Ustawa o sygnalistach — co musi mieć Twoja firma, żeby być po bezpiecznej stronie

Wiesz co mówią firmy, które dostały pierwszą kontrolę po wejściu w życie ustawy o sygnalistach? Że „myślały że to na razie nieobowiązkowe”. Obowiązkowe jest od 25 września 2024 roku. I to dla każdej firmy, na rzecz której wykonuje pracę zarobkową co najmniej 50 osób — według stanu na dzień 1 stycznia lub 1 lipca danego roku.

Zanim przejdę do konkretów — jedno zdanie o tym, kim jest sygnalista. To osoba (pracownik, współpracownik, zleceniobiorca, stażysta, a także osoba spoza organizacji — ustawa obejmuje szeroki krąg, w tym byłych pracowników i kandydatów do pracy), która zgłasza nieprawidłowości w firmie: korupcję, naruszenia prawa, działania szkodzące interesowi publicznemu. I która — na mocy ustawy — ma być przed konsekwencjami za to zgłoszenie chroniona.

Co ustawa nakłada na pracodawcę

Jeśli zatrudniasz co najmniej 50 osób — masz obowiązek wdrożyć procedurę przyjmowania i rozpatrywania zgłoszeń wewnętrznych. W praktyce oznacza to:

• Kanał zgłoszeń — możliwość dokonania zgłoszenia w formie pisemnej lub ustnej, z możliwością przyjmowania zgłoszeń anonimowych (ustawa tego nie nakazuje wprost, ale w praktyce jest to standard zgodny z jej celem i rekomendacjami organów nadzorczych). Może to być skrzynka mailowa, formularz online, dedykowany numer telefonu — forma jest Twoja, ale kanał musi być.
• Procedura pisemna — dokument opisujący jak działa cały system: kto przyjmuje zgłoszenia, w jakim terminie potwierdza ich wpłynięcie (7 dni od otrzymania), kto prowadzi weryfikację i w jakim czasie (co do zasady 3 miesiące od potwierdzenia przyjęcia zgłoszenia (z możliwością przedłużenia w uzasadnionych przypadkach, przy zachowaniu obowiązku informacyjnego wobec sygnalisty), jakie działania następcze są możliwe. Procedura powinna być skonsultowana z przedstawicielami pracowników — to nie jest dokument, który można „po prostu wdrożyć jednostronnie.
• Osoba lub jednostka odpowiedzialna — ktoś musi tym zarządzać. Może to być wyznaczony pracownik, dział compliance, zewnętrzny podmiot (np. kancelaria prawna) albo specjalnie powołany organ.
• Ochrona sygnalisty przed działaniami odwetowymi — zakaz zwolnienia, degradacji, zmiany warunków zatrudnienia na niekorzyść z powodu zgłoszenia.

Uwaga: Obowiązek dotyczy podmiotów prawnych, na rzecz których pracę zarobkową wykonuje co najmniej 50 osób (pracownicy w przeliczeniu na pełne etaty lub osoby na innej podstawie niż stosunek pracy, o ile nie zatrudniają do tej pracy innych osób). Niezależnie od liczby zatrudnionych — obowiązek dotyczy zawsze podmiotów z sektora finansowego oraz podmiotów obowiązanych w rozumieniu przepisów o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (AML).

Trzy błędy, które widzę najczęściej

Procedura istnieje — ale nikt jej nie zna

Dokument jest w systemie, link gdzieś w intranecie, HR go widział raz przy wdrożeniu. Pracownik, który chciałby coś zgłosić, nie wie że taki kanał istnieje, nie wie jak z niego skorzystać i nie wie czy jest bezpieczny. Procedura, której nikt nie używa, nie chroni ani sygnalisty, ani firmy.

Brak realnej anonimowości

Firma uruchomiła skrzynkę mailową pod adresem compliance@firma.pl — do której dostęp ma bezpośredni przełożony osoby zgłaszającej. To nie jest anonimowość. To jest pułapka. Sygnalista, który zgłosi i zostanie zidentyfikowany, ma prawo do odszkodowania — a firma odpowiada za brak skutecznej ochrony.

Brak osoby odpowiedzialnej za rozpatrywanie zgłoszeń

Procedura opisuje co zrobić, ale nie mówi kto konkretnie to robi. Zgłoszenie wpływa, nikt nie potwierdza wpłynięcia w 7 dni (wymóg ustawy), nikt nie prowadzi weryfikacji. Formalnie system istnieje — faktycznie nie działa.

Co grozi za brak wdrożenia?

Ustawa z dnia 14 czerwca 2024 r. o ochronie sygnalistów (Dz.U. z 2024 r. poz. 928) przewiduje odpowiedzialność karną. W szczególności:

• osoba, która uniemożliwia lub istotnie utrudnia dokonanie zgłoszenia — podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3 (art. 54 ustawy) — w zależności od rodzaju naruszenia,
• pracodawca, który dopuszcza się działań odwetowych wobec sygnalisty — odpowiada za naprawienie szkody, w tym odszkodowanie za utracone zarobki i zadośćuczynienie za krzywdę niemajątkową (art. 11 i nast. ustawy),
• podmiot, który ujawnia tożsamość sygnalisty bez jego zgody — popełnia przestępstwo zagrożone grzywną lub karą pozbawienia wolności do roku.

Jak wygląda wdrożenie, które faktycznie działa?

Minimum na start to: pisemna procedura dostosowana do struktury firmy (nie szablon z internetu), kanał zgłoszeń zapewniający realną anonimowość, wyznaczona osoba lub podmiot odpowiedzialny za rozpatrywanie, poinformowanie pracowników — w sposób, w jaki faktycznie do nich dotrze, nie jako mail „do przeczytania”.

Procedura nie musi być długa ani skomplikowana. Musi być prawdziwa — tzn. taka, którą da się uruchomić, kiedy ktoś faktycznie zgłosi nieprawidłowość.