Ustawa o ochronie sygnalistów: czy Twoja firma naprawdę spełnia obowiązki wobec zgłaszających?

Dział HR informuje Cię, że pracownik zgłosił nieprawidłowości w rozliczeniach jednego z kierowników działu sprzedaży. Trzy tygodnie później ten sam pracownik zostaje przesunięty na gorsze stanowisko "z powodu reorganizacji". Brzmi jak przypadek? W świetle ustawy o ochronie sygnalistów to może być klasyczny przykład działania odwetowego - a odpowiedzialność za nie ponosi firma, niezależnie od tego, czy formalnie miała wdrożoną procedurę zgłoszeń, czy nie.

Ustawa z dnia 14 czerwca 2024 roku o ochronie osób zgłaszających naruszenia prawa weszła w życie 25 września 2024 roku, implementując unijną dyrektywę o ochronie sygnalistów. Od tego momentu minęło już sporo czasu, a mimo to w praktyce doradczej wciąż spotykamy firmy, które owszem, mają dokument procedury zgłoszeń leżący w segregatorze compliance, ale nigdy nie przetestowały, czy kanał zgłoszeniowy faktycznie działa, czy pracownicy wiedzą o jego istnieniu, i czy ktokolwiek w organizacji wie, jak zareagować na pierwsze realne zgłoszenie.

To rozdźwięk między formalnym wdrożeniem a realnym funkcjonowaniem systemu jest dziś największym źródłem ryzyka. Ustawa nie wymaga jedynie posiadania dokumentu - wymaga funkcjonującego systemu, informowania pracowników i, co najistotniejsze, bezwzględnego powstrzymania się od jakichkolwiek działań odwetowych wobec osób, które z systemu skorzystały. W tym artykule wyjaśniamy, kogo dotyczy obowiązek, jakie są jego trzy filary, i jakie błędy popełniane są najczęściej przy jego wdrażaniu.

Podstawa prawna: trzy filary ustawy o ochronie sygnalistów

Obowiązek wdrożenia wewnętrznej procedury zgłoszeń dotyczy podmiotów prawnych, na rzecz których pracuje co najmniej 50 osób. Co istotne, przy liczeniu tego progu bierze się pod uwagę nie tylko osoby zatrudnione na podstawie umowy o pracę, ale również osoby świadczące pracę na podstawie umów zlecenia oraz współpracujące w ramach jednoosobowej działalności gospodarczej (B2B), jeśli spełniają określone kryteria zaangażowania w działalność podmiotu. Stan zatrudnienia ustala się na dzień 1 stycznia lub 1 lipca danego roku, co oznacza, że firma zbliżająca się do progu 50 osób powinna monitorować tę liczbę cyklicznie, a nie tylko raz w roku przy okazji budżetowania.

Pierwszy filar ustawy to obowiązek ustanowienia procedury zgłoszeń wewnętrznych. Zgodnie z przepisami ustawy, procedura ta musi określać m.in. jednostkę organizacyjną lub osobę odpowiedzialną za przyjmowanie zgłoszeń, dostępne kanały zgłaszania (pisemnie, ustnie, elektronicznie), tryb postępowania z ustaleniem tożsamości zgłaszającego oraz obowiązek podjęcia działań następczych w rozsądnym terminie. Procedura musi być przyjęta po konsultacji z zakładową organizacją związkową lub, w razie jej braku, z przedstawicielami pracowników wyłonionymi w trybie przyjętym u danego pracodawcy - pominięcie tego etapu konsultacji może samo w sobie stanowić podstawę do zakwestionowania ważności całej procedury.

Drugi filar, i zarazem najbardziej newralgiczny z punktu widzenia odpowiedzialności prawnej pracodawcy, to bezwzględny zakaz działań odwetowych wobec sygnalisty. Ustawa wprost zabrania podejmowania jakichkolwiek działań represyjnych, dyskryminujących lub innych działań niekorzystnych wobec osoby, która dokonała zgłoszenia w dobrej wierze - a katalog takich działań obejmuje między innymi zwolnienie, zawieszenie, obniżenie wynagrodzenia, zmianę miejsca pracy na mniej korzystne, wstrzymanie awansu, mobbing czy nawet nieformalne wykluczenie z zespołu. Co istotne, ciężar dowodu w sporze dotyczącym działania odwetowego jest odwrócony - to pracodawca musi wykazać, że podjęte wobec sygnalisty działanie miało obiektywnie uzasadnione podstawy niezwiązane ze zgłoszeniem, a nie sygnalista musi udowadniać związek przyczynowy.

Trzeci filar to obowiązek informacyjny wobec pracowników i kandydatów do pracy. Pracodawca musi udostępnić informacje o procedurze zgłoszeń wewnętrznych w sposób łatwo dostępny - typowo poprzez regulamin pracy, intranet czy odrębny dokument przekazywany przy zatrudnieniu. Obowiązek ten dotyczy nie tylko obecnych pracowników, ale również kandydatów już na etapie rekrutacji, co w praktyce oznacza konieczność aktualizacji dokumentacji rekrutacyjnej i onboardingowej.

Trzy obszary, w których firmy najczęściej popełniają błędy

Procedura istnieje na papierze, ale nikt jej nie przetestował

Najczęstszym błędem jest przyjęcie procedury zgłoszeń jako jednorazowego projektu compliance - dokument zostaje przygotowany, skonsultowany, uchwalony i... odłożony do segregatora. W praktyce oznacza to, że w momencie pierwszego realnego zgłoszenia osoba wyznaczona do jego przyjęcia nie wie dokładnie, jak przebiega proces, jakie terminy obowiązują na poszczególnych etapach, ani jak udokumentować podjęte działania następcze w sposób, który obroni się w razie późniejszej kontroli czy sporu sądowego.

Dobrą praktyką, którą rekomendujemy klientom, jest przeprowadzenie symulacji zgłoszenia raz w roku - z udziałem osoby odpowiedzialnej za przyjmowanie zgłoszeń oraz działu prawnego lub compliance - żeby zweryfikować, czy procedura faktycznie działa krok po kroku, a nie tylko istnieje w teorii.

Brak realnej niezależności osoby przyjmującej zgłoszenia

Drugi częsty błąd to wyznaczenie do roli odbiorcy zgłoszeń osoby, która nie ma faktycznej niezależności decyzyjnej wobec kadry zarządzającej - na przykład bezpośredniego podwładnego prezesa zarządu, który w praktyce nie będzie w stanie bezstronnie procedować zgłoszenia dotyczącego nieprawidłowości po stronie swojego przełożonego. Choć ustawa nie narzuca sztywnej struktury organizacyjnej, orzecznictwo i praktyka nadzorcza coraz częściej zwracają uwagę na to, czy osoba przyjmująca zgłoszenia ma realną możliwość działania niezależnie od struktur, których zgłoszenie może dotyczyć.

Nieprawidłowa reakcja na zgłoszenie, które okazuje się niewygodne

Trzeci, najbardziej ryzykowny prawnie obszar dotyczy sytuacji, w której zgłoszenie dotyczy osoby wysoko postawionej w strukturze firmy lub istotnego dla organizacji pracownika. To właśnie w takich przypadkach pokusa podjęcia działań "chłodzących" wobec zgłaszającego jest największa - a jednocześnie to właśnie te przypadki najczęściej trafiają do sądów pracy i wiążą się z najwyższym ryzykiem odpowiedzialności odszkodowawczej dla pracodawcy.

Ryzyka dla przedsiębiorcy

Brak wdrożonej procedury zgłoszeń wewnętrznych, mimo przekroczenia progu 50 zatrudnionych, naraża firmę na odpowiedzialność administracyjną, ale realne ryzyko biznesowe wykracza daleko poza samą sankcję formalną. Firma bez działającego kanału zgłoszeń traci możliwość wczesnego wykrycia nieprawidłowości wewnętrznych - nadużyć finansowych, naruszeń bezpieczeństwa, mobbingu - zanim informacja o nich trafi bezpośrednio do organów ścigania, mediów czy konkurencji, co jest scenariuszem znacznie bardziej kosztownym wizerunkowo i finansowo.

Drugie, poważniejsze ryzyko dotyczy odpowiedzialności za działania odwetowe wobec sygnalisty. Pracownik, wobec którego podjęto działania odwetowe w związku ze zgłoszeniem, może dochodzić przed sądem pracy odszkodowania, a przy odwróconym ciężarze dowodu pozycja procesowa pracodawcy jest wyjątkowo trudna - musi on wykazać, że każde niekorzystne działanie wobec sygnalisty (zmiana zakresu obowiązków, ocena okresowa, decyzja o nieprzedłużeniu umowy) miało podstawy całkowicie niezwiązane ze zgłoszeniem.

Trzecie ryzyko to konsekwencje wizerunkowe i reputacyjne, szczególnie istotne dla firm działających w branżach regulowanych, sektorze finansowym czy dla spółek publicznych. Ujawnienie, że pracodawca dopuścił się działań odwetowych wobec sygnalisty, może mieć znacznie poważniejsze konsekwencje biznesowe niż sama sprawa sądowa - wpływając na relacje z inwestorami, kontrahentami czy w procesach rekrutacyjnych na rynku pracy.

Czwarte ryzyko dotyczy nieprawidłowego przeprowadzenia konsultacji procedury ze związkami zawodowymi lub przedstawicielami pracowników. Procedura przyjęta z pominięciem tego obowiązku może zostać zakwestionowana jako wadliwa, co w praktyce oznacza, że formalnie firma może nie spełniać ustawowego obowiązku, mimo posiadania dokumentu procedury.

Przykład z praktyki

Spółka LogiTrans Sp. z o.o., firma transportowo-logistyczna zatrudniająca 78 osób, wdrożyła procedurę zgłoszeń wewnętrznych w 2024 roku, tuż po wejściu ustawy w życie, wyznaczając do roli odbiorcy zgłoszeń specjalistkę ds. kadr, bezpośrednio podległą dyrektorowi operacyjnemu. Rok później jeden z kierowników zmianowych zgłosił nieprawidłowości w rozliczaniu nadgodzin kierowców, wskazując bezpośrednio na praktyki stosowane przez tego samego dyrektora operacyjnego.

W ciągu sześciu tygodni od zgłoszenia kierownik zmianowy otrzymał negatywną ocenę okresową (pierwszą w swojej pięcioletniej historii zatrudnienia), a następnie propozycję przeniesienia na stanowisko o niższym wynagrodzeniu, uzasadnioną "reorganizacją działu". Pracownik złożył pozew do sądu pracy, powołując się na ustawę o ochronie sygnalistów. Sąd, wobec braku przekonującej dokumentacji potwierdzającej niezależne podstawy tych decyzji kadrowych oraz wobec ustalenia, że osoba przyjmująca zgłoszenie podlegała bezpośrednio osobie, której zgłoszenie dotyczyło, zasądził na rzecz pracownika odszkodowanie w wysokości 65 000 złotych oraz nakazał przywrócenie go na poprzednie stanowisko.

Najczęstsze błędy, które doprowadziły do tej sytuacji:

• Wyznaczenie do roli odbiorcy zgłoszeń osoby podległej służbowo kadrze, której mogą dotyczyć zgłoszenia
• Brak jasnej, udokumentowanej ścieżki eskalacji, gdy zgłoszenie dotyczy osoby z kierownictwa
• Podjęcie niekorzystnych decyzji kadrowych wobec sygnalisty bez solidnej, niezależnej dokumentacji ich podstaw
• Brak przeszkolenia kadry zarządzającej w zakresie zakazu działań odwetowych i jego konsekwencji
• Traktowanie zgłoszenia jako problemu wewnętrznego do "wyciszenia", zamiast rzetelnego wyjaśnienia sprawy

Co zrobić krok po kroku

Weryfikacja i wzmocnienie procedury

• Sprawdź aktualny stan zatrudnienia (etaty, zlecenia, B2B) na dzień 1 stycznia i 1 lipca - jeśli zbliżasz się do progu 50 osób, przygotuj procedurę z wyprzedzeniem, a nie po przekroczeniu progu.
• Zweryfikuj, czy osoba wyznaczona do przyjmowania zgłoszeń ma faktyczną niezależność wobec wszystkich szczebli kierownictwa - w razie wątpliwości rozważ zewnętrzny kanał zgłoszeń obsługiwany przez podmiot trzeci.
• Przeprowadź symulację zgłoszenia raz w roku, żeby zweryfikować, czy procedura działa w praktyce, a nie tylko na papierze - zaplanuj to jako stały punkt kalendarza compliance.
• Upewnij się, że procedura została przyjęta po prawidłowej konsultacji ze związkami zawodowymi lub przedstawicielami pracowników i że ten fakt jest odpowiednio udokumentowany.

Postępowanie po otrzymaniu zgłoszenia

• Wdróż wewnętrzną zasadę, że każda decyzja kadrowa dotycząca osoby, która w ciągu ostatnich 12 miesięcy dokonała zgłoszenia, wymaga dodatkowej, udokumentowanej akceptacji działu prawnego lub compliance.
• Zapewnij, że działania następcze po zgłoszeniu są podejmowane w rozsądnym terminie i dokumentowane na każdym etapie - od przyjęcia zgłoszenia po jego rozstrzygnięcie.
• Przeszkol kadrę kierowniczą w zakresie zakazu działań odwetowych, ze szczególnym naciskiem na to, że nawet pozornie neutralne decyzje (ocena okresowa, zmiana zakresu obowiązków) mogą zostać uznane za odwet, jeśli nie mają solidnej, niezależnej podstawy.
• Zaktualizuj dokumentację rekrutacyjną i onboardingową, tak by informacja o procedurze zgłoszeń trafiała do kandydatów już na etapie rekrutacji.

Checklista dla przedsiębiorcy

Procedura na papierze to za mało

Ustawa o ochronie sygnalistów to jeden z tych obszarów prawa pracy, w których różnica między formalnym a realnym wdrożeniem decyduje o tym, czy firma jest rzeczywiście chroniona przed ryzykiem, czy tylko ma dokument, który w razie sporu okaże się niewystarczający. Kluczem nie jest sam fakt posiadania procedury, lecz jej niezależność, przetestowanie w praktyce i - przede wszystkim - dyscyplina w powstrzymywaniu się od jakichkolwiek działań, które mogłyby zostać odczytane jako odwet wobec zgłaszającego.

Czy jesteś w stanie dziś odpowiedzieć, kto w Twojej firmie realnie i niezależnie zajmie się pierwszym poważnym zgłoszeniem - i czy ta osoba wie dokładnie, co ma zrobić w ciągu pierwszych 24 godzin od jego otrzymania?