Bycie pracodawcą wiąże się z długą listą obowiązków, z których wiele dotyczy tego, jak traktujesz osoby zatrudnione w twojej firmie. Moment, w którym ktoś decyduje się zgłosić nieprawidłowości może być najbardziej stresującą chwilą w całym roku. W jednej rozmowie dowiadujesz się, że w miejscu pracy, którym zarządzasz, dzieje się coś złego, a jeden z twoich pracowników nosił to w sobie wystarczająco długo, by czuć się zraniony, przestraszony, albo i jedno, i drugie. Zanim cokolwiek zrobisz, daj sobie chwilę, a potem spokojnie zastanów się, jakie kroki powinieneś podjąć. Polskie prawo zostawia tu już bardzo niewiele miejsca na improwizację.
Dlaczego pierwsze zgłoszenie wygląda dziś inaczej niż w 2021 roku
Europejskim punktem odniesienia jest Dyrektywa UE 2019/1937 w sprawie ochrony osób zgłaszających naruszenia prawa Unii. Termin transpozycji do prawa krajowego upłynął 17 grudnia 2021 r., ale wdrożenia szły wolno. W marcu 2025 r. Trybunał Sprawiedliwości UE nałożył kary finansowe na Niemcy, Luksemburg, Czechy, Estonię i Węgry za brak terminowej transpozycji dyrektywy. Do 2026 r. wszystkie państwa członkowskie mają już ustawy w tej sprawie, choć Komisja Europejska nadal wskazuje braki w zakresie i poziomie ochrony.
Trybunał Sprawiedliwości Unii Europejskiej, Luksemburg
©Cédric
Puisney (CC
BY 2.0)
Polska była jednym z opóźnionych krajów. Ustawa o ochronie sygnalistów z 14 czerwca 2024 r. weszła w życie 25 września 2024 r., a państwowe kanały zewnętrzne zaczęły działać 25 grudnia 2024 r. Każdy podmiot prawny (prywatny lub publiczny) zatrudniający co najmniej 50 osób według stanu na 1 stycznia lub 1 lipca danego roku ma obowiązek prowadzenia pisemnej procedury zgłoszeń wewnętrznych. Podmioty z sektora finansowego, przeciwdziałania praniu pieniędzy, bezpieczeństwa transportu i ochrony środowiska podlegają obowiązkom niezależnie od liczby pracowników. Jeśli twoja firma przekroczyła ten próg, a procedura nadal leży w folderze "wersje robocze", już dziś jesteś narażony na sankcje.
To ma znaczenie dla pierwszego zgłoszenia, które trafia na twoje biurko, ponieważ takie zgłoszenie nie zjawia się w próżni. Wpada w ramy uregulowanego procesu, z terminami, które ruszają w chwili, kiedy kanał je zarejestruje. Potraktowanie pierwszego zgłoszenia jak zwykłej rozmowy kadrowej, tak jak robiło się dwadzieścia lat temu, jest dziś błędem prawnym.
Kto może odbierać zgłoszenia
W zależności od wielkości organizacji zgłoszenia mogą trafiać do właściciela, członka zarządu, działu HR albo do osoby zatrudnionej specjalnie jako kontakt dla sygnalistów . Niezależnie od tego, kim jest, muszą być spełnione dwa warunki. Po pierwsze, ta osoba musi mieć pisemne upoważnienie podmiotu prawnego do przyjmowania zgłoszeń, prowadzenia działań następczych i przetwarzania danych osobowych z tym związanych. Po drugie, musi działać bezstronnie, bez konfliktu interesów wobec osób lub jednostek, których zgłoszenie dotyczy. Wyznaczenie do tej roli przełożonego zespołu, którego sprawa dotyczy, jest podręcznikowym przykładem tego, jak nie powinno się tego robić.
ISO 37002:2021, międzynarodowa norma dotycząca systemów zarządzania zgłoszeniami sygnalistów, organizuje pracę wokół trzech zasad: Zaufanie, Bezstronność, Ochrona, oraz wokół czteroetapowego cyklu: przyjęcie, ocena, rozpatrzenie, zamknięcie. Nie trzeba certyfikować się na zgodność z tą normą, żeby korzystać z jej języka, a język ten jest użyteczny właśnie dlatego, że wymusza oddzielenie samego przyjęcia zgłoszenia (zadanie relacyjne) od jego badania (zadanie analityczne). Ta sama osoba może robić jedno i drugie, ale nie w tej samej chwili.
Pierwsze 7 dni
Od momentu zarejestrowania zgłoszenia upoważniona osoba ma 7 dni na potwierdzenie jego odbioru sygnaliście. To nie jest deklaracja, że uznaje się zgłoszenie za prawdziwe, i nie jest to żaden wyrok. To sygnał, że zgłoszenie znalazło się w systemie, że ma je konkretny człowiek, i że ustawowy zegar już bije. Napisz, kto prowadzi sprawę (albo która rola, jeśli wymagana jest anonimowość), co dzieje się dalej w ogólnych zarysach, oraz pod jakim adresem sygnalista może uzupełnić informacje. Unikaj obietnic co do wyniku i unikaj języka oceniającego. Większość problemów na tym etapie bierze się z potwierdzeń, które brzmią jak polemika.
Sam kanał też ma znaczenie. Zgłoszenie ustne (telefon, nagrywana linia, spotkanie twarzą w twarz) zobowiązuje cię do sporządzenia rzetelnego protokołu i umożliwienia sygnaliście jego weryfikacji. Na zgłoszenie mailowe nigdy nie odpowiada się "do wszystkich". Zgłoszenie przesłane przez cyfrową platformę zgłoszeniową powinno zostać w tej platformie, a nie być przeniesione do firmowego systemu ticketowego, do którego mają dostęp osoby, których zgłoszenie dotyczy.
Trzymiesięczne okno informacji zwrotnej
W ciągu 3 miesięcy od potwierdzenia odbioru (w uzasadnionych przypadkach do sześciu miesięcy) musisz przekazać sygnaliście rzeczową informację zwrotną o planowanych lub podjętych działaniach następczych i o ich uzasadnieniu. Termin biegnie wobec podmiotu prawnego, a nie wobec osoby prowadzącej postępowanie. Jeśli sprawa jest złożona, sygnalista powinien się o tym dowiedzieć (i dowiedzieć się, dlaczego) zanim termin upłynie, a nie po fakcie.
Pierwszą rzeczą, którą musi ocenić osoba przyjmująca zgłoszenie, jest to, czy opisuje ono naruszenie objęte ustawą. Polska ustawa obejmuje długą, ale zamkniętą listę obszarów: korupcja, zamówienia publiczne, usługi finansowe, przeciwdziałanie praniu pieniędzy, bezpieczeństwo produktów, bezpieczeństwo transportu, ochrona środowiska, zdrowie publiczne, ochrona konsumentów, ochrona prywatności i danych osobowych, oraz naruszenia konstytucji. Spory ściśle pracownicze między pracownikiem a firmą wypadły z ostatecznego brzmienia ustawy, więc skarga z obszaru HR nie jest automatycznie zgłoszeniem chronionym; ocena musi opierać się na treści, a nie na tonie wiadomości.
Osobiste animozje, walka o coś prywatnego albo zgłoszenia recyklingowane ze znanego konfliktu też wchodzą w zakres oceny, ale są powodem, by sprawę zbadać uważnie, a nie powodem, by ją oddalić. Artykuł 57 polskiej ustawy sankcjonuje wyłącznie zgłoszenia złożone ze świadomością, że nie doszło do naruszenia, z karą do 2 lat pozbawienia wolności. Uczciwa pomyłka sygnalisty pozostaje pod ochroną, a potraktowanie niewygodnego zgłoszenia jak złośliwego to jeden z najszybszych sposobów, by pracodawca zafundował sobie roszczenie z tytułu działań odwetowych.
Sejm Rzeczypospolitej Polskiej, Warszawa, gdzie 14 czerwca 2024 r. uchwalono Ustawę o
ochronie sygnalistów
©Sandra Cohen-Rose i Colin Rose (CC BY-SA
2.0)
Rejestr zgłoszeń i poufność
Każde zgłoszenie trafia do rejestru zgłoszeń wewnętrznych. Rejestr odnotowuje datę przyjęcia, przedmiot zgłoszenia, podjęte działania i wynik. Trzeba go prowadzić tak, żeby tożsamość sygnalisty nie wyciekła do nikogo, kto nie jest do tego upoważniony. Polska ustawa wymaga przechowywania danych przez 3 lata po zamknięciu sprawy.
Próg poufności jest wysoki, znacznie wyższy niż luźne obietnice w stylu "nikt się o niczym nie dowie", które ciągną się w starszych regulaminach wewnętrznych. Tożsamość sygnalisty jest chroniona i może być ujawniona tylko wtedy, gdy jest to ściśle konieczne i zgodne z prawem, na przykład wobec prokuratury albo na podstawie postanowienia sądu. Każda osoba, która ma dostęp do sprawy, podpisuje zobowiązanie do zachowania poufności, a sam rejestr to dane osobowe, do których stosują się wszystkie obowiązki RODO w zakresie kontroli dostępu i minimalizacji.
To także moment, w którym pracodawcy działający międzynarodowo muszą przejrzeć swoje wzorce umów. We wrześniu 2024 r. amerykańska Komisja Papierów Wartościowych i Giełd (SEC) zawarła ugody z siedmioma spółkami publicznymi na łączną kwotę ponad 3 mln USD z tytułu klauzul w umowach o pracę i porozumień rozwiązujących, które SEC uznała za zniechęcające do zgłaszania nieprawidłowości, oraz osobno z firmą doradztwa finansowego na 240 tys. USD za klauzule poufności bez wyjątku na kontakt z regulatorem. Klauzule poufności, umowy odprawowe i exit interview spisane lata temu w zupełnie innym celu mogą zostać dziś odczytane przez regulatora jako dowód, że firma utrudnia zgłoszenia. Przegląd tych wzorców kosztuje niewiele, dowiedzenie się o problemie po fakcie kosztuje dużo.
Sygnalista jako człowiek
Często praca osoby przyjmującej zgłoszenia związana jest z zadawaniem trudnych, czasem niedyskretnych pytań. Sygnalista musi przedstawić dowody, a ty musisz ocenić je obiektywnie, nikogo nie kadząc i nie obwiniając. Sposób, w jaki zadajesz pytania, ma takie samo znaczenie, jak to, o co pytasz. Praktyka rozmowy uwzględniającej traumę, dziś już standardowa wskazówka w postępowaniach wewnętrznych, sprowadza się do kilku przydatnych nawyków: zadawaj pytania otwarte, pozwól sygnaliście używać własnych słów, daj mu wybór co do formy i terminu rozmowy w granicach prawa, oraz pozwól mu przyjść z osobą wspierającą, jeśli tego potrzebuje. Osoba, która zaczyna od "ale czy pan na pewno to widział, na pewno?", nie dostaje mniej fałszywych zgłoszeń, dostaje mniej wszelkich zgłoszeń, a kanał po prostu milknie.
Na każdym etapie weryfikacji i rozwiązywania sprawy sygnalista musi czuć, że dalej da się tu pracować. Poprzez kanał komunikacji zewnętrznej którym dotarł do ciebie, regularnie się z nim kontaktuj. Potwierdzaj, że jego pozycja w firmie jest chroniona, wyjaśniaj uczciwie, jakie kroki zostały podjęte, i pytaj wprost, jak się czuje. Najczęstszym sygnałem, że sygnalista za chwilę pójdzie do regulatora, nie jest złość, ale brak odpowiedzi z twojej strony.
Kiedy sięgnąć po pomoc z zewnątrz
Nie każde zgłoszenie da się rozwiązać wewnętrznie. Konsultacja z zewnętrzną kancelarią prawną często jest właściwym krokiem, zwłaszcza gdy zgłoszone fakty dotykają prawa karnego, dużych strat finansowych, branż regulowanych albo członków zarządu. Zewnętrzny śledczy przydaje się tam, gdzie bezstronności nie da się wiarygodnie zapewnić wewnątrz organizacji. ISO 37002 wprost rekomenduje powierzenie sprawy osobie spoza firmy w sytuacjach, w których linia zarządzania jest zbyt blisko opisywanego zachowania.
Sygnalista ma także prawo wynieść sprawę poza twoje ściany. W Polsce centralnym kanałem zewnętrznym jest Rzecznik Praw Obywatelskich (RPO), wspierany przez wyspecjalizowane organy publiczne. Ujawnienie publiczne (na przykład przekazanie sprawy mediom) jest chronione dopiero wtedy, gdy kanały wewnętrzne i zewnętrzne zawiodły albo zostały pominięte z wąsko określonych powodów wskazanych w ustawie. Solidnie poprowadzone postępowanie wewnętrzne zwykle utrzymuje sprawę w firmie; postępowanie poprowadzone byle jak daje sygnaliście i prawo, i mocny powód, żeby się z nią z firmy oddalić.
Biuro Rzecznika Praw Obywatelskich, Aleja Solidarności 77, Warszawa
©Adrian
Grycuk (CC BY-SA 3.0 PL)
Ile kosztuje pomyłka
Polska ustawa traktuje działania odwetowe, utrudnianie zgłoszenia i ujawnianie tożsamości sygnalisty jako przestępstwa, zagrożone karą grzywny do 1 080 000 zł, ograniczeniem wolności albo karą pozbawienia wolności do 3 lat. Brak procedury zgłoszeń w organizacji objętej obowiązkiem rodzi odrębną odpowiedzialność administracyjną. W sprawie o działania odwetowe ciężar dowodu jest odwrócony: to pracodawca musi wykazać, że niekorzystna decyzja wobec sygnalisty nie miała związku z jego zgłoszeniem. Sygnaliście, którego prawa zostały naruszone, należy się odszkodowanie nie niższe niż przeciętne miesięczne wynagrodzenie, bez ograniczenia górnego pułapu, gdy szkoda jest większa.
Rachunek jest bezlitosny. Pierwsze zgłoszenie poprowadzone porządnie kosztuje cię czas wyszkolonej osoby przyjmującej zgłoszenia i kilka tygodni starannego badania sprawy. To samo zgłoszenie poprowadzone źle kosztuje procedurę, ludzi, uwagę regulatora, i bardzo często samego sygnalistę, który idzie prosto do RPO, prokuratury albo prasy.
Uczciwa wersja morału
Pierwsze zgłoszenie jest, w niemal każdym przypadku, stresującym momentem dla pracodawcy. Nie musi być momentem chaotycznym. Ramy prawne wokół roli osoby przyjmującej zgłoszenia są dziś zarówno szczegółowe, jak i ludzkie, a podstawy proceduralne (potwierdź odbiór w ciągu 7 dni, daj rzeczową informację zwrotną w ciągu 3 miesięcy, zapisuj wszystko, traktuj sygnalistę jak człowieka, nigdy nie zostawiaj go samego) pokrywają się z tym, co dobrzy prowadzący sprawy robili już wcześniej, zanim prawo nadrobiło zaległości. Skoro prawo i ludzki instynkt pokazują ten sam kierunek, zostaje tylko wyrobić sobie odruch i sięgnąć po niego za pierwszym razem, a nie dopiero za trzecim.
