Ashio whistleblowing software

Oct 11, 2026

Cum arată un audit pe Legea 361/2022: 7 documente pe care trebuie să le poți arăta

Cum arată un audit pe Legea 361/2022: 7 documente pe care trebuie să le poți arăta

Îți imaginezi că ai totul în regulă: canalul de raportare e activ, formularul funcționează, angajații știu că există. Apoi primești un email de la inspector și constați că nu poți demonstra nimic concret. Cam așa arată un audit whistleblowing Romania — un control în care nu contează cât de modern ți se pare sistemul, ci cât de bine poți dovedi, în scris, că l-ai folosit corect. Acest articol îți arată, pas cu pas, ce evidențe trebuie să poți pune pe masă în fața unui auditor român.

Cuprins

Concluzii cheie

  • Un control pe Legea 361/2022 se câștigă cu șapte categorii de dovezi concrete, nu cu promisiuni că „sistemul funcționează".
  • Termenele obligatorii sunt 7 zile pentru confirmarea primirii raportării și 3 luni pentru feedback — ambele trebuie demonstrate cu înregistrări exacte, nu cu estimări.
  • Jurnalul de activitate imuabil, exportabil în formate standard, este piesa care transformă o afirmație în probă acceptabilă la control.
  • Cele mai frecvente blocaje apar la schimbarea investigatorului, la raportările anonime fără istoric și la lipsa politicii interne actualizate.
  • Pregătirea unei liste de verificare printabile, cu 30 de zile înainte de control, reduce drastic observațiile critice.

De ce un audit pe Legea 361/2022 nu este același lucru cu un audit financiar

Un audit pe Legea 361/2022 nu verifică solduri și registre contabile, ci verifică dacă ai creat, publicat și folosit efectiv un canal intern de raportare a avertizorilor de integritate. Inspectorul se uită la trei lucruri simultan: dacă sistemul există, dacă este cunoscut de angajați și dacă ai demonstrat respectarea celor două termene legale — confirmare în 7 zile și feedback în 3 luni — pentru fiecare raportare primită.

Spre deosebire de auditul financiar, unde lipsa unui document înseamnă o ajustare contabilă, aici lipsa unei dovezi înseamnă o neconformitate directă, sancționată distinct în lege. Contextul contează: Directiva (UE) 2019/1937, transpusă prin Legea 361/2022, stabilește aceleași standarde minime pentru toate statele membre ale Uniunii Europene, ceea ce înseamnă că inspectorii români verifică aceleași cerințe ca omologii lor din Germania, Franța sau Italia.

Dacă vrei să înțelegi exact ce a transpus România și ce rămâne opțional, poți consulta direct eu whistleblowing directive, care reflectă textul oficial.

Ce verifică, în esență, inspectorul: cele 7 dovezi obligatorii

Un control reușit se rezumă la șapte categorii de dovezi pe care inspectorul le caută înainte de a pune întrebări. Acestea acoperă întreg ciclul de viață al unei raportări: de la anunțul public al canalului, până la dovada că un feedback a fost transmis în termen.

Cele șapte dovezi pe care trebuie să le poți arăta la controlul pe Legea 361/2022:

  • Politica internă de raportare scrisă, datată și comunicată tuturor angajaților, cu mențiunea expresă a canalului folosit.
  • Dovada publicării canalului (link activ pe intranet, afișe la sedii, mențiune în contractele de muncă sau regulamentul intern).
  • Dovada instruirii angajaților privind existența și utilizarea canalului — listă nominală, date, materiale folosite.
  • Registrul/ jurnalul tuturor raportărilor primite, cu ID unic, dată primire, status și investigator alocat.
  • Dovada respectării termenului de 7 zile pentru confirmarea primirii către avertizor.
  • Dovada respectării termenului de 3 luni pentru feedback către avertizor.
  • Raportul anual (dacă este cazul) privind funcționarea canalului și măsurile luate, păstrat minimum 5 ani.

Dacă un singur element lipsește, inspectorul consemnează observație; dacă lipsesc mai multe, se poate ajunge la sancțiuni. Pentru o privire de ansamblu asupra a ce înseamnă un internal reporting channel conform, merită să ai textul politicii interne aliniat cu standardele europene înainte de a-l prezenta auditorului.

Cum demonstrezi termenul de 7 zile pentru confirmare fără să cauți prin e-mailuri vechi

Demonstrarea termenului de 7 zile pentru confirmare înseamnă că poți arăta, pentru fiecare raportare, ora exactă la care a fost primită și ora exactă la care avertizorul a primit un răspuns automat sau manual de confirmare. Termenul curge de la momentul înregistrării raportării în sistem, nu de la primul e-mail pe care l-a deschis vreun angajat.

Cea mai simplă dovadă acceptată este un extras de jurnal de activitate care arată: ID raportare → timestamp primire → timestamp confirmare → conținut confirmare (fără a dezvălui identitatea avertizorului). Dacă ai bifat confirmarea manual dintr-o căsuță de e-mail, dovada este slabă, pentru că inspectorul va întreba unde este confirmarea pentru raportările din weekend sau din concedii.

Soluția robustă este un sistem care trimite confirmarea automat și păstrează timestamp-ul într-un jurnal nealterabil. Ashio, de exemplu, trimite confirmarea automat prin canalul anonim, cu timestamp în jurnalul de activitate pregătit pentru audit.

Ce se întâmplă dacă investigatorul a fost în concediu?

Chiar dacă investigatorul desemnat a fost în concediu, termenul de 7 zile nu se suspendă. Inspectorul va verifica cine a preluat confirmarea în acea perioadă și pe baza cărei proceduri. Dacă nu există un înlocuitor desemnat, lipsa confirmării devine neconformitate directă, indiferent de motiv.

Cum demonstrezi termenul de 3 luni pentru feedback chiar și când investigatorul a schimbat funcția

Termenul de 3 luni pentru feedback este cel mai greu de demonstrat, pentru că se calculează per raportare și implică nu doar trimiterea unui răspuns, ci și dovada că acel răspuns a ajuns la avertizor prin canalul anonim. La fiecare schimbare de investigator, perioada de 3 luni se recalculează dacă investigatorul anterior nu a transmisă un feedback intermediar înainte de plecare.

Procedura care trece la control presupune trei elemente: un istoric al investigatorilor alocați pe fiecare dosar, un feedback intermediar opțional dar recomandat înainte de orice tranziție internă, și dovada transmiterii feedback-ului final prin același canal securizat folosit pentru confirmare. Fără aceste trei elemente, dosarele vechi de peste 90 de zile devin automat observații critice.

Practica recomandată este ca fiecare schimbare de responsabil să fie înregistrată în dosarul cazului cu dată, motiv și semnătura ambelor părți. Acest lucru simplifică demonstrarea termenului legal și arată inspectorului că procesul este guvernat, nu improvizat. Pentru context suplimentar privind cerințele gdpr care se suprapun cu retenția datelor din raportări, reține că cele două regimuri conviețuiesc, nu se anulează reciproc.

Ce trebuie să conțină jurnalul de activitate ca să fie acceptat ca probă

Un jurnal de activitate al raportărilor este acceptat ca probă la control doar dacă îndeplinește patru condiții cumulative: este imuabil (odată scris, nu poate fi modificat fără urmă), este complet (fiecare acțiune pe fiecare dosar are timestamp), este exportabil (în formate standard precum CSV sau PDF semnat), și este lizibil pentru inspector (nu doar în interfața unui produs pe care acesta nu-l cunoaște).

Câmpurile minime pe care inspectorul le caută într-un jurnal sunt: ID unic raportare, timestamp primire, utilizator/ canal, status curent, investigator curent, istoric acțiuni cu timestamp, termene legale (7 zile, 3 luni), status termene (în termen/ depășit), decizii finale și motivare. Orice câmp lipsă deschide o linie de întrebări suplimentare. Jurnalul în format Markdown salvat în wiki nu este acceptabil, pentru că nu are garanția imposibilității modificării retroactive. Pentru o privire detaliată asupra arhitecturii security care susține aceste garanții, documentația Ashio descrie explicit fiecare mecanism.

Cât de vechi pot fi înregistrările pe care le cere inspectorul?

Inspectorul poate cere înregistrări pe o perioadă de până la 5 ani retroactiv, în funcție de data introducerii canalului și de tipul obligației verificate. Dacă raportările au fost șterse „pentru a proteja identitatea avertizorului" înainte de termen, acest lucru devine el însuși o neconformitate.

Unde se blochează de obicei companiile și cum le afectează la control

Cele mai întâlnite blocaje la un control pe Legea 361/2022 sunt de tip operațional, nu legal: lipsa investigatorilor înlocuitori, lipsa politicii actualizate, instruire formală făcută dar fără evidențe nominale, raportări primite dar închise fără feedback în termen, dosare pierdute la schimbarea de management. Fiecare blocaj se traduce într-o observație punctuală și, cumulat, într-o decizie nefavorabilă a controlului.

Al doilea val de blocaje vine din confuzia între securitate tehnică și conformitate procedurală. O criptare solidă nu compensează lipsa confirmării în 7 zile, iar un audit tehnic reușit nu înlocuiește dovada politică și organizațională cerută de lege. Inspectorii verifică separat cele două planuri, nu cumulat.

Un al treilea blocaj specific apare la companiile cu operațiuni în mai multe jurisdicții, unde se aplică simultan Legea 361/2022, GDPR și eventual regimuri naționale. Pentru for compliance officers care gestionează astfel de structuri, cheia este o matrice unică de dovezi care să mapeze fiecare cerință pe un document, nu dosare separate pe jurisdicție.

Ce rol joacă investigatorul extern?

Investigatorul extern, acolo unde există, nu este un scut procedural: entitatea juridică rămâne răspunzătoare pentru respectarea termenelor legale. Inspectorul va întreba cine a monitorizat termenele în perioada în care investigatorul extern a preluat cazul și pe baza cărui SLA contractual.

Listă de verificare pe care o poți tipări înainte de control

Listă de verificare pe care o poți tipări înainte de control Cu 30 de zile înainte de un anunț de control pe Legea 361/2022, parcurge sistematic lista de mai jos. Fiecare element bifat crește șansa unui control fără observații.

  • Politica internă de raportare este actualizată și disponibilă în format electronic, cu data ultimei revizuiri vizibilă.
  • Canalul este publicat pe site-ul companiei și pe intranet, cu link testat recent.
  • Lista nominală a angajaților instruiți pe ultimele 12 luni, cu data și materialele folosite.
  • Jurnal complet al raportărilor primite, exportabil în format standard.
  • Dovadă timestamp pentru fiecare confirmare de primire (7 zile).
  • Dovadă timestamp pentru fiecare feedback transmis (3 luni).
  • Procedură scrisă pentru înlocuirea investigatorului, cu nominalizări clare.
  • Raportul anual pe anul anterior (dacă este cazul) și arhiva rapoartelor pe minim 5 ani.
  • matrice de corespondență între cerințele Legii 361/2022 și documentele interne.
  • Procedură de ștergere/ retenție a datelor conform GDPR, aliniată cu obligațiile legale de păstrare a dovezilor.

Această listă rămâne utilă și după control, ca instrument de auto-evaluare trimestrială. Companiile care o parcurg de patru ori pe an raportează semnificativ mai puține observații la următorul control extern, pentru că identifică și corectează lacunele înainte ca acestea să fie consemnate oficial.

Întrebări frecvente

Cât de des trebuie să facuteanu auto-evaluarea pregătirii pentru un control pe Legea 361/2022?

O auto-evaluare completă a pregătirii pentru un control pe Legea 361/2022 trebuie făcută cel puțin o dată pe an, înainte de raportul anual, și o mini-evaluare la fiecare schimbare majoră de structură internă. Auto-evaluarea anuală include toate cele șapte categorii de dovezi și testarea exportului jurnalului de activitate. Mini-evaluarea trimestrială poate fi limitată la termenele de 7 zile și 3 luni, care sunt cele mai expuse riscului de depășire în practică.

Ce fac dacă descopăr că am depășit termenul de 3 luni pentru o raportare veche?

Dacă descoperi că ai depășit termenul de 3 luni pentru o raportare veche, primul pas este să documentezi retroactiv motivul depășirii și să transmiți feedback cât mai rapid, menționând explicit întârzierea. Al doilea pas este să introduci un control automat al termenelor, de exemplu alerte cu 15 zile înainte de expirarea fiecărui dosar. Al treilea pas este să incluzi incidentul în raportul anual, ca dovadă de transparență și auto-corectare, ceea ce reduce semnificativ severitatea unei observații la control.

Pot folosi e-mailul obișnuit pentru canalul de raportare?

E-mailul obișnuit nu este recomandat ca unic canal de raportare conform Legii 361/2022, pentru că nu oferă anonimitate garantată și lasă urme de identificare în antetele mesajelor. Alternativ, un formular securizat cu criptare end-to-end și comunicare bidirectională anonimă este semnificativ mai ușor de demonstrat la control, iar corespondența prin e-mail poate fi folosită doar ca soluție de rezervă documentată, nu ca prim canal.

Câte raportări sunt suficiente ca inspectorul să considere canalul funcțional?

Numărul de raportări nu este criteriul principal; inspectorul verifică dacă procesul a funcționat corect pentru fiecare raportare primită, indiferent că au fost 2 sau 200. Un volum mic de raportări nu absolvă de obligații, iar un volum mare nu compensează lipsa dovezilor. Important este ca fiecare raportare să aibă confirmare în 7 zile, feedback în 3 luni și închidere documentată.

Ce se întâmplă dacă am externalizat complet canalul la un furnizor?

Dacă ai externalizat complet canalul, rămâi pe deplin responsabil pentru respectarea termenelor și a cerințelor Legii 361/2022, iar contractul cu furnizorul trebuie să definească clar cine monitorizează termenele și unde sunt stocate dovezile. La control, va trebui să demonstrezi atât funcționarea tehnică a furnizorului, cât și propriul mecanism intern de supraveghere a acestuia. Un SLA scris, cu indicatori clari pentru cele două termene legale, este minim necesar.

Surse