Procedura zgłoszeń wewnętrznych krok po kroku

Krok 1. Ustal, kto w organizacji odpowiada za kanał

Ustawa wymaga wskazania dwóch ról, które mogą, ale nie muszą, przypadać tym samym osobom (art. 25 ust. 1 pkt 1 i 3):

• wewnętrznej jednostki organizacyjnej lub osoby upoważnionej do przyjmowania zgłoszeń, czyli tego, do kogo zgłoszenie fizycznie trafia;
• bezstronnej jednostki lub osoby upoważnionej do podejmowania działań następczych, w tym weryfikacji zgłoszenia i dalszej komunikacji z sygnalistą.

Słowo „bezstronna” ma konsekwencje. Osoba prowadząca postępowanie nie może być tą, której zgłoszenie dotyczy, ani jej podwładnym. W małej firmie oznacza to zwykle wskazanie dwóch osób z różnych pionów albo powierzenie przyjmowania zgłoszeń podmiotowi zewnętrznemu, na przykład kancelarii, co ustawa dopuszcza (art. 28 ust. 1). Umowa z takim podmiotem musi określać odpowiedzialność za zachowanie poufności i za przestrzeganie terminów.

Osoby przyjmujące zgłoszenia i prowadzące działania następcze muszą mieć pisemne upoważnienie do przetwarzania danych osobowych i być zobowiązane do zachowania tajemnicy (art. 8 ust. 6). To nie jest formalność: upoważnienie jest pierwszym dokumentem, o który pyta kontrola, i pierwszym, którego brak wyjdzie w sporze z sygnalistą.

Krok 2. Zdecyduj o zakresie i o zgłoszeniach anonimowych

Dwie decyzje należą wyłącznie do podmiotu prawnego i procedura musi je wprost zapisać:

1. Czy procedura obejmuje tylko naruszenia z katalogu ustawowego, czy także regulacje wewnętrzne i standardy etyczne (art. 3 ust. 2). Rozszerzenie jest standardem, bo bez niego kanał odrzuca większość realnych zgłoszeń pracowników (mobbing, konflikt interesów, naruszenia kodeksu etyki).
2. Czy podmiot przyjmuje zgłoszenia anonimowe (art. 25 ust. 2 pkt 1). Ustawa nie nakazuje ich przyjmować, ale jeśli procedura tego nie przewiduje, anonimowe zgłoszenie nie uruchamia ustawowych terminów. Argumenty za i przeciw omawiamy w osobnym tekście o zgłoszeniach anonimowych.

Krok 3. Opisz sposoby przekazywania zgłoszeń

Procedura musi określać sposoby przekazywania zgłoszeń przez sygnalistę (art. 25 ust. 1 pkt 2), a ustawa wymaga, by zgłoszenie dało się dokonać ustnie lub pisemnie (art. 26 ust. 1). Zgłoszenie ustne może być dokonane telefonicznie lub za pośrednictwem innych systemów komunikacji głosowej, a na wniosek sygnalisty także na bezpośrednim spotkaniu zorganizowanym w terminie 14 dni od otrzymania wniosku (art. 26 ust. 2 i 4). Zgłoszenie ustne trzeba udokumentować: nagraniem za zgodą sygnalisty albo protokołem, który sygnalista może sprawdzić, poprawić i zatwierdzić podpisem (art. 26 ust. 3).

Kanał elektroniczny nie zwalnia z obsługi ścieżki ustnej. Zwalnia natomiast z ręcznego prowadzenia rejestru i liczenia terminów, jeśli zgłoszenia ustne i spotkania również są w nim odnotowywane. Jak zorganizować kanały, żeby były realnie dostępne dla osób bez komputera, opisujemy w tekście o kanałach zgłoszeń.

Krok 4. Zapisz terminy i tryb działań następczych

Obowiązkowe elementy procedury z art. 25 ust. 1 obejmują dalej:

• obowiązek potwierdzenia przyjęcia zgłoszenia w terminie 7 dni od jego otrzymania, chyba że sygnalista nie podał adresu do kontaktu (pkt 4);
• obowiązek podjęcia działań następczych przez wskazaną jednostkę lub osobę, z zachowaniem należytej staranności (pkt 5);
• maksymalny termin na przekazanie informacji zwrotnej, nieprzekraczający 3 miesięcy od potwierdzenia przyjęcia zgłoszenia, a jeśli potwierdzenia nie wysłano, 3 miesięcy od upływu 7 dni od zgłoszenia (pkt 6);
• zrozumiałe informacje o zgłoszeniach zewnętrznych do Rzecznika Praw Obywatelskich lub organów publicznych oraz, w stosownych przypadkach, do instytucji Unii (pkt 7).

Procedura może dodatkowo określać czynniki ryzyka dla poszczególnych obszarów działalności, system zachęt do korzystania z kanału wewnętrznego oraz zasady informowania osoby, której zgłoszenie dotyczy (art. 25 ust. 2). Przebieg terminów i konsekwencje ich przekroczenia opisujemy w osobnym tekście.

Krok 5. Skonsultuj projekt

To krok, który firmy pomijają najczęściej, a jego brak oznacza, że procedura została ustalona z naruszeniem ustawy. Podmiot prawny ustala procedurę po konsultacji z zakładową organizacją związkową, a jeśli takiej nie ma, z przedstawicielami osób świadczących pracę wyłonionymi w trybie przyjętym u pracodawcy (art. 24 ust. 3). Konsultacje trwają nie krócej niż 5 dni i nie dłużej niż 10 dni od dnia przedstawienia projektu (art. 24 ust. 4).

Konsultacja nie oznacza uzgodnienia: pracodawca nie potrzebuje zgody, ale musi dać czas na opinię i umieć wykazać, że projekt przedstawił. Data przekazania projektu i data zakończenia konsultacji powinny być udokumentowane, bo od nich zależy, czy procedura jest ważna.

Krok 6. Ogłoś procedurę i policz 7 dni

Procedura wchodzi w życie po upływie 7 dni od dnia podania jej do wiadomości osób wykonujących pracę, w sposób przyjęty w danym podmiocie (art. 24 ust. 5 i 6). W praktyce oznacza to ogłoszenie w intranecie, rozesłanie e-mailem albo wywieszenie w miejscu ogólnie dostępnym, z zachowaniem dowodu daty. Wiele organizacji prosi o potwierdzenie zapoznania się, co nie jest wymagane, ale bardzo ułatwia obronę w sporze.

Osobny obowiązek dotyczy kandydatów do pracy: podmiot prawny przekazuje informację o procedurze osobie ubiegającej się o pracę wraz z rozpoczęciem rekrutacji lub negocjacji przed zawarciem umowy (art. 24 ust. 7). Link do procedury w ogłoszeniu albo w pierwszej wiadomości do kandydata załatwia sprawę.

Krok 7. Uruchom rejestr

Od dnia wejścia procedury w życie podmiot prowadzi rejestr zgłoszeń wewnętrznych i jest administratorem danych w nim zgromadzonych (art. 29). Rejestr zawiera numer zgłoszenia, przedmiot naruszenia, dane osobowe sygnalisty i osoby, której zgłoszenie dotyczy, niezbędne do ich identyfikacji, adres do kontaktu sygnalisty, datę zgłoszenia, informację o podjętych działaniach następczych i datę zakończenia sprawy. Dane przechowuje się przez 3 lata po zakończeniu roku kalendarzowego, w którym zakończono działania następcze lub postępowania zainicjowane tymi działaniami.

Rejestr można prowadzić w arkuszu. Problem w tym, że arkusz nie potwierdzi przyjęcia w 7 dni, nie przypomni o trzecim miesiącu i nie udowodni, kto i kiedy czytał zgłoszenie. Dlatego w praktyce rejestrem jest system, a arkusz co najwyżej eksportem z niego.

Lista kontrolna przed ogłoszeniem

Jak to wygląda w sygnadesk

Kreator wdrożenia prowadzi przez te same punkty: osoby przyjmujące i prowadzące, zakres kategorii, decyzja o anonimowości, kanały. Szablony procedury, klauzuli informacyjnej i upoważnień są do dostosowania w panelu, a rejestr pracowników z potwierdzeniem zapoznania się z procedurą zamyka krok 6. Rejestr zgłoszeń, terminy i dziennik audytu działają od pierwszego zgłoszenia, bez arkusza obok.