Ashio whistleblowing software

Oct 11, 2026

Jak uzavřít interní oznámení: postup od vyšetření po závěrečnou zprávu pro oznamovatele

Jak uzavřít interní oznámení: postup od vyšetření po závěrečnou zprávu pro oznamovatele

Většina českých firem se soustředí na to, jak oznámení přijmout a anonymně ho zpracovat. Mnohem méně se ale řeší druhá půlka procesu: jak oznámení korektně uzavřít, sepsat závěrečnou zprávu, kterou přijme auditor, a stihnout přitom zákonnou tříměsíční lhůtu pro zpětnou vazbu oznamovateli. Právě tady se rozhoduje, jestli celý kanál obstojí při kontrole, nebo se promění v důkaz proti vám.

Tento návod vede compliance officera krok za krokem tím, jak uzavřít interní oznámení v české firmě se 60–250 zaměstnanci: od okamžiku, kdy máte výsledky vyšetřování v ruce, přes strukturu závěrečné zprávy až po formulaci odpovědi oznamovateli, která chrání jeho anonymitu. Vše vychází ze zákona o ochraně oznamovatelů, jehož novela je plně účinná od 1. srpna 2023 a který ukládá pevné lhůty, jasnou dokumentaci a povinnost poskytnout oznamovateli zpětnou vazbu.

Obsah

Klíčové poznatky

  • Lhůta pro zpětnou vazbu je 3 měsíce ode dne potvrzení přijetí oznámení (s možností prodloužení o další 3 měsíce při složitějších případech) a vyžaduje konkrétní informaci o přijatých opatřeních, ne vágní „řešíme to".
  • Závěrečná zpráva z whistleblowingu musí obsahovat popis skutkového stavu, použité důkazy, závěr vyšetřování a přijatá opatření — auditor ji potřebuje jako samostatně čitelný dokument, ne jen jako e‑mail s výsledkem.
  • Anonymita u zpětné vazby není automatická: musíte aktivně zkontrolovat, že formulace neobsahuje informace, které by oznamovatele identifikovaly (např. detail známý jen úzkému okruhu).
  • Eskalace mimo interní tým (právník, externí vyšetřovatel, policie) musí být v případu zdokumentována včetně důvodu, rozsahu a data předání.
  • Nedodržení postupu při uzavírání případu je v praxi častější příčina nálezu při kontrole než chyby v přijetí oznámení.

Proč je uzavření případu právně i procesně klíčové

Uzavření interního oznámení není byrokratická tečka za vyšetřováním; je to právně vynutitelný krok, ke kterému vás zavazuje § 17 zákona o ochraně oznamovatelů i evropská směrnice 2019/1937. Pokud jej odbudete, vystavujete se dvojímu riziku: oznamovatel se může obrátit na Úřad pro ochranu oznamovatelů a celý kanál ztratí důvěryhodnost, na které jste ho budovali.

Právní rámec vám přitom neříká jen „něco oznamovateli sdělte". Vyžaduje, abyste mu ve stanovené lhůtě poskytli konkrétní informaci o přijatých opatřeních, a to způsobem, který neohrozí důvěrnost vyšetřování ani práva třetích osob. Interní tým navíc potřebuje dokument, který obstojí při auditu podle ISO 37002:2021 i při kontrole ze strany dozorových orgánů.

Zkušenosti compliance officerů ukazují, že právě tento konec procesu rozhoduje o tom, zda je kanál vnímán jako funkční nástroj, nebo jako „schránka, do které se píše a nikdo neodpovídá". A druhý dojem je bohužel ten, který si zaměstnanci odnášejí do dalšího případu.

Co musí obsahovat závěrečná zpráva z vyšetřování: struktura, kterou přijme auditor

Závěrečná zpráva z whistleblowingu je samostatný dokument, nikoli e‑mail s odstavcem závěru. Auditor po ní chce, aby z ní sám — bez dalšího kontextu — pochopil, co se vyšetřovalo, jak se vyšetřovalo a k jakému závěru se dospělo. Právě proto se vyplatí držet se osvědčené struktury.

Při přípravě zprávy se vyplatí myslet na to, že auditor čte desítky případů za rok a ocení jasnou, předvídatelnou strukturu víc než originální pojetí. Stejně tak ocení, když je zpráva psána v češtině a reflektuje terminologii používanou v zákoně o ochraně oznamovatelů — usnadňuje to orientaci při porovnání více případů.

Jaké náležitosti musí závěrečná zpráva obsahovat?

Dobrá zpráva obsahuje šest základních bloků: identifikaci případu, shrnutí oznámení (bez identifikace oznamovatele), použité důkazní prostředky, skutková zjištění, závěr vyšetřování (potvrzení nebo vyvrácení tvrzení) a přijatá opatření včetně lhůt jejich realizace.

Konkrétně by měla zahrnovat:

  • Identifikaci případu (interní číslo, datum přijetí, datum potvrzení oznamovateli, datum uzavření) — nikoli jméno oznamovatele.
  • Předmět oznámení přeformulovaný do podoby skutkového tvrzení, bez citací původního textu, pokud by mohl vést k identifikaci.
  • Přehled důkazů: dokumenty, výpovědi, logy, kamerové záznamy, to vše s uvedením, kdy a kdo je opatřil.
  • Postup vyšetřování: kdo se účastnil, v jakém rozsahu, s jakým mandátem a jak byly chráněny osobní údaje.
  • Skutková zjištění: co se potvrdilo, co vyvrátilo, co zůstalo neobjasněno.
  • Závěr a opatření: konkrétní kroky — pracovněprávní, smluvní, disciplinární, případně trestněprávní — i lhůty pro jejich realizaci.
  • Vyhodnocení rizik opakování a případná doporučení pro systém (úprava postupů, školení, kontrola).

Každý blok uzavírá krátké datum a podpis odpovědné osoby. U velkých případů je vhodné přiložit přílohy (důkazní materiály) odděleně, s vlastním režimem utajení — interní zpráva zůstává čitelná pro audit, ale citlivé přílohy jsou přístupné jen oprávněným osobám.

V čem se závěrečná zpráva liší od interního vyšetřovacího spisu?

Zatímco vyšetřovací spis obsahuje všechny pracovní poznámky, koncepty a alternativní hypotézy, závěrečná zpráva je výstupem, který musí být srozumitelný i někomu, kdo se případu neúčastnil. Rozdíl je v míře redakce: spis je pracovní, zpráva je komunikační. Auditor nikdy nechce vidět váš thought process, chce vidět výsledek, jeho odůvodnění a sebraná omezení.

Jak dodržet lhůtu 3 měsíce pro zpětnou vazbu a co se počítá jako její splnění

Lhůta 3 měsíce pro zpětnou vazbu oznamovateli běží od data, kdy jste mu potvrdili přijetí oznámení (typicky do 7 dnů od jeho podání). Nejde o lhůtu na dokončení vyšetřování, ale na sdělení opatření, která byla přijata, případně informaci, že vyšetřování pokračuje. Právě tady se v praxi chybuje nejčastěji.

V praxi se vyplatí vést si přehled všech otevřených lhůt v jedné tabulce — u desítek případů ročně se jinak snadno ztratí přehled o tom, která lhůta už běží a kde hrozí prodlení. Hodně pomáhá i jasně stanovený vlastník lhůty na každém případu, aby se nestalo, že se čeká na rozhodnutí někoho, kdo o své roli vůbec neví.

Co přesně se počítá jako „splnění" lhůty?

Za splnění se považuje konkrétní písemné sdělení odeslané oznamovateli v zákonné lhůtě. Nestačí, že vyšetřování stále běží, ani interní rozhodnutí „počkáme na výsledek". Musíte oznamovateli sdělit, zda se jeho tvrzení potvrdilo, a pokud ano, jaká opatření jste přijali; pokud ne, jakým způsobem jste tvrzení prověřili.

Přípustné varianty zprávy oznamovateli zahrnují:

  • Stručné sdělení: „Na základě prověření vašeho oznámení bylo zjištěno, že k popsanému jednání nedošlo, případ byl uzavřen bez přijetí opatření." (vhodné u nepotvrzených tvrzení)
  • Rozsáhlejší zpráva: popis opatření (projednání s vedoucím, úprava procesu, pracovněprávní krok) bez odhalení konkrétních osob. (vhodné u potvrzených tvrzení)
  • Prodloužení lhůty: informace, že vyšetřování si vyžádalo delší čas, s uvedením důvodu a nového termínu (lhůtu lze prodloužit o další 3 měsíce jen při řádně zdůvodněné složitosti případu, nikoli jako default).

Pozor na to, že i odeslání zprávy 5 minut po uplynutí lhůty je formální porušení. Bezpečnější je proto cílit na interní deadline o 5–7 pracovních dnů dříve, než je zákonem stanovená hranice.

Jak formulovat závěrečnou zprávu směrem k oznamovateli, aby zůstal(a) v anonymitě

Zpětná vazba oznamovateli má dvě publikace zároveň: musí být dostatečně konkrétní, aby splnila svůj účel, a dostatečně obecná, aby neprozradila identitu oznamovatele ani chráněné informace o třetích osobách. Tady se rozhoduje o tom, jestli celý kanál dává smysl, nebo ne.

Při formulaci odpovědi se držte těchto pravidel:

  • Nikdy neuvádějte jméno ani konkrétní pracovní zařazení osob, které by mohlo být spojeno s jedním konkrétním zaměstnancem. Místo „vedoucí logistiky" pište „dotčený vedoucí pracovník" nebo „vedoucí příslušného útvaru".
  • Vyhněte se detailům, které zná jen úzký okruh lidí (čísla smluv, interní kódy, přesné datum incidentu). Pokud je detail nezbytný, nahradte ho obecnějším časovým rámcem.
  • Nepopisujte konkrétní důkazy, které by mohly vést k identifikaci svědků nebo osob podezřelých. Místo „výpověď svědka X" pište „byly prověřeny výpovědi relevantních osob".
  • Používejte kanál, ve kterém jste oznámení přijali — to znamená: anonymní dvousměrný odkaz v software, ne e‑mail na osobní adresu. Právě protože tento kanál izoluje identitu, je pro takovou komunikaci navržen. Jak přesně pracovat s kanálem a jeho limity, popisuje příručka pro compliance officery.

V praxi se osvědčuje pravidlo: napište zprávu tak, jako by si ji mohl přečíst kdokoli ve firmě, kdo zná kontext oznámení. Pokud by takový člověk dokázal identifikovat oznamovatele, zprávu přeformulujte.

Kdy je správné případ eskalovat mimo interní tým a jak to zdokumentovat

Ne každé interní oznámení zůstává ve firmě. Některé skutkové podstaty — podezření z korupce, porušení sankčních režimů, závažné poškození zdraví nebo životního prostředí — vyžadují zapojení externích subjektů. Eskalace mimo interní tým musí být zdokumentovaná, jinak se z ní stane slepé místo, které auditor vždycky najde.

Kdy je eskalace nutná a kdy volitelná?

Eskalace je nutná vždy, když případ přesahuje pravomoc nebo nestrannost interního týmu. Typicky jde o podezření ze závažné trestné činnosti, podezření, že se na poruše podílel člen vedení nebo člen vyšetřovacího týmu, případně situace, kdy interní tým nemá potřebné odborné kapacity (účetní podvod, kybernetický incident).

Dobře zdokumentovaná eskalace obsahuje:

  • Datum a důvod eskalace: co konkrétně vedlo k rozhodnutí předat případ dál.
  • Komu a v jakém rozsahu byl případ předán (právní kancelář, externí forenzní auditor, policie, dozorový orgán) a na základě jakého oprávnění.
  • Jaké informace byly předány a jak bylo chráněno jejich důvěrné poskytování (např. šifrované úložiště, omezený přístup).
  • Jak byl informován oznamovatel o eskalaci, pokud to neohrozilo vyšetřování.
  • Jak eskalace ovlivnila lhůty pro zpětnou vazbu a zda bylo třeba prodloužení.

Eskalace není selhání interního týmu — je to součást návrhu systému. Pokud ji nemáte ve svých postupech, případ se vám vymkne v okamžiku, kdy ji potřebujete nejvíc.

Kontrolní seznam kroků pro uzavření interního oznámení v Česku

Kontrolní seznam kroků pro uzavření interního oznámení v Česku Abyste měli jistotu, že na nic nezapomenete, projděte si před odesláním závěrečné zprávy tento seznam. Vychází z praxe compliance týmů v českých firmách a z požadavků metodiky ISO 37002:2021.

Kroky pro uzavření interního oznámení krok za krokem:

  1. Ověřte, že máte uzavřené vyšetřování (důkazy, výpovědi, právní posouzení) a že je k případu připojeno závěrečné stanovisko.
  2. Sestavte závěrečnou zprávu podle struktury popsané výše — šest bloků, datum, podpis odpovědné osoby.
  3. Zkontrolujte, kolik času vám zbývá do lhůty 3 měsíce od potvrzení přijetí oznámení; pokud zbývá méně než 10 pracovních dnů, eskalujte uzavření jako prioritu.
  4. Připravte zprávu pro oznamovatele v kanále, ve kterém oznámení přijal — dbejte na to, aby formulace neumožňovala identifikaci.
  5. Ověřte anonymitu formulací ještě před odesláním: ideálně nechte zprávu přečíst kolegou, jenž nezná konkrétní okolnosti případu, a zeptejte se, zda by z textu dokázal identifikovat oznamovatele.
  6. Zdokumentujte případná opatření (pracovněprávní, smluvní, procesní) včetně data realizace a odpovědné osoby.
  7. Pokud došlo k eskalaci mimo interní tým, doplňte do spisu dokumentaci eskalace a případné prodloužení lhůty.
  8. Uzavřete případ v systému (status „uzavřeno") s uvedením data uzavření, výsledku a odkazem na uloženou dokumentaci.
  9. Analyzujte poučení pro systém: zda je třeba upravit postupy, školení nebo kontrolní mechanismy — a zda incident neukazuje na slabé místo v řízení rizik.
  10. Ověřte, že je dokumentace připravená na audit: všechny dokumenty mají časová razítka, přístupová práva jsou nastavena a záznamy jsou chráněny proti změnám.

Deset kroků, z nichž žádný nelze vynechat. Pokud vám chybí krok 4 nebo 5, vystavujete se riziku porušení anonymity; pokud chybí krok 6 nebo 7, riskujete problém při auditu; pokud chybí krok 9, přicházíte o hlavní přidanou hodnotu celého kanálu — schopnost se z každý zpracovaný případ poučit.

Pokud celý tento postup realizujete ručně — v tabulce, e‑mailech a interním spisu — brzy narazíte na dva problémy: jak spolehlivě oddělíte identitu oznamovatele od zprávy, kterou mu posíláte, a jak přesvědčíte auditora, že se zpráva po odeslání nedala změnit. Pro tým, který tyto dva problémy nechce řešit vlastními silami, existuje specializovaný whistleblowing software s end-to-end šifrováním a vestavěnou správou případů; jedním z takových nástrojů je ashio, který pokrývá příjem oznámení, dvousměrnou komunikaci s oznamovatelem i auditní stopu v jednom prostředí. Není určený pro organizace, které chtějí tiketovat oznámení ve sdíleném helpdesku.

Časté dotazy

Jak dlouho mám na závěrečnou zprávu po skončení vyšetřování?

Závěrečnou zprávu je třeba odeslat oznamovateli do 3 měsíců ode dne potvrzení přijetí oznámení podle § 17 zákona o ochraně oznamovatelů; u složitějších případů lze lhůtu prodloužit o další 3 měsíce, pokud to řádně zdůvodníte a tuto skutečnost oznámíte oznamovateli ještě před uplynutím původní lhůty.

Co když oznamovatel neodpoví na mou závěrečnou zprávu?

Neodpověď neznamená, že jste lhůtu nesplnili. Podstatné je, že jste ve lhůtě odeslali konkrétní informaci o přijatých opatřeních stejným kanálem, ve kterém oznámení přišlo. Neodpověď pouze zdokumentujte a pokračujte v uzavření případu.

Mohu v závěrečné zprávě uvést jména konkrétních osob?

V interní závěrečné zprávě, která zůstává ve firmě, jména uvést můžete. Ve zprávě pro oznamovatele je uvádějte jen tehdy, pokud tím neohrozíte jeho anonymitu a pokud je to nezbytné pro naplnění povinnosti informovat o opatřeních. V pochybnostech zvolte obecnější formulaci typu „vedoucí příslušného útvaru".

Jak dokumentovat případ, kdy se oznámení nepotvrdilo?

I nepotvrzené oznámení musíte uzavřít zprávou, ve které popíšete, jakým způsobem jste tvrzení prověřili (důkazy, výpovědi, logy) a že jste dospěli k závěru, že se k němu nepřihlíží. Tato dokumentace je klíčová pro případnou kontrolu, že vyšetřování nebylo účelově ukončeno.

Musím uzavření konzultovat s právníkem?

U závažnějších případů (podezření z trestné činnosti, pracovněprávní důsledky, možnost žaloby na firmu) je konzultace s advokátem silně doporučena, zejména kvůli formulaci zprávy oznamovateli a posouzení rizika identifikace. U jednoduchých provozních oznámení, kde není právní riziko, si vystačíte s interním týmem.

Zdroje