ISO 37002 und Whistleblowing: Leitfaden für Ihr Hinweisgebersystem

ISO 37002 ist der internationale Leitfaden dafür, wie eine Organisation Hinweise auf Missstände annimmt, prüft und abschließt, und zwar so, dass Beschäftigte dem Verfahren vertrauen. Die Norm ist freiwillig. Sie ist nicht zertifizierbar und ersetzt kein Gesetz. In Deutschland legt das Hinweisgeberschutzgesetz (HinSchG) die Pflichten fest. ISO 37002 beschreibt, wie ein gutes System dahinter aussieht. ISO 27001 wird wichtig, sobald es um die Sicherheit der Daten im Meldekanal geht. Dieser Beitrag erklärt alle drei für Compliance-Verantwortliche, Personalabteilungen und Geschäftsführungen.

Kurz gesagt

• ISO 37002 ist eine Leitlinie und keine Anforderungsnorm. Sie empfiehlt einen Prozess in vier Phasen: Empfang, Bewertung, Bearbeitung und Abschluss von Hinweisen.
• Eine offizielle Zertifizierung nach ISO 37002 gibt es nicht. Das zuständige ISO-Komitee sagt das ausdrücklich, auch wenn manche Anbieter “Zertifikate” bewerben.
• Rechtlich verbindlich ist in Deutschland das HinSchG: interne Meldestelle ab 50 Beschäftigten, Eingangsbestätigung nach sieben Tagen, Rückmeldung nach drei Monaten.
• ISO 27001 betrifft die Informationssicherheit. Gemeint ist, wie gut Meldungen und Identitäten technisch und organisatorisch geschützt sind. Bei der Wahl einer Hinweisgeber-Software ist das ein wichtiges Prüfkriterium.
• Wer HinSchG und ISO 37002 zusammen umsetzt, baut ein System, das rechtssicher ist und auch tatsächlich genutzt wird.

Inhaltsverzeichnis

• Was ISO 37002 ist und was sie leisten soll
• Der Hinweisprozess in vier Phasen
• Vertraulichkeit und anonyme Meldungen
• ISO 37002, EU-Richtlinie und HinSchG im Vergleich
• Lässt sich ISO 37002 zertifizieren?
• ISO 27001 und das Hinweisgebersystem
• Umsetzung Schritt für Schritt
• Hinweisgebersystem nach ISO 37002 mit Ashio
• Unsere Sicht: Vertrauen entsteht im Detail
• Häufige Fragen
• Quellen

Was ISO 37002 ist und was sie leisten soll

ISO 37002:2021 trägt den Titel “Whistleblowing management systems”. Laut ISO gibt die Norm Leitlinien für Aufbau, Umsetzung und Pflege eines wirksamen Whistleblowing-Managementsystems. Die deutsche Fassung ist als DIN ISO 37002:2022-03 erschienen. Ein Whistleblowing-Managementsystem ist mehr als ein Briefkasten oder ein Online-Formular. Dazu gehören Zuständigkeiten, Abläufe, Schutzmaßnahmen, Schulungen und die regelmäßige Prüfung, ob das alles funktioniert.

Die Norm ist so aufgebaut wie andere ISO-Normen für Managementsysteme: Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung und Verbesserung. Wer schon ein Qualitäts-, Compliance- oder Informationssicherheits-Managementsystem betreibt, findet sich deshalb schnell zurecht und kann vieles an bestehende Strukturen anknüpfen.

Drei Prinzipien als Grundlage

ISO 37002 baut auf drei Prinzipien auf: Vertrauen, Unparteilichkeit und Schutz.

• Vertrauen: Beschäftigte melden nur, wenn sie glauben, dass ihr Hinweis ernst genommen wird und ihnen nicht schadet.
• Unparteilichkeit: Wer einen Hinweis prüft, darf nicht befangen sein und das Ergebnis nicht vorwegnehmen. Das schützt auch die beschuldigte Person.
• Schutz: Hinweisgebende, Betroffene und Unterstützende werden vor Repressalien bewahrt, und ihre Identität bleibt vertraulich.

In seinen FAQ zur Norm beschreibt das ISO-Komitee das übergeordnete Ziel als eine Kultur der Transparenz und Verantwortlichkeit. Ein Meldekanal, den niemand nutzt, erfüllt vielleicht formal eine Pflicht. Hinweise auf Risiken liefert er aber nicht.

Für wen die Norm gedacht ist

ISO 37002 richtet sich an alle Organisationen, unabhängig von Größe, Rechtsform oder Sektor: an Mittelständler ebenso wie an Konzerne, Kommunen, Krankenhäuser oder Vereine. Die Anwendung ist laut ISO-Komitee freiwillig, außer ein Gesetz oder ein Vertrag schreibt sie im Einzelfall vor. Für ein Unternehmen mit 60 Beschäftigten ist die Norm also ein Werkzeugkasten, aus dem Sie nehmen, was zu Ihrer Größe passt.

Der Hinweisprozess in vier Phasen

Im Kern beschreibt ISO 37002 einen strukturierten Ablauf, den auch die deutsche Normfassung DIN ISO 37002 in vier Phasen gliedert. In der Praxis sieht das so aus:

1. Empfang: Der Hinweis geht über einen sicheren und leicht zugänglichen Kanal ein, etwa ein Online-Formular, eine Telefonnummer oder ein persönliches Gespräch. Der Eingang wird dokumentiert und der hinweisgebenden Person bestätigt.
2. Bewertung: Eine unabhängige und fachkundige Stelle prüft, ob der Hinweis plausibel ist, in den Anwendungsbereich fällt und wie dringend er ist. Gleichzeitig schätzt sie ein, ob der meldenden Person Repressalien drohen.
3. Bearbeitung: Der Sachverhalt wird untersucht, bei Bedarf mit Unterstützung aus Rechtsabteilung, Revision oder IT. Die meldende Person wird, soweit möglich, auf dem Laufenden gehalten.
4. Abschluss: Ergebnis und Maßnahmen werden dokumentiert. Die hinweisgebende Person erhält eine Rückmeldung, und die Erkenntnisse fließen in die Verbesserung des Systems ein.

Feste Fristen für diese Phasen nennt ISO 37002 nicht, das deutsche Recht dagegen schon. Die Tabelle zeigt, wie sich Norm und Gesetz ergänzen:

Die Fristen von sieben Tagen und drei Monaten stehen im HinSchG. In der Praxis scheitern Meldestellen selten an der Untersuchung selbst, sondern an diesen Fristen: Ein Hinweis bleibt während des Urlaubs im Postfach liegen, oder die Rückmeldung wird vergessen. Eine automatische Fristenüberwachung ist deshalb kein Komfortmerkmal, sondern Teil der Compliance.

Vertraulichkeit und anonyme Meldungen

Nach ISO 37002 darf die Identität einer hinweisgebenden Person ohne ihre Zustimmung nicht offengelegt werden. Die Norm sieht außerdem anonyme Meldungen ausdrücklich vor, weil sie die Hemmschwelle senken. Viele Beschäftigte wissen genau, was schiefläuft, fürchten aber, als Nestbeschmutzer dazustehen. Ein anonymer Kanal, über den Rückfragen möglich sind, löst dieses Dilemma.

Das deutsche Recht geht hier weniger weit. Das HinSchG verpflichtet nicht dazu, anonyme Meldewege einzurichten. Interne Meldestellen sollen anonym eingehende Meldungen aber bearbeiten. Wer sich an ISO 37002 orientiert, bietet die anonyme Meldung also aktiv an und wartet nicht ab, bis zufällig ein anonymer Brief eintrifft.

Beim Vertraulichkeitsgebot sind sich Gesetz und Norm einig. § 8 HinSchG verlangt, die Identität der hinweisgebenden Person, der beschuldigten Personen und weiterer in der Meldung genannter Personen vertraulich zu behandeln. Zugriff haben grundsätzlich nur die Personen, die für die Bearbeitung zuständig sind oder dabei unterstützen. Ausnahmen regelt § 9 HinSchG, etwa für Strafverfahren, bei gerichtlicher Anordnung oder mit vorheriger Einwilligung der hinweisgebenden Person im Einzelfall.

Für Ihr System heißt das praktisch:

• Das Postfach der Meldestelle ist nicht das allgemeine HR-Postfach.
• Berechtigungen werden pro Fall vergeben und nicht pauschal für die ganze Abteilung.
• Jeder Zugriff wird protokolliert, damit sich später nachweisen lässt, wer was gesehen hat.
• Bei anonymen Meldungen werden technische Spuren wie IP-Adressen oder Cookies gar nicht erst erhoben.

Sind Sie unsicher, ob Sie die Identität im konkreten Fall weitergeben dürfen, etwa weil die Staatsanwaltschaft anfragt? Dann klären Sie das vorher mit Ihrer Rechtsabteilung oder einer Kanzlei für Arbeits- und Compliance-Recht.

ISO 37002, EU-Richtlinie und HinSchG im Vergleich

Die EU-Whistleblowing-Richtlinie 2019/1937 legt den Mindeststandard für die Mitgliedstaaten fest, und das HinSchG setzt sie in Deutschland um. Seit Juli 2023 verpflichtet das Hinweisgeberschutzgesetz Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten, interne Meldestellen einzurichten. ISO 37002 kommt als freiwilliger Qualitätsmaßstab hinzu.

Details zu Umsetzung und Pflichten finden Sie in unserem Überblick zum Hinweisgeberschutzgesetz und in unserem Leitfaden zur EU-Whistleblowing-Richtlinie. Wer die Meldestelle übernehmen sollte, eigene Beschäftigte, eine Ombudsperson oder eine Kanzlei, erklärt unser Beitrag Wer kann interne Meldestelle sein.

Lässt sich ISO 37002 zertifizieren?

Kurz gesagt: nein. Das zuständige Technische Komitee ISO/TC 309 schreibt in seinen offiziellen FAQ, dass Organisationen nicht nach ISO 37002 zertifiziert werden können. Die Norm wurde als Leitfaden geschrieben und nicht als Grundlage für eine Zertifizierung. Sie enthält Empfehlungen (“sollte”) und keine prüfbaren Anforderungen (“muss”).

Trotzdem werben Prüfgesellschaften mit Audits oder Bestätigungen “nach ISO 37002”. Wertlos ist das nicht. Ein Blick von außen kann Lücken aufdecken und Aufsichtsrat, Investoren oder Kunden zeigen, dass Sie das Thema ernst nehmen. Sie sollten aber wissen, was ein solches Dokument belegt:

• Es belegt: Eine Prüfstelle hat Ihr System zu einem bestimmten Zeitpunkt anhand der Empfehlungen der Norm bewertet.
• Es belegt nicht: dass Sie die Pflichten aus dem HinSchG erfüllen, dass Ihr Kanal tatsächlich genutzt wird oder dass Hinweisgebende geschützt sind.

Brauchen Sie ein formales Zertifikat, etwa für Ausschreibungen? Dann lohnt sich ein Blick auf zertifizierbare Normen für Managementsysteme, zum Beispiel ISO 37301 für Compliance oder ISO 27001 für Informationssicherheit. In beide lässt sich ein Hinweisgebersystem einbinden.

ISO 27001 und das Hinweisgebersystem

Wer ISO 27001 und Hinweisgebersysteme zusammen recherchiert, hat meist eine von zwei Fragen: Muss mein Hinweisgebersystem ISO-27001-konform sein? Und worauf achte ich bei einem Software-Anbieter?

Laut DIN Media ist ISO/IEC 27001 der weltweite Standard für ein Informationssicherheits-Managementsystem (ISMS). Die Norm legt Anforderungen für Aufbau, Betrieb und kontinuierliche Verbesserung fest und bezieht Menschen, Prozesse und Technik ein, nicht nur die IT. Anders als ISO 37002 ist sie zertifizierbar.

Der Unterschied in einem Satz: ISO 37002 fragt, ob Hinweise fair und wirksam bearbeitet werden. ISO 27001 fragt, ob die Informationen dabei sicher sind.

Gesetzlich vorgeschrieben ist eine ISO-27001-Zertifizierung für Hinweisgebersysteme nicht. Sie ist aber ein guter Prüfstein. Ein Meldekanal verarbeitet die sensibelsten Daten, die ein Unternehmen haben kann: Vorwürfe gegen namentlich genannte Personen und die Identität derer, die sie erheben. Fragen Sie einen Anbieter deshalb ganz konkret:

• Ist das Rechenzentrum nach ISO 27001 zertifiziert, und wo steht es?
• Werden Meldungen Ende-zu-Ende verschlüsselt?
• Werden bei anonymen Meldungen IP-Adressen, Cookies oder Gerätedaten erfasst?
• Gibt es ein unveränderliches Protokoll aller Zugriffe und Bearbeitungsschritte?
• Kann der Anbieter selbst Meldungen im Klartext lesen?

Umsetzung Schritt für Schritt

Wie lange die Einführung dauert, hängt stark von der Größe ab. Eine Präsentation zur Norm schätzt, dass kleine Organisationen die Leitlinien in einigen Monaten umsetzen können und große in ein bis zwei Jahren. Ein bewährter Ablauf:

1. Bestandsaufnahme: Welche Meldewege gibt es schon, offizielle und inoffizielle? Wer bekommt heute Hinweise, etwa der Betriebsrat oder die Führungskräfte?
2. Rückhalt der Leitung sichern: Die Geschäftsführung stellt sich öffentlich hinter das Programm, verbietet Repressalien ausdrücklich und stellt Zeit und Budget bereit.
3. Zuständigkeiten festlegen: Wer betreibt die Meldestelle, wer vertritt, und wer wird bei Interessenkonflikten eingeschaltet?
4. Kanal wählen und einrichten: einen Online-Meldekanal mit anonymer Option, ergänzt durch persönliche Ansprechpersonen.
5. Verfahrensbeschreibung verfassen: die vier Phasen, Fristen, Dokumentation, Löschfristen und Eskalationswege, verständlich in einer Richtlinie.
6. Informieren und schulen: Beschäftigte erfahren, wo und wie sie melden können. Die Meldestelle wird zu Vertraulichkeit und Gesprächsführung geschult.
7. Pilotphase: Starten Sie nach Möglichkeit mit einem Standort oder Bereich. Passen Sie Formular und Abläufe an, bevor Sie überall ausrollen.
8. Messen und verbessern: Anzahl der Meldungen, Bearbeitungsdauer, eingehaltene Fristen, Ergebnisse. Einmal im Jahr berichten Sie an die Leitung.

Für einen Mittelständler mit 80 Beschäftigten kann eine schlanke Umsetzung so aussehen: eine benannte Meldestelle mit Vertretung, ein Online-Kanal, eine zweiseitige Richtlinie und eine Informationsrunde im Team. Ein Konzern braucht dagegen mehrsprachige Kanäle, eine Verteilung der Fälle über Länder hinweg und eine Anbindung an Revision und Rechtsabteilung. Beide können sich auf ISO 37002 berufen.

Hinweisgebersystem nach ISO 37002 mit Ashio

Mit Ashio richten Sie einen Meldekanal ein, der die Empfehlungen der ISO 37002 und die Pflichten aus EU-Richtlinie und HinSchG im Alltag umsetzt. Dazu gehören ein wirklich anonymer Meldekanal ohne IP-Tracking und ohne Cookies, eine strukturierte Fallbearbeitung mit automatischer Überwachung der Fristen von sieben Tagen und drei Monaten, eine Statusverfolgung für Hinweisgebende und ein exportierbarer, unveränderlicher Audit-Trail. Die Daten werden DSGVO-konform in der Schweiz gespeichert, das Hosting erfolgt nach ISO 27001, und das Meldeformular gestalten Sie selbst. Der Basic-Tarif kostet 29 € pro Monat, und Sie können Ashio vorher kostenlos testen. Wie die interne Meldestelle mit Ashio funktioniert, sehen Sie auf unserer Produktseite. Sie können auch direkt auf ashio.eu starten.

Unsere Sicht: Vertrauen entsteht im Detail

In vielen Gesprächen sehen wir dasselbe Muster: Unternehmen richten ein Hinweisgebersystem ein, weil das HinSchG es verlangt, und wundern sich dann, dass kaum Meldungen eingehen. Das liegt selten daran, dass es keine Missstände gibt. Meist trauen die Beschäftigten dem Kanal nicht.

Für uns ist ISO 37002 deshalb vor allem eine Erinnerung: Vertrauen muss technisch und organisatorisch aufgebaut werden. Ein Formular, das heimlich IP-Adressen speichert, ist nicht anonym, auch wenn “anonym” darübersteht. Wenn Hinweisgebende nach dem Absenden nie wieder etwas hören, wirkt das Verfahren wie ein schwarzes Loch. Und läuft das System bei Ihrem eigenen IT-Dienstleister, fragen sich Beschäftigte schnell, wer mitliest.

Deshalb verzichten wir bei Ashio vollständig auf Identitätsdaten und Tracking. Meldungen werden Ende-zu-Ende verschlüsselt, und die Plattform läuft unabhängig vom Arbeitgeber. Hinweisgebende können den Status ihrer Meldung verfolgen, und jeder Bearbeitungsschritt wird im Audit-Trail festgehalten. Unsere Empfehlung: Nehmen Sie das HinSchG als Pflicht und ISO 37002 als Maßstab. Prüfen Sie jedes Detail Ihres Kanals mit einer Frage: Würden Sie selbst darüber melden? Weitere Hinweise für Personalverantwortliche finden Sie auf unserer Seite für HR-Verantwortliche.

Häufige Fragen

Ist ISO 37002 in Deutschland Pflicht?

Nein. ISO 37002 ist eine freiwillige Leitlinie, solange kein Gesetz und kein Vertrag sie ausdrücklich verlangt. Verpflichtend ist das Hinweisgeberschutzgesetz. Es schreibt Beschäftigungsgebern ab 50 Beschäftigten eine interne Meldestelle vor.

Kann ich mein Unternehmen nach ISO 37002 zertifizieren lassen?

Nach Aussage des zuständigen ISO-Komitees nicht, denn die Norm wurde als Leitfaden geschrieben und nicht als Grundlage für eine Zertifizierung. Angebote einzelner Prüfstellen sind deshalb Bewertungen oder Bestätigungen und keine Zertifizierung im engeren Sinn. Den Nachweis, dass Sie das HinSchG einhalten, ersetzen sie nicht.

Muss ein Hinweisgebersystem nach ISO 27001 zertifiziert sein?

Gesetzlich nicht. ISO 27001 ist aber ein sinnvoller Maßstab für die Sicherheit der Plattform und des Rechenzentrums, weil Meldekanäle hochsensible Daten verarbeiten. Fragen Sie Anbieter nach Hosting-Standort, Verschlüsselung und Zugriffsprotokollen.

Muss ich anonyme Meldungen ermöglichen?

Das HinSchG verpflichtet nicht dazu, anonyme Meldewege einzurichten, interne Meldestellen sollen anonyme Meldungen aber bearbeiten. ISO 37002 sieht anonyme Meldungen ausdrücklich vor, weil sie die Hemmschwelle senken. Wer einen wirksamen Kanal will, bietet sie deshalb an.

Wie lange dauert die Umsetzung von ISO 37002?

Das hängt von Größe und Ausgangslage ab. Kleine Organisationen schaffen eine schlanke Umsetzung in einigen Monaten, große planen eher ein bis zwei Jahre ein. Wer bereits eine HinSchG-konforme Meldestelle betreibt, hat einen großen Teil der Arbeit schon erledigt.

Quellen

• ISO 37002:2021 Whistleblowing management systems (ISO)
• ISO/TC 309: ISO 37002 FAQs
• ISO/TC 309: ISO 37002 Frequently Asked Questions (PDF)
• DIN ISO 37002:2022-03, Inhaltsverzeichnis (DIN)
• Kurzhinweise: ISO 37002 (TÜV Media)
• Hinweisgeberschutzgesetz, PDF (gesetze-im-internet.de)
• Hinweisgeberschutzgesetz, HTML (gesetze-im-internet.de)
• § 9 HinSchG (gesetze-im-internet.de)
• Informationssicherheits-Managementsystem nach ISO/IEC 27001 (DIN Media)
• ISO 37002 Presentation (ethics-compliance.ch)

Empfehlungen

• ISO 37002 erklärt: Hinweisgeber & ISO 27001
• EU-Whistleblowing-Richtlinie 2019/1937 Konformitätsleitfaden