czy mogę sam wewnętrznie zarządzać kanałem do zgłaszania naruszeń, czy musi to być u strony trzeciej

Samodzielnie lub outsourcing — oba podejścia są dozwolone

Kanał do zgłaszania może być skonfigurowany wewnętrznie, z własnymi ludźmi i własnymi systemami, ale może również być powierzony zewnętrznej stronie. Ani dyrektywa, ani Ustawa o ochronie sygnalistów nie nakazują żadnego z tych rozwiązań. To, co jest ustalane, to fakt, że musi istnieć procedura spełniająca szereg warunków, niezależnie od tego, kto zapewnia technologię i administrację: musi istnieć sposób na otrzymywanie zgłoszeń, ktoś musi być uprawniony do ich rozpatrywania, a terminy potwierdzenia odbioru i przekazania informacji zwrotnej muszą być dotrzymane.

Praktycznie rzecz biorąc, nie chodzi tyle o lokalizację kanału, ile o to, kto do niego ma dostęp i jak zagwarantowana jest obsługa. Kanał hostowany zewnętrznie wybiera się często, ponieważ ułatwia poufność i anonimowość: pracownik zgłasza się do strony, która nie ma bezpośredniego stosunku z pracodawcą, co dla niektórych sygnalistów zmniejsza bariery dostępu. Zarządzanie wewnętrzne może być równie skuteczne, pod warunkiem że poufność jest zagwarantowana, a osoby otrzymujące i obsługujące zgłoszenia są należycie wytypowane.Niezależnie od wybranej ścieżki, wybór ten często wpływa również na uczestnictwo pracowników w zarządzaniu: rada pracowników ma prawo do wyrażenia zgody na regulamin dotyczący zgłoszeń, a ta zgoda dotyczy zarówno rozwiązań wewnętrznych, jak i zewnętrznych.

Co reguluje, a czego nie reguluje artykuł 9 i artykuł 2

Artykuł 9 dyrektywy (UE) 2019/1937 opisuje procedury wewnętrznego zgłaszania i monitorowania, wraz z wymogami dotyczącymi poufności, potwierdzenia odbioru i przekazania informacji zwrotnej, jednak bez określenia technicznego lub organizacyjnego umiejscowienia kanału. Artykuł 2 Ustawy o ochronie sygnalistów rozwija to na potrzeby wewnętrznej procedury zgłaszania w polskim prawie i pozostawia wybór między strukturą wewnętrzną a powierzeniem zadania stronie zewnętrznej. Żaden z tych źródeł nie udziela potwierdzającej odpowiedzi na pytanie, czy coś musi być obowiązkowo powierzone stronie zewnętrznej; określają one wymogi dotyczące wyniku procedury, a nie formy jej organizacji.