Jakie procedury musi mieć każda firma?
Nie ma jednej listy procedur obowiązkowych dla każdej firmy, bo obowiązki zależą od liczby pracowników i branży. Każdy pracodawca przeciwdziała mobbingowi, ocenia ryzyko zawodowe i chroni dane osobowe. Od 50 osób dochodzą regulamin pracy, regulamin wynagradzania i procedura zgłoszeń wewnętrznych, a od 5 listopada 2026 r. od 10 pracowników regulamin antymobbingowy.
Które procedury są wymagane i od ilu osób?
Poniżej zestawienie obowiązków z Kodeksu pracy, ustawy o ochronie sygnalistów i RODO. Liczy się liczba pracowników albo osób pracujących na rzecz firmy, zależnie od przepisu.
| Procedura lub dokument | Kogo dotyczy | Podstawa |
|---|---|---|
| Przeciwdziałanie mobbingowi | Każdego pracodawcę | Art. 94³ § 1 KP |
| Ocena ryzyka zawodowego | Każdego pracodawcę | Art. 226 KP |
| Instrukcje BHP na stanowiskach | Każdego pracodawcę | Art. 237⁴ § 2 KP |
| Pierwsza pomoc, ppoż., ewakuacja: wyznaczeni pracownicy | Każdego pracodawcę | Art. 209¹ KP |
| Środki ochrony danych, polityki ochrony danych | Każdego administratora danych, polityki gdy proporcjonalne | Art. 24 RODO |
| Zgłaszanie naruszeń ochrony danych w 72 godziny | Każdego administratora danych | Art. 33 RODO |
| Regulamin antymobbingowy (albo zapisy w regulaminie pracy lub układzie zbiorowym) | Od 10 pracowników, od 5 listopada 2026 r., z 6 miesiącami na dostosowanie | Art. 94³a KP w nowym brzmieniu |
| Regulamin pracy | Od 50 pracowników, od 20 na wniosek związku zawodowego | Art. 104 KP |
| Regulamin wynagradzania | Od 50 pracowników, od 20 na wniosek związku zawodowego | Art. 77² KP |
| Procedura zgłoszeń wewnętrznych (sygnaliści) | Od 50 osób wykonujących pracę zarobkową na 1 stycznia lub 1 lipca | Art. 23 ustawy o ochronie sygnalistów |
Jakie procedury RODO powinna mieć firma?
RODO nie podaje listy procedur. Wymaga, żeby administrator wdrożył odpowiednie środki techniczne i organizacyjne i umiał to wykazać, a gdy jest to proporcjonalne, także polityki ochrony danych (art. 24).
- Procedura zgłaszania naruszeń: kto ocenia incydent i kto zgłasza go organowi nadzorczemu, w miarę możliwości w 72 godziny (art. 33).
- Rejestr czynności przetwarzania: firma poniżej 250 osób jest z niego zwolniona tylko wtedy, gdy przetwarzanie jest sporadyczne, nie niesie ryzyka i nie obejmuje danych szczególnych kategorii (art. 30 ust. 5). Zatrudnianie pracowników zwykle nie jest sporadyczne.
- Nadawanie i odbieranie uprawnień do systemów przy zatrudnieniu i odejściu.
- Bezpieczeństwo przetwarzania: kopie zapasowe, hasła, szyfrowanie nośników (art. 32).
Procedura antymobbingowa: co zmienia nowelizacja z 2026 roku?
Obowiązek przeciwdziałania mobbingowi dotyczy każdego pracodawcy już dziś. Nowelizacja Kodeksu pracy z 19 czerwca 2026 r., która wchodzi w życie 5 listopada 2026 r., doprecyzowuje definicję mobbingu i nakłada na pracodawców od 10 pracowników obowiązek spisania zasad, procedur i częstotliwości działań.
- Mobbing to uporczywe nękanie pracownika, czyli powtarzalne, nawracające lub stałe. Zachowania incydentalne nie są mobbingiem (art. 94³ § 2-3 w nowym brzmieniu).
- Pracodawca ma systematycznie przeciwdziałać mobbingowi: prewencja, wykrywanie, reagowanie, działania naprawcze i wsparcie (art. 94³ § 1).
- Regulamin obejmuje też naruszanie godności, równe traktowanie i dyskryminację. Uzgadnia się go ze związkami zawodowymi albo, gdy ich nie ma, z przedstawicielami pracowników (art. 94³a § 2-5).
- Ustawa ogłoszona 4 sierpnia 2026 r. wchodzi w życie 5 listopada 2026 r., a na wydanie regulaminu lub zmianę regulaminu pracy pracodawca ma 6 miesięcy od tego dnia.
- Zadośćuczynienie za mobbing wyniesie nie mniej niż sześciokrotność płacy minimalnej (art. 94³ § 11).
Które zasady trzeba spisać dopiero wtedy, gdy firma coś wprowadza?
Część obowiązków powstaje dopiero z decyzją pracodawcy: jeśli firma wprowadza pracę zdalną, monitoring albo kontrolę trzeźwości, musi najpierw spisać ich zasady. Kodeks pracy wskazuje, w jakim dokumencie: układzie zbiorowym, regulaminie pracy, porozumieniu albo obwieszczeniu.
| Rozwiązanie | Co trzeba ustalić | Podstawa |
|---|---|---|
| Praca zdalna | Zasady wykonywania, koszty i kontrola: w porozumieniu ze związkami albo w regulaminie, a gdy ich nie ma, w poleceniu lub porozumieniu z pracownikiem | Art. 67²⁰ KP |
| Monitoring wizyjny i poczty służbowej | Cele, zakres i sposób zastosowania | Art. 22² § 6 i art. 22³ KP |
| Kontrola trzeźwości | Grupy pracowników, sposób i częstotliwość kontroli | Art. 22¹c § 10 KP |
Procedury antykorupcyjne i bezpieczeństwa: kiedy są potrzebne?
Przepisy opisane na tej stronie nie nakładają na każdą firmę prywatną obowiązku procedury antykorupcyjnej. Często wymagają jej jednak umowy z dużymi klientami, kodeksy postępowania dostawców i przetargi, a obowiązki branżowe trzeba sprawdzić osobno.
- Procedura antykorupcyjna w małej firmie mieści się na stronie: zakaz korzyści, próg wartości upominków, rejestr prezentów, kanał zgłoszeń.
- Procedury bezpieczeństwa to BHP (instrukcje, ocena ryzyka, pierwsza pomoc) i bezpieczeństwo informacji (dostępy, kopie, incydenty).
- Kanał zgłoszeń naruszeń prawa można połączyć z procedurą sygnalistów, jeśli firma ją prowadzi.
Jak prowadzić obowiązkowe procedury w EXCORE?
Polityki firmowe zbierają regulaminy, politykę RODO, instrukcje BHP i inne dokumenty do zapoznania, a system zapisuje potwierdzenie z datą, wersją i adresem IP. Po zmianie treści administrator może wymusić ponowne potwierdzenie i sprawdzić, kto go jeszcze nie dał.
- Moduł Sygnaliści w dodatku PRAWO daje kanał zgłoszeń, także anonimowych, i pilnuje terminów ustawowych: potwierdzenia przyjęcia, informacji zwrotnej i przechowywania. Jest wyłączony na starcie i ma własny, wąski krąg upoważnionych.
- Procedury operacyjne, na przykład zgłaszanie naruszeń danych, prowadzisz w module Procedury z rolami odpowiedzialnymi.
- Rejestr ryzyk łączy obowiązki z właścicielami i datami przeglądów.
Tekst ma charakter informacyjny i nie zastępuje porady prawnika. O tym, które obowiązki dotyczą Twojej firmy, zwłaszcza w branżach regulowanych, zdecyduj po konsultacji z prawnikiem.
Pytania
Od ilu pracowników trzeba mieć procedurę dla sygnalistów?
Od 50 osób wykonujących pracę zarobkową na rzecz firmy, według stanu na 1 stycznia lub 1 lipca. Liczy się pracowników w przeliczeniu na etaty i osoby na innych umowach, jeśli nie zatrudniają innych do tej pracy. Część firm, na przykład z sektora usług finansowych, ma ten obowiązek bez względu na liczbę osób.
Czy mała firma musi mieć procedurę antymobbingową?
Obowiązek przeciwdziałania mobbingowi ma każdy pracodawca. Obowiązek spisania zasad w regulaminie dotyczy, od 5 listopada 2026 r., pracodawców zatrudniających co najmniej 10 pracowników.
Czy firma musi mieć politykę RODO?
RODO wymaga polityk ochrony danych wtedy, gdy jest to proporcjonalne do przetwarzania. Zawsze trzeba za to umieć wykazać, jakie środki firma stosuje, i zgłaszać naruszenia w 72 godziny.
Źródła
EXCORE jest otwierany dla pierwszych firm.
Zobaczmy, czy pasuje do Twojej organizacji. Zostaw kontakt, a umówimy prezentację.
Umów prezentację