Wdrażanie kanału zgłoszeniowego: co najczęściej umyka firmom

Większość firm, które wdrażają kanał zgłoszeniowy, dobrze radzi sobie z częścią widoczną: jest formularz albo adres e-mail i gdzieś został opublikowany. Luki leżą zwykle we wszystkim, co go otacza. Kto czyta to, co wpływa? Kto jeszcze może to zobaczyć? Kto w ogóle może korzystać z kanału? I co musi się wydarzyć do 7. dnia i do 3. miesiąca? Nikt nie zauważa tych luk, dopóki nie wpłynie prawdziwe zgłoszenie, a wtedy są one już częścią problemu.

Poniżej dziesięć najczęstszych. Przy każdej: co zwykle się dzieje, dlaczego to nie wystarcza i co zrobić zamiast tego. Odwołania prawne dotyczą unijnej dyrektywy o ochronie sygnalistów (dyrektywa (UE) 2019/1937). Firmy z Wielkiej Brytanii nie są nią związane, ale nadal jest to najpełniejszy opis kanału, który działa (zobacz Wielka Brytania a UE: co naprawdę jest wymagane i gdzie). Na końcu znajdziesz listę kontrolną dla własnego kanału, przy każdym punkcie ze sposobem jego sprawdzenia.

1. Nikt konkretny za niego nie odpowiada

Co zwykle się dzieje: zgłoszenia trafiają do wspólnej skrzynki pocztowej albo ogólnie „do HR”, a wszyscy zakładają, że zajmuje się nimi ktoś inny.

Dlaczego to nie wystarcza: dyrektywa wymaga wyznaczenia bezstronnej osoby lub bezstronnego wydziału właściwych do podejmowania działań następczych (art. 9 ust. 1 lit. c). Skrzynka pocztowa nie jest osobą. Zgłoszenie, które przez dwa tygodnie leży nieprzeczytane, bo trzy osoby myślały, że zajął się nim ktoś inny, już przekroczyło pierwszy termin.

Co zrobić: wyznacz tę osobę, zanim gdziekolwiek opublikujesz kanał. Jeszcze lepiej wyznacz małą grupę dwóch lub trzech osób, żeby urlopy i choroby nie zostawiały zgłoszeń bez obsługi. Zobacz Wyznaczenie, kto obsługuje zgłoszenia.

2. Nikt nie sprawdził, kto jeszcze widzi zgłoszenia

Co zwykle się dzieje: lista osób rozpatrujących zgłoszenia jest krótka, ale zgłoszenia i tak docierają do innych. Administrator IT może otworzyć każdą skrzynkę. E-mail z powiadomieniem zawiera pełną treść zgłoszenia. Narzędzie do formularzy przechowuje odpowiedzi w przestrzeni, do której ma dostęp pół firmy.

Dlaczego to nie wystarcza: art. 9 ust. 1 lit. a wymaga, by kanał był zaprojektowany i obsługiwany w bezpieczny sposób, tak aby nieupoważniony personel nie miał dostępu do zgłoszeń. Art. 16 chroni tożsamość osoby dokonującej zgłoszenia przed każdym, kto nie zajmuje się jego rozpatrywaniem. Musi to gwarantować sam system, a nie ostrożność wszystkich, którzy mają dostęp.

Co zrobić: prześledź testowe zgłoszenie od wysłania do zapisania i wypisz każdego, kto mógłby do niego dotrzeć na każdym etapie, w tym administratorów, kopie zapasowe i powiadomienia e-mail. Zobacz „Czy adres e-mail wystarczy jako kanał zgłoszeń dla sygnalistów?” i „Czy Formularze Google mogą być kanałem zgłoszeń dla sygnalistów?”.

3. Przyjmowane są tylko zgłoszenia pisemne

Co zwykle się dzieje: formularz internetowy lub adres e-mail to cały kanał.

Dlaczego to nie wystarcza: sama dyrektywa pozwala przyjmować zgłoszenia na piśmie, ustnie lub w obu formach (art. 9 ust. 2), więc kanał wyłącznie pisemny nie jest automatycznie niezgodny. Ale prawo krajowe często wymaga więcej. Holandia nakazuje drogę ustną przez telefon lub system komunikacji głosowej, a włoski regulator oczekuje zgłoszeń pisemnych i ustnych. Niemcy dopuszczają kanał wyłącznie pisemny, ale wymagają spotkania osobistego, jeśli sygnalista o nie poprosi. A w praktyce niektórzy nigdy nie przeleją swoich obaw na papier. Głos wiąże się ponadto z własnym problemem: nagranie może zidentyfikować osobę, nawet jeśli jej nazwisko nie pojawia się w zgłoszeniu.

Co zrobić: dodaj opcję głosową, zdecyduj, jak nagrania będą chronione, i opisz w swojej polityce, jak poprosić o spotkanie i kto je poprowadzi. Zobacz Zgłoszenia głosowe i anonimizacja, wyjaśnione prosto.

4. Tylko pracownicy wiedzą, że kanał istnieje

Co zwykle się dzieje: link jest w intranecie albo w regulaminie pracy.

Dlaczego to nie wystarcza: ochrona z dyrektywy sięga daleko poza listę płac: osoby samozatrudnione, personel dostawców, wolontariusze i stażyści, akcjonariusze i członkowie organów niepełniący funkcji wykonawczych, kandydaci do pracy i byli pracownicy (art. 4). To, czy każda z tych grup może korzystać z twojego kanału wewnętrznego, zależy częściowo od prawa krajowego (art. 8 ust. 2), ale wszyscy mogą zwrócić się bezpośrednio do organu. Jeśli nie znajdą twojego kanału, zgłoszą sprawę poza firmą.

Co zrobić: opublikuj kanał w miejscu dostępnym także dla osób spoza firmy, na przykład na swojej stronie internetowej, i wyraźnie określ, dla jakich grup jest otwarty. Zobacz Kto jest chroniony na podstawie dyrektywy.

5. Terminy zależą od tego, czy ktoś o nich pamięta

Co zwykle się dzieje: daty potwierdzenia przyjęcia i informacji zwrotnej trafiają do czyjegoś kalendarza albo nigdzie.

Dlaczego to nie wystarcza: dyrektywa wyznacza dwa terminy. Przyjęcie zgłoszenia trzeba potwierdzić w ciągu 7 dni (art. 9 ust. 1 lit. b). Informacja zwrotna musi zostać przekazana w rozsądnym terminie, nie dłuższym niż 3 miesiące od potwierdzenia przyjęcia (art. 9 ust. 1 lit. f). Informacja zwrotna ma przy tym konkretne znaczenie: przekazanie osobie dokonującej zgłoszenia, jakie działania podjęto lub planuje się podjąć, i dlaczego (art. 5 pkt 13). „Zajmujemy się tym” się nie liczy.

Co zrobić: zautomatyzuj potwierdzenie przyjęcia, niech system pilnuje terminu 3 miesięcy i ostrzega cię przed jego upływem, i zaplanuj informację zwrotną, która mówi, co faktycznie się dzieje. Zobacz Termin 7 dni / 3 miesięcy na informację zwrotną, wyjaśniony.

6. Z anonimowym sygnalistą nie da się ponownie skontaktować

Co zwykle się dzieje: kanał przyjmuje zgłoszenie anonimowe, ale nic nie wraca w drugą stronę. Formularz internetowy nie ma funkcji odpowiedzi, a anonimowe konto e-mail często zostaje porzucone po jednej wiadomości.

Dlaczego to nie wystarcza: terminy dyrektywy zakładają rozmowę. Przyjęcie zgłoszenia potwierdza się w ciągu 7 dni (art. 9 ust. 1 lit. b), działania następcze są rzetelne (art. 9 ust. 1 lit. d), co zwykle oznacza zadanie sygnaliście pytań, a informacja zwrotna przychodzi w ciągu 3 miesięcy (art. 9 ust. 1 lit. f). Te obowiązki dotyczą przyjętych zgłoszeń anonimowych tak samo jak jawnych. Kanał, który dociera do sygnalisty tylko przez jego dane kontaktowe, zmusza go do wyboru między anonimowością a informacją zwrotną, a wielu wybierze wtedy rezygnację ze zgłoszenia.

Co zrobić: daj każdemu sygnaliście drogę powrotną do sprawy, która nie zależy od danych kontaktowych, na przykład numer referencyjny sprawy, za pomocą którego czyta wiadomości i na nie odpowiada. Jeśli twój kanał tego nie umożliwia, powiedz to wyraźnie tam, gdzie się zgłasza, i zaproponuj opcjonalny sposób kontaktu. Zobacz zgłoszenia anonimowe a zidentyfikowane.

7. Osoby dokonujące zgłoszeń nie wiedzą, jak zwrócić się do organów

Co zwykle się dzieje: polityka wyjaśnia, jak zgłaszać wewnętrznie, i na tym się kończy.

Dlaczego to nie wystarcza: art. 9 ust. 1 lit. g wymaga jasnych i łatwo dostępnych informacji o dokonywaniu zgłoszeń zewnętrznych do właściwych organów. Firmy często je pomijają, bo wydaje się, że odsyłają ludzi gdzie indziej. To jednak obowiązkowa część procedury, a osoba, która ufa twojemu kanałowi, zwykle i tak skorzysta z niego najpierw.

Co zrobić: wskaż właściwe organy w każdym kraju, w którym działasz, i umieść te informacje w swojej polityce oraz obok kanału. Zobacz Zgłoszenia wewnętrzne, zewnętrzne i publiczne: różne ścieżki.

8. Nie ma planu na zgłoszenie dotyczące osoby rozpatrującej zgłoszenia

Co zwykle się dzieje: każde zgłoszenie trafia do tej samej osoby, także zgłoszenie dotyczące jej samej, jej przełożonego lub jej własnego zespołu.

Dlaczego to nie wystarcza: art. 9 ust. 1 lit. c wymaga, by osoba podejmująca działania następcze była bezstronna. Nikt nie jest bezstronny wobec zgłoszenia na własny temat, niezależnie od dobrych intencji.

Co zrobić: wskaż w swojej polityce alternatywny kontakt, na przykład członka zarządu, przewodniczącego rady nadzorczej lub zewnętrznego doradcę, i poinformuj osoby dokonujące zgłoszeń, by zwracały się bezpośrednio do niego, jeśli ich sprawa dotyczy osoby rozpatrującej zgłoszenia. Zdecyduj o tym teraz. Jeśli zajmiesz się tym dopiero, gdy takie zgłoszenie wpłynie, ta osoba już je zobaczy.

9. Nie skonsultowano się z przedstawicielami pracowników (UE)

Co zwykle się dzieje: zarząd wybiera kanał i go uruchamia, nie angażując nikogo innego.

Dlaczego to nie wystarcza: art. 8 ust. 1 przewiduje, że kanały wewnętrzne ustanawia się po konsultacji z partnerami społecznymi i, jeżeli przewiduje to prawo krajowe, w porozumieniu z nimi. W Polsce art. 24 ust. 3 ustawy o ochronie sygnalistów wymaga konsultacji z zakładową organizacją związkową lub, jeśli jej nie ma, z przedstawicielami pracowników. W Niemczech rada zakładowa ma prawo współdecydowania o działaniu kanału, a we Francji przed ustaleniem procedury trzeba skonsultować się z CSE. Pominięcie tego kroku może narazić kanał na zakwestionowanie, nawet jeśli wszystko inne jest w porządku.

Co zrobić: przed uruchomieniem sprawdź, czego wymaga prawo twojego kraju, i zaplanuj na to czas. Zobacz Polska ustawa o ochronie sygnalistów, wyjaśniona, a także przykłady Niemiec i Francji.

10. Nie ma zasady, jak długo przechowywać dokumentację

Co zwykle się dzieje: zgłoszenia i akta spraw są przechowywane bez końca albo usuwane, gdy ktoś akurat robi porządki.

Dlaczego to nie wystarcza: art. 18 wymaga prowadzenia rejestru każdego zgłoszenia i przechowywania go nie dłużej, niż jest to konieczne i proporcjonalne. Art. 17 dokłada do tego prawo ochrony danych: dane osobowe, które nie są potrzebne, nie powinny być przechowywane. Trzymanie wszystkiego na zawsze i zbyt wczesne usuwanie to oba błędy. Potrzebujesz też sposobu na wstrzymanie usuwania, gdy sprawa może trafić do sądu.

Co zrobić: ustal okresy przechowywania w zależności od tego, jak kończy się sprawa, usuwaj automatycznie po ich upływie i zapewnij sposób na zablokowanie sprawy. Zobacz Wybór polityki retencji.

Sprawdź własny kanał

Przy każdym pytaniu druga linijka mówi, jak to ustalić. Jeśli nie umiesz odpowiedzieć, potraktuj odpowiedź jako „nie".

1. Czy umiesz wskazać osobę, która przeczyta następne zgłoszenie, i kto ją zastępuje?

   Zapytaj, kto otworzył ostatnie zgłoszenie i kto zrobiłby to podczas jego urlopu.

2. Czy wypisałeś wszystkich, którzy technicznie mogą zobaczyć zgłoszenie?

   Wyślij zgłoszenie testowe i prześledź je: skrzynka lub formularz, powiadomienia, arkusze, administratorzy, którzy mogą zresetować hasło albo przeszukać pocztę, kopie zapasowe.

3. Czy można zgłosić sprawę ustnie i poprosić o bezpośrednie spotkanie?

   Przeczytaj swoją procedurę oczami kogoś, kto nie chce niczego pisać. Czy jest numer, pod który można zadzwonić, i osoba wyznaczona do spotkań, które w Polsce trzeba zorganizować w ciągu 14 dni?

4. Czy współpracownik na kontrakcie, dostawca albo były pracownik znajdzie kanał?

   Wyszukaj go na swojej publicznej stronie bez logowania.

5. Czy terminy 7 dni i 3 miesięcy są pilnowane, z ostrzeżeniem przed upływem któregoś z nich?

   Dla ostatniego zgłoszenia znajdź datę potwierdzenia przyjęcia i termin informacji zwrotnej.

6. Czy możesz ponownie skontaktować się z anonimowym sygnalistą?

   Wyślij zgłoszenie testowe bez danych kontaktowych i spróbuj potem zadać pytanie.

7. Czy twoja polityka wyjaśnia, jak zgłaszać sprawy organom?

   Sprawdź, czy wskazuje właściwy organ dla każdego kraju, w którym działasz, na przykład Rzecznika Praw Obywatelskich w Polsce.

8. Czy twoja polityka mówi, gdzie kierować zgłoszenie dotyczące osoby rozpatrującej zgłoszenia?

   Sprawdź, czy alternatywny kontakt jest wskazany z nazwiska i osiągalny z pominięciem tej osoby.

9. Czy przeprowadzono konsultacje z przedstawicielami pracowników, tam gdzie wymaga tego prawo?

   Znajdź dokumentację konsultacji z zakładową organizacją związkową albo przedstawicielami pracowników.

10. Czy masz okresy przechowywania dla zamkniętych spraw i sposób, by któryś wstrzymać?

    Znajdź najstarszą zamkniętą sprawę, którą nadal przechowujesz, i zasadę, która to uzasadnia.

Każde „nie" to luka do zamknięcia przed następnym zgłoszeniem, a nie po nim.

Korzystasz z adresu e-mail albo formularza? Tam zaczyna się większość tych luk. Przejdź przez punkty właściwe dla twojego kanału w artykułach „Czy adres e-mail wystarczy jako kanał zgłoszeń dla sygnalistów?” albo „Czy Formularze Google mogą być kanałem zgłoszeń dla sygnalistów?”, z rozwiązaniem dla każdej znalezionej luki.

Kiedy się tym zająć

Jeśli działasz w UE i zatrudniasz 50 lub więcej osób, kanał jest już obowiązkiem prawnym (zobacz Próg 50 pracowników, wyjaśniony). Poniżej tego progu, albo w Wielkiej Brytanii, nie ma stałej daty. Właściwy moment na gotowość to czas przed pierwszym poważnym zgłoszeniem, bo kanał składany w pośpiechu po tym, jak jakiś problem wypłynął już nieformalnie, ma zwykle większość opisanych wyżej luk.

Jak Provoxis zamyka te luki

Trzy z tych punktów to decyzje, które możesz podjąć tylko ty: kto rozpatruje zgłoszenia (1), gdzie trafia zgłoszenie dotyczące osoby rozpatrującej (8) i kogo konsultujesz (9). Resztę zamyka Provoxis:

Każda czynność w sprawie trafia do dziennika audytu, a zgłoszenia są przechowywane w UE (albo w Wielkiej Brytanii dla klientów stamtąd), szyfrowane w spoczynku i podczas przesyłania. Wdrożenie przeprowadzasz samodzielnie z listą kontrolną, cena to stała opłata miesięczna (zobacz cennik), a do tego jest 30-dniowy bezpłatny okres próbny.

Podstawa prawna

Wszystkie odwołania dotyczą dyrektywy (UE) 2019/1937.

• Art. 4: kogo chroni dyrektywa, w tym osoby spoza personelu pracodawcy.
• Art. 5 pkt 13: co oznacza „informacja zwrotna”.
• Art. 6 ust. 2: o obowiązku przyjmowania zgłoszeń anonimowych decyduje każde państwo członkowskie.
• Art. 8 ust. 1: ustanawianie kanałów wewnętrznych po konsultacji z partnerami społecznymi, jeżeli przewiduje to prawo krajowe.
• Art. 8 ust. 2: dla kogo kanały wewnętrzne muszą, a dla kogo mogą, być dostępne.
• Art. 9 ust. 1 lit. a–g: bezpieczna konstrukcja, potwierdzenie przyjęcia w ciągu 7 dni, bezstronna wyznaczona osoba lub wydział, rzetelne działania następcze, informacja zwrotna w ciągu 3 miesięcy oraz informacje o zgłoszeniach zewnętrznych.
• Art. 9 ust. 2: zgłoszenia pisemne, ustne lub w obu formach; ustne telefonicznie lub przez system komunikacji głosowej, oraz spotkanie osobiste na wniosek.
• Art. 16: poufność tożsamości osoby dokonującej zgłoszenia.
• Art. 17 i 18: przetwarzanie danych osobowych i prowadzenie rejestru zgłoszeń.