Kanał dla sygnalistów w grupie kapitałowej: jedna osoba, pięć spółek

Co mówi ustawa w tej sytuacji

Obowiązek procedury zgłoszeń wewnętrznych ma każdy podmiot prawny z osobna: każda spółka, u której na 1 stycznia lub 1 lipca pracę zarobkową wykonuje co najmniej 50 osób, ustanawia własną procedurę i prowadzi własny rejestr zgłoszeń (art. 23 ust. 1, art. 24 ust. 1 i art. 29 ustawy o ochronie sygnalistów). Spółka-matka nie „załatwia” tego za spółki zależne jednym kanałem; Komisja Europejska w stanowiskach z 2021 r. uznała taką wykładnię za sprzeczną z dyrektywą.

Grupa może mieć wspólną procedurę (art. 28 ust. 8), a spółki, u których pracuje od 50 do 249 osób, mogą dzielić zasoby do przyjmowania zgłoszeń i prowadzenia postępowań (art. 28 ust. 3), z odrębnymi administratorami danych i bez wzajemnego dostępu poza tym, co niezbędne. Osoba z centrali, która przyjmuje i weryfikuje zgłoszenia w spółce zależnej, potrzebuje od tej spółki pisemnego upoważnienia (art. 27 ust. 2). Sygnalista zawsze musi móc zgłosić w swojej spółce.

To opis, jak system odwzorowuje przepisy, nie porada prawna; szczegóły procedury ustala organizacja z własnym prawnikiem.

Na co zwrócić uwagę przy wdrożeniu

1. Osobne konto każdej spółki, nie „oddziały” w jednym koncie. Każda spółka ma własny rejestr, formularz, stronę zgłoszeń pod własną domeną, zespół i upoważnienia. Nie ma wspólnej bazy spraw, więc nie ma pytania, kto z centrali mógł zobaczyć sprawę spółki-córki „przy okazji”.
2. Jedna osoba, jedno logowanie. Osoba z centrali ma jedno konto główne (e-mail, hasło, 2FA). Administrator każdej spółki zaprasza ją do siebie i nadaje rolę; ona przyjmuje zaproszenie i od tej chwili przełącza spółki z paska panelu.
3. Ekran „Moje organizacje” zamiast pięciu skrzynek. Dla każdej spółki widać sprawy otwarte, sprawy po 7 dniach bez potwierdzenia, przekroczone terminy informacji zwrotnej, sprawy przypisane do tej osoby i nieprzeczytane wiadomości. Bez wchodzenia po kolei.
4. Upoważnienie w każdej spółce. Repozytorium upoważnień każdej spółki przechowuje pisemne upoważnienie tej samej osoby osobno. To dokładnie ten dokument, o który pyta kontrola.
5. Decyzja zostaje w spółce. Administrator spółki może odpiąć osobę z centrali jednym kliknięciem; dostęp znika natychmiast, a zaproszenie, przyjęcie, każde przełączenie i odpięcie są w dzienniku po obu stronach.

Funkcje, które robią różnicę

• Jedno logowanie, wiele spółek i Wszystkie terminy na jednym ekranie (grupy kapitałowe, kancelarie i IOD).
• Bezpieczne przełączanie: po 30 minutach od ostatniego kodu 2FA przełączenie wymaga nowego kodu, logowanie z nowego urządzenia wysyła alert, zaproszenie wygasa po 14 dniach.
• Repozytorium upoważnień w każdej spółce (zgodność i uprawnienia).
• Niemodyfikowalny dziennik audytu z wpisami o każdym przełączeniu między spółkami.
• Model partnerski, jeśli grupa chce rozliczać spółki z jednej karty z rabatem wolumenowym (dla partnerów).

Najczęstsze pytania

Czy grupa może mieć jeden wspólny kanał dla wszystkich spółek?

Wspólną procedurę tak, wspólny rejestr nie. Każda spółka objęta obowiązkiem prowadzi własny rejestr i jest administratorem danych w nim zgromadzonych. W sygnadesk każda spółka ma osobne konto, a wspólne jest tylko logowanie osoby, która obsługuje kilka z nich.

Ile płaci grupa z pięcioma spółkami?

Każda spółka ma osobny pakiet dobrany do liczby osób. Osoby z centrali nie potrzebują dodatkowych kont. Jeśli grupa chce rozliczać spółki z jednego miejsca, spółka-matka albo obsługująca ją kancelaria może być partnerem z rabatem rosnącym z liczbą spółek, od 15% przy pierwszej.

Więcej w artykule Ustawa o ochronie sygnalistów: kogo dotyczy.