reakcji określamy z góry, tak aby zapewnić obsługę w ustawowych terminach.

Merytoryczna analiza zgłoszeń, prowadzenie postępowań wyjaśniających i dodatkowe działania prawne są rozliczane odrębnie, według zasad uzgodnionych już przy wdrożeniu. Dzięki temu po otrzymaniu zgłoszenia firma ma ustalony sposób działania i warunki uruchomienia dalszej pomocy. Warunki kontynuacji punktu kontaktowego po 12 miesiącach określamy w umowie.

Warunki wdrożenia i obsługi procedury

Wdrożenie może objąć ocenę obowiązków, dokumentację, przygotowanie konsultacji i ogłoszenia, zasady ochrony danych oraz organizację punktu kontaktowego. Uzgodniony zakres przekłada się na dokumenty i podział zadań w firmie.

W pierwszym kontakcie wystarczy rodzaj działalności, liczba osób pracujących na rzecz firmy oraz informacja o istniejącej procedurze lub wymaganiach kontrahenta. Przed rozpoczęciem pracy przedstawiam zakres, termin i wynagrodzenie.

Opisane powyżej 12 miesięcy gotowości punktu kontaktowego jest uwzględnione w cenie wdrożenia. Zasady obsługi i odrębnego rozliczania analizy zgłoszeń określamy przy zawieraniu umowy.

Współpracujesz bezpośrednio ze mną. Obsługuję firmy w Mińsku Mazowieckim i zdalnie w całej Polsce.

Kontakt w sprawie wdrożenia procedury