Ashio whistleblowing software

ISO 37301 a whistleblowing: co norma vyžaduje pro CMS

ACA Compliance Dashboard Monitoring | Points North

Ano, ISO 37301 vyžaduje efektivní mechanismy pro oznamování jako součást systému řízení shody (CMS). Norma sama whistleblowing proces do detailu nepopisuje, ale odkazuje na to, že organizace musí mít dostupný kanál pro hlášení, zajistit důvěrnost a vyšetřovat podněty. Provozní návod pak dodává ISO 37002 a právní rámec v Evropské unii stanovuje směrnice 2019/1937.

Co udělat jako první krok:

  • Zkontrolovat, zda máte funkční a dostupný oznamovací kanál, ne jen napsanou politiku.

  • Porovnat svůj proces vyšetřování s doporučeními ISO 37002.

  • Ověřit, že systém splňuje požadavky směrnice EU na ochranu oznamovatelů.

Stručně:

  • Funkční whistleblowing systém podle ISO 37301 musí mít dostupný a důvěrný kanál pro podávání oznámení, nikoli jen psanou politiku.

  • Proces vyšetřování v rámci ISO 37002 zahrnuje čtyři kroky: přijetí, posouzení, řešení a uzavření, s důrazem na důvěru, nestrannost a ochranu oznamovatele.

  • Implementace zahrnuje stanovení politiky, výběr zabezpečeného technického kanálu, jasně definované odpovědnosti, auditní stopy a pravidelné sledování výsledků.

  • Připravit systém na audit znamená zachytit časová razítka, role a stav případu, přičemž se klade důraz na datové zabezpečení v souladu s GDPR a evropskými požadavky.

  • Platforma Ashio nabízí anonymní hlášení s auditovatelností, uloženou v evropských datových centrech, a umožňuje interní sledování případů v reálném čase.

Obsah

Konkrétní požadavky ISO 37301 vztahující se k oznamování a ochraně oznamovatelů

Norma ISO 37301 nepopisuje whistleblowing jako samostatnou kapitolu, ale zabudovává jeho principy do širší struktury CMS. Analytický přehled od Activemind upozorňuje, že norma klade důraz na ochranu oznamovatelů silněji než její předchůdkyně, konkrétně na dostupnost kanálu, důvěrnost a řádné vyšetřování.

Praktické požadavky se dají shrnout do čtyř oblastí:

  1. Politika a dostupné kanály. Organizace musí mít písemnou politiku a alespoň jeden kanál, kterým může kdokoli z organizace nebo mimo ni podat oznámení bez obav z odhalení.

  2. Role a odpovědnosti. CMS musí jasně určit, kdo hlášení přijímá, kdo rozhoduje o dalším postupu a kdo má pravomoc zahájit vyšetřování.

  3. Vyšetřování a nápravná opatření. Každé oznámení musí být zaznamenáno, posouzeno a uzavřeno s doložitelným výsledkem, včetně případných nápravných kroků.

  4. Ochrana proti odvetě. Systém musí prokazatelně chránit identitu oznamovatele a zabránit jakékoli formě znevýhodnění po podání hlášení.

FAQ technického výboru TC309 tuto logiku potvrzuje: ISO 37301 stanoví požadavky, ale pro konkrétní oblasti jako whistleblowing doporučuje sáhnout po specializovaných standardech.

Jak ISO 37002 doplňuje ISO 37301 v procesu oznamování

ISO 37301 řekne, že kanál pro oznamování musí existovat. ISO 37002 řekne, jak má fungovat v praxi. Norma z roku 2021 popisuje whistleblowing management jako čtyřkrokový proces, který lze převzít téměř beze změny do interní směrnice.

  • Přijímání – oznámení dorazí přes zvolený kanál a je zaevidováno s časovým razítkem.

  • Posuzování – compliance tým rozhodne, zda podnět spadá do rozsahu systému a jakou má prioritu.

  • Řešení – proběhne vyšetřování, shromáždí se důkazy a navrhnou se nápravná opatření.

  • Uzavření – případ je formálně ukončen, oznamovatel je informován o výsledku v rozsahu, který zákon a interní politika umožňují.

Celý proces stojí na třech principech, které zdůrazňuje i BSI: důvěra v systém, nestrannost při posuzování a ochrana oznamovatele po celou dobu řízení. Kdo tyto čtyři kroky zapracuje do svého CMS jako standardní operační postup, splní podstatnou část toho, co auditor ISO 37301 při kontrole hledá.

Jak zavést oznamovací kanál do CMS krok za krokem

Implementace whistleblowingu do CMS se dá rozdělit na šest po sobě jdoucích kroků. Každý z nich by měl skončit dokumentem nebo záznamem, který lze později předložit auditorovi.

  1. Definujte politiku a lhůty. Stanovte, do kolika dní musí organizace potvrdit přijetí oznámení a do kdy podat oznamovateli zpětnou vazbu o dalším postupu. Šablonu povinného obsahu politiky najdete v průvodci tvorbou whistleblowing politiky.

  2. Vyberte technický kanál. Interní formulář, anonymní odkaz nebo externí linka musí splňovat základní požadavky na zabezpečení, například šifrovaný přenos a omezený přístup k datům.

  3. Nastavte proces vyšetřování. Určete, kdo hlášení posuzuje, kdo eskaluje závažné případy vedení a kdo má pravomoc rozhodnout o nápravných opatřeních.

  4. Zajistěte auditní stopu. Každý krok, od přijetí po uzavření, musí mít záznam s časovým razítkem a odpovědnou rolí, nikoli jen jménem konkrétního člověka.

  5. Proškolte zaměstnance. Bez komunikace, která podporuje kulturu otevřeného hlášení, zůstane sebelepší kanál nevyužitý.

  6. Měřte výsledky. Sledujte počet přijatých oznámení, průměrnou dobu vyřešení a podíl případů uzavřených s nápravným opatřením, a tato čísla pravidelně reportujte vedení.

Profesionální tip: Nastavte interní SLA na potvrzení přijetí oznámení do sedmdesáti dvou hodin. Tento krok sám o sobě výrazně zvyšuje důvěru zaměstnanců v systém, a auditor si ho snadno ověří v logu platformy.

Detailní požadavky na lhůty a povinnosti podle evropské legislativy popisuje průvodce implementací směrnice 2019/1937.

10 Things to Know About Flight School Management Software

Jaké technické kontroly a dokumentaci audit ISO 37301 vyžaduje

Auditní stopa musí zachytit, kdy bylo oznámení přijato, kdo je posoudil a jaký krok následoval, aniž by odhalila totožnost oznamovatele. Časové razítko, role a stav případu stačí, jméno oznamovatele do logu nepatří.

  • Šifrování dat v klidu i při přenosu a přístupová práva omezená jen na oprávněné role.

  • Uložení dat v evropských datových centrech kvůli souladu s GDPR.

  • Jasné rozlišení anonymity a pseudonymity, protože pseudonymní systém dovoluje dodatečné dohledání identity, což mění právní rizika.

  • Funkce, které generují exportovatelný přehled případů pro potřeby certifikačního auditu.

Bez auditní stopy zůstává whistleblowing systém na papíře fungující, ale v praxi neprokazatelný. Podrobnosti k šifrování a evropskému ukládání dat najdete v průvodci zabezpečením dat v SaaS prostředí.

Nejčastější chyby při implementaci a co auditoři kontrolují

Nejčastější problém není chybějící politika, ale politika, která nikdy neprošla praxí. Auditoři podle akreditačních požadavků ANAB chtějí vidět, že proces skutečně běžel, ne že existuje jen na papíře.

  • Politika sepsaná, ale bez jediného zaznamenaného případu za poslední rok.

  • Chybějící dokumentace o tom, jak bylo konkrétní oznámení vyřešeno a jaké nápravné opatření následovalo.

  • Anonymita slíbená v dokumentu, ale technicky nezajištěná (například email bez šifrování).

  • Absence interního auditu, který by whistleblowing proces pravidelně prověřoval.

Nejsilnějším důkazem pro certifikaci zůstává historie případů s jasnou časovou osou, ne prohlášení, že systém existuje.

Co implementace whistleblowingu podle ISO 37301 v praxi znamená

Nejrychlejší způsob, jak získat důvěru zaměstnanců, je transparentní zpětná vazba, ne sofistikovaný formulář. Lidé přestanou hlásit v okamžiku, kdy pocítí, že jejich podnět zmizel beze stopy.

Pro střední organizaci doporučuji nejprve zavést politiku a kanál, pak proces vyšetřování podle ISO 37002 a až na konec doladit reporting pro vedení. Obrácené pořadí vede k hezkým tabulkám bez jediného reálného případu.

— Author

Jak vám Ashio pomůže splnit požadavky ISO 37301 na whistleblowing

Ashio je software, který propojuje anonymní hlášení s auditovatelností, což bývá ten nejtěžší kompromis v celém procesu. Zaměstnanec podá oznámení anonymně, compliance manažer sleduje případ přes dashboard v reálném čase a systém sám generuje auditní stopu s časovými razítky, aniž by odhalil identitu oznamovatele. Data zůstávají v evropských datových centrech v souladu s GDPR, což řeší jednu z nejčastějších slabin, na kterou auditoři narazí.

Platforma se hodí pro firmy, které musí splnit požadavky směrnice 2019/1937 i ISO 37301, ale nechtějí stavět interní řešení od nuly. Pokud implementaci teprve rozjíždíte, vyzkoušejte Ashio a podívejte se, jak vypadá případ od přijetí po uzavření v reálném dashboardu.

Ruce nastavující zařízení na kancelářském stole

Klíčové poznatky

Funkční whistleblowing systém podle ISO 37301 stojí na třech pilířích: dostupném kanálu, dokumentovaném vyšetřování podle ISO 37002 a prokazatelné auditní stopě.

Bod Podrobnosti
ISO 37301 vyžaduje kanál Norma stanoví, že CMS musí mít dostupný a důvěrný způsob podání oznámení.
ISO 37002 dodává postup Čtyři kroky, přijímání, posuzování, řešení a uzavření, tvoří provozní kostru procesu.
Směrnice 2019/1937 stanoví lhůty Evropská legislativa určuje povinnosti a termíny pro zpětnou vazbu oznamovateli.
Auditní stopa rozhoduje o certifikaci Auditor hledá záznamy o reálných případech, ne jen podepsanou politiku.
Ashio spojuje anonymitu s dokumentací Platforma nabízí anonymní hlášení, dashboard a auditní stopu uloženou v evropských datacentrech.

Zdroje

Doporučené