Ashio whistleblowing software

Oct 9, 2026

Ce se întâmplă după ce primești o raportare: ghid pas cu pas pentru investigare în 7 zile

Ce se întâmplă după ce primești o raportare: ghid pas cu pas pentru investigare în 7 zile

Când sosește prima raportare anonimă, cea mai mare greșeală este să acționezi prea repede — iar a doua cea mai mare greșeală este să nu acționezi deloc. Legea 361/2022 stabilește termene ferme, iar nerespectarea lor aduce sancțiuni directe persoanei desemnate. Dacă vrei să știi ce se intampla dupa ce angajatul face o raportare într-un canal intern conform, logica este simplă: primești confirmarea în termen de șapte zile, evaluezi credibilitatea fără a cere identitatea, comunici bidirecțional tot prin canalul anonim, documentezi fiecare pas pentru audit, transmiți feedback în cel mult trei luni și escaladezi către autorități doar când fapta depășește sfera internă. Acest ghid parcurge fiecare pas în ordinea în care trebuie executat, cu termenele legale exacte și deciziile pe care trebuie să le iei la fiecare bifurcație.

Cuprins

Concluzii cheie

  • Confirmarea oficială de primire trebuie trimisă raportorului în cel mult 7 zile calendaristice de la data raportării — termen imperativ, nu orientativ.
  • Întreaga comunicare cu raportorul rămâne în canal intern de raportare; orice ieșire pe e-mail, telefon sau întâlnire față în față rupe lanțul de anonimat.
  • Feedback-ul către raportor este obligatoriu în cel mult 3 luni de la confirmare, indiferent dacă dosarul se finalizează sau rămâne deschis.
  • Documentarea se face într-un jurnal imuabil, cu marcaje temporale și nume de utilizatori, exact în formatul pe care îl cer inspectorii și auditorii.
  • Escaladarea către autorități nu este opțională pentru fapte care privesc siguranța publică, spălarea de bani sau corupția — rămâne o obligație legală separată.

Confirmarea primirii raportării: ce înseamnă „în termen de 7 zile”

Termenul curge din ziua următoare depunerii raportării și este un termen calendaristic, nu lucrător. Dacă raportarea intră vineri la ora 18:00, ai până joi, la aceeași oră, să expediezi confirmarea scrisă către raportor, prin același canal, fără a cere și fără a afișa date identificabile. Mesajul de confirmare trebuie să conțină cel puțin: numărul dosarului intern, faptul că raportarea a fost înregistrată, numele persoanei care o va gestiona și informația că identitatea va rămâne protejată.

Recomandarea practică este să confirmi chiar a doua zi, în mai puțin de 24 de ore, dacă bugetul de resurse îți permite. Legea nu îți cere acest lucru, dar o confirmare rapidă reduce abandonul raportorului și arată că sistemul chiar funcționează. Procedurile pentru oficiali de conformitate din fiecare organizație ar trebui să definească, pe lângă termenul-limită, și pasul de alocare a responsabilului de caz în primele 48 de ore, ca să nu existe blocaje când confirmarea este gata de expediat și dosarul încă nu are un proprietar clar.

Cum evaluezi credibilitatea fără a cere indentitatea

Credibilitatea unei raportări anonime se evaluează din conținut, nu din cine a semnat-o. În primele 24 de ore, citești raportarea integral, notezi faptele (ce, unde, când, cine, cum) și cauți aceleași elemente care lipsesc. O raportare credibilă oferă, de regulă: o dată sau o perioadă, un loc sau un departament, o descriere a conduitei și o indicație despre martori sau documente. Absența acestor elemente nu înseamnă automat că raportarea este falsă, ci doar că ai nevoie de întrebări suplimentare — puse tot prin canal, tot anonim.

Următorul pas este triangulația internă. Verifici în evidențele organizației ce ar fi putut permite fapta descrisă (acces la sisteme, calendar de evenimente, flux de decizie), fără a părăsi registrul documentelor neutre. Dacă există un sistem de ticketing intern, de HR sau financiar, cauți anomalii în aceeași perioadă, fără a interoga persoana vizată, fără a menționa raportarea și fără a modifica evidențele. Orice acțiune de acest tip se înregistrează în dosar, ca să poată fi justificată în fața unui audit sau a unei instanțe.

În paralel, faci o primă clasificare a gravității: faptă internă administrativă (politici, etică, conflict de muncă), faptă cu risc penal intern (furt, fraudă, hărțuire) sau faptă cu obligație de raportare către autorități (spălare de bani, corupție, amenințări la siguranța publică). Această clasificare decide dacă dosarul rămâne intern sau dacă urmează o escaladare — punct tratat separat mai jos.

Comunicarea bidirecțională fără a expune raportorul

Comunicarea bidirecțională înseamnă că tu pui întrebări, iar raportorul răspunde, tot prin canalul care i-a fost atribuit la depunere. Un canal tehnic de acest tip funcționează pe bază de link unic, primit de raportor la trimitere; orice alt canal — e-mail, telefon, mesagerie — adaugă o verigă în care identitatea poate fi expusă. Acest principiu este, în fond, același cu cel al securității prin design: cheia de citire stă doar în mâinile celor care au dreptul să o aibă.

Întrebările trebuie să fie scurte, factuale și orientate spre lămurire. Formulezi întrebări închise acolo unde poți — „A fost în luna septembrie sau octombrie?" — și întrebări deschise doar când vrei detalii care nu pot fi anticipate. Evită întrebările care cer o confirmare de identitate („Confirmă că ești martor ocular?" sau „Cunosc acest lucru din sursă directă?") pentru că acestea cresc riscul de autoexpunere a raportorului chiar și în cadrul unui canal tehnic conceput să-l protejeze. Notezi fiecare mesaj trimis și fiecare răspuns primit, cu marcaj temporal, în dosarul de caz, ca parte a jurnalului de audit.

Ritmul este simplu: răspunzi raportorului în cel mult 2 zile lucrătoare de la primirea unui mesaj de la el. Dacă dosarul intră în pauză pentru că aștepți informații externe, anunți raportorul că termenul de 3 luni curge în continuare și că vei reveni cu un prim feedback intermediar — altfel, absența comunicării va fi interpretată ca închidere tacită și poate genera o nouăă raportare, de data aceasta într-un canal extern.

Când și cum treci de la evaluare la investigație

Treci de la evaluare la investigație în momentul în care există o bază factuală suficientă: fapta descrisă este circumstanțiată în timp, spațiu și persoane, există indicii verificabile din documentele interne sau martorii sunt identificați fără a fi încă interogați. Decizia nu aparține unei singure persoane, ci unei evaluări documentate la dosar — un paragraf scurt în care arăți de ce nu te oprești la o simplă constatare și de ce este cazul să mergi mai departe.

Investigația propriu-zisă este o anchetă administrativă internă, nu o procedură penală. Aduni documente, identifici martori, conduci interviuri confidențiale și consulți experți externi dacă este nevoie. Toate aceste activități trebuie limitate la cercul definit prin politică — de obicei ofițerul de conformitate, un avocat intern, un reprezentant HR și, dacă organizația are, un investigator extern sub contract de confidențialitate. Orice extindere a cercului se consemnează în scris, cu motivare.

Ce întrebări pui martorilor, fără a-i identifica pe raportor?

Martorii sunt intervievați separat, în încăperi închise, fără a li se comunica identitatea raportorului, fără a li se arăta conținutul raportării și fără a le sugera răspunsurile. Întrebările urmează firul evenimentelor descrise, nu firul raportorului: „Ai observat în luna X o modificare a registrului financiar?" este o întrebare corectă; „Știi ce a raportat colegul tău despre Y?" este o întrebare care rupe anonimatul. Fiecare interviuri se finalizează cu un rezumat semnat de martor și de investigator, anexat la dosar.

Cum documentezi fiecare pas pentru audit

Documentarea nu este o formalitate: este chiar dovada pe care o pui la dispoziția unui controlor atunci când vine. Principiul este același cu cel din cerințele GDPR privind trasabilitatea prelucrărilor — înregistrările imuabile, marcate temporal, cu identificarea utilizatorului care le-a creat, sunt ceea ce face ca dosarul să fie credibil la o verificare ulterioară. Folosești un registru unic, în care fiecare acțiune capătă un rând: data, ora, autorul, acțiunea, motivul, rezultatul.

Fiecare mesaj trimis sau primit prin canal trebuie păstrat în dosar exact cum a fost transmis, fără rescriere sau „curățare". Deciziile de etapă — de ce s-a trecut la investigație, de ce s-a extins cercul, de ce s-a amânat o acțiune — primesc un mini-argument scris, de una-două propoziții, atașat la pasul respectiv. Documentele interne consultate se identifică prin nume, versiune și dată; dacă un document a fost modificat în timpul anchetei, se păstrează și versiunea anterioară, ca să se poată dovedi starea de fapt la momentul deciziei.

La finalul anchetei, dosarul primește o concluzie scrisă: ce s-a stabilit, ce nu s-a stabilit, ce măsuri s-au luat, ce măsuri rămân deschise. Concluzia nu trebuie să fie un rechizitoriu, ci un rezumat de stare, neutru, în măsura în care faptele permit neutralitatea. Dosarul se arhivează cu termenul de păstrare stabilit prin politica internă, în acord cu obligațiile din GDPR și cu cerințele specifice sectorului de activitate.

Ce livrezi ca feedback în termen de 3 luni

Termenul pentru feedback curge de la data confirmării de primire, nu de la data depunerii raportării, și este tot un termen calendaristic. Dacă dosarul s-a finalizat, feedback-ul descrie fapta constatată, măsurile luate (sancțiune disciplinară, remediu de proceso, informarea autorităților) și ce anume va fi monitorizat în perioada următoare. Dacă dosarul rămâne deschis, feedback-ul descrie stadiul actual, pașii care urmează și un calendar estimativ, fără a promite un rezultat pe care încă nu îl poți justifica.

Feedback-ul se livrează tot prin canalul anonim, în limbajul pe care raportorul l-a folosit la depunere. Detaliile operaționale concrete — sancțiuni nominale, sume, decizii individuale — se comunică cu precauție pentru a nu permite identificarea persoanei sancționate sau a victimei. Chiar și așa, conformitatea cu legea cere ca feedback-ul să nu fie o formulare generică de tip „am luat măsuri” — el trebuie să fie descriptiv, proporțional și verificabil intern.

Ce se întâmplă dacă depășesc cele 3 luni fără un răspuns?

Depășirea celor 3 luni este sancționată distinct, de la amendă contravențională până la sarcini administrative suplimentare, dacă nu ai un motiv obiectiv înregistrat în dosar. Cel mai sigur este să trimiți un feedback intermediar înainte de termenul final — chiar dacă dosarul este încă deschis — și să-l marchezi ca intermediar, ca atare, în jurnalul de activitate.

Când trebuie să escaladezi către autorități

Escaladarea este obligatorie, nu opțională, pentru faptele pe care legea le pune în sarcina autorităților: spălare de bani, corupție publică și privată, infracțiuni contra siguranței publice, amenințări grave la adresa sănătății sau a mediului. Verificarea se face în raport cu fiecare raportare în parte, în cel mult 30 de zile de la confirmare, iar concluzia — escaladare sau ne-escaladare — se înregistrează în dosar cu motivare scrisă. În caz de escaladare, expui autorității faptele fără a dezvălui identitatea raportorului, decât dacă autoritatea o cere expres în baza unei dispoziții legale.

Pentru organizațiile din industrii reglementate, escaladarea poate fi sincronizată cu alte raportări obligatorii. Fiecare raportare externă se atașează la dosarul intern, ca o intrare cu număr de referință și dată. Dacă autoritatea revine cu întrebări, răspunzi pe același canal oficial, fără a parasi dosarul intern și fără a expune identitatea raportorului în afara cadrului legal.

Greșeli care compromit anonimatul raportorului

Greșeli care compromit anonimatul raportorului Majoritatea greșelilor care compromit anonimatul sunt mici, dar repetate. Iată cele mai frecvente, cu explicația de ce sunt problematice:

  • Trimiterea unui e-mail de confirmare la o adresă cunoscută, în loc de canal: adresa poate duce la identificare într-o organizație mică.
  • Cercetarea prin întrebări directe adresate celui vizat, fără o acoperire procedurală: confirmă în câteva minute că „cineva a vorbit”.
  • Stocarea dosarului pe suporturi personale (stick USB, cont de e-mail personal): încalcă politica de păstrare și expune datele.
  • Discuții la birou despre „cazul X”, chiar și în glumă: creează o legătură care poate fi citită ulterior ca o expunere deliberată.
  • Modificarea conținutului raportării pentru „a fi mai clar”: schimbă proba și ridică suspiciuni de manipulare.

Cum previi expunerea în organizațiile mici?

În organizațiile cu 50–250 de angajați, anonimatul se protejează mai ales prin separarea sarcinilor. Persoana care primește raportarea nu este aceeași cu persoana care ia decizia operațională ulterioară, iar documentarea se face într-un sistem conceput să minimizeze expunerea datelor pe dispozitivele investigatorilor. Dacă organizația nu poate asigura intern acest grad de separare, externalizarea canalului devine o măsură de protecție, nu de imagine.

Pentru echipele care ajung în acest punct și au nevoie de un instrument care să lege toate aceste verigi — termene de 7 zile și 3 luni, comunicare bidirecțională anonimă, jurnal imuabil și documentație gata de audit — există o opțiune comercială simplă: sign up pentru o perioadă de probă de 14 zile. Este potrivită pentru companii de 50–250 de angajați care au deja un ofițer de conformitate desemnat și vor să externalizeze partea tehnică; nu este pentru organizații care doresc să construiască intern un sistem propriu sau care se află deja în plin control al autorităților și au nevoie de consultanță procedurală, nu de software.

Întrebări frecvente

Ce se întâmplă dacă nu trimit confirmarea în 7 zile?

Depășirea este considerată contravenție și se sancționează cu amendă, iar în caz de recurență poate atrage măsuri administrative suplimentare. Termenul este imperativ și nu poate fi prelungit prin acord intern; singura suspendare legală este atunci când dosarul a fost transferat integral către o autoritate.

Pot să-i spun raportorului cine este anchetatorul?

Da, poți comunica numele persoanei care preia cazul, dar nu poți dezvălui identitatea raportorului anchetatorului în afara cercului definit în politica internă. Numele anchetatorului este, de regulă, util pentru raportor, ca să știe că dosarul său nu este tratat generic.

Feedback-ul trebuie să fie pozitiv?

Nu. Feedback-ul descrie starea de fapt la momentul respectiv și măsurile decise. Poate fi „fapta nu s-a confirmat, dosarul se clasează”, atâta vreme cât decizia este motivată și înregistrată. Absența feedback-ului este sancționată, nu conținutul lui.

Pot ancheta fără avocat?

Pentru fapte administrative interne — politici interne, etică, conflict de muncă — poți ancheta fără avocat. Pentru fapte cu potențial penal sau cu risc de contestare ulterioară, consultanța juridică este recomandabilă chiar dacă nu este obligatorie, ca să asiguri proporționalitatea măsurilor.

Cum arhivezi dosarul fără a încălca GDPR?

Păstrezi dosarul pe durata definită prin politica internă, de regulă între 5 și 10 ani, folosind pseudonimizare pentru identitățile vizate și acces pe bază de rol. La finalul termenului, dosarul se distruge conform procedurii, fără a lăsa copii în cutii poștale sau în foldere personale.

Surse