ISO 37002 - Systemy zarządzania zgłaszaniem nieprawidłowości

Większość nadużyć w pracy wychodzi na jaw dzięki zgłoszeniom wewnętrznym. Nie wykrywają ich ani audyty, ani organy nadzoru. Osoby blisko codziennych obowiązków widzą to, co umyka audytorom. Mówią o tym, gdy czują się bezpiecznie. Dyrektywa UE o ochronie sygnalistów (2019/1937) uczyniła z tego obowiązek prawny w całej Unii. Nie wskazała jednak firmom, jak prowadzić dobry system. Norma ISO 37002:2021 powstała, aby wypełnić tę lukę. To przewodnik, który pomaga firmom spełnić minimum prawne.

Czym faktycznie jest ISO 37002, a czym nie jest

ISO 37002:2021 to przewodnik po zarządzaniu zgłoszeniami nieprawidłowości. Opublikowano go 27 lipca 2021 r. Pokazuje firmom, jak prowadzić wiarygodny system. Nie można uzyskać dla niego certyfikatu. Powiązana norma ISO 37301 jest tą, która podlega certyfikacji. ISO 37002 sprawdza się w każdej firmie, niezależnie od jej wielkości. Jest dobrowolna, ale wielu regulatorów już dziś jej oczekuje.

Istnieje istotna różnica między przewodnikami a wymaganiami. Przewodnik podpowiada, jak coś zrobić. Nie daje audytorom listy kontrolnej do użycia przeciwko Tobie. ISO 37002 to podstawowy przewodnik, na którym firmy budują skuteczny system zgodności. Nawet jeśli sama nie podlega certyfikacji, stanowi fundament dla tych norm, które jej podlegają.

Norma ma tę samą strukturę co ISO 9001 i inne powszechnie stosowane standardy. Składa się z dziesięciu części w ustalonej kolejności. Obejmuje między innymi zakres, przywództwo i planowanie. Jeśli korzystałeś już z systemu ISO, od razu rozpoznasz układ. Jeśli nie, bez trudu dopasujesz go do tego, co już masz.

ISO 37002 sprawdza się w każdym sektorze i w firmie każdej wielkości. Ma zastosowanie do każdego rodzaju działalności. Obejmuje organizacje publiczne, prywatne i non-profit. Jest dobrowolna, ale niektórzy partnerzy mogą wymagać jej stosowania przy zawieraniu kontraktów.

Zaufanie, bezstronność, ochrona: trzy nośne zasady

Trzy słowa są kluczowe dla tej normy: zaufanie, bezstronność i ochrona. Norma wymaga, aby Twój system opierał się na tych trzech ideach. Musisz też zapewniać informacje zwrotne na każdym etapie procesu. Każda część normy odsyła do tych trzech filarów.

Zaufanie to sposób, w jaki ludzie postrzegają Twoją firmę. Norma stanowi, że zaufanie zależy od tego, czy pracownicy wierzą w zaangażowanie kierownictwa w przestrzeganie zasad. Oznacza to, że liderzy muszą okazywać, że im zależy. Muszą budować kulturę „speak-up” (otwartego zgłaszania). Muszą także ułatwić pracownikom zgłaszanie problemów bez obawy o utratę pracy.

Bezstronność to po prostu sprawiedliwość. Norma wymaga, aby osoby prowadzące sprawy były wykwalifikowane. Muszą być sprawiedliwe wobec firmy, sygnalisty oraz osoby zgłaszanej. Jeśli nie da się zapewnić bezstronności w środku organizacji, skorzystaj z zewnętrznego eksperta. Osoby podejmujące decyzje nie mogą mieć żadnych konfliktów interesów. Ich uprawnienia muszą być jasno spisane.

Ochrona obejmuje wiele obszarów. Powstrzymuje odwet i zabezpiecza tożsamość. Daje też wsparcie, takie jak doradztwo czy zmiana stanowiska pracy. Kluczowa zasada mówi, że jeśli sygnalista poniósł szkodę, musi zostać „przywrócony” do stanu poprzedniego. Ochrona nie kończy się wraz z zamknięciem sprawy. System musi czuwać nad ewentualnymi późniejszymi problemami.

Czteroetapowy podręcznik operacyjny (klauzula 8)

Klauzula 8 stanowi serce ISO 37002. Dzieli pracę na cztery etapy: Przyjęcie, Ocena, Rozpatrzenie i Zamknięcie. Opisuje, jak dobrze wykonać każdy z nich. Jeśli pominiesz któryś etap, system zawiedzie. Aby cykl był pełny, musisz przejść przez wszystkie cztery fazy.

Przyjmowanie dotyczy tego, jak zbierasz zgłoszenia. Można to robić telefonicznie, przez stronę internetową lub osobiście. Norma wymaga, aby kanały te były łatwo dostępne i bezpieczne. Muszą działać niezależnie od zwykłej linii zarządzania. Dzięki temu zgłoszenie na przełożonego nie trafi do tego samego przełożonego. Musisz reagować szybko. Norma sugeruje natychmiastową automatyczną odpowiedź. W ciągu trzech dni należy potem wysłać spersonalizowaną wiadomość. Prawo UE daje siedem dni, ale ISO chce, abyś działał szybciej.

Ocena to moment, w którym decydujesz, co dalej. Każde zgłoszenie segregujesz według wagi sprawy. Musisz spisać swoją decyzję. Sprawdzasz, czy zgłoszenie mieści się w Twoich zasadach. Sprawdzasz również, czy nie trzeba powiadomić policji. Oceniasz, czy osoba zgłaszająca jest zagrożona.

Rozpatrywanie to etap postępowania wyjaśniającego. Musisz domniemywać niewinność osób, dopóki nie zostanie wykazane co innego. Musisz chronić zgłaszającego, osobę zgłaszaną i wszystkich świadków. Postępowania muszą być sprawiedliwe i poufne. Zabezpieczenie dowodów to kluczowa część ochrony wszystkich zaangażowanych stron.

Zamknięcie to etap, który większość firm pomija. Obejmuje ustalenie, co się stało, oraz podjęcie działań. Musisz porozmawiać z sygnalistą. Sprawdzasz też, czy wciąż jest bezpieczny. Następnie wyciągasz ze sprawy wnioski, by ulepszyć system. Każde zamknięcie musi zostać udokumentowane. Zobaczysz, jak to wygląda w praktyce, w przykładowej procedurze zgłaszania nieprawidłowości.

Gdzie ISO 37002 wypełnia luki pozostawione przez Dyrektywę

Dyrektywa UE wyznacza podstawowe ramy prawne. Wskazuje, kto jest chroniony i jak szybko musisz zareagować. Nie mówi jednak, „jak” wykonać tę pracę. ISO 37002 wypełnia tę lukę. Daje szczegółowe wskazówki co do zgłoszeń anonimowych, kompetencji personelu oraz tego, co liczy się jako szkoda.

W kwestii zgłoszeń anonimowych norma jest jednoznaczna. Firmy mogą je przyjmować, ale muszą ostrzec pracowników o ryzyku. Trudniej zbadać sprawę i chronić zgłaszającego, jeśli nie wiadomo, kim jest. Norma pomaga ułożyć sposoby kontaktu z takimi osobami przy zachowaniu poufności ich tożsamości. Nie zmusza Cię do ich dopuszczania; po prostu pokazuje, jak zrobić to dobrze.

W kwestii kompetencji personelu norma wymienia osiem kluczowych cech. Należą do nich zaufanie, uczciwość i trafny osąd. To nie są puste słowa. Służą do wyboru właściwych osób do obsługi wrażliwych zgłoszeń. Tylko najlepsi pracownicy powinni znać tożsamość sygnalisty.

W kwestii szkody norma posługuje się szeroką definicją. Obejmuje znacznie więcej niż tylko zwolnienie. Należą do niej degradacje, niesprawiedliwe oceny okresowe, a nawet zwykłe ignorowanie pracownika. To zamyka firmom drogę do tłumaczenia, że „złe środowisko pracy” nie jest odwetem. Norma celowo formułuje to bardzo jasno, by chronić pracowników.

Integracja 37002 z 37001 i 37301

ISO 37002 to część trzyczęściowego pakietu norm. Łączy się z ISO 37001 (przeciwdziałanie korupcji) i ISO 37301 (zgodność). Wszystkie trzy mają tę samą strukturę. Oznacza to, że firma może stosować wszystkie naraz bez marnowania czasu. Nowe wydanie ISO 37001 odsyła teraz do 37002 w sprawie zgłaszania nieprawidłowości.

Norma ISO 37001 z 2025 roku stwierdza, że do powstrzymania korupcji potrzebny jest solidny system dla sygnalistów. ISO 37002 łączy się także z wymaganiami dotyczącymi ryzyka i bezpieczeństwa danych. To nie jest tylko „zadanie dla HR”. To kluczowa część bezpiecznego prowadzenia firmy.

Jeśli zaczynasz od zera, zacznij od ISO 37002. Zbuduj na niej trzon systemu. Potem dołóż ISO 37301, by uzyskać certyfikację. Nie celuj najpierw tylko w sam certyfikat. Jeśli tak zrobisz, dostaniesz stos dokumentów i system, który nie działa.

Co pokazują dane porównawcze i działania egzekucyjne z 2025 r.

Wiele systemów w UE nadal nie działa jak należy. Raporty pokazują, że wskaźniki odwetu w UE są dwa razy wyższe niż w Ameryce Północnej. Zamknięcie sprawy zajmuje w UE 69 dni, podczas gdy w USA zaledwie 19. W 2025 r. Trybunał Sprawiedliwości UE nałożył na pięć państw kary o łącznej wysokości 38 mln euro za opieszałe wdrażanie przepisów.

Firmy w UE otrzymują mniej zgłoszeń niż te w USA. Większy odsetek tych zgłoszeń jest anonimowy. Pracownicy w UE dłużej zwlekają, zanim zabiorą głos. To pokazuje, że wciąż brakuje zaufania do systemu.

Liczby te potwierdzają, że to zaufanie jest głównym problemem. ISO 37002 pomaga go rozwiązać. Daje liderom zasady skuteczniejszej komunikacji. Przepisy UE są mocne, ale faktyczna realizacja idzie zbyt wolno. Mierniki z normy pozwalają zarządom dostrzec luki. Potem mogą je załatać i ulepszyć system.

Wymagania zaostrzają się. W marcu 2025 r. Trybunał Sprawiedliwości UE ukarał pięć państw za opóźnienia. Niemcy dostały karę w wysokości 34 mln euro. Kary otrzymały też inne państwa, takie jak Estonia czy Węgry. Wszystkie państwa członkowskie mają już ustawy w mocy, ale wiele z nich nadal nie spełnia wszystkich wymagań. Postępy możesz śledzić na naszej europejskiej liście krajów.

ISO 37002 jest dobrowolna, ale bardzo pomocna. Nie zastępuje prawa. Pomaga za to przełożyć przepisy na działający system. Sprawia, że dostajesz użyteczne zgłoszenia, a postępowania są sprawiedliwe. Buduje system, któremu ludzie naprawdę ufają. Decyzja, czy ją stosować, należy do Ciebie, ale dane pokazują, że to najpewniejsza droga do sukcesu.