Ashio whistleblowing software

Nov 3, 2026

Roční zpráva o whistleblowingu: jak sestavit report pro vedení a auditory

Roční zpráva o whistleblowingu: jak sestavit report pro vedení a auditory

Auditor nechce výpis z case managementu — chce příběh. Roční zpráva whistleblowing kanál vzor proto musí spojit agregovaná data s interpretací, aby představenstvo pochopilo, co se ve firmě skutečně děje, jaké rizikové oblasti přetrvávají a zda organizace své oznamovací mechanismy skutečně funguje.

Dobrá zpráva zároveň odpovídá na otázku, zda lze doložit dodržování lhůt a průběžné zpracování oznámení. Auditor tak získá přehled bez nutnosti obdržet identitu oznamovatelů nebo přístup k citlivým detailům jednotlivých spisů.

Níže je kompletní, kopírovatelná šablona vhodná pro compliance manažera, personální oddělení i členy představenstva.

Obsah

Klíčové poznatky

  • Roční zpráva o whistleblowingu má obsahovat nejen počty oznámení, ale také lhůty, typy rizik, stav jednotlivých případů a vysvětlení trendů.
  • Pro každý případ je vhodné uvést anonymizovanou stopu: přijetí, potvrzení, průběžnou komunikaci, závěr a dokumentaci opatření.
  • Směrnice (EU) 2019/1937 stanoví základní lhůty sedmi dnů pro potvrzení přijetí oznámení a tří měsíců pro poskytnutí zpětné vazby oznamovateli.
  • Report pro vedení má oddělovat signály od interpretací a od doporučení; surové výpisy patří do přílohy s omezeným přístupem.
  • Auditní stopu je vhodné sestavit tak, aby auditor ověřil proces, aniž by získal přístup k identitě oznamovatele.

Proč nestačí poslat auditorům jen výpis z case managementu

Výpis z case managementu dokazuje, že případy existují, ale neukazuje, zda organizace oznámení přijala včas, vyřídila spravedlivě, zabránila odvetě a přijala účinná nápravná opatření. Pro roční compliance report je proto nutné převést administrativní záznamy do souvislého příběhu procesu od podání do uzavření.

Přístup auditora se obvykle liší od přístupu vedení. Vedení potřebuje informaci o tom, kde se v organizaci hromadí riziko a které zákony či interní zásady vyžadují zásah. Auditor naopak potřebuje ověřit nastavený proces, průběh případu, dodržení lhůt a existenci doložitelné opatření.

Proto by report neměl být pouze automatickým exportem seznamu případů. Musí vysvětlit význam čísel, vymezit jejich omezení a oddělit:

  • Fakta: počet oznámení, typy rizik, dokončené a neuzavřené případy, dosažené lhůty.
  • Interpretace: vývoj v čase, souvislosti mezi tematickou oblastí a místem či jednotkou, opakující se vzorce.
  • Opatření: změny procesu, školení, interní kontroly, systémové nebo disciplinární kroky.
  • Omezení: počty pod prahem vypovídající hodnoty, případy mimo hlavní součásti nebo případy stále v běžném procesu.

Pro českou organizaci je vhodné přizpůsobit zprávu požadavkům zákona č. 171/2023 Sb., o ochraně oznamovatelů. Jeho vzorový vnitřní předpis Ministerstva spravedlnosti ukazuje, že role příslušné osoby, způsob přijímání oznámení a její další činnost mají být jasně vymezené už na úrovni interních pravidel.

Struktura roční compliance zprávy krok za krokem

Struktura roční compliance zprávy krok za krokem Dobrá roční zpráva o whistleblowingu má pevnou strukturu, která umožňuje porovnat období, zjistit slabiny a připravit akční plán. Níže uvedený dokument lze použít jako základ ročního reportu pro vedení, dozorčí radu i auditní tým.

1. Identifikace zprávy

  • Název dokumentu: Roční zpráva o činnosti oznamovacího kanálu za období [MM/YYYY–MM/YYYY]
  • Zpracovala: [Jméno a přijmení / funkce příslušné osoby / oddělení]
  • Schválil: [Jméno a přijmení / funkce člena vedení]
  • Datum zpracování: [DD.MM.YYYY]
  • Období: [1.1.YYYY–31.12.YYYY]
  • Účel zprávy: [informace představenstva / dozorčí radě / interní audit / výroční zpráva příslušné osoby]
  • Zpracované období a způsob agregace: [uvést, zda jde o kalendářní rok, fiskální rok nebo jiné období, způsob přiřazování případů a případné vyloučené záznamy]

2. Profil organizace a oznamovacího kanálu

  • Název a sídlo organizace: [název organizace]
  • Počet zaměstnanců: [počet]
  • Počet pracovišť nebo obchodních jednotek: [počet a základní členění]
  • Odpovědná osoba: [funkce, jméno a přijmení]
  • Způsob zajištění kanálu: [interní / externí / kombinovaný způsob]
  • Kanály pro příjem oznámení: [online formulář / telefon / osobní podání / pošta / jiné]
  • Způsob informování zaměstnanců: [interní sdělení / intranet / školení / e-mail / jiné]
  • Zásady důvěrnosti a ochrany oznamovatele: [krátké shrnutí, bez identifikace osob]
  • Relevantní vnitřní předpisy: [název a číslo dokumentu nebo [odkaz na dokument]]
  • Změny oproti předchozímu období: [zavedení nového nástroje, změna postupu, nové způsoby příjmu oznámení, organizační změny]

3. Shrnutí pro vedení

  • Počet přijatých oznámení: [počet]
  • Počet oznámení uzavřených ke konci období: [počet]
  • Počet oznámení stále v řízení: [počet]
  • Průměrná doba potvrzení přijetí: [počet dnů]
  • Podíl oznámení potvrzených do sedmi dnů: [%]
  • Průměrná doba poskytnutí zpětné vazby: [počet dnů nebo měsíců]
  • Podíl případů s uzavřenou zpětnou vazbou do tří měsíců: [%]
  • Počet případů s opatřením: [počet a základní typy opatření]
  • Hlavní zjištění: [2–5 výroků, vysvětlení trendu a nejvýznamnějšího rizika]
  • Doporučení pro další období: [3–5 konkrétních opatření s vlastníkem a termínem]

4. Objem a stav oznámení

  • Celkový počet oznámení: [počet]
  • Počet oznámení otevřených na začátku období: [počet]
  • Počet nově přijatých oznámení: [počet]
  • Počet uzavřených oznámení: [počet]
  • Počet oznámení stále otevřených na konci období: [počet]
  • Počet oznámení předaných orgánu či jinému příslušnému subjektu: [počet; uvést pouze skutečný právní stav]
  • Průměrný počet oznámení na 100 zaměstnanců: [hodnota a způsob výpočtu]
  • Změna oproti předchozímu období: [absolutní a procentní změna]
  • Významná meziroční odchylka: [její příčina, je-li doložitelná]
  • Omezení interpretace: [například změna vah, onboarding, způsob sběru dat nebo jiný srovnatelný vliv]

5. Struktura oznámení podle tématu

  • Oblast: [například finanční kontrola, personální praktiky, konflikt zájmů, bezpečnost, ochrana osobních údajů, dodavatelé]
  • Počet oznámení: [počet]
  • Podíl z celkového počtu: [%]
  • Počet uzavřených případů: [počet]
  • Prostřední stav závažnosti: [nízká / střední / vysoká]
  • Hlavní zjištění: [stručný souhrn]
  • Případná opatření: [konkrétní kroky]

6. Prostředí a organizační jednotky

  • Obchodní jednotka nebo pracoviště: [anonymizovaný název]
  • Počet oznámení: [počet]
  • Tematické oblasti: [seznam]
  • Stav případů: [uzavřeno / v řízení]
  • Porovnání s organizací jako celkem: [nadprůměr / srovnatelný / podprůměr; uvést základ porovnání]
  • Doporučení: [místně zaměřené opatření]

7. Lhůty a zpracování případů

  • Potvrzení přijetí do sedmi dnů: [počet splněných / počet posuzovaných; %]
  • Median doby potvrzení: [počet dnů]
  • Nejdelší doba potvrzení: [počet dnů a anonymizované vysvětlení odchylky]
  • Zpětná vazba do tří měsíců: [počet splněných / počet posuzovaných; %]
  • Případy s prodlouženou lhůtou: [počet a důvod]
  • Oznámení čekající na informace třetích stran: [počet]
  • Oznámení čekající na doplnění od oznamovatele: [počet]
  • Vysvětlení odchylek: [postup přidělení odpovědnosti a termín nápravy]

8. Výsledky a nápravná opatření

  • Uzavřená oznámení: [počet]
  • Potvrzené porušení: [počet]
  • Neobjasněná hlášení: [počet]
  • Doporučení bez potvrzeného porušení: [počet]
  • Zahájená disciplinární řízení: [počet]
  • Ukončená disciplinární řízení: [počet]
  • Změny procesů nebo interních kontrol: [počet a popis]
  • Opatření v oblasti IT, financí, HR, nákupů či bezpečnosti: [anonymizovaný přehled]
  • Opatření realizovaná po uzavření případu: [počet]
  • Účinnost opatření: [jak byla ověřena a kdy]

9. Ochrana oznamovatelů a důvěrnost

  • Počet oznámení s potenciálním rizikem odvety: [počet]
  • Uplatněná preventivní opatření: [anonymizovaný přehled]
  • Počet podezření na odvetu: [počet]
  • Počet prokázaných případů odvety: [počet]
  • Opatření přijatá po podezření na odvetu: [popis bez identifikace osob]
  • Incidenty týkající se přístupu k údajům: [počet a přehled následných kroků]
  • Přístup k identifikačním údajům: [kdo, proč a na základě jakého oprávnění]
  • Incidenty týkající se úniku informací: [počet; uvést jen podrobnosti potřebné k pochopení rizika]

10. Efektivita kanálu a zkušenosti oznamovatelů

  • Způsob zjištění existence kanálu: [interní komunikace / školení / intranet / jiný zdroj]
  • Počet oznámení s potvrzenou znalostí kanálu před podáním: [počet nebo označit jako nezjištěno]
  • Počet oznámení podaných telefonicky nebo osobně: [počet]
  • Počet oznámení podaných písemně online: [počet]
  • Průměrná hodnota zpětné vazby: [škály 1–5 a počet odpovědí]
  • Hlavní kladné zjištění: [výrok podložený údaji]
  • Hlavní překážky: [výrok podložený údaji]
  • Navržené zlepšení informovanosti: [konkrétní opatření]

11. Akční plán

  • Opatření: [co se změní]
  • Důvod: [navázaný údaj nebo zjištění]
  • Vlastník: [funkce nebo tým]
  • Termín: [DD.MM.YYYY]
  • Způsob ověření účinnosti: [měřitelný ukazatel]
  • Riziko při neprovedení: [krátká formulace]

12. Závěr a podpis

  • Celkové hodnocení: [3–5 vět o funkčnosti kanálu, hlavních rizicích a prioritách]
  • Závěrečné prohlášení o anonymizaci a úplnosti: [potvrzení, že report neobsahuje přímé ani nepřímé údaje umožňující identifikaci oznamovatele]
  • Jméno a funkce zpracovatele: [jméno, funkce]
  • Podpis: [podpis]
  • Datum: [DD.MM.YYYY]

Co jednotlivé části znamenají

Identifikace zprávy zajišťuje, že dokument lze jednoznačně přiřadit k období, odpovědným osobám a účelu. Pokud se účel změní, je vhodné vytvořit novou verzi, nikoli jen přepsat původní.

Profil organizace a kanálu poskytuje auditní kontext. Bez informace o velikosti organizace, způsobu zajištění kanálu a změnách procesu jsou meziroční čísla obtížně srovnatelná.

Shrnutí pro vedení je výkonný přehled. Měl by obsahovat výsledek, hlavní riziko a rozhodnutí, které vedení potřebuje přijmout, nikoli jen tabulku případů.

Objem a stav oznámení zobrazují kapacitu procesu. Je důležité rozlišovat nové případy, uzavřené případy a práci přenesenou z předchozího období.

Tematická struktura odpovídá na otázku, kde se problémy opakují. Tři oznámení ve stejné oblasti mohou představovat samostatné události, ale současně ukazují oblast vhodnou pro preventivní kontrolu.

Organizační jednotky umožňují srovnání bez nevhodného zveřejňování detailů. Jednotka s jedním oznámením nemusí být problematičtější než jednotka s deseti případy; rozhoduje jejich závažnost a opakovatelnost.

Lhůty a zpracování případů jsou zásadní součástí auditní stopy. Směrnice (EU) 2019/1937 stanoví potvrzení přijetí do sedmi dnů a zpětnou vazbu do tří měsíců. Pokud lhůta uplynula kvůli zřejmě neodůvodněnému zpoždění, je nutné tuto skutečnost uvést, vysvětlit a přijmout nápravný krok.

Výsledky a opatření přeměňují administrativní záznamy na důkaz funkčnosti procesu. Uzavřený případ bez zaznamenaného výsledku nebo opatření je jen administrativní stav, nikoli jednoznačný důkaz nápravy.

Ochrana oznamovatelů a důvěrnost ukazuje, že organizace nejen přijímá oznámení, ale také řídí riziko odvety a omezuje přístup k citlivým údajům. Do roční zprávy patří pouze agregované údaje a opatření, která lze bezpečně popsat.

Efektivita kanálu dává představenstvu pohled na použitelnost procesu. Samotný počet oznámení totiž neříká, zda lidé kanál znají, zda preferují jiný způsob podání nebo zda dostávají dostatečnou zpětnou vazbu.

Akční plán mění zprávu v nástroj řízení. Každé opatření musí mít vlastníka, termín a měřitelný způsob ověření. Bez těchto atributů se akční plán snadno změní v obecné přání.

Závěr a podpis potvrzují vlastnictví dokumentu a jeho připravenost k předání. Prohlášení o anonymizaci je zásadní zejména tehdy, když je zpráva předávána širšímu okruhu osob.

KPI, které dávají smysl: počty případů, lhůty, typy rizik

KPI whistleblowing kanálu mají ukazovat výkonnost a kvalitu procesu, nikoli pouze jeho administrativní objem. Nejsmysluplnější ukazatele proto dělí do čtyř skupin: množství oznámení, dodržování lhůt, profil rizik a reakce organizace.

Jaké čtyři skupiny ukazatelů sledovat?

1. Objem oznámení

Základními metrikami jsou počet nově přijatých oznámení, počet uzavřených případů a počet případů přenesených do dalšího období. Samotný počet ale není hodnocením kvality. Nulové oznámení může znamenat čisté prostředí, ale stejně tak neobjevené riziko nebo špatně dostupný kanál.

2. Dodržování lhůt

Sem patří podíl potvrzení přijetí do sedmi dnů, podíl zpětné vazby do tří měsíců a počet případů s odůvodněným prodloužením. Pro rok 2026 je vhodné uvádět čas od odeslání oznámení do potvrzení, pokud je tento údaj skutečně dostupný.

3. Profil rizik

Užitečné je rozčlenění podle tématu, závažnosti, organizační jednotky a způsobu podání. Významná je zejména koncentrace: pokud se několik oznámení týká stejného procesu, může jít o jednotlivou událost nebo o systematickou slabotu.

4. Reakce organizace

Důležité jsou počty potvrzených porušení, přijatých opatření, případů předaných dalším orgánům a případů podezření na odvetu. Tyto ukazatele propojují hlášení s řízením rizik.

Které KPI nepublikovat bez dalšího členění?

Malé počty je nutné před publication nebo před předáním vedení contextualizovat. U hodnot 1, 2 nebo 3 může jediný případ výrazně změnit procentní podíl. Patří mezi ně zejména:

  • podíl oznámení uzavřených do tří měsíců;
  • podíl případů s přijatým opatřením;
  • podíl oznámení v jedné tematické oblasti;
  • podíl případů předaných jinému orgánu;
  • podíl oznámení v jedné organizační jednotce.

Takové hodnoty je vhodné doplnit o absolutní počet, délku sledovaného období a změnu procesních podmínek. Pokud došlo během roku k novému internímu formuláři, změně způsobu školení nebo rozšíření kanálu, je to významná souvislost, kterou samotné procento neukáže.

Jak sestavit jednoduchou interpretaci KPI?

Pro každý ukazatel lze použít čtyři kroky:

  1. Hodnota: Co se za období změnilo?
  2. Kontext: Jaké podmínky ovlivnily výsledek?
  3. Význam: Co z toho pro organizaci plyne?
  4. Akce: Co je potřeba udělat a kdo je vlastníkem?

Pět případů zůstalo v řízení kvůli čekání na dokumentaci od třetích stran; dva z nich již po uzávěrce období byly doplněny. Pro další období je nutné určit náhradní termín kontaktu s oznamovatelem.“

Takové spojení čísla, příčiny a následku je pro vedení užitečnější než samostatná tabulka.

Jak převést surová data z Ashio do srozumitelného reportu

Whistleblowing data reporting vyžaduje tři kontrolované kroky: výběr období, agregaci a anonymizaci. Report pro vedení ani auditora by neměl obsahovat přímé identifikátory a nebylo by vhodné zveřejňovat detailní popisy závažných případů bez právního a bezpečnostního posouzení.

Jaké údaje lze použít jako základ reportu?

Pro roční zprávu se obvykle hodí:

  • počet přijatých oznámení;
  • datum nebo měsíc přijetí;
  • stav případu;
  • typ nebo tematická oblast;
  • případná závažnost;
  • čas potvrzení přijetí;
  • čas poskytnutí zpětné vazby;
  • počet následných opatření;
  • informace o předání případu jinému orgánu;
  • anonymizovaný důvod neuzavření nebo prodloužení lhůty.

Podrobné údaje o jménech, funkci, pracovišti, identitě oznamovatele, konkrétní transakci nebo okolnostech, podle kterých lze osobu poznat, do širší zprávy nepatří.

Jak vytvořit auditovatelnou datovou přilohu?

1. Definovat datové období

Uveďte přesné datum a časové rozmezí. Roční výkaznost se obvykle počítá za kalendářní rok, ale organizace může používat fiskální rok. Při změně období je nutné ji vyznačit.

2. Vytvořit řídicí tabulku

Doporučené sloupce:

  • anonymizované ID případu;
  • měsíc odeslání;
  • tematická oblast;
  • závažnost;
  • stav;
  • datum potvrzení;
  • potvrzení do sedmi dnů;
  • datum zpětné vazby;
  • zpětná vazba do tří měsíců;
  • typ opatření;
  • důvod otevření či prodloužení.

3. Oddělit provozní detail od souhrnu

Pracovní tabulka může obsahovat jednotlivé případy, výsledná zpráva by měla obsahovat agregáty. Identifikační údaje zůstávají v přístupném pracovním prostoru s omezeným přístupem.

4. Provést kontrolní součty

Ověřte, že počet nových, uzavřených a otevřených případů odpovídá zadanému období. Zkontrolujte také, zda se žádný případ nezapočítal dvakrát.

5. Odstranit přímé a nepřímé identifikátory

Odstraňte jména, e-mailové adresy, přesné časové údaje, kombinace vzácných okolností a detailní lokalitu, pokud by z ní osoba mohla být identifikována.

Jak připravit samotný dokument?

Praktický postup pro výkonného compliance manažera:

  1. Vytvořte pracovní soubor s výše uvedenými sloupci.
  2. Vypočítejte základní součty a procentní podíly.
  3. Rozdělte případy podle tématu, stavu, závažnosti a jednotky.
  4. Zkontrolujte případy s prodlouženou lhůtou.
  5. Sepište interpretaci: změna, možná příčina, význam a doporučení.
  6. Sestavte anonymizovanou přílohu pro auditní stopu.
  7. Proveďte revizi osobních údajů a právního oddělení.
  8. Zapište datum schválení a verzi dokumentu.

Každý exportovaný údaj musí mít vysvětlenou definici. Například „uzavřený případ“ může v různých systémech znamenat různé věci: potvrzení skutečnosti, zamítnutí, předání jinému orgánu nebo uzavření bez nápravy. Bez jednotného výkladu by byly KPI jen formální.

Jaké informace může zpráva převzít z Ashio?

Ashio eviduje stav a vlastníka případu, poznámky a sledování lhůt sedmi dnů na potvrzení a tří měsíců na zpětnou vazbu. Tyto údaje tvoří vhodný základ pro provozní kontrolu, ze které lze sestavit agregovanou roční zprávu. Tyto údaje tvoří vhodný základ pro provozní kontrolu, ze které lze sestavit agregovanou roční zprávu.

Při výstupu je stále nutné oddělit provozní evidenci od závěrečné interpretace. Dokumentace a podrobnosti zpracování jsou dostupné prostřednictvím znalostní báze Ashio. Organizace, které report dosud vede ručně, mohou porovnat rozsah evidence s postupem pro compliance manažery.

Interpretace trendů pro představenstvo a dozorčí radu

Interpretace trendů pro představenstvo má převést statistiku na podporované rozhodnutí. Vedení potřebuje vědět, zda se zvyšuje počet oznámení, zda se zhoršují lhůty, zda se opakují stejné typy rizik a zda přijatá opatření fungují.

Které čtyři trendy vyžadují samostatnou pozornost?

1. Změna celkového objemu

Porovnejte počet oznámení se stejným obdobím předchozího roku a s průměrem za několik předchozích let. Samotný nárůst není důkazem zhoršení prostředí. Může souviset s lepší informovaností, novým způsobem podání nebo změnou vedení.

2. Změna tematického profilu

Sledujte přesuny mezi tématy. Pokles počtu oznámení v jedné oblasti a nárůst v jiné může ukazovat nové riziko, výraznější reporting v jiné části organizace nebo změnu způsobu klasifikace.

3. Změna procesních ukazatelů

Rozhodující je, zda se zlepšuje dodržování lhůt, zkracuje se doba uzavření a roste podíl případů s přijatým opatřením. Sledujte také případy přenesené do dalšího období, protože mohou vytvářet zbytečnou zátěž.

4. Změna dopadů a následných opatření

Srovnejte počet potvrzených porušení, závažných případů a přijatých preventivních opatření. To pomáhá odlišit reporting od skutečného posunu v řízení rizik.

Jak sestavit interpretaci pro představenstvo?

Každé zjištění doporučte zapsat ve struktuře:

  • Fakt: Co se změnilo?
  • Interpretace: Jaký význam to má pro organizaci?
  • Omezení: Co nelze z údajů spolehlivě vyvozovat?
  • Opatření: Co se má udělat?
  • Vlastník a termín: Kdo a do kdy?

Příklad: „Počet oznámení vzrostl o 18 % oproti předchozímu roku. Výsledek podporuje závěr, že se zlepšila informovanost zaměstnanců, protože současně narostl počet oznámení podaných písemně a klesl podíl telefonických podání. Nárůst však nelze připisovat samotné změně složení oznámení; přesné rozdělení podle jednotek ani organizační změny nebyly součástí analyzovaného období.“

Jak připravit report pro dozorčí radu?

Dozorčí radě obvykle nestačí detailní přehled všech případů. Potřebuje:

  • přehled hlavních rizik a jejich trendů;
  • stav procesu a plnění lhůt;
  • významná opatření a jejich účinnost;
  • případy nebo témata vyžadující zvýšenou pozornost;
  • přesné vymezení limitů anonymizovaných dat.

Případy, které by v neanonymizované podobě umožňovaly identifikaci osob, se do zprávy pro dozorčí radu přenášejí pouze tehdy, pokud je to odůvodněné a schválené podle vnitřních pravidel. Vhodnější je agregovaný popis, případně anonymizovaná kazuistika bez identifikačních detailů.

Kdy je třeba sestavit zvláštní doplněk?

Roční zpráva není jediným možným výstupem. Zvláštní souhrn je vhodný, pokud dojde k:

  • závažnému potvrzenému porušení;
  • podezření na odvetu vůči oznamovateli;
  • incidentu týkajícímu se důvěrnosti oznámení;
  • opakovanému selhání lhůt;
  • novému systémovému riziku;
  • významnému nárůstu oznámení v jedné oblasti;
  • změně procesu, která znemožňuje srovnatelnost KPI.

Takový doplněk musí být odlišen od ročního agregátu, aby se jeho závažnost neztratila v průměrných číslech.

Jak připravit auditní stopu pro whistleblowing audit?

Whistleblowing audit příprava začíná kontrolou procesu před kontrolou jednotlivých výsledků. Připravte si přehled odpovědností, interní předpisy, informování zaměstnanců, způsob evidence, kontrolu lhůt a pravidla přístupu k údajům.

U každé lhůty uveďte, odkud se počítá, kdy se zastaví a kdo odpovídá za její dodržení. U případu s prodloužením zaznamenejte důvod a schválení. Případně přiložte výběr chronologicky uspořádaných záznamů, vždy bez identifikace oznamovatele.

Důležitá je také shoda mezi ročním reportem a operativní evidencí. Roční dokument má být sestaven z uzavřeného souboru údajů s vyznačenou verzí, nikoli z ručně přepisovaných čísel. Kontrola by měla umožnit vysvětlit každý agregát až na úroveň dokumentace případu bez nutnosti zveřejňovat osobní údaje.

Výklad evropského požadavku na vnitřní oznamovací kanál pomáhá při mapování jednotlivých procesních bodů. Užitečný je přehled směrnice EU o oznamovatelích.

Interpretace trendů pro představenstvo a dozorčí radu

Interpretace trendů pro představenstvo a dozorčí radu musí vycházet z ověřených dat, jednoznačných definic KPI a explicitního oddělení faktu od úsudku. Bez těchto náležitostí se snadno stane, že roční zpráva bude působit komplexně, ale neumožní přijmout odpovědná rozhodnutí.

Jak předejít třem nejčastějším chybám?

1. Směšování aktivit a výsledků

Přijetí oznámení je aktivita, jeho potvrzení je událost, uzavření je stav a provedené opatření je výsledek. Tyto čtyři kategorie mají v reportu samostatné sloupce a jasné definice.

2. Vysvětlování růstu pouze pomocí zvýšené důvěry

Vyšší počet oznámení může znamenat lepší důvěru, ale může být způsoben také novou kampaní, seznamem oznámení na intranetu nebo změnou vnějšího prostředí. Závěr musí vycházet z dalších ukazatelů.

3. Předpokládání, že uzavření znamená vyřešení

Případ může být uzavřen bez potvrzeného porušení, po předání příslušnému orgánu nebo s dohodnutým nápravným krokem. Uzavření bez vysvětlení výsledku je neúplné a při auditu obtížně obhajitelné.

Jaké rozhodnutí má report podpořit?

Kvalitní roční zpráva umožňuje rozhodnout:

  • zda je nutné posílit školení nebo komunikaci kanálu;
  • zda určitá procesní oblast vyžaduje preventivní kontrolu;
  • zda změnit způsob evidence a klasifikace;
  • zda posílit kapacitu řešení případů;
  • zda přijmout opatření v konkrétní organizační jednotce;
  • zda ověřit účinnost dříve přijatých nápravných opatření;
  • zda je proces připraven na další externí audit.

Tyto otázky jsou konkrétnější než obecné hodnocení typu „kanál funguje“ nebo „situace se zlepšuje“. Vedení tak dostane informaci, kterou může přeměnit do rozpočtu, změny postupu nebo odpovědnosti konkrétní osoby.

Jak v reportu zachovat důvěrnost a analytickou užitečnost?

Důvěrnost se zachovává kombinací agregace, odstranění přímých identifikátorů a pečlivého posouzení nepřímých identifikátorů. Přitom není nutné odstraňovat veškeré informace o procesu. Podstatné jsou:

  • případná závažnost;
  • typ rizika;
  • skutečný výsledek;
  • opatření;
  • překážka v řízení;
  • vysvětlení trendu.

Kde existuje riziko identifikace, je vhodné použít širší označení jednotky, časové rozmezí nebo kombinaci charakteristik. Podrobný popis jednotlivého incidentu patří do důvěrné pracovní dokumentace, nikoli do ročního reportu určeného širšímu vedení.

Kdy je vhodné report doplnit schváleným komentářem?

Doporučení je vhodné oddělit od faktického popisu a připojit pouze tehdy, pokud vedení skutečně potvrzuje vlastnictví kroku a termín. Formulace typu „je vhodné posílit školení“ je slabší než „odbor compliance zajistí do [datum] aktualizaci komunikace kanálu a předloží měření informovanosti na [datum]“.

Představenstvo tak dostává rozhodnutí s odpovědností a lze je zahrnout do následného sledování. Ne každý závěr z reportu musí okamžitě vést k zásahu; některé hodnoty slouží jako výchozí stav pro další období.

Často kladené otázky o reportingu pro auditory

Jaké informace musí roční zpráva o whistleblowingu obsahovat?

Roční zpráva by měla obsahovat přehled oznámení, stav případů, dodržování lhůt, tematické členění, výsledky šetření, přijatá opatření a použitou metodiku agregace. Auditorovi pomáhá také vysvětlení změn procesu a limitů srovnání s předchozím obdobím.

Jaké lhůty patří do reportu?

Základními lhůtami jsou sedm dnů pro potvrzení přijetí oznámení a tři měsíce pro zpětnou vazbu oznamovateli podle směrnice (EU) 2019/1937. V reportu je vhodné uvést počet a podíl dodržení obou lhůt, včetně odůvodněných prodloužení a případů přenesených do dalšího období.

Může auditní zpráva obsahovat identitu oznamovatelů?

Širší roční zpráva by identitu oznamovatele obsahovat neměla. Pracovní podklady a důkazní dokumentace musejí být odděleny od souhrnu pro vedení a zajištěny proti neoprávněnému přístupu; v reportu se používají agregované údaje a anonymizované případy.

Jak porovnávat dva roky, pokud se změnil proces?

Změnu je nutné uvést před porovnáním. V reportu patří informace o novém formuláři, způsobu podání, rozsahu zaměstnanců, personálním obsazení nebo způsobu klasifikace případů. Bez tohoto kontextu může procentní změna vytvářet dojem trendu, který ve skutečnosti vznikl ze změny metodiky.

Je lepší auditorovi předat seznam všech případů, nebo roční souhrn?

Auditor potřebuje obojí, ale na různých úrovních detailu. Roční souhrn poskytuje trendy a hodnocení procesu, zatímco omezený výběr případové dokumentace umožňuje ověřit postup, lhůty a výsledky bez zbytečného zveřejňování všech osobních údajů.

Časté dotazy

Co je roční zpráva o whistleblowingu?

Roční zpráva o whistleblowingu je agregovaný dokument o činnosti oznamovacího kanálu za zvolené období. Zahrnuje objem oznámení, průběh a výsledky případů, dodržování lhůt, tematické trendy, přijatá opatření a doporučení pro další období.

Jaké KPI se používají pro reporting whistleblowingu?

Nejčastějšími KPI jsou počet nových, uzavřených a otevřených případů, podíl dodržení sedmidenní potvrzovací a tříměsíční zpětné vazby, rozdělení podle typu rizik a závažnosti i počet přijatých opatření. Každý ukazatel má mít definici výpočtu a srovnatelné období.

Může roční report obsahovat podrobnosti jednotlivých případů?

Pro širší vedení je vhodnější agregovaný přehled a anonymizované kazuistiky. Podrobná dokumentace případu může být auditorovi k dispozici samostatně v chráněném prostoru, pokud je nezbytná k ověření procesu a neodporuje zásadám důvěrnosti.

Jak často se roční zpráva aktualizuje?

Základní zpráva se obvykle sestavuje za kalendářní nebo fiskální rok. Průběžný interní monitoring je přesto nezbytný, zejména při závažném případu, podezření na odvetu, incidentu ochrany údajů nebo významném prodloužení lhůt.

Co dělat, pokud se meziročně výrazně změní počet oznámení?

Nejprve je nutné ověřit správnost údajů a definic, poté porovnat změny v procesu, komunikaci a personálním obsazení. Následně je vhodné rozložit výsledek podle tématu a jednotek, ale bez vytváření nepodložené kauzality.

Zdroje