- należy dokonać wyboru, jaka osoba lub jednostka w strukturze organizacji będzie odpowiedzialna za przyjmowanie i weryfikację zgłoszeń; za przyjmowanie i weryfikację zgłoszeń może odpowiadać ten sam podmiot, ale pracodawca może te funkcje rozdzielić; zadania te mogą być także powierzone podmiotowi zewnętrznemu (outsourcing zgłoszeń sygnalistów);
- podmiotowi wyznaczonemu do przyjmowania i weryfikacji zgłoszeń należy zapewnić możliwość bezstronnej weryfikacji zgłoszeń;
- należy zaprojektować wewnętrzne kanały dokonywania zgłoszeń
w taki sposób, aby zapewniać poufność, bezpieczeństwo i ochronę danych; nie ma wymogu prawnego, aby kanały dokonywania zgłoszeń zapewniały sygnaliście anonimowość; - podmiot prawny powinien ustanowić wewnętrzną procedurę, zgodną z wymogami określonymi w przepisach o ochronie sygnalistów;
- podmiot prawny musi zapewnić realizację ustawowych obowiązków, czyli m.in. potwierdzanie przyjęcia zgłoszeń, podejmowanie działań następczych, prowadzenie postępowania wyjaśniającego, przekazywania informacji zwrotnych;
- podmiot prawny ma obowiązek prowadzenia rejestru zgłoszeń wewnętrznych.
Wewnętrzna procedura zgłaszania naruszeń prawa powinna być ustalona po konsultacji ze związkami zawodowymi, a w ich braku – z przedstawicielami pracowników. Wprowadzając procedurę w życie należy pamiętać o zapoznaniu z jej treścią wszystkich osób uprawnionych do dokonywania zgłoszeń wewnętrznych.