Kanał wewnętrzny a kanał zewnętrzny w Polsce: Główne różnice i zasady wyboru pod rządami Ustawy o sygnalistach (Dz.U. 2024 poz. 928)

Dwuinstancyjność i wielotorowość raportowania nieprawidłowości w Polsce

Model ochrony sygnalistów przyjęty w polskiej ustawie odzwierciedla dojrzałą koncepcję wielotorowości kanałów zgłoszeniowych. Prawodawca miał świadomość, że zmuszanie pracowników do raportowania wyłącznie przełożonym w realiach, w których to właśnie kadra zarządzająca uczestniczy w procederze korupcyjnym, mobbingowym lub oszukańczym, pozbawiałoby regulację jakiejkolwiek skuteczności praktycznej. Dlatego też polska ustawa definiuje trzy autonomiczne poziomy przekazywania informacji o naruszeniach prawa:

• Poziom I : Kanał wewnętrzny: ustanawiany i administrowany bezpośrednio przez podmiot prawny (pracodawcę) bądź wyspecjalizowany podmiot zewnętrzny na podstawie umowy ;
• Poziom II : Kanał zewnętrzny: prowadzony przez Rzecznika Praw Obywatelskich (RPO) jako centralną instytucję koordynującą oraz właściwe rzeczowo organy publiczne (np. Prezesa UOKiK, KNF, Głównego Inspektora Pracy) ;
• Poziom III : Ujawnienie publiczne: skierowanie informacji do opinii publicznej (mediów tradycyjnych, portali internetowych, organizacji pozarządowych) pod ściśle określonymi przesłankami subsydiarności.

Z punktu widzenia strategii corporate governance i zarządzania ryzykiem prawnym, kanał wewnętrzny jest dla organizacji najbezpieczniejszym i najbardziej pożądanym rozwiązaniem. Pozwala na zidentyfikowanie luki w procedurach, naprawienie szkody, pociągnięcie winnych do odpowiedzialności cywilnej lub dyscyplinarnej oraz zabezpieczenie interesów akcjonariuszy z dala od uwagi regulatorów państwowych i opinii publicznej. Jeśli jednak pracownicy nie ufają procedurze zakładowej, wybiorą kanał zewnętrzny.

Kanał wewnętrzny: Organizacja, autonomia i outsourcing

Zasady funkcjonowania kanałów wewnętrznych reguluje Rozdział 3 ustawy (art. 23–29). Zgłoszenie wewnętrzne trafia do wyznaczonej w strukturze podmiotu bezstronnej jednostki organizacyjnej lub osoby, albo do podmiotu zewnętrznego upoważnionego na podstawie pisemnej umowy do przyjmowania zgłoszeń.

Wymóg bezstronności jednostki wewnętrznej

Zgodnie z art. 25 ust. 1 pkt 1 ustawy, procedura zgłoszeń wewnętrznych musi precyzyjnie określać bezstronną jednostkę organizacyjną lub osobę odpowiedzialną za przyjmowanie zgłoszeń oraz podejmowanie działań następczych. W praktyce polskich przedsiębiorstw funkcję tę powierza się najczęściej oficerowi compliance, audytorowi wewnętrznemu lub komitetowi etyki. Zespół ten musi cieszyć się niezależnością decyzyjną, nie może otrzymywać wiążących poleceń od zarządu co do sposobu prowadzenia dochodzenia ani oceny wiarygodności zgłoszenia.

Dopuszczalność outsourcingu kanału na zewnątrz

Artykuł 28 ust. 1 ustawy wprost zezwala pracodawcom na upoważnienie zewnętrznego podmiotu do przyjmowania zgłoszeń wewnętrznych na podstawie umowy. Podmiotem takim może być kancelaria prawna, firma audytorska lub certyfikowany dostawca bezpiecznego oprogramowania chmurowego (np. UNOVOX). Outsourcing przyjmowania zgłoszeń niesie potężne korzyści psychologiczne i prawne:

• Przełamanie bariery strachu: Pracownicy chętniej dokonują zgłoszeń za pośrednictwem zewnętrznej, niezależnej platformy, mając pewność, że ich dane logowania i adresy IP nie są widoczne dla wewnętrznego działu IT pracodawcy ;
• Gwarancja tajemnicy zawodowej: W przypadku powierzenia obsługi adwokatom lub radcom prawnym dane objęte są dodatkowo immunitetem tajemnicy adwokackiej lub radcowskiej ;
• Zastrzeżenie działań następczych: Należy pamiętać, że zgodnie z art. 28 ust. 2 ustawy, outsourcing może obejmować przyjmowanie zgłoszeń, potwierdzanie ich odbioru oraz weryfikację wstępną. Jednak ostateczne decyzje co do podjęcia działań następczych (zwolnienia pracowników, zawiadomienie organów) pozostają wyłączną kompetencją pracodawcy.

Kanał zewnętrzny: Rzecznik Praw Obywatelskich (RPO) jako organ centralny

Rozdział 4 ustawy (art. 30–49) ustanawia kompleksowy mechanizm zgłoszeń zewnętrznych. Centralnym punktem kontaktowym dla wszystkich obywateli, pracowników i instytucji w Polsce jest Rzecznik Praw Obywatelskich (RPO).

Zadania ustrojowe RPO w reżimie ustawy

Polski ustawodawca powierzył Rzecznikowi Praw Obywatelskich kluczowe kompetencje o charakterze koordynacyjnym, filtrującym i edukacyjnym:

• Prowadzenie niezależnego kanału zewnętrznego: RPO zapewnia bezpieczne, szyfrowane kanały przyjmowania zgłoszeń drogą elektroniczną, listowną oraz osobiście w Biurze RPO w Warszawie i pełnomocnictwach terenowych (Wrocław, Gdańsk, Katowice) ;
• Wstępna weryfikacja formalna zgłoszenia: RPO ocenia, czy sprawa spełnia kryteria naruszenia prawa w dziedzinach objętych ustawą oraz czy zgłaszający działa w kontekście związanym z pracą ;
• Dystrybucja do organów publicznych: Jeżeli sprawa mieści się w kompetencjach wyspecjalizowanego organu państwowego (np. KNF, UOKiK, PIP), RPO niezwłocznie przekazuje zgłoszenie temu organowi wraz z zachowaniem rygorów poufności tożsamości sygnalisty ;
• Prowadzenie postępowania wyjaśniającego: Jeżeli żaden inny organ publiczny nie jest właściwy, a sprawa dotyczy naruszenia konstytucyjnych praw i wolności lub nieprawidłowości w administracji państwowej, postępowanie prowadzi samodzielnie RPO ;
• Wydawanie urzędowych zaświadczeń o ochronie: RPO jest jedynym organem w Polsce uprawnionym do wydawania zaświadczeń potwierdzających, że dany obywatel posiada status sygnalisty w rozumieniu ustawy.

Organy publiczne wyspecjalizowane w przyjmowaniu zgłoszeń

Ustawa w art. 30 ust. 1 przewiduje, że sygnalista może skierować zgłoszenie zewnętrzne bezpośrednio do organu publicznego właściwego do podjęcia działań następczych w danej dziedzinie. Organami tymi w polskim systemie są m.in.:

Zaświadczenie o podleganiu ochronie wydawane przez RPO (art. 38)

Jednym z najbardziej innowacyjnych rozwiązań polskiej ustawy jest instytucja zaświadczenia potwierdzającego podleganie ochronie przewidzianej w ustawie (art. 38). Jest to potężna tarcza prawna dla sygnalisty, który obawia się lub doświadcza odwetu ze strony pracodawcy.

Procedura uzyskania zaświadczenia

• Wniosek sygnalisty: Sygnalista, który dokonał zgłoszenia zewnętrznego, może wystąpić do Rzecznika Praw Obywatelskich o wydanie zaświadczenia potwierdzającego, że podlega ochronie ;
• Weryfikacja formalna: RPO weryfikuje, czy zgłoszenie dotyczy naruszenia prawa podlegającego ustawie, czy zostało dokonane w kontekście związanym z pracą oraz czy sygnalista miał uzasadnione podstawy sądzić, że informacja jest prawdziwa ;
• Wydanie dokumentu: RPO wydaje zaświadczenie niezwłocznie, nie później niż w terminie 30 dni od dnia otrzymania wniosku. Zaświadczenie opatrzone jest kwalifikowanym podpisem elektronicznym i pieczęcią urzędową.

Skutki procesowe zaświadczenia przed sądem pracy

Przedstawienie zaświadczenia RPO w postępowaniu przed sądem pracy wywołuje natychmiastowe skutki prawne. Zgodnie z art. 11 ust. 2 ustawy, w przypadku wniesienia przez pracownika pozwu o odszkodowanie z tytułu odwetu (np. po bezprawnym wypowiedzeniu umowy), na pracodawcy spoczywa ciężar dowodu, że podjęte działanie nie było działaniem odwetowym, lecz wynikało z obiektywnych, należycie uzasadnionych przyczyn biznesowych. Zaświadczenie RPO stanowi dla sędziego pracy jednoznaczne potwierdzenie, że pracownik korzysta z pełnego immunitetu sygnalisty.

Ujawnienie publiczne: Ostatnia deska ratunku i warunki immunitetu (art. 51)

Ujawnienie publiczne, czyli przekazanie informacji o naruszeniu prawa bezpośrednio do mediów, dziennikarzy śledczych, publikacja w mediach społecznościowych lub na forach internetowych, stanowi najbardziej radykalną formę raportowania. Ze względu na ryzyko nieodwracalnych szkód wizerunkowych dla przedsiębiorstwa, ustawodawca obwarował tę ścieżkę rygorystycznymi przesłankami formalnymi.

Przesłanki legalnego ujawnienia publicznego

Zgodnie z art. 51 ust. 1 ustawy, sygnalista dokonujący ujawnienia publicznego podlega ochronie tylko wtedy, gdy spełni jeden z następujących warunków:

• Warunek bezskuteczności procedur (ścieżka sekwencyjna): Sygnalista dokonał najpierw zgłoszenia wewnętrznego i zewnętrznego, a żaden z podmiotów w ustawowym terminie (3 miesięcy) nie przekazał mu odpowiedniej informacji zwrotnej ; LUB dokonał od razu zgłoszenia zewnętrznego i organ publiczny w terminie 3 miesięcy nie podjął odpowiednich działań następczych ani nie przekazał informacji zwrotnej ;
• Bezpośrednie lub oczywiste zagrożenie interesu publicznego: Sygnalista miał uzasadnione podstawy sądzić, że naruszenie może stanowić bezpośrednie lub oczywiste zagrożenie interesu publicznego, na przykład w sytuacji wystąpienia stanu wyjątkowego, katastrofy ekologicznej lub bezpośredniego zagrożenia życia lub zdrowia wielu osób ;
• Ryzyko odwetu lub zniszczenia dowodów w procedurze zewnętrznej: W przypadku dokonania zgłoszenia zewnętrznego sygnaliście groziło niebezpieczeństwo odwetu albo istniało niewielkie prawdopodobieństwo skutecznego zaradzenia naruszeniu z uwagi na szczególne okoliczności sprawy, takie jak możliwość zmowy między organem publicznym a sprawcą naruszenia lub zatajenia dowodów.

Wyłączenia przedmiotowe z art. 5 ustawy: Kiedy zgłoszenie jest niedopuszczalne

Ustawa w art. 5 precyzuje granice dopuszczalności zgłaszania naruszeń, chroniąc fundamentalne wartości państwowe, bezpieczeństwo narodowe oraz konstytucyjnie chronione tajemnice zawodowe. Przepisów ustawy nie stosuje się do informacji objętych:

• Przepisami o ochronie informacji niejawnych: Informacje opatrzone klauzulami „ściśle tajne”, „tajne”, „poufne” lub „zastrzeżone” podlegają wyłącznie rygorom Ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych. Ich ujawnienie poza procedurą stanowi zbrodnię lub występek przeciwko Rzeczypospolitej Polskiej (art. 265 Kodeksu karnego) ;
• Tajemnicą związaną z wykonywaniem zawodów medycznych i prawniczych: Ustawa nie narusza tajemnicy obrończej (adwokackiej i radcowskiej), tajemnicy lekarskiej, tajemnicy sędziowskiej i narady sędziowskiej oraz tajemnicy spowiedzi. Adwokat lub lekarz nie może powołać się na status sygnalisty w celu ujawnienia tajemnic swoich klientów lub pacjentów ;
• Postępowaniem karnym w zakresie tajemnicy śledztwa: Informacje objęte tajemnicą postępowania przygotowawczego prowadzonego przez prokuraturę nie mogą być ujawniane bez pisemnej zgody prokuratora (art. 241 KK).

Wsparcie prawne i psychologiczne dla sygnalistów (art. 50)

Polski ustawodawca w art. 50 ustawy zagwarantował sygnalistom dostęp do bezpłatnej, profesjonalnej pomocy. Osoba rozważająca dokonanie zgłoszenia lub doświadczająca represji ma prawo do:

• Nieodpłatnej pomocy prawnej i poradnictwa obywatelskiego: Na zasadach określonych w Ustawie z dnia 5 sierpnia 2015 r. o nieodpłatnej pomocy prawnej, nieodpłatnym poradnictwie obywatelskim oraz edukacji prawnej, bez konieczności składania oświadczenia o stanie majątkowym ;
• Wsparcia ze strony RPO i organizacji pozarządowych (NGO): Biuro Rzecznika Praw Obywatelskich oraz certyfikowane organizacje społeczne (np. Fundacja Batorego, Sieć Obywatelska Watchdog Polska) świadczą pomoc psychologiczną, monitorują przebieg postępowań sądowych oraz mogą wstępować do postępowań w charakterze rzecznika interesu społecznego.

Zaskarżalność czynności organów publicznych w trybie KPA i przed WSA

W przypadku gdy organ publiczny odmówi podjęcia działań następczych lub pozostawia zgłoszenie bez rozpoznania, powstaje pytanie o środki ochrony prawnej sygnalisty. Zgodnie z art. 41 ustawy, na postanowienie organu publicznego o odmowie wszczęcia postępowania wyjaśniającego lub o pozostawieniu zgłoszenia bez rozpoznania przysługuje zażalenie na zasadach określonych w Kodeksie postępowania administracyjnego (KPA). Daje to sygnaliście gwarancję sądowej kontroli bezczynności administracji przed Wojewódzkim Sądem Administracyjnym (WSA) w Warszawie lub właściwym terenowo sądem administracyjnym, eliminując ryzyko zamiatania spraw pod dywan przez urzędników.

Szczególne obowiązki w Spółkach Skarbu Państwa i podmiotach komunalnych

Spółki z udziałem Skarbu Państwa (SSP), spółki komunalne oraz państwowe osoby prawne podlegają szczególnemu nadzorowi instytucjonalnemu. Oprócz procedur z Ustawy o ochronie sygnalistów, podmioty te podlegają kognicji Najwyższej Izby Kontroli (NIK) na mocy Ustawy z dnia 23 grudnia 1994 r. o Najwyższej Izbie Kontroli oraz Centralnego Biura Antykorupcyjnego (CBA) na mocy Ustawy z dnia 9 czerwca 2006 r. o Centralnym Biurze Antykorupcyjnym. Zgłoszenia dotyczące niegospodarności, ustawiania przetargów lub korupcji menedżerskiej w tych spółkach niemal automatycznie inicjują równoległe postępowania kontrolne NIK oraz czynności operacyjno-rozpoznawcze CBA, co sprawia, że transparentność kanału wewnętrznego jest dla zarządów kwestią przetrwania prawnego.

Uprawnienia kontrolne Państwowej Inspekcji Pracy (PIP)

Państwowa Inspekcja Pracy (PIP) pełni podwójną rolę w systemie ochrony sygnalistów. Po pierwsze, jest organem publicznym właściwym do przyjmowania zgłoszeń zewnętrznych z zakresu prawa pracy, legalności zatrudnienia i BHP. Po drugie, inspektorzy pracy w ramach rutynowych lub doraźnych kontroli pracodawców weryfikują:

• Czy pracodawca zatrudniający co najmniej 50 osób wdrożył procedurę zgłoszeń wewnętrznych zgodnie z art. 24 ustawy ;
• Czy procedura została skonsultowana ze związkami zawodowymi lub przedstawicielami pracowników w terminie 5–14 dni ;
• Czy pracodawca prowadzi rzetelny rejestr zgłoszeń wewnętrznych (art. 29) i przestrzega 3-letniego okresu retencji danych ;
• Czy wobec pracowników nie stosowano działań odwetowych (np. bezzasadnego wypowiedzenia umowy, degradacji, wstrzymania premii). W przypadku stwierdzenia nieprawidłowości inspektor pracy może nałożyć mandat karny lub skierować zawiadomienie do prokuratury z art. 58 ustawy.

Audyt zewnętrzny kanałów zgłoszeń i certyfikacja ISO/IEC 27001 oraz ISO 37002

Aby zagwarantować pełną zgodność z polskim i unijnym prawem oraz zbudować niezachwiane zaufanie pracowników, wiodące polskie spółki poddają swoje kanały zgłoszeń regularnemu audytowi zewnętrznemu. Standard ISO/IEC 27001 poświadcza najwyższy poziom bezpieczeństwa informacji, kryptograficznego szyfrowania baz danych i odporności na cyberataki. Z kolei norma ISO 37002 definiuje wytyczne operacyjne dla systemów zarządzania zgłaszaniem nieprawidłowości, obejmując bezstronność dochodzeń, szkolenia personelu i procedury ochrony przed odwetem. Posiadanie takich certyfikatów stanowi dla regulatorów (KNF, UODO, PIP) mocny dowód dochowania należytej staranności przez zarząd.

Porównanie ścieżek: Macierz decyzyjna dla sygnalisty

Poniższa tabela przedstawia kompleksowe porównanie trzech ścieżek raportowania z perspektywy procedur, terminów, poziomu ryzyka i gwarancji ochronnych:

Standardy interoperacyjności i wymiany informacji między kanałami

Polska ustawa przewiduje zasady współpracy pomiędzy poszczególnymi organami publicznymi oraz pomiędzy kanałami wewnętrznymi a zewnętrznymi:

• Przekazywanie spraw według właściwości (art. 33): Jeżeli zgłoszenie zewnętrzne trafi do organu niewłaściwego rzeczowo (np. sprawa antymonopolowa do Inspekcji Pracy), organ ten ma obowiązek niezwłocznie, nie później niż w terminie 14 dni, przekazać zgłoszenie organowi właściwemu, powiadamiając o tym sygnalistę ;
• Zapewnienie integralności tajemnicy tożsamości: Przekazanie akt sprawy pomiędzy organami administracji następuje w trybie niejawnym, z trwałym wyłączeniem jawności danych osobowych sygnalisty, chyba że wyraził on pisemną zgodę na ich ujawnienie ;
• Współpraca z prokuraturą: W przypadku ujawnienia przestępstwa organ publiczny przekazuje materiały do prokuratury na podstawie art. 304 KPK, dbając o to, by protokoły przesłuchań sygnalisty były sporządzane z zachowaniem anonimizacji (art. 184 KPK, świadek incognito w sprawach o szczególnym ciężarze gatunkowym).

Dlaczego pracodawcy powinni inwestować w profesjonalny kanał wewnętrzny?

Fakt, że polski sygnalista ma ustawowe prawo natychmiastowego ominięcia pracodawcy i zgłoszenia sprawy do Rzecznika Praw Obywatelskich, stanowi najsilniejszy argument ekonomiczny za wdrożeniem najwyższej jakości kanału wewnętrznego. Jeżeli pracownik czuje, że wewnętrzny system to fikcja, a zgłoszenie przeczyta jego bezpośredni przełożony, wybierze zgłoszenie zewnętrzne. Skutkiem tego będzie kontrola KNF, UOKiK lub PIP, zamrożenie rachunków przez KAS, a w skrajnych przypadkach przeszukanie biura przez CBA lub CBŚP. Profesjonalny, certyfikowany kanał cyfrowy (jak UNOVOX) daje pracownikom poczucie 100% bezpieczeństwa, zatrzymując 95% spraw wewnątrz organizacji.