Przejdź do głównej treści
Wymagane polskim prawem (Ustawa o ochronie sygnalistów) dla organizacji z ponad 50 pracownikami

Jeśli pracownicy muszą pytać, gdzie jest kanał zgłoszeniowy, to go nie masz #

Pracownik podejrzewa oszustwo. Chce to zgłosić. Jego pierwszym krokiem nie powinno być podejście do działu HR i pytanie “czy mamy kanał do zgłaszania nieprawidłowości?”

Sam akt pytania jest sygnałem. W dokładnie takim miejscu pracy, dla jakiego Dyrektywa istnieje — gdzie dochodzą do nieprawidłowości i ktoś chce je zgłosić — pytanie o kanał zgłoszeniowy mówi ludziom, że myślisz o zgłoszeniu czegoś. Zanim wpiszesz choćby jedno słowo, jesteś już zdemaskowany.

Prawo jest jasne: musisz poinformować pracowników #

Ustawa o ochronie sygnalistów i Dyrektywa UE 2019/1937 nie tylko wymagają od organizacji utworzenia kanału zgłoszeniowego. Wymagają, aby upewniły się, że pracownicy o nim wiedzą.

Art. 9 ust. 1 lit. g) nakłada obowiązek zapewnienia “jasnych i łatwo dostępnych informacji” o procedurach zgłaszania — zarówno wewnętrznych, jak i zewnętrznych. To nie jest opcjonalne. Jeśli masz kanał zgłoszeniowy, ale Twoi pracownicy nie wiedzą o jego istnieniu, nie spełniasz wymagań Ustawy o ochronie sygnalistów.

Krajowe transpozycje idą dalej:

Schemat jest wszędzie taki sam: utworzenie kanału to połowa zadania. Poinformowanie o nim pracowników to druga połowa.

Problem projektowy, o którym nikt nie mówi #

Większość dyskusji o zgodności kończy się na “poinformuj pracowników” i zakłada, że firmowy e-mail lub strona w intranecie rozwiązuje problem. Nie rozwiązuje.

Pomyśl, co faktycznie się dzieje:

Scenariusz 1: Kanał jest w firmowym intranecie. Pracownik musi użyć służbowego komputera, zalogować się do sieci korporacyjnej, przejść do sekcji zgodności i kliknąć do kanału zgłoszeniowego. Każdy krok zostawia cyfrowy ślad na urządzeniu kontrolowanym przez pracodawcę. Dział IT może widzieć, jakie strony odwiedzasz w intranecie.

Scenariusz 2: Kanał wymaga firmowej aplikacji. Pracownik musi pobrać aplikację, być może przez korporacyjny system MDM (zarządzanie urządzeniami mobilnymi) i utworzyć konto. Sam fakt instalacji aplikacji do zgłaszania nieprawidłowości na służbowym telefonie jest już deklaracją.

Scenariusz 3: Kanał jest wspomniany raz w podręczniku pracownika. Strona 47, sekcja 12.3, między polityką parkingową a dress code’em. Nikt nie pamięta o jego istnieniu. Kiedy ktoś go potrzebuje, musi zapytać. A pytanie jest problemem.

Co naprawdę oznacza “łatwo dostępny” #

Jeśli poważnie traktujesz cel Dyrektywy — ochronę osób zgłaszających nieprawidłowości — to “łatwo dostępny” oznacza:

Pracownik powinien móc uzyskać dostęp do kanału bez:

To znacznie zawęża opcje. Kanał musi być publicznym adresem URL, który działa w każdej przeglądarce na każdym urządzeniu — w tym na prywatnym telefonie na danych mobilnych, całkowicie poza infrastrukturą pracodawcy.

Jak sprawić, by kanał był naprawdę dostępny #

1. Publiczny adres URL, nie strona intranetu. Kanał zgłoszeniowy powinien być dostępny z każdej przeglądarki, na każdym urządzeniu, bez uwierzytelniania. Pracownik w domu, na swoim prywatnym telefonie, o 23:00, powinien móc wpisać adres URL i rozpocząć zgłoszenie. Bez VPN, bez logowania, bez firmowego e-maila.

2. Kody QR w prywatnych miejscach. Wydrukuj kod QR i umieść go tam, gdzie ludzie mogą go zeskanować bez bycia obserwowanymi: kabiny toaletowe, pokoje socjalne, szatnie, tylna strona drzwi windy. Pracownik skanujący kod QR na ścianie toalety nie zostawia cyfrowego śladu i nie zwraca uwagi.

3. Fizyczne plakaty, nie tylko e-maile. Firmowy e-mail o kanale zgłoszeniowym jest łatwy do przeoczenia i trudny do znalezienia sześć miesięcy później. Plakat na ścianie każdej kuchni biurowej z kodem QR i adresem URL jest zawsze tam, gdy ktoś go potrzebuje.

4. Wspomnij o tym przy wdrażaniu każdego nowego pracownika. Orientacja nowego pracownika powinna obejmować adres URL kanału zgłoszeniowego i wydrukowaną kartę z kodem QR. Nie ukrytą w podręczniku. Wręczaną bezpośrednio.

5. Bez wymogu konta. Jeśli narzędzie zgłoszeniowe wymaga od pracownika utworzenia konta z adresem e-mail, aby złożyć zgłoszenie, nie jest anonimowe i nie jest bezpieczne. Zgłaszający powinien móc przesłać zgłoszenie bez podawania jakichkolwiek danych identyfikujących i otrzymać kod dostępu, aby później sprawdzić status.

Tak właśnie działa EthicsPortal #

Każda organizacja w EthicsPortal otrzymuje publiczny adres URL kanału zgłoszeniowego. Działa w każdej przeglądarce, na każdym urządzeniu. Bez aplikacji, bez konta, bez sieci firmowej.

EthicsPortal generuje kod QR, który można wydrukować i umieścić gdziekolwiek. Zeskanuj go, a jesteś na stronie zgłoszeniowej. Bez logowania, bez śladu.

Zgłaszający przesyłają zgłoszenia anonimowo — bez imienia, bez e-maila, bez adresu IP zapisanego wraz ze zgłoszeniem. Otrzymują kod dostępu, aby sprawdzić aktualizacje. Cała interakcja odbywa się w oknie przeglądarki, które można zamknąć, i nic nie pozostaje.

Osoba rozpatrująca nigdy nie widzi tożsamości zgłaszającego. Zgłaszający nigdy nie widzi imienia osoby rozpatrującej. System odlicza do 7 dni, odlicza do 3 miesięcy i rejestruje wszystko.

Tak wygląda “łatwo dostępny”, gdy poważnie traktujesz Dyrektywę.

Jeśli kanał zgłaszania nieprawidłowości w Twojej organizacji wymaga od pracowników pytania kogoś, gdzie go znaleźć, masz pole wyboru w audycie zgodności. Nie masz kanału zgłoszeniowego. Skonfiguruj prawdziwy w dziesięć minut.

Ostatnia aktualizacja: