Audytor ESG lub duży kontrahent prosi Cię o dane z systemu zgłoszeń sygnalistów. Potrzebujesz dokumentu na piątek. Rejestr leży w systemie. I nie wolno Ci go nikomu wysłać — nawet własnemu działowi ESG.
To sytuacja, z którą mierzy się coraz więcej firm przechodzących oceny zrównoważonego rozwoju, audyty kontrahentów lub due diligence łańcucha dostaw. Ankieta wymaga dowodu, że kanał zgłoszeń działa. Odmowa bez alternatywy obniża scoring. Udostępnienie rejestru narusza prawo.
Między tymi dwoma złymi odpowiedziami jest trzecia — prawidłowa. To raport zagregowany: odrębny dokument sporządzony na potrzeby oceny, który zamyka pole w ankiecie bez naruszania poufności rejestru zgłoszeń wewnętrznych.
W tym artykule pokażę, gdzie przebiega granica poufności, kto w Twojej firmie jest „osobą nieuprawnioną” (wynik może Cię zaskoczyć) i jakie dziewięć elementów powinien zawierać dokument, który audytor zaliczy.
Podstawowe pojęcia, zanim zaczniemy
Zanim przejdziemy do szczegółów, warto uporządkować kilka terminów, które pojawiają się w dalszej części artykułu.
| Pojęcie | Co oznacza |
|---|---|
| Rejestr zgłoszeń wewnętrznych | Dokument prowadzony przez podmiot prawny na podstawie art. 29 ustawy o ochronie sygnalistów. Zawiera m.in. numer zgłoszenia, przedmiot naruszenia, dane sygnalisty i osoby wskazanej, datę zgłoszenia oraz informację o działaniach następczych. Dostęp mają wyłącznie osoby upoważnione. |
| Raport zagregowany | Odrębny dokument sporządzony ad hoc na potrzeby audytu lub ankiety. Zawiera dane statystyczne (np. liczbę zgłoszeń w okresie), z których nie da się zidentyfikować żadnej osoby. Nie jest wyciągiem z systemu. |
| Komisja ds. naruszeń | Organ rozpatrujący zgłoszenia — wewnętrzny, zewnętrzny (np. kancelaria prawna) lub mieszany. Jej członkowie to jedyne osoby upoważnione do przetwarzania danych z rejestru. |
| Osoba nieuprawniona | Każdy, kto nie został formalnie upoważniony do dostępu do rejestru zgłoszeń. Dotyczy to także pracowników firmy — działu ESG, HR (poza komisją), administracji, a w wielu modelach również zarządu. |
| ESRS G1 | Europejski Standard Sprawozdawczości Zrównoważonego Rozwoju dotyczący ładu korporacyjnego. W zakresie whistleblowingu wymaga opisu funkcjonowania kanałów i oceny zaufania pracowników — nie wymaga obowiązkowego wskaźnika liczbowego. |
Dlaczego nie możesz udostępnić rejestru zgłoszeń
Co mówi ustawa o ochronie sygnalistów
Ustawa z 14 czerwca 2024 r. o ochronie sygnalistów (Dz.U. 2024 poz. 928), obowiązująca od 25 września 2024 r., jasno reguluje trzy sprawy dotyczące rejestru:
- Obowiązek prowadzenia rejestru — art. 29 ust. 1 pkt 1 nakłada go na podmiot prawny, który jest administratorem danych.
- Ograniczony dostęp — art. 29 ust. 6 dopuszcza do rejestru wyłącznie osoby upoważnione przez podmiot prawny.
- Okres przechowywania — art. 29 ust. 5 określa go na 3 lata po zakończeniu roku kalendarzowego, w którym zakończono działania następcze lub powiązane postępowania.
Rejestr zawiera dane wrażliwe: numer zgłoszenia, przedmiot naruszenia, dane identyfikacyjne sygnalisty i osoby wskazanej w zgłoszeniu, adres kontaktowy sygnalisty (jeśli podany), datę zgłoszenia oraz informację o podjętych działaniach następczych.
Sankcje za naruszenie poufności
Art. 56 ustawy przewiduje odpowiedzialność karną za bezprawne ujawnienie tożsamości sygnalisty, osoby pomagającej w zgłoszeniu lub osoby powiązanej z sygnalistą: grzywnę, karę ograniczenia wolności albo pozbawienie wolności do 1 roku (źródło: tekst sejmowy).
Równolegle może dojść do naruszenia ochrony danych osobowych — a to uruchamia postępowanie UODO i potencjalną administracyjną karę pieniężną na podstawie art. 83 RODO.
Udostępnienie rejestru audytorowi lub kontrahentowi bez podstawy prawnej może więc wypełniać znamiona przestępstwa z art. 56 i naruszenia RODO. Konsekwencje nie są hipotetyczne.
Kto w Twojej firmie jest „osobą nieuprawnioną”
To punkt, który zaskakuje wielu przedsiębiorców. Wobec rejestru zgłoszeń wewnętrznych osobami nieuprawnionymi są:
- Dział ESG / zrównoważonego rozwoju
- HR — poza członkami komisji ds. naruszeń
- Administracja i office management
- Zarząd — jeśli jego członkowie nie zostali formalnie upoważnieni
- Audytor zewnętrzny i kontrahent
Uprawnieni to wyłącznie członkowie komisji ds. naruszeń — wewnętrznej, zewnętrznej lub mieszanej — formalnie upoważnieni przez podmiot prawny.
To oznacza, że specjalistka ds. zrównoważonego rozwoju, która pisze maila „potrzebujemy raportu z liczbą zgłoszeń”, nie może otrzymać wyciągu z rejestru ani zrzutu ekranu z systemu. Nawet jeśli działa na polecenie pracodawcy i w jego interesie.
Analogię znajdziesz w innych reżimach prawnych. Ustawa o przeciwdziałaniu praniu pieniędzy (art. 80) stosuje ten sam wzorzec: GIIF wyznacza osoby uprawnione do odbierania zgłoszeń, a środki komunikacji muszą zapewniać „poufność, integralność i dostępność informacji, w tym zabezpieczenie przed odczytaniem przez osoby nieuprawnione”. Ograniczony krąg uprawnionych to standard, nie wyjątek.
Napisz do nas — sprawdzimy, czy Twoja mapa uprawnień do rejestru zgłoszeń jest poprawna.
Raport zagregowany — co to jest i dlaczego działa
Granica między daną poufną a daną zagregowaną
Granica jest jedna i przebiega wyraźnie:
| Element | Chroniony? | Można przekazać audytorowi? |
|---|---|---|
| Treść zgłoszenia | Tak | Nie |
| Dane identyfikujące sygnalistę | Tak | Nie |
| Dane osoby wskazanej w zgłoszeniu | Tak | Nie |
| Opis stanu faktycznego sprawy | Tak | Nie |
| Liczba zgłoszeń w okresie | Nie | Tak |
| Rozstrzygnięcie w formie rodzajowej | Nie | Tak |
| Informacja o działaniach następczych (bez danych osób) | Nie | Tak |
Sama liczba zgłoszeń w okresie to dana zagregowana — nie pozwala na identyfikację żadnej osoby. Można ją przekazać na zewnątrz. Ale nie w formie wyciągu z systemu. Właściwą formą jest odrębny dokument: raport zagregowany sporządzony ad hoc.
Uwaga przy małej liczbie zgłoszeń — ryzyko reidentyfikacji
Motyw 26 RODO stanowi, że przepisy o ochronie danych nie stosują się do informacji anonimowych — takich, które nie pozwalają na identyfikację osoby żadnym rozsądnie prawdopodobnym sposobem (źródło: EUR-Lex, RODO).
Jeśli w okresie sprawozdawczym wpłynęło jedno zgłoszenie, a organizacja jest niewielka, odbiorca raportu może potencjalnie powiązać tę liczbę z konkretną osobą. UODO wskazuje, że sama agregacja i usunięcie identyfikatorów nie przesądzają o skutecznej anonimizacji.
Przed przekazaniem raportu sprawdź:
- Czy wynik „1″ w połączeniu z okresem i zakresem organizacyjnym pozwala na identyfikację sygnalisty
- Czy odbiorca (platforma ratingowa, kontrahent) dysponuje dodatkową wiedzą, która umożliwia powiązanie danych
- Czy porównanie kolejnych raportów (np. „0″ w jednym okresie, „1″ w następnym) nie zawęża kręgu osób
Jeśli ryzyko reidentyfikacji jest realne — rozważ łączenie kategorii, stosowanie przedziałów (np. „0–5 zgłoszeń”) lub wydłużenie okresu sprawozdawczego.
Dziewięć elementów raportu zagregowanego
Poniżej znajdziesz strukturę dokumentu, który zamyka pole w ankiecie ESG, audycie kontrahenta lub due diligence łańcucha dostaw — bez naruszania poufności rejestru.
| Nr | Element raportu | Co wpisać | Dlaczego to ważne |
|---|---|---|---|
| 1 | Data i miejsce sporządzenia | Np. „Warszawa, 15 września 2026 r.” | Dokument jest „na dzień” — nie wyciągiem z systemu |
| 2 | Pełna nazwa spółki | Nazwa z KRS, opcjonalnie logo | Audytor wymaga identyfikacji podmiotu ocenianego |
| 3 | Wskazanie procedury | Nazwa procedury zgłoszeń wewnętrznych | Dowód, że procedura istnieje formalnie |
| 4 | Data wdrożenia procedury | Np. „wdrożona 1 października 2024 r.” | Dowód, że system działał przed okresem sprawozdawczym |
| 5 | Okres objęty raportem | Od dnia poprzedniego raportu do dnia sporządzenia | Eliminuje luki — audytor sprawdza ciągłość |
| 6 | Liczba zgłoszeń | Konkretna wartość (np. „1″ lub „0″) | Dana zagregowana — nie narusza poufności |
| 7 | Rozstrzygnięcie w formie rodzajowej | Np. „odrzucone jako niespełniające wymogów regulaminu” | Bez opisu stanu faktycznego i bez danych osób |
| 8 | Działania następcze (bez danych osób) | Np. „podjęto próbę kontaktu ze zgłaszającym, brak odpowiedzi” | Dowód, że system nie tylko przyjmuje, ale obsługuje zgłoszenia |
| 9 | Podpis komisji ds. naruszeń | Podpis w imieniu komisji, nie pracodawcy | Komisja prowadzi rejestr — to jej dokument |
Trzy rzeczy do ustalenia z audytorem przed sporządzeniem dokumentu
Zanim przygotujesz raport, wyjaśnij z audytorem:
- Czyj papier firmowy — czy dokument ma być na papierze spółki, czy komisji (kancelarii)
- Podpis — czy wystarczy podpis jednego członka komisji, czy wszystkich
- Forma podpisu — odręczny, elektroniczny czy profil zaufany
Te trzy pytania eliminują ryzyko, że dokument nie zostanie zaliczony z powodów formalnych i trzeba będzie go przygotować ponownie pod presją terminu.
Jak raportować zero zgłoszeń
Wynik „0″ nie jest problemem — pod warunkiem, że go odpowiednio opakujesz. Puste pole lub brak dokumentu budzi wątpliwości. Wyraźne „zero” z kontekstem — nie.
Art. 47 ust. 1 ustawy o ochronie sygnalistów nakłada na organy publiczne obowiązek rocznego sprawozdania statystycznego z zgłoszeń zewnętrznych, w tym podania liczby przyjętych zgłoszeń (źródło: tekst sejmowy). Choć obowiązek ten dotyczy organów publicznych, a nie firm prywatnych, wyznacza standard: wynik „0″ podaje się jako konkretną wartość statystyczną, nie pomija.
W raporcie zagregowanym z wynikiem „0″ warto dodatkowo:
- Wskazać okres sprawozdawczy i zakres organizacyjny
- Potwierdzić, że kanały zgłoszeń były dostępne przez cały okres (np. formularz online działał, linia telefoniczna była aktywna)
- Dołączyć dowody działania kanału — logi dostępności, testy formularza, komunikaty dla pracowników
- Wykazać działania informacyjno-szkoleniowe (np. szkolenie z procedury, komunikat wewnętrzny)
- Zastrzec, że „0″ oznacza brak zarejestrowanych zgłoszeń, a nie dowód braku naruszeń
Audytor szuka ciągłości. Luka między okresami sprawozdawczymi jest dla niego sygnałem, że system nie działał lub nie był obsługiwany. Dlatego każdy kolejny raport powinien mieć okres liczony od dnia poprzedniego raportu — bez przerw.
Co audytor ESG naprawdę chce zobaczyć
Wymogi ESRS G1 — opis, nie liczba
Wbrew powszechnemu przekonaniu, ESRS G1-1 pkt 10 lit. d nie wymaga obowiązkowego wskaźnika liczbowego dotyczącego zgłoszeń. Standard wymaga ujawnienia, czy i jak przedsiębiorstwo ocenia, że pracownicy:
- Wiedzą o kanałach zgłaszania
- Ufają tym kanałom
- Mogą za ich pośrednictwem zgłaszać obawy i uzyskać ich rozpatrzenie
Raport zagregowany z liczbą zgłoszeń jest więc dowodem pomocniczym, nie obowiązkowym. Kluczowe dowody to:
- Opis kanałów zgłoszeń (pisemne, ustne, telefoniczne, spotkania osobiste)
- Zasady ochrony przed odwetem
- Potwierdzenie szkoleń i komunikacji wewnętrznej
- Wyniki oceny świadomości i zaufania (np. ankiety pracownicze)
- Zagregowane dane o zgłoszeniach i działaniach następczych
Pakiet dowodowy, który przekonuje
Raport zagregowany sam w sobie może nie wystarczyć. Bardziej przekonujący pakiet obejmuje:
| Element pakietu | Forma | Kto przygotowuje |
|---|---|---|
| Procedura zgłoszeń wewnętrznych | Dokument wewnętrzny | Compliance / prawnik |
| Opis kanałów i zasad ochrony | Fragment procedury lub odrębny dokument | Compliance / prawnik |
| Raport zagregowany | Dokument ad hoc na dzień | Komisja ds. naruszeń |
| Potwierdzenie szkoleń | Lista uczestników, agenda, data | HR / compliance |
| Wyniki ankiety zaufania | Raport z badania | HR / ESG |
Pamiętaj: ten sam pakiet dowodowy działa na ankietę kontrahenta, audyt banku i ocenę platformy ratingowej. Szablon raportu zagregowanego przygotowujesz raz — powtarzasz w każdym cyklu.
Pięć błędów, które firmy popełniają najczęściej
Błąd 1: dział ESG samodzielnie eksportuje dane z systemu
Specjalista ds. zrównoważonego rozwoju, chcąc działać szybko, eksportuje listę zgłoszeń z systemu i wysyła ją audytorowi. To naruszenie poufności rejestru — potencjalnie przestępstwo z art. 56 ustawy i naruszenie RODO wymagające wpisu do rejestru naruszeń (art. 33 ust. 5 RODO) i potencjalnie zgłoszenia do UODO.
Błąd 2: odmowa bez alternatywy
Firma odmawia udostępnienia danych, nie proponując raportu zagregowanego. Pole w ankiecie zostaje puste. Scoring spada. Dział zakupów kontrahenta dopytuje, dlaczego brak dowodu działania kanału zgłoszeń.
Błąd 3: luka między okresami sprawozdawczymi
Pierwszy raport obejmuje okres do kwietnia 2025. Drugi — od stycznia 2026. Między nimi osiem miesięcy bez pokrycia. Audytor odczytuje to jako okres, w którym system nie działał.
Błąd 4: brak nazwy spółki i okresu na dokumencie
Raport bez identyfikacji podmiotu i bez wskazania okresu nie zostanie zaliczony jako dowód. Praca wykonana dwa razy, termin ankiety pod presją.
Błąd 5: brak ustalonej ścieżki zlecania
Zapytanie przychodzi od działu ESG, który nie jest uprawniony ani do zlecania prac komisji, ani do odbioru danych z rejestru. Sprawa się blokuje. Ustal z góry, kto po stronie spółki potwierdza zlecenie przygotowania raportu.
Checklist: co wdrożyć w Twojej organizacji
| Nr | Działanie | Priorytet | Kategoria |
|---|---|---|---|
| 1 | Przygotuj stały szablon raportu zagregowanego z dziewięcioma elementami i zapisz go w repozytorium compliance | Wysoki | Dokumentacja |
| 2 | Zbuduj mapę uprawnień do rejestru: wypisz imiennie osoby uprawnione (członkowie komisji) i potwierdź na piśmie, że dział ESG, HR poza komisją, administracja i zarząd nie mają dostępu do treści zgłoszeń | Wysoki | Audyt |
| 3 | Wprowadź do procedury zasadę: każde żądanie danych o zgłoszeniach z zewnątrz kierowane jest do komisji ds. naruszeń, nie do działu ESG | Wysoki | Zmiana procesu |
| 4 | Prowadź rejestr edycji raportu z datami — każdy kolejny okres od dnia poprzedniego raportu, bez luk | Wysoki | Dokumentacja |
| 5 | Przeszkol dział ESG, HR i administrację z jednej zasady: liczba zgłoszeń jest do udostępnienia, treść i dane osób — nie | Średni | Szkolenie |
| 6 | Uporządkuj ścieżkę zlecania: ustal, kto potwierdza zlecenie przygotowania raportu doradcy | Średni | Zmiana procesu |
| 7 | Przejrzyj procedurę zgłoszeń pod kątem trybu raportowania zagregowanego na potrzeby ocen zewnętrznych — jeśli go nie ma, dopisz | Niski | Przegląd prawny |
Mapę uprawnień do rejestru zgłoszeń możesz zbudować na wzorcu ewidencji upoważnień do przetwarzania danych osobowych, który większość firm już prowadzi w ramach RODO. Struktura jest taka sama: numer upoważnienia, imię i nazwisko, zakres, data nadania, data cofnięcia, podpis. Rozszerzasz istniejący dokument — nie tworzysz nowego od zera.
Jak możemy pomóc
Obsługujemy firmy, które wdrożyły procedurę zgłoszeń wewnętrznych i potrzebują wsparcia przy audytach ESG, ankietach kontrahentów oraz due diligence łańcucha dostaw.
Nasze wsparcie obejmuje trzy warianty — w zależności od tego, na jakim etapie jest Twoja organizacja:
| Wariant | Co obejmuje | Dla kogo |
|---|---|---|
| Przegląd procedury i szablon raportu | Weryfikacja procedury zgłoszeń, przygotowanie szablonu raportu zagregowanego, ustalenie okresu sprawozdawczego | Firmy z wdrożoną procedurą, które po raz pierwszy przechodzą audyt ESG |
| Szablon + mapa uprawnień + szkolenie | Jak wyżej + budowa mapy uprawnień do rejestru + szkolenie dla działów ESG, HR i administracji | Firmy z zewnętrzną komisją lub rozbudowaną strukturą organizacyjną |
| Pełne zabezpieczenie | Kancelaria jako komisja ds. naruszeń, prowadzenie rejestru, obsługa cyklicznego raportowania zagregowanego | Firmy, które chcą przekazać cały proces na zewnątrz i mieć gotowy dokument przy każdym zapytaniu |
Niezależnie od wariantu — raport zagregowany powstaje po stronie komisji ds. naruszeń, nie po stronie działu ESG. Twój zespół nie dotyka danych z rejestru. Dokument jest gotowy na następny dzień po zleceniu.
Uporządkuj procedurę, zanim przyjdzie następna ankieta
Audytor ESG, kontrahent, bank — każdy z nich pyta o to samo: czy Twój kanał zgłoszeń działa. Odpowiedź nie wymaga ujawniania rejestru. Wymaga jednego dokumentu z dziewięcioma elementami, sporządzonego przez właściwy organ i w zgodzie z ustawą.
Przygotuj szablon raz. Ustal mapę uprawnień. Wdróż ścieżkę zlecania. Przy każdym kolejnym zapytaniu — dokument powstaje w ciągu jednego dnia.
Jeśli chcesz sprawdzić, czy Twoja procedura zgłoszeń przejdzie najbliższy audyt — napisz do nas. Zrobimy przegląd i wskażemy, co wymaga korekty.
Najczęściej zadawane pytania
Czy mogę po prostu podać audytorowi liczbę zgłoszeń mailem, bez formalnego dokumentu?
Technicznie sama liczba zgłoszeń to dana zagregowana i jej przekazanie nie narusza poufności rejestru. Problem jest po stronie audytora — dokument bez nazwy spółki, wskazania okresu i podpisu komisji ds. naruszeń może nie zostać zaliczony jako dowód. Audytorzy i platformy ratingowe wymagają identyfikowalnego dokumentu. Lepiej przygotować krótki raport z dziewięcioma elementami niż ryzykować ponowną pracę pod presją terminu.
Co zrobić, gdy audytor upiera się, że chce widzieć opis zgłoszeń, a nie tylko statystykę?
Odmów i wyjaśnij podstawę prawną: art. 29 ust. 6 ustawy o ochronie sygnalistów ogranicza dostęp do rejestru do osób upoważnionych, a art. 56 przewiduje odpowiedzialność karną za ujawnienie tożsamości sygnalisty. Zaproponuj rozszerzony raport zagregowany — z rozstrzygnięciem w formie rodzajowej i opisem działań następczych bez danych osób. ESRS G1 nie wymaga obowiązkowego wskaźnika liczbowego ani opisu poszczególnych spraw — wymaga opisu funkcjonowania kanałów i oceny zaufania pracowników.
Czy mój dział ESG może mieć dostęp do systemu zgłoszeń w trybie „tylko liczby”?
Zależy od konfiguracji systemu i zakresu upoważnienia. Jeśli system pozwala na widok wyłącznie zagregowanych statystyk bez dostępu do treści zgłoszeń i danych osób — formalnie jest to dopuszczalne, pod warunkiem że osoba z działu ESG została upoważniona do przetwarzania danych w tym zakresie. W większości organizacji bezpieczniejszym modelem jest zlecanie raportu komisji ds. naruszeń — to eliminuje ryzyko przypadkowego dostępu do danych wrażliwych.
Jak raportować, gdy w okresie nie było ani jednego zgłoszenia — czy zero wygląda podejrzanie?
Nie — pod warunkiem, że „zero” jest przedstawione jako konkretna wartość statystyczna, a nie puste pole. Dołącz potwierdzenie, że kanały były dostępne przez cały okres (np. logi, testy formularza), wykaż działania informacyjno-szkoleniowe i zastrzeż, że „0″ oznacza brak zarejestrowanych zgłoszeń, a nie dowód braku naruszeń. Audytor szuka ciągłości i dowodów działania systemu — nie samej liczby.
Czy ten sam dokument wystarczy na ankietę kontrahenta i na audyt banku?
Tak — szablon raportu zagregowanego jest uniwersalny. Zawiera te same dziewięć elementów niezależnie od adresata. Różnice mogą dotyczyć wymogów formalnych (papier firmowy, forma podpisu), dlatego warto przed sporządzeniem dokumentu zapytać odbiorcę o trzy rzeczy: czyj papier firmowy, podpis jednego czy wszystkich członków komisji, akceptowana forma podpisu.
Co grozi firmie, jeśli ktoś z organizacji już wcześniej wysłał audytorowi dane z rejestru?
Ujawnienie danych sygnalisty osobie nieuprawnionej może wypełniać znamiona przestępstwa z art. 56 ustawy o ochronie sygnalistów (grzywna, ograniczenie wolności lub pozbawienie wolności do 1 roku). Równolegle może stanowić naruszenie ochrony danych osobowych wymagające wpisu do rejestru naruszeń (art. 33 ust. 5 RODO) i potencjalnie zgłoszenia do UODO. Skonsultuj sytuację z prawnikiem, aby ocenić zakres naruszenia i podjąć odpowiednie działania naprawcze.
