Współdzielenie zasobów – na co pozwalają przepisy?
Ustawodawca przewidział możliwość dzielenia się zasobami w zakresie przyjmowania zgłoszeń i prowadzenia postępowań wyjaśniających, jednak postawił tu bardzo wyraźną granicę. Zgodnie z prawem, wspólny, jednolity kanał mogą utworzyć wyłącznie podmioty prywatne zatrudniające od 50 do 249 pracowników.
Co to oznacza w praktyce dla większych struktur?
W przypadku grup kapitałowych, w których funkcjonują podmioty zatrudniające powyżej 249 pracowników, należy zastosować podejście hybrydowe:
- Bezwzględny obowiązek lokalny: Każda spółka w grupie, która przekracza próg 249 pracowników, ma obowiązek stworzenia własnego, odrębnego kanału zgłoszeniowego oraz przyjęcia własnej procedury wewnętrznej. Obowiązku tego nie można w całości scedować na centralę.
- Kanał centralny jako opcja dodatkowa: Grupa kapitałowa może utrzymywać centralny system zgłoszeń na poziomie holdingu, jednak musi on funkcjonować jako kanał dodatkowy (równoległy). Sygnalista musi mieć zagwarantowaną możliwość zgłoszenia naruszenia lokalnie (w swojej spółce), ale to on decyduje, czy woli przekazać sprawę do centrali (np. w obawie przed lokalnymi naciskami).
- Outsourcing do spółki matki: Przepisy dopuszczają sytuację, w której duża spółka córka zleca techniczną obsługę swojego kanału zgłoszeniowego centrali (traktując ją jak zewnętrznego dostawcę usług). Wymaga to jednak podpisania rygorystycznych umów powierzenia przetwarzania danych osobowych. Co ważne, ostateczna odpowiedzialność i decyzyjność o podjęciu działań naprawczych zawsze musi pozostać w spółce córce.
Ryzyka centralizacji: Pułapki RODO i konflikt interesów
Próba zignorowania autonomii spółek powiązanych i wdrożenia wyłącznie jednego formularza na szczeblu centralnym rodzi poważne ryzyka:
- Naruszenie RODO: Zgłoszenia od sygnalistów zawierają wysoce wrażliwe dane (często dotyczące domniemanych przestępstw). Automatyczne przesyłanie tych informacji ze spółki córki do zarządu grupy (zwłaszcza za granicę) – bez wiedzy sygnalisty i bez zachowania odrębnych podstaw prawnych – stanowi rażące złamanie przepisów o ochronie danych osobowych.
- Konflikt interesów: Jeśli pracownik spółki córki chce zgłosić nieprawidłowości dotyczące nacisków ze strony zarządu spółki matki, a jedyny dostępny kanał trafia bezpośrednio do tej właśnie centrali, zasada bezstronności postępowania zostaje całkowicie zdeptana.
Niezależność operacyjna a nadzór właścicielski – jak to pogodzić?
Jak zarząd holdingu ma monitorować ryzyka systemowe (np. korupcję czy pranie brudnych pieniędzy) w swoich spółkach powiązanych, zachowując ich wymaganą prawem niezależność?
Rynkowym standardem ugruntowanym w 2026 roku jest raportowanie zanonimizowane. Lokalne komórki compliance w spółkach córkach prowadzą autonomiczne postępowania wyjaśniające, natomiast do spółki matki regularnie trafiają wyłącznie zagregowane statystyki (np. liczba zgłoszeń w danym kwartale, kategorie naruszeń, status spraw). Są one pozbawione jakichkolwiek danych osobowych i szczegółów pozwalających na identyfikację sygnalisty lub osób, których dotyczy zgłoszenie.
Architektura IT w służbie holdingów
Aby prawidłowo ułożyć takie procesy bez konieczności kupowania kilkunastu odrębnych systemów dla każdej spółki, grupy kapitałowe powszechnie wdrażają dziś architekturę IT typu multi-tenant (wielodostępną).
Dobre oprogramowanie klasy compliance pozwala na wdrożenie jednej korporacyjnej platformy, wewnątrz której tworzone są całkowicie odseparowane środowiska dla poszczególnych spółek. Z perspektywy pracownika system jest przyjazny i spójny wizualnie, natomiast od strony technicznej i prawnej – bazy danych, uprawnienia administratorów i panele analityczne są rygorystycznie rozdzielone, co gwarantuje pełną zgodność z ustawą i przepisami RODO.
Praktyczny wymiar technologii: poznaj SygnaApp
Rynkowym przykładem oprogramowania odpowiadającego na te specyficzne potrzeby grup kapitałowych jest platforma SygnaApp. Została ona zaprojektowana z myślą o natywnej obsłudze wielopodmiotowych struktur (architektura multi-tenant), co pozwala holdingom na wdrożenie jednego systemu dla całej grupy przy zachowaniu bezwzględnej separacji danych. W praktyce oznacza to, że lokalni koordynatorzy w spółkach córkach dysponują w pełni autonomicznymi panelami do obsługi własnych zgłoszeń, podczas gdy centrala – bez dostępu do wrażliwych danych osobowych – może generować zanonimizowane raporty statystyczne. Tego typu rozwiązania IT pozwalają organizacjom zoptymalizować koszty wdrożenia, eliminując jednocześnie ryzyko naruszenia RODO i zasady niezależności postępowań.
Podsumowanie: Decentralizacja danych, centralizacja narzędzi
Zarządzanie compliance w grupie kapitałowej wymaga precyzyjnego balansu. Wymuszona centralizacja zgłoszeń pozbawiająca lokalne podmioty własnych kanałów to prosta droga do naruszenia prawa. Kluczem do sukcesu jest standaryzacja technologii i procedur, przy jednoczesnym zagwarantowaniu bezwzględnej autonomii operacyjnej na etapie przyjmowania zgłoszeń przez poszczególne spółki.
