System sygnalistów w firmie: co wdrożyć, zanim pojawi się pierwsze zgłoszenie

Kancelaria Sawaryn & Partnerzy

Wprowadzenie

W tym webinarze Kancelaria Sawaryn & Partnerzy omawia, jak zaprojektować działający system whistleblowingowy w firmie technologicznej lub usługowej: od zakresu podmiotowego, przez gotowość operacyjną, po zasady oceny zgłoszeń w dobrej wierze.

5 najważniejszych wniosków

1. System sygnalistów to narzędzie zarządzania ryzykiem. Pozwala wykryć problemy wewnątrz organizacji, zanim przerodzą się w spór sądowy, kontrolę regulatora lub kryzys wizerunkowy.
2. Sygnalistą może być każdy, nie tylko pracownik na UoP. Ustawa obejmuje współpracowników B2B, podwykonawców, stażystów i dostawców. Procedura ograniczona do etatowców pokrywa tylko część zespołu.
3. Dobra wiara nie wyklucza osobistego konfliktu. Zgłoszenia nie można odrzucić tylko dlatego, że w tle jest napięcie między pracownikiem a przełożonym. Liczy się, czy zgłaszający miał uzasadnione podstawy sądzić, że informacja jest prawdziwa.
4. Regulamin na dysku nie wystarczy. Procedura musi działać w praktyce: wyznaczona osoba, checklista na pierwsze godziny, ścieżka eskalacji i rejestr zgłoszeń.
5. Anonimowość zgłoszeń to decyzja operacyjna, nie filozoficzna. Blokując anonimowe zgłoszenia, nie eliminujesz ryzyka. Eliminujesz informację o nim.

Dobre praktyki i wnioski z webinaru

Webinar skupił się na trzech obszarach, które generują najwięcej błędów w organizacjach przechodzących z fazy startupu w scale-up. Poniżej znajdziesz konkretne zasady i rekomendacje, które możesz wdrożyć od razu.

Zakres podmiotowy procedury: obejmij cały ekosystem, nie tylko etatowców

Większość firm projektuje regulamin zgłoszeń wewnętrznych wyłącznie z myślą o pracownikach na umowie o pracę. Tymczasem w typowej firmie technologicznej połowa zespołu działa na B2B, kontraktach cywilnoprawnych lub jako podwykonawcy w projektach IT.

Ustawa o ochronie sygnalistów nie ogranicza się do stosunku pracy. Sygnalistą może być współpracownik B2B, podwykonawca prowadzący integrację, stażysta, a nawet klient.

„W praktyce sygnalista może być każdym z nas: pracownikiem na dowolnym szczeblu, klientem, dostawcą, a nawet zewnętrznym obserwatorem.”

Prowadzący, webinar „Przewodnik po sygnalistach”

Praktyczny scenariusz: podwykonawca zauważa, że jeden z Twoich pracowników kopiuje dane klientów na zewnętrzny serwer. Chce to zgłosić, ale Twoja procedura go nie obejmuje. Nie ma kanału, nie ma gwarancji poufności. Efekt? Albo milczy, albo idzie do regulatora, albo do mediów.

Co sprawdzić:

• Czy Twój regulamin zgłoszeń obejmuje osoby współpracujące na podstawie umów cywilnoprawnych i B2B.
• Czy umowy z podwykonawcami zawierają odesłanie do Twojego kanału zgłoszeń i zasady poufności.
• Czy kanał zgłoszeń jest dostępny również dla partnerów zewnętrznych (integratorzy, dostawcy, freelancerzy).

Jeśli prowadzisz software house, platformę SaaS albo marketplace, ta luka dotyczy Cię bezpośrednio. Kancelaria prawa pracy, która rozumie modele współpracy w IT, pomoże Ci zaprojektować procedurę obejmującą cały rzeczywisty zespół.

Gotowość operacyjna: od regulaminu do działającego procesu

Poniedziałek, 9:00. Na skrzynce zgłoszenie od sygnalisty. Zegar zaczyna tykać. Ustawa daje 7 dni na potwierdzenie przyjęcia zgłoszenia. Ale biznesowo pierwsze godziny decydują o tym, czy sytuacja zostanie opanowana, czy eskaluje.

Problem, który widzimy regularnie: dokumentacja jest, ale nikt jej nie testował w praktyce. Brak wyznaczonej osoby do odbioru zgłoszeń. Brak ścieżki eskalacji. Brak zasad oceny wiarygodności.

Co powinno wydarzyć się od razu po otrzymaniu zgłoszenia:

• Osoba wyznaczona do obsługi zgłoszeń potwierdza odbiór i zabezpiecza treść zgłoszenia.
• Wstępna ocena: czy zgłoszenie dotyczy naruszenia prawa, czy wewnętrznego konfliktu. To determinuje ścieżkę dalszego działania.
• Decyzja o eskalacji: czy sprawa wymaga natychmiastowego zaangażowania zarządu, czy może być rozwiązana na poziomie compliance lub HR.
• Zabezpieczenie dowodów, jeśli zgłoszenie dotyczy np. wycieku danych lub naruszenia IP.

Przygotuj checklistę na jednej stronie A4: konkretne pytania, progi eskalacji, dane kontaktowe osób decyzyjnych. To różnica między kontrolowaną reakcją a chaosem.

Dodatkowa weryfikacja, którą przeprowadzisz w tym tygodniu:

• Zapytaj losowo trzy osoby z zespołu, czy wiedzą, gdzie i jak złożyć zgłoszenie.
• Sprawdź, czy osoba wyznaczona do obsługi zgłoszeń faktycznie pełni tę funkcję i ma do tego narzędzia.
• Upewnij się, że istnieje rejestr zgłoszeń i podjętych działań, nawet jeśli dotąd nie wpłynęło żadne.

Regulamin na dysku współdzielonym, w folderze „Compliance 2024″, otwarty ostatni raz przy wdrożeniu, nie chroni zarządu. Wręcz przeciwnie: potwierdza, że firma znała obowiązek i go zignorowała.

Dobra wiara i ochrona przed działaniami odwetowymi

CEO firmy SaaS dostaje zgłoszenie od programisty: „Team lead zmusza zespół do pracy w weekendy i grozi wypowiedzeniem.” Pierwsza reakcja zarządu: „To zemsta za ostatnią ocenę roczną.”

Problem w tym, że motywacja zgłaszającego nie jest jedynym kryterium. Prawo chroni sygnalistę, jeśli działał w dobrej wierze, czyli miał uzasadnione podstawy, by sądzić, że informacja jest prawdziwa. Nawet jeśli w tle jest osobisty konflikt.

„Działania sygnalisty są podyktowane troską o dobro ogółu, a nie osobistymi korzyściami czy chęcią zemsty.”

Prowadzący, webinar „Przewodnik po sygnalistach”

Nie możesz odrzucić zgłoszenia tylko dlatego, że „widzisz podtekst”. Musisz je zbadać. A żeby odróżnić realne naruszenie od instrumentalnego wykorzystania procedury, potrzebujesz dwóch rzeczy:

• Definicji dobrej wiary wpisanej do wewnętrznej procedury. Nie ogólnikowej, tylko z przykładami zachowań, które spełniają ten warunek i które go nie spełniają.
• Jasnych sankcji za świadome składanie fałszywych zgłoszeń. Bez tego Twój zespół nie wie, gdzie kończy się ochrona, a zaczyna nadużycie.

Ochrona sygnalisty to nie tylko zakaz zwolnienia. Obejmuje również:

• Zakaz pomijania przy awansie.
• Zakaz zmiany warunków pracy bez uzasadnienia.
• Zakaz przeniesienia lub odsunięcia od obowiązków.
• Zakaz jakiegokolwiek nierównego traktowania wynikającego ze zgłoszenia.

Zmiana projektu, odebranie dostępu do repozytorium, wykluczenie z daily standupów po złożeniu zgłoszenia to w świetle ustawy działania odwetowe. Odpowiada za nie firma, nie bezpośredni przełożony.

Dlatego szkolenie kadry menedżerskiej to zabezpieczenie organizacji przed ryzykiem, które powstaje na poziomie codziennych decyzji operacyjnych. Manager musi wiedzieć, czego absolutnie nie może zrobić wobec osoby, która złożyła zgłoszenie.

Jak wdrożyć te wnioski w praktyce

Poniżej znajdziesz plan działania uporządkowany od najpilniejszych kroków do działań systemowych. Jeśli Twoja firma liczy powyżej 50 osób (łącznie z B2B i podwykonawcami), każdy z tych punktów Cię dotyczy.

Krok 1: Audyt zakresu podmiotowego

Sprawdź, kogo obejmuje Twoja procedura. Jeśli regulamin mówi tylko o „pracownikach”, rozszerz go o współpracowników B2B, podwykonawców, stażystów i dostawców. Zaktualizuj umowy z kontrahentami o odesłanie do kanału zgłoszeń i zasady poufności.

Krok 2: Wyznacz osobę odpowiedzialną i opisz ścieżkę eskalacji

Nie „dział HR”, tylko konkretna osoba z uprawnieniami do odbioru zgłoszeń i uruchomienia wewnętrznego audytu. Określ, kiedy sprawa zostaje na poziomie operacyjnym, a kiedy trafia do zarządu. Spisz to na jednej stronie A4 jako checklistę.

Krok 3: Zdecyduj o anonimowości

Jeśli dopuszczasz anonimowe zgłoszenia, potrzebujesz narzędzia IT umożliwiającego dwustronną komunikację z sygnalistą bez ujawniania jego danych. Bez tego nie zadasz dodatkowych pytań i nie poprowadzisz postępowania wyjaśniającego.

Krok 4: Wpisz definicję dobrej wiary i sankcje do procedury

Z przykładami zachowań, a nie ogólnikowym odwołaniem do ustawy. Twój zespół musi wiedzieć, co jest chronione, a co stanowi nadużycie systemu.

Krok 5: Przeszkol kadrę menedżerską

Managerowie podejmują codzienne decyzje operacyjne (zmiana projektu, dostęp do narzędzi, ocena pracy), które mogą zostać zakwalifikowane jako działania odwetowe. Szkolenie to nie formalność. To zabezpieczenie firmy przed roszczeniami.

Krok 6: Przetestuj proces

Wyślij próbne zgłoszenie i sprawdź, co się wydarzy. Ile czasu mija do potwierdzenia odbioru? Kto podejmuje decyzję o eskalacji? Czy dowody zostają zabezpieczone? Test pokaże, gdzie procedura się rozjeżdża z praktyką.

Krok 7: Zintegruj procedury

Jeśli działasz w branży regulowanej (fintech, e-commerce, SaaS z danymi osobowymi), sprawdź, czy procedura sygnalistów, RODO i AML nie tworzą trzech równoległych, niepowiązanych systemów. Jedno zgłoszenie może dotyczyć jednocześnie naruszenia danych osobowych i podejrzenia nadużycia. Zamiast kolejnego regulaminu, zbuduj jeden proces reagowania na incydenty z rozgałęzieniami: wspólny kanał, jedna osoba koordynująca, jasne kryteria kwalifikacji.

Podsumowanie: system sygnalistów jako element obsługi prawnej firmy

Procedura whistleblowingowa to nie wymóg do odhaczenia. To narzędzie, które przywraca zarządowi przepływ informacji o realnych problemach w organizacji. Przy 20 osobach w firmie wszyscy wiedzą, co się dzieje. Przy 120 zarząd dowiaduje się o problemach jako ostatni, chyba że ma działający system wczesnego ostrzegania.

Dla firm technologicznych i usługowych, które rosną szybko, łączą różne modele współpracy (UoP, B2B, kontrakty) i działają w środowisku regulowanym, system sygnalistów wymaga podejścia łączącego prawo pracy, ochronę danych i obsługę prawną spółek w jeden spójny proces.

Jeśli masz procedurę, ale nikt jej nie testował w praktyce, albo jeśli Twój regulamin pokrywa połowę rzeczywistego zespołu, warto to uporządkować zanim pojawi się realne zgłoszenie.

Skontaktuj się z nami, aby przeprowadzić audyt procedur whistleblowingowych: od zakresu podmiotowego, przez ścieżkę eskalacji, po gotowość operacyjną zespołu.

Obejrzyj webinar

Obejrzyj pełny webinar: