Procedura zgłoszeń wewnętrznych: jak przygotować ją do działania

Procedura zgłoszeń wewnętrznych nie jest dokumentem, który „wdraża się” przez opublikowanie pliku PDF. Jest to model operacyjny: określa, jak organizacja odbiera informacje, kto je widzi, kto podejmuje działania następcze, jak prowadzona jest komunikacja i w jaki sposób powstaje dokumentacja.

Ten materiał ma charakter edukacyjny, a nie prawny. Ocena obowiązków i treści procedury wymaga uwzględnienia sytuacji konkretnego podmiotu oraz, jeśli to konieczne, profesjonalnej porady prawnej.

W polskiej ustawie o ochronie sygnalistów procedura zgłoszeń wewnętrznych jest powiązana z przyjmowaniem informacji o naruszeniach prawa i działaniami następczymi.[1] Rządowe omówienie wskazuje między innymi próg 50 osób wykonujących pracę lub świadczących pracę w określonych datach, szczególne traktowanie sektora finansowego oraz część wyłączeń dla małych jednostek samorządowych.[1] Z perspektywy wdrożenia nie warto jednak zaczynać od platformy. Najpierw należy określić sposób działania.

1. Ustal zakres procesu, zanim wybierzesz narzędzie

W jednej organizacji mogą występować różne rodzaje spraw: potencjalne naruszenia prawa, naruszenia standardów etycznych, skargi pracownicze, konflikty czy pytania HR. Wrzucenie ich wszystkich do jednego worka tworzy ryzyko: zgłaszająca osoba nie wie, czego oczekiwać, a zespół nie wie, według jakich zasad działać.

Ustawa wymienia obszary naruszeń prawa, a jednocześnie pozwala podmiotowi rozszerzyć procedurę wewnętrzną o naruszenia regulacji wewnętrznych lub standardów etycznych przyjętych zgodnie z prawem.[2] To argument za przejrzystą taksonomią i opisem ścieżek, nie za automatycznym przypisaniem każdej sprawie statusu zgłoszenia ustawowego.

2. Zaprojektuj role, nie tylko skrzynkę odbiorczą

Ogólna skrzynka e-mail nie daje domyślnie rozdziału obowiązków, kontroli dostępu ani historii decyzji. Ustal co najmniej następujące role.

Ustawa ogranicza ujawnianie danych pozwalających ustalić tożsamość sygnalisty osobom nieupoważnionym, z wyjątkami przewidzianymi prawem.[2] Dlatego podczas projektowania ról pytanie powinno brzmieć: kto rzeczywiście musi znać daną informację, aby wykonać zadanie?

3. Zdefiniuj bezpieczny kanał i dalszy kontakt

Kanał przyjęcia może być elektroniczny, ale jego jakość mierzy się nie wyglądem formularza, tylko tym, czy umożliwia bezpieczne przekazanie informacji oraz późniejsze doprecyzowanie sprawy. Dobrze opisany proces zawiera:

1. jasne instrukcje dla osoby zgłaszającej;
2. komunikat o ograniczeniach i ochronie danych;
3. możliwość uzupełnienia faktów oraz załączników;
4. bezpieczną komunikację dwukierunkową;
5. kontrolowane potwierdzenie odbioru i dalszego kontaktu zgodnie z procedurą.

Ustawa dopuszcza przyjmowanie zgłoszeń anonimowych, ale nie tworzy prostej zasady, którą można opisać marketingowo jako „anonimowość zawsze wymagana”.[2] Jeśli organizacja wprowadza anonimowy tryb, powinna jednocześnie ustalić, jak będzie zadawać pytania i przekazywać informacje bez proszenia o dane identyfikacyjne.

4. Zamień „działania następcze” w etapową pracę ze sprawą

Ustawa definiuje działania następcze jako działania służące ocenie prawdziwości informacji i przeciwdziałaniu naruszeniu, w tym między innymi postępowanie wyjaśniające, audyt, postępowanie administracyjne, działania naprawcze lub zakończenie procedury.[2] W praktyce nie oznacza to, że każda sprawa wymaga identycznego dochodzenia. Oznacza, że organizacja potrzebuje czytelnej ścieżki decyzji.

Przydatny model roboczy obejmuje:

• rejestrację i ograniczenie dostępu;
• wstępne uporządkowanie sprawy;
• przypisanie osoby odpowiedzialnej oraz terminu kolejnego kroku;
• zebranie materiału i pytań uzupełniających;
• decyzję lub eskalację zgodną z uprawnieniami;
• zapis uzasadnienia i zamknięcia;
• przegląd trendów bez niepotrzebnego rozpowszechniania danych spraw.

Szczegółowy model znajdziesz w artykule Zarządzanie sprawami zgłoszeń sygnalistów.

5. Zaplanuj dokumentację, retencję i prywatność od początku

Dokumentacja jest potrzebna do ciągłości pracy i nadzoru, lecz nie uzasadnia gromadzenia wszystkiego. Ustawa wskazuje, że dane nieistotne dla obsługi zgłoszenia nie powinny być zbierane, a przypadkowo zebrane powinny zostać usunięte bez zbędnej zwłoki.[2] Politykę retencji, konfigurację systemu, umowy powierzenia oraz obowiązki informacyjne należy zaprojektować z osobami odpowiedzialnymi za prywatność i prawem.

Wymagania dla systemu powinny więc obejmować role, szyfrowanie, rejestr aktywności, eksporty, ograniczenia administratora i mechanizmy retencji — ale żadne z nich nie zastąpi decyzji organizacji, co i jak długo przechowuje.

6. Komunikacja i przegląd po uruchomieniu

Nawet dobra procedura nie działa, jeśli osoby uprawnione nie wiedzą, jak stosować ją w praktyce, a pracownicy nie wiedzą, gdzie i kiedy zgłaszać. Zaplanuj komunikację, krótkie szkolenie dla właścicieli spraw oraz okresowy przegląd:

Przed wyborem dostawcy przeczytaj także pytania dotyczące RODO i kanału zgłoszeń.

Źródła

[1] Ministerstwo Rodziny, Pracy i Polityki Społecznej, „Ochrona sygnalistów”.

[2] Rzecznik Praw Obywatelskich, ustawa o ochronie sygnalistów.