Ashio whistleblowing software

Sep 18, 2026

7 kritēriji, pēc kuriem izvēlēties trauksmes celšanas programmatūru Latvijas uzņēmumam

7 kritēriji, pēc kuriem izvēlēties trauksmes celšanas programmatūru Latvijas uzņēmumam

Ne visas trauksmes celšanas programmatūras ir vienādas. Šeit ir 7 kritēriji, pēc kuriem Latvijas uzņēmumi var objektīvi salīdzināt piedāvājumus un izvairīties no dārgiem pārsteigumiem auditā. Šis īss ceļvedis palīdz saprast, kā izvēlēties trauksmes celšanas programmatūru Latvijā, lai izpildītu ES Direktīvas 2019/1937 un Latvijas Trauksmes celšanas likuma prasības, vienlaikus aizsargājot ziņotāju anonimitāti un nodrošinot auditoram pieņemamus pierādījumus.

Saturs

Galvenās atziņas

  • Vispārīgi rīki — koplietojama e-pasta pastkaste, vienkārša biļešu sistēma vai zvanu centra tālrunis — juridiski neskaitās par atbilstošu ziņošanas kanālu, jo tie neatspoguļo anonimitāti un termiņu izsekojamību.
  • Patiesā anonimitāte nozīmē nulles piekļuves arhitektūru, kur pat pakalpojuma sniedzējs nevar izlasīt ziņojumu saturu — tā ir tehniska, nevis mārketinga īpašība.
  • Datu glabāšanas vieta nosaka, kurš datu aizsardzības režīms attiecas uz jūsu organizāciju: ES ietvaros dati ir pakļauti VDAR, bet ārpus ES — bieži vien svešām jurisdikcijām.
  • Direktīva 2019/1937 uzliek saistošus termiņus — 7 dienas apstiprinājumam un 3 mēneši atsauksmei — tāpēc manuāla uzskaite ar Excel tabulām auditora skatījumā ir riskanta.
  • Balss ziņošana paver pieejamību, bet tikai tad, ja risinājums neveido biometriskos datus un nepārkāpj VDAR 9. panta prasības.
  • Daudzvalodu atbalsts (16 valodas) nodrošina, ka arī svešvalodīgie darbinieki patiešām izmanto kanālu — pretējā gadījumā kanāls pastāv tikai uz papīra.
  • Gala lēmumam noder strukturēta matrica ar svērtiem kritērijiem, nevis intuitīvs "draudzīgākā interfeisa" salīdzinājums.

Kāpēc vispārīgi rīki (e-pasts, koplietojama pastkaste) neder

Kāpēc vispārīgi rīki e-pasts, koplietojama pastkaste neder — kā izvēlēties trauksmes celšanas programmatūru Latvijā Vispārīgi rīki, piemēram, koplietojama e-pasta pastkaste, vienkārša biļešu sistēma vai publisks tālrunis, juridiski neskaitās par atbilstošu iekšējo ziņošanas kanālu saskaņā ar ES Direktīvu 2019/1937 un Latvijas Trauksmes celšanas likumu. Tie nespēj garantēt anonimitāti, fiksēt saņemšanas brīdi un automātiski uzraudzīt termiņus, ko auditors sagaida pierādījumu ķēdē.

Praksē šādi rīki rada trīs nopietnas problēmas. Pirmkārt, ziņotāja identitāte ir viegli nosakāma, jo IP adreses, ierīces pirkstu nospiedumi un e-pasta galvenes atklāj darbinieka atrašanās vietu un iekārtu. Otrkārt, "saņemšanas datums" ir neskaidrs, ja vēstule nonāk koplietojamā pastkastē un vairāki cilvēki to pārvalda. Treškārt, atbildes sniegšana parasti notiek "kad būs laiks", nevis 7 dienu vai 3 mēnešu termiņā, kā to prasa direktīva.

Latvijas Darba inspekcija pārbaudēs vērtē ne tikai kanāla esamību, bet arī tā tehnisko darbību. Ja audits atklāj, ka kanāls ir tikai e-pasta adrese bez reģistrēšanas, uzņēmums riskē gan ar administratīvo sodu, gan ar reputācijas zaudējumu. Tieši tāpēc pirmais kritērijs ir spēja nodrošināt anonīmu ziņošanu kā sistēmas pamatfunkciju, nevis kā papildu opciju. Šāds [anonymous reporting](https://ashio.eu/lv/anonymous reporting) kanāls kalpo kā drošības tīkls, kur ziņotājs var iesniegt informāciju bez identitātes atklāšanas un saņemt divvirzienu saziņu, lai uzraudzītu lietas gaitu.

Pēc kā novērtēt patieso anonimitāti, nevis mārketinga solījumu

Patiesā anonimitāte nozīmē, ka ziņojuma saturs ir šifrēts tā, ka pat pakalpojuma sniedzējs to nevar izlasīt, bet "anonīms ziņošanas kanāls" mārketinga lapās bieži vien nozīmē tikai to, ka ziņotājam nav jāievada vārds.

Kā atšķirt nulles piekļuves arhitektūru no vienkāršas šifrēšanas?

Nulles piekļuves (zero-knowledge) arhitektūrā atšifrēšanas atslēgas nepamet ziņotāja pārlūkprogrammu un apstrādātāja ierīci, tāpēc serverī glabājas tikai šifrēts teksts. Ja pakalpojuma sniedzējs piedāvā "šifrēšanu", bet pats var atšifrēt ziņojumu pēc pieprasījuma, tas nav īsts anonīms kanāls — tas ir privāts, bet ne anonīms.

Praktisks tests: vaicājiet piegādātājam, vai tam ir tehniska iespēja nolasīt jūsu saņemto ziņojumu saturu pēc tiesas vai uzraudzības iestādes pieprasījuma. Ja atbilde ir "jā, bet mēs to nedarīsim", tas nozīmē, ka dati nav aizsargāti no pakalpojuma sniedzēja darbiniekiem un tiesībsargājošo iestāžu piekļuves.

Otrs svarīgs aspekts ir žurnālu politika. Patiesi anonīmā sistēmā security sadaļā skaidri norādīts, ka ziņošanas lapā netiek izmantoti izsekošanas sīkfaili, bet gan tiek fiksēta tikai saņemšanas datums un piešķirtais lietas numurs. Ja pārdevējs nevar viennozīmīgi atbildēt uz šiem jautājumiem, viņš, visticamāk, piedāvā standarta Saašs produktu bez īstas anonimitātes.

Datu glabāšanas vieta un juridiskā ietekme uz Latvijas organizāciju

Datu glabāšanas vieta nosaka, kuras juridiskās prasības attiecas uz jūsu organizāciju: ja dati paliek ES vai Šveicē, jums piemēro VDAR un nacionālo likumu, bet ja tie nonāk ASV vai trešajās valstīs, var tikt piemēroti sveši tiesību akti un pārsūtīšanas ierobežojumi.

Latvijas uzņēmumam tas ir praktiski svarīgi, jo VDAR 44. pants un Eiropas Komisijas lēmumi regulē datu pārsūtīšanu uz trešajām valstīm. Ja piegādātāja serveri atrodas, piemēram, ASV, uzņēmumam ir jāveic papildu novērtējums par datu aizsardzības līmeni. Daudziem uzņēmumiem tas ir lieks slogs, ko vieglāk atrisināt, sākot ar pakalpojumu, kura serveri jau atrodas ES.

Šveices hostings ir vēl viena iespēja, ko izmanto organizācijas, kuras vēlas papildu drošību. Šveice nav ES dalībvalsts, bet tai ir spēkā līdzvērtīgs datu aizsardzības režīms (nFADP) un ISO 27001 sertificēti datu centri, tāpēc eu whistleblowing directive un Šveices mitināšana bieži vien ir saderīga izvēle, ja vien jūsu līgumā ir skaidri noteikts datu glabāšanas reģions.

Termiņu automātiska uzraudzība un auditora pieņemami pierādījumi

Termiņu automātiska uzraudzība nozīmē, ka sistēma pati fiksē saņemšanas datumu, skaita 7 dienas līdz apstiprinājumam un 3 mēnešus līdz atsauksmei, kā arī brīdina atbildīgo personu, ja termiņš tuvojas beigām. Bez šīs funkcijas jūsu organizācija riskē, ka auditors konstatēs termiņu pārkāpumu pat tad, ja ziņotājs reāli saņēma atbildi.

Kādi pierādījumi jābūt pieejamiem auditā?

Audita pierādījumi ietver nemaināmu darbību žurnālu ar laika zīmogu, lietas izskatīšanas vēsturi un iespēju eksportēt visu informāciju standartā formātos (PDF, CSV). Ja piegādātājs piedāvā tikai "drukāt ekrāna attēlu" vai manuālu žurnālu, tas nesasniegs auditora slieksni.

Īpaši svarīgi, ka žurnāls ir negrozāms — pēc fakta nedrīkst būt iespējams dzēst vai mainīt ierakstus. Direktīva 2019/1937 prasa, lai ziņotāja identitāte un informācija tiktu aizsargāta, bet organizācijai pašai ir pienākums uzglabāt pierādījumus par savu rīcību. Labs piegādātājs piedāvā eksporta iespējas standartā formātos, lai auditors vai iekšējais revīzijas dienests varētu pārbaudīt lietu bez piekļuves tiešsaistes sistēmai.

Vai programmatūra atbalsta balss ziņošanu, neveidojot biometrijas risku

Balss ziņošana ir vērtīga, ja tā palielina ziņošanas pieejamību darbiniekiem, kuriem rakstīšana ir šķērslis, bet tā ir riskanta, ja sistēma automātiski apstrādā vai saglabā balss biometriju. VDAR 9. pants uzskaita biometrijas datus kā īpaši aizsargājamu kategoriju, tāpēc piegādātājam skaidri jāpaskaidro, kā notiek runas atpazīšana.

Kāpēc balss transkripcija ir drošāka par balss biometriju?

Drošā prakse ir pārvērst runu tekstā reāllaikā un pēc tam dzēst audio ierakstu, neatstājot iespēju izveidot balss nospiedumu. Šādā piegājienā sistēma nepārkāpj biometrijas aizsardzības režīmu un ziņotājs joprojām var palikt anonīms, ja netiek pieprasīta papildu identifikācija. Ja piegādātājs piedāvā voice reporting kā integrētu moduli, pievērsiet uzmanību tam, vai dokumentācijā ir skaidri norādīts, ka audio netiek glabāts pēc transkripcijas.

Šis kritērijs ir īpaši nozīmīgs Latvijas organizācijām ar daudzveidīgu darbaspēku, kur daļa darbinieku labāk izsakās mutiski vai strādā tādās vidēs, kur rakstiska ziņošana ir apgrūtināta. Balss modulis kalpo kā papildu ieejas punkts, nevis kā aizvietotājs rakstiskajam kanālam, tāpēc tas jāvērtē līdzās pārējiem kritērijiem, nevis atsevišķi.

Daudzvalodu atbalsts un darbinieku iesaistes prakse

Daudzvalodu atbalsts — līdz 16 valodām nodrošina, ka arī darbinieki, kuriem latviešu vai angļu valoda nav dzimtā, patiešām izmanto ziņošanas kanālu, nevis tikai formāli paraksta, ka ir informēti par tā esamību. Latvijā daudzās nozarēs — ražošanā, loģistikā, būvniecībā — strādā ievērojams īpatsvars darbinieku no citām valstīm, un viņu iesaiste ir juridisks pienākums.

Praktiski tas nozīmē trīs lietas. Pirmkārt, ziņošanas lapai un apstiprinājuma ziņojumiem jābūt pieejamiem darbinieka izvēlētajā valodā. Otrkārt, administratora interfeisam jāatbalsta vismaz tās pašas valodas, lai atbildīgais darbinieks varētu strādāt komfortabli. Treškārt, dokumentācija un apmācības materiāli jāsniedz tā, lai darbinieki saprast ne tikai kanāla esamību, bet arī anonimitātes garantijas un aizsardzības mehānismus.

Salīdzinot piedāvājumu plānus, pārbaudiet, vai daudzvalodu atbalsts ir iekļauts pamatplānā. Bieži vien lētākie piedāvājumi aprobežojas ar vienu vai divām valodām, kas praksē samazina kanāla efektivitāti. Detalizētu plāna struktūru var pārskatīt arī pricing lapā, kur redzams, kuras funkcijas ietilpst pamata komplektā un par kurām jāmaksā atsevišķi.

Kopsavilkums: lēmumu matrica un pirmie soļi

Lēmumu matrica ļauj objektīvi salīdzināt vairākus piegādātājus, piešķirot svaru katram no septiņiem kritērijiem atbilstoši jūsu organizācijas riskam un nozarei. Ieteicams izveidot vienkāršu tabulu, kur katrs kritērijs tiek vērtēts skalā no 1 līdz 5, un svara koeficients atspoguļo jūsu organizācijas galvenos riskus.

Pirmie soļi, ko iesaku veikt, ir šādi:

  1. Definējiet savas galvenās prasības — anonimitātes līmenis, datu glabāšanas reģions, valodu saraksts.
  2. Saņemiet no katra piegādātāja rakstisku atbildi par nulles piekļuves arhitektūru un žurnālu politiku.
  3. Pārbaudiet, vai sistēma automātiski fiksē 7 dienu un 3 mēnešu termiņus.
  4. Pieprasiet demonstrāciju, kā auditors saņem pierādījumu eksportu.
  5. Izvērtējiet balss ziņošanas moduli pēc biometrijas riska kritērijiem.
  6. Salīdziniet plānus, ņemot vērā visu organizācijas darbinieku vajadzības un valodu prasmes.

Biežāk uzdotie jautājumi

Kādiem uzņēmumiem Latvijā ir obligāti jāievieš ziņošanas kanāls?

Visām juridiskajām personām valsts un privātajā sektorā ar 50 un vairāk darbiniekiem, kā arī visām organizācijām neatkarīgi no lieluma noteiktās nozarēs (piemēram, finanšu pakalpojumi, veselības aprūpe), ir pienākums izveidot iekšējo ziņošanas kanālu saskaņā ar ES Direktīvu 2019/1937 un Latvijas Trauksmes celšanas likumu. Mazāki uzņēmumi var izveidot kanālu brīvprātīgi, bet tad arī gūst labumu no paaugstinātas uzticamības.

Kāda ir atšķirība starp anonīmu un konfidenciālu ziņošanu?

Anonīmā ziņošanā ziņotāja identitāte nav zināma pat organizācijai — sistēma to tehniski nevar atklāt, jo dati ir šifrēti pirms nonākšanas serverī. Konfidenciālā ziņošanā identitāte ir zināma organizācijai, bet tiek apņemta juridiska saistība to neizpaust. Latvijas likumdošana aizsargā abus variantus, bet anonimitāte nodrošina augstāku uzticēšanās līmeni un zemāku atriebības risku.

Vai Šveices hostings ir saderīgs ar Latvijas un ES prasībām?

Šveicei ir Eiropas Komisijas atzīts līdzvērtīgs datu aizsardzības režīms, tāpēc Šveicē hosted dati var tikt uzskatīti par atbilstošiem ES tiesību aktiem, ja vien jūsu līgumā ir skaidri noteikts glabāšanas reģions un datu apstrādes nosacījumi. ISO 27001 sertifikācija Šveices datu centros papildus nodrošina augstu drošības līmeni, kas ir svarīgi sensitīviem ziņojumiem.

Cik ilgi drīkst glabāt ziņotāja datus?

Saskaņā ar VDAR un direktīvu 2019/1937, ziņotāja personas datus drīkst glabāt tikai tik ilgi, cik nepieciešams konkrētā ziņojuma izskatīšanai un turpmākai aizsardzībai. Parasti tas nozīmē lietas slēgšanas brīdi, bet, ja ir iespējama tiesvedība vai revīzija, glabāšanas termiņš var tikt pamatots ar šo vajadzību. Pēc termiņa beigām dati ir jādzēš vai jāanonimizē.

Kā pārbaudīt, vai piegādātājs tiešām nodrošina audita pierādījumus?

Piegādātājam jāspēj uzrādīt eksporta piemēru standartā formātā (piemēram, PDF vai CSV), kurā redzams saņemšanas laika zīmogs, lietas gaita, termiņu izpilde un visi lietotāja darbību ieraksti. Ja eksports ir tikai ekrāna attēls vai PDF bez laika zīmogiem, tas nesasniegs auditora cerēto pierādījumu līmeni. Vēlams arī pārliecināties, ka žurnāls ir nemainīgs un to nevar pēc fakta labot.

Avoti