Ashio whistleblowing software

Oct 6, 2026

Trauksmes celšanas kanāla audits: kā pārbaudīt atbilstību un dokumentēt rezultātus

Trauksmes celšanas kanāla audits: kā pārbaudīt atbilstību un dokumentēt rezultātus

Vai jūsu iekšējais ziņošanas kanāls patiešām atbilst direktīvas prasībām — un vai jūs to spējat apliecināt ar dokumentiem? Uz šo jautājumu atbild trauksmes celšanas kanāla audits: strukturēta, dokumentēta pārbaude, kas apliecina kanāla atbilstību ES Trauksmes celšanas direktīvai 2019/1937 un Latvijas Trauksmes celšanas likumam. Atšķirībā no vispārēja atbilstības audita šī pārbaude koncentrējas uz vienu konkrētu sistēmu — ziņojumu pieņemšanas kanālu, tā tehnisko arhitektūru, termiņu ievērošanu un ziņotāju aizsardzības mehānismiem. Šis raksts piedāvā soli pa solim pieeju, ko atbilstības speciālists 80–120 darbinieku uzņēmumā var veikt pats, gatavojoties gada atbilstības pārskatam vai ārējam revidentam. Sāciet ar reģistrēšanos, lai iepazītos ar kanāla pārvaldības iespējām.

Saturs

Galvenās atziņas

  • Auditu vērts veikt vismaz reizi gadā, bet obligāti — pirms ikgadējā atbilstības pārskata iesniegšanas un pēc jebkurām būtiskām izmaiņām kanāla tehniskajā vai organizatoriskajā uzbūvē.
  • Trīs galvenie auditējamie bloki ir termiņu ievērošana (7 dienas apstiprinājumam, 3 mēneši atsauksmēm), anonimitātes tehniskais nodrošinājums un ziņotāja aizsardzība pret atriebību — katrs no tiem prasa atsevišķu pieeju.
  • Audita rezultātam jābūt rakstiskam ziņojumam ar konstatējumu novērtējumu, pierādījumu atsaucēm un skaidriem korektīvo darbību termiņiem — mutiska atbilde uz jautājumu "vai viss kārtībā" neatbilst direktīvas izpratnei par efektīvu kanālu.
  • Latvijas uzņēmumos visbiežāk sastopamās neatbilstības ir nokavēts apstiprinājuma termiņš, nepilnīga dokumentācija un pārāk šaurs ziņotāju aizsardzības tvērums — tās visas ir novēršamas bez lieliem ieguldījumiem.
  • Atkārtots audita cikls kalpo ne tikai kā formāls pārbaudījums, bet kā nepārtrauktas uzlabošanas instruments: tas fiksē kanāla faktisko stāvokli, kas pēc tam kalpo kā pamats nākamā gada mērķiem.

Kas ir trauksmes celšanas kanāla audits un kāpēc tas atšķiras no parastā atbilstības audita

Trauksmes celšanas kanāla audits ir mērķtiecīga, dokumentēta pārbaude, kas apliecina, ka organizācijas iekšējais ziņošanas kanāls atbilst ES Trauksmes celšanas direktīvas 2019/1937 un Latvijas Trauksmes celšanas likuma prasībām — un ka to var pierādīt ar dokumentiem. Atšķirībā no vispārēja atbilstības audita, kas aptver plašu normatīvo aktu klāstu (datu aizsardzība, darba tiesības, finanšu pārskati), kanāla audits koncentrējas uz vienu konkrētu sistēmu un tās darbības pierādījumiem.

Vispārējais atbilstības audits parasti notiek reizi gadā, to veic ārējs auditors vai liela uzņēmuma iekšējā revīzijas struktūrvienība, un tā rezultāts ir apjomīgs dokuments, kas aptver visu organizācijas darbības jomu. Savukārt trauksmes celšanas kanāla audits ir šaurāks un tehniski specifiskāks. Tas faktiski iedalāms trīs apakšauditos: tehniskais audits (anonimitāte, šifrēšana, datu glabāšana), procesu audits (termiņi, lēmumu pieņemšana, dokumentācija) un cilvēkfaktoru audits (ziņotāju aizsardzība, izpratne par kanāla darbību, iekšējā kultūra). Katrs no šiem trim prasa atšķirīgu metodi un pierādījumu kopumu.

Būtiska atšķirība ir arī pierādīšanas slieksnī. Vispārējā atbilstības auditā bieži vien pietiek ar izlases veida pārbaudi un paļāvšanos uz vadības apliecinājumiem. Kanāla auditā apliecinājums neskaitās, ja tas nav dokumentēts — ja nevar parādīt konkrētu ziņojuma numuru, konkrētu datumu un konkrētu atbildīgo personu, kas veikusi konkrētu darbību. Tieši šajā līmenī eu whistleblowing directive uzliek saistošus pienākumus par kanāla uzturēšanu un efektivitāti.

Praksē tas nozīmē, ka atbilstības speciālists var pats veikt kanāla auditu, izmantojot strukturētu kontrolsarakstu un dokumentu izlasi, bez ārējā auditora piesaistes. Šī pieeja ir īpaši piemērota maziem un vidējiem uzņēmumiem 80–120 darbinieku lokā, kur ārēja pārbaude var nebūt ekonomiski pamatota, bet dokumentēta pašpārbaude dod pietiekamu pamatslāni gan iekšējām vajadzībām, gan dialogiem ar regulatīvajām iestādēm.

Vēl viens svarīgs aspekts: kanāla audits nav jāuztver kā sodīšanas instruments. Tā mērķis ir konstatēt, cik tālu kanāla faktiskā darbība ir no plānotās, un izstrādāt saskaņotu uzlabošanas plānu. Tieši tāpēc audita ziņojumā jāiekļauj ne tikai konstatējumi, bet arī skaidrs nākamo darbību plāns ar atbildīgajiem un termiņiem.

Kādi dokumenti un ieraksti jāsagatavo pirms audita uzsākšanas

Lai veiktu kvalitatīvu trauksmes celšanas kanāla auditu, nepieciešams apkopot trīs kategoriju dokumentus: kanāla darbības reglaments un politikas, faktiskie darbības dati un ziņojumi, kā arī organizatoriskie lēmumi un to pamatojumi. Bez šiem trim auditora darbs pārvēršas par spekulatīvu novērtējumu, nevis dokumentētu pārbaudi.

Pirmkārt, nepieciešams kanāla reglaments vai iekšējie noteikumi. Tas ietver rakstisku dokumentu, kas nosaka: kam ir tiesības iesniegt ziņojumu, kādus pārkāpumus var ziņot, kāda ir ziņošanas procedūra, kas ir atbildīgais par ziņojumu izskatīšanu, kādi ir termiņi, kā nodrošinās anonimitāti un kāda ir ziņotāja aizsardzības procedūra. Šis dokuments kalpo kā audita etalons — salīdzinot faktisko praksi ar reglamantu, konstatē, vai prakse atbilst pašas organizācijas noteiktajiem standartiem.

Otrkārt, nepieciešami faktiskie dati par kanāla darbību. Tas nozīmē: visu saņemto ziņojumu uzskaiti ar datumiem (saņemšanas datums, apstiprinājuma datums, atsauksmju datums), ziņojumam pievienoto dokumentāciju, pieņemtos lēmumus un izskatīšanas rezultātu. Ideālā gadījumā tas viss ir pieejams vienā programmā, kur katrai ziņai pievienots statuss, atbildīgais un visi ieraksti vienuviet — no saņemšanas līdz atrisināšanai. Ja dati izkliedēti pa dažādām sistēmām (e-pasts, Excel, atsevišķi dokumenti), auditora uzdevums ir tos apkopot vienā hronoloģiskā izskatē.

Treškārt, nepieciešami organizatoriskie lēmumi un to pamatojumi. Tie ietver: lēmumus par ziņojumu pieņemšanu vai noraidīšanu, lēmumus par izskatīšanas pagarinājumiem (ja tādi ir), ziņojumu klasifikāciju un to pamatojumus, kā arī visus ar ziņojumu saistītos dokumentus. Šie pierādījumi ir īpaši svarīgi, ja nepieciešams pierādīt, ka organizācija ir ievērojusi pienākumus rīkoties ar katru ziņojumu.

Lai sagatavotos auditam, ieteicams izveidot vienu mapi (digitālu vai fizisku), kas satur:

  • kanāla reglamentu un iekšējo politiku (pēdējā aktuālā versija);
  • visu ziņojumu hronoloģisko uzskaiti ar datumiem un statusu;
  • visus ar ziņojumu izskatīšanu saistītos lēmumus un dokumentus;
  • darbinieku informēšanas un apmācības materiālus;
  • neatkarīgus ziņojumus vai auditoru ieteikumus, ja tādi ir bijuši;
  • iepriekšējo auditu ziņojumus un korektīvo darbību izpildes pierādījumus.

Šī mape kalpo kā vienīgais avots auditam, novēršot situāciju, kad auditoram katru reizi atsevišķi jāmeklē informācija. Sagatavošanās ir orientēta uz Iekšējais ziņošanas kanāls kā uz vienotu sistēmu, nevis uz atsevišķiem dokumentiem dažādās organizācijas sistēmās.

Kā pārbaudīt 7 dienu apstiprinājuma un 3 mēnešu izskatīšanas termiņu ievērošanu

Termiņu ievērošana ir viens no visvieglāk pārbaudāmajiem, bet arī viens no visbiežāk konstatētajiem neatbilstību veidiem. Direktīva nosaka skaidrus pienākumus: 7 dienas ziņojuma apstiprinājumam un 3 mēneši atsauksmju sniegšanai. Latvijas Trauksmes celšanas likums šos pienākumus tieši transponē, tāpēc to ievērošana ir saistoša visām saistītajām organizācijām.

Audits sākas ar visu ziņojumu izlases veida atlasi. Ieteicams atlasīt vismaz 20% no ziņojumu kopskaita, bet ne mazāk kā 5 ziņojumus (atkarībā no tā, kurš skaitlis ir lielāks). Ja ziņojumu skaits ir mazs (līdz 10), auditējami visi. Katram atlasītajam ziņojumam fiksējami šādi datumi:

  • saņemšanas datums un laiks (pēc iespējas precīzs);
  • apstiprinājuma nosūtīšanas datums;
  • atsauksmju nosūtīšanas datums vai lēmuma par izskatīšanas pabeigšanu datums.

Atšķirība starp saņemšanas un apstiprinājuma datumiem nedrīkst pārsniegt 7 kalendāra dienas. Atšķirība starp saņemšanas un atsauksmju datumiem nedrīkst pārsniegt 3 mēnešus (90 kalendāra dienas). Ja kaut viens no šiem sliekšņiem ir pārkāpts, neatbilstība ir konstatēta neatkarīgi no citiem apstākļiem.

Kā rēķināt termiņu, ja ziņojums saņemts pirms nedēļas nogales vai svētku dienām?

Termiņš tiek rēķināts kalendāra dienās, ne darba dienās. Tas nozīmē, ka ziņojums, kas saņemts piektdienas vakarā, prasa apstiprinājumu līdz nākamās nedēļas piektdienai (ieskaitot). Ja šajā periodā ir valsts svētku dienas, arī tās ieskaita termiņā. Praksē tas nozīmē, ka atbildīgajam ir jābūt gatavam rīkoties arī brīvdienu tuvākajā periodā, vai arī jābūt skaidri definētam rezerves mehānismam.

Konstatēta termiņa pārkāpuma iemesli parasti ir: nepietiekams personāla resurss, neskaidra atbildības sadale, tehniskas problēmas ar kanālu vai vienkārši neuzmanība. Katram iemeslam ir savs novēršanas mehānisms. Ja iemesls ir personāla resursa trūkums, jāpalielina atbildīgo skaits vai jāpārdala atbildība. Ja iemesls ir neskaidra atbildības sadale, jāatjaunina kanāla reglaments un jāapmāca atbildīgie. Ja iemesls ir tehniskas problēmas, jāsazinās ar pakalpojuma sniedzēju un jānostiprina rezerves mehānisms.

Īpaša uzmanība jāpievērš tā dēvētajiem "klusajiem" ziņojumiem — ziņojumiem, kas saņemti, bet kuriem ilgstoši nav noteikts atbildīgais. Tie parasti ir lielākais termiņa pārkāpumu avots. Lai to novērstu, kanālā jābūt pieejamam pārskatāmam reģistram, kurā 0. dienā, ja ziņojumam vēl nav piešķirts atbildīgais, ir skaidri redzams brīdinājums vai statuss "nav piešķirts".

Kā novērtēt anonimitātes tehnisko nodrošinājumu un datu aizsardzību

Kā novērtēt anonimitātes tehnisko nodrošinājumu un datu aizsardzību Anonimitātes novērtējums ir visvairāk tehniski sarežģītākā audita daļa, bet arī viena no svarīgākajām. Direktīva pieprasa, lai ziņotāji varētu iesniegt ziņojumus un sazināties ar atbildīgo struktūru anonīmi, neatklājot savu vārdu, uzvārdu vai citus identificējošus datus. Latvijas likums šo pienākumu transponē tieši.

Audits anonimitātes novērtējumā ietver četrus līmeņus: tehniskā infrastruktūra, datu plūsmas kontrole, piekļuves pārvaldība un konfigurācijas izvēle. Katrs no tiem prasa konkrētu pārbaudi.

Tehniskā infrastruktūra ietver jautājumus: kur fiziski atrodas serveri (vai tie ir ES jurisdikcijā), kāda šifrēšana tiek izmantota datu pārsūtīšanā un glabāšanā, vai tiek lietota šifrēšana no gala līdz galam, vai ir iespējams ziņot bez konta izveides un bez IP adreses reģistrēšanas. Šeit jānem vērā, ka Šveices mitināšana un ISO 27001 sertifikāts ir pierādīti augstas kvalitātes rādītāji, bet tie paši par sevi negarantē atbilstību direktīvas anonimitātes prasībām — gala līdz gala šifrēšana ir jāpārbauda atsevišķi.

Datu plūsmas kontrole ietver jautājumus: kādi metadati tiek reģistrēti par ziņotāju (IP adrese, pārlūka lietotāja aģents, laika zīmogs), vai šie metadati tiek glabāti un kādiem mērķiem, vai ir iespējams identificēt ziņotāju pēc pieejamajiem datiem. Pat ja ziņojuma saturs ir anonīms, bet IP adrese vai laika zīmogs ļauj sašaurināt loku līdz dažiem cilvēkiem, anonimitāte efektīvi nav nodrošināta.

Piekļuves pārvaldība ietver jautājumus: kam ir pieeja ziņojumu saturam, vai ir dokumentēta katras piekļuves reize, vai ir iespējams izsekot piekļuves vēsturi, vai tiek izmantota daudzfaktoru autentifikācija. Īpaša uzmanība jāpievērš tam, vai paši pakalpojuma sniedzēji var piekļūt ziņojumu saturam — ja tā, tad anonimitāte efektīvi ir tikai relatīva, ne absolūta.

Konfigurācijas izvēle ietver jautājumus: vai kanāls piedāvā mutisku ziņošanu ar audio pārrakstīšanu ziņotāja ierīcē (ne serverī), vai kanāls uztur divpusēju anonīmu saziņu ar ziņotāju, vai ir iespēja ziņotājam atbildēt uz papildu jautājumiem, neatklājot sevi. Šie elementi ir tieši saistīti ar direktīvas prasību par efektīvu saziņu ar ziņotāju.

Īpaša uzmanība jāpievērš ar ziņotājiem saistīto datu apstrādei, kas ir tieši saistīta ar GDPR un trauksmes celšana un vispārējo datu aizsardzības regulējumu. Kanālam jāatbilst ne tikai direktīvas, bet arī GDPR principiem: datu minimizācija, nolūka ierobežošana, glabāšanas termiņš, tiesības uz dzēšanu. Audits ietver pārbaudi: vai ir skaidrs glabāšanas termiņš ziņojumu saturam un metadatiem, vai ir procedūras dzēšanai pēc noteikta perioda.

Kā verificēt, ka arhitektūra patiešām atbalsta nulles piekļuves principu?

Nulles piekļuves arhitektūra nozīmē, ka pat pakalpojuma sniedzējs nevar izlasīt ziņojumu saturu. To var verificēt, pieprasot pakalpojuma sniedzējam tehnisko dokumentāciju: kādas šifrēšanas atslēgas tiek izmantotas, kur tās glabājas, vai serverī ir iespējams iegūt piekļuvi tīrteksta saturam. Ja pakalpojuma sniedzējs nevar vai nevēlas sniegt šādu dokumentāciju, tas ir sarkanais karogs neatkarīgi no mārketinga materiāliem. Papildu informāciju par drošības standartiem var iegūt Drošība un GDPR atbilstība sadaļā.

Kā pārbaudīt ziņotāju aizsardzību pret atriebību un tās dokumentēšanu

Ziņotāja aizsardzība pret atriebību ir direktīvas viens no trim pīlāriem (bez kanāla izveides un ziņotāja tiesībām uz aizsardzību), un tās pārbaude ir viens no grūtākajiem audita uzdevumiem. Problēma: atriebība bieži vien notiek slepeni, nav dokumentēta un var izpausties kā darbinieka darba apstākļu pasliktināšana, algas samazināšana, darba pienākumu maiņa vai sociālā izolācija. Audita uzdevums ir ne tikai konstatēt atriebības faktus, bet arī pārbaudīt, vai ir mehānismi tās novēršanai un vai ir dokumentēta gatavība rīkoties.

Audits sākas ar politikas dokumentu analīzi: vai ir skaidra politika par aizliegumu atriebt ziņotājiem, vai politika ir pieejama visiem darbiniekiem, vai ir skaidrota atriebības definīcija un piemēri. Labā prakse: politika iekļauj konkrētus atriebības piemērus, lai darbinieki saprastu, kas ir aizliegts.

Otrkārt, audits pārbauda faktisko rīcību. Ja kāds darbinieks ir ziņojis un pēc tam ir piedzīvojis darba apstākļu izmaiņas, ir jābūt dokumentētam, kā organizācija ir izvērtējusi situāciju un vai ir veikusi pasākumus. Īpaši svarīgi: vai ir dokumentēta saistība starp ziņošanu un atriebību (vai arī pārliecinošs pierādījums, ka tādas saistības nav).

Treškārt, audits pārbauda informēšanas kvalitāti. Direktīva pieprasa, lai darbinieki būtu informēti par savām tiesībām un aizsardzības mehānismiem. Tas nozīmē: vai darbinieki zina, ka pastāv kanāls, vai viņi saprot, kā tas darbojas, vai viņi zina, ka ziņošana ir konfidenciāla un aizsargāta. Informēšana parasti notiek vairākos veidos; uzņēmums katru gadu atjaunina informāciju par kanāla darbību un ziņotāja aizsardzību.

Īpaša uzmanība jāpievērš tā saucamajai "atvērto durvju" situācijai: ja darbinieki pēc ziņošanas redzami izceļas vai viņu stāvoklis pasliktinās, organizācijai katrā atsevišķā gadījumā jāizvērtē situācija. Ir jābūt dokumentētam, kā organizācija ir reaģējusi uz aizdomām par atriebību un kādi pasākumi ir veikti.

Īsti anonīma ziņošanas programmatūra kanāla efektivitāte ir tieši saistīta ar ziņotāja aizsardzību: ja kanāls negarantē patiesu anonimitāti, ziņotājs nevar būt drošs par aizsardzību. Tieši tāpēc anonimitātes tehniskais nodrošinājums un ziņotāja aizsardzība ir divi savstarpēji saistīti audita bloki — viens bez otra nav pilnvērtīgs.

Kā dokumentēt ziņotāja aizsardzības pasākumus auditam?

Katrai aizsardzības darbībai jābūt dokumentētai: ja ir veikta darbinieku informēšanas kampaņa, jābūt datumam, kanālam un mērķa grupai. Ja ir mainīta kanāla konfigurācija, jābūt izmaiņu žurnālam. Ja ir reaģēts uz aizdomām par atriebību, jābūt izmeklēšanas rezultātam un pieņemtajiem lēmumiem. Dokumentācijas trūkums pats par sevi ir neatbilstība neatkarīgi no faktiskās prakses.

Kā identificēt un novērtēt tipiskākās neatbilstības Latvijas uzņēmumos

Latvijas uzņēmumos, kas ievieš trauksmes celšanas kanālus saskaņā ar direktīvas un Latvijas Trauksmes celšanas likuma prasībām, ir izkristalizējušās vairākas tipiski sastopamas neatbilstības. Šo neatbilstību iepriekšēja izpratne palīdz auditam koncentrēties uz augsta riska zonām un nesatraukt laiku ar zema riska formalitātēm.

Pirmā tipiskā neatbilstība: nokavēts apstiprinājuma termiņš. Daudzos uzņēmumos kanāla pārvaldība ir uzticēta vienam cilvēkam, kuram ir arī citi pienākumi, un pirmajā nedēļā pēc ziņojuma saņemšanas tas netiek pamanīts. Risinājums: automatizēti brīdinājumi par tuvojošos termiņu, rezerves atbildīgais, regulāra ziņojumu pārskatīšana.

Otrā tipiskā neatbilstība: nepilnīga dokumentācija. Ziņojumi tiek izskatīti un atrisināti, bet process nav dokumentēts. Risinājums: standartizētas veidlapas katram lēmumam, obligāta dokumentēšana katrā izskatīšanas posmā.

Trešā tipiskā neatbilstība: pārāk šaurs ziņotāju aizsardzības tvērums. Uzņēmumi dažkārt interpretē direktīvu šauri un aizsargā tikai tos ziņotājus, kas ziņo par konkrētiem pārkāpumiem. Risinājums: paplašināt aizsardzības tvērumu, iekļaujot visus, kas ziņo par likumpārkāpumiem vai pamattiesību aizskārumu.

Ceturtā tipiskā neatbilstība: tehniskas nepilnības anonimitātes nodrošinājumā. Daudzi uzņēmumi izmanto vienkāršu e-pasta adresi vai tīmekļa veidlapu, kas reģistrē IP adresi vai citus metadatus. Risinājums: pāriet uz specializētu kanālu, kas nodrošina patiesu anonimitāti.

Piektā tipiskā neatbilstība: nepietiekama informēšana. Darbinieki nezina par kanāla esamību vai nezina, kā to izmantot. Risinājums: regulāra informēšanas kampaņa, iekļaušana jauno darbinieku apmācībā, vizuāli pieejama informācija.

Sestā tipiskā neatbilstība: neatbilstoša glabāšanas prakse. Ziņojumi un ar tiem saistītie dati tiek glabāti ilgāk nekā nepieciešams, vai arī trūkst nozīmīgu drošības pasākumu. Risinājums: skaidrs glabāšanas termiņš, droša dzēšana pēc termiņa beigām.

Īpaša uzmanība jāpievērš situācijām, kad viena persona uzņēmumā veic gan kanāla ieviešanu, gan auditu. Šādā gadījumā ieteicams piesaistīt neatkarīgu novērotāju vai izmantot kontrolsarakstu, ko sagatavojis cits speciālists, lai nodrošinātu objektivitāti. Lai nodrošinātu objektivitāti, ieteicams izmantot ārēju kontrolsarakstu vai piesaistīt neatkarīgu novērotāju. Audita kvalitāte ir atkarīga ne tikai no metodikas, bet arī no neatkarības.

Kā sagatavot audita ziņojumu un reaģēt uz konstatējumiem

Kvalitatīvs audita ziņojums ir galvenais audita rezultāts, un tā kvalitāte nosaka, vai audits patiešām kalpos kā uzlabošanas instruments. Standarta ziņojuma struktūra ietver: ievadu ar audita mērķi un tvērumu, metodoloģijas aprakstu, konstatējumus ar pierādījumiem, novērtējumu (atbilst/neatbilst/daļēji atbilst), korektīvo darbību ieteikumus ar termiņiem un atbildīgajiem.

Ievadā jānorāda: kas veica auditu (vārds, amats), kad audits veikts (datums no-līdz), kāds ir audita tvērums (kanāla darbības periods, iekļautie dokumenti), kāda metodoloģija izmantota (dokumentu analīze, intervijas, tehniskā pārbaude). Šī informācija nepieciešama, lai ziņojuma lasītājs saprastu kontekstu un varētu novērtēt rezultātu ticamību.

Konstatējumu aprakstā jābūt konkrētam: nevis "termiņi dažkārt netiek ievēroti", bet "ziņojums no 2025. gada 15. marta tika apstiprināts 12. martā, pārsniedzot 7 dienu termiņu par 2 dienām". Katram konstatējumam jābūt: apraksts, pierādījums (atsauce uz konkrētu dokumentu vai ziņojumu), novērtējums, ieteikums.

Novērtējuma skalā ieteicams izmantot trīs kategorijas: "atbilst" (prasība ir pilnībā izpildīta), "daļēji atbilst" (prasība ir izpildīta daļēji, bet ir būtiski trūkumi), "neatbilst" (prasība nav izpildīta vai ir izpildīta nepilnīgi). Šāda skaidra gradācija palīdz prioritizēt korektīvās darbības.

Korektīvo darbību ieteikumiem jābūt konkrētiem: konkrēta darbība (nevis "uzlabot"), atbildīgā persona, termiņš, sagaidāmais rezultāts. Piemēram: "Līdz 2026. gada 30. novembrim atbildīgais par ziņojumu pārvaldību izstrādās mehānismu, kas nodrošina, ka tuvojoties 7 dienu termiņam, atbildīgais saņem savlaicīgu brīdinājumu. Mehānisms: brīdinājums atbildīgajai personai un rezerves personai 5. dienā pēc ziņojuma saņemšanas."

Pēc ziņojuma sagatavošanas ieteicams organizēt prezentāciju vadībai vai atbildīgajai struktūrvienībai, lai pārliecinātos, ka konstatējumi ir izprasti un korektīvo darbību plāns ir pieņemts. Šī prezentācija kalpo arī kā formāls apstiprināšanas brīdis un sākumpunkts uzraudzības ciklam.

Atbilstošu detalizācijas līmeni nosaka auditora lēmums, bet vispārīgais princips ir: jo svarīgāka neatbilstība, jo detalizētākam jābūt aprakstam un jo konkrētākam jābūt ieteikumam. Zema riska formalitātes var tikt aprakstītas īsumā, bet augsta riska neatbilstības prasa padziļinātu analīzi.

Praksē kvalitatīva ziņojuma sagatavošana prasa vairākas stundas, atkarībā no audita tvēruma un konstatējumu skaita. Tomēr šis ieguldījums atmaksājas, jo labi sagatavots ziņojums kalpo kā pamats nākamo gadu auditiem, ļaujot izsekot progresam un konstatēt atkārtotas neatbilstības.

Lai nodrošinātu, ka audita rezultāts patiešām tiek izmantots praksē, ieteicams izveidot reģistru, kurā fiksēti visi konstatējumi, korektīvo darbību plāns un to izpildes statuss. Šis reģistrs kalpo kā nepārtrauktas uzlabošanas instruments un kā pierādījums organizācijas gatavībai sadarboties ar regulatīvajām iestādēm.

Kā izveidot atkārtotu audita ciklu un kas jāiekļauj nākamajā pārbaudē

Atkārtotais audita cikls ir nepārtrauktas uzlabošanas pamats: viens audits dod momentāno stāvokļa momentuzņēmumu, bet atkārtots cikls uzrāda tendences un ļauj novērtēt korektīvo darbību efektivitāti. Labā prakse: audits kalendāri fiksēts vienā un tajā pašā laikā katru gadu (piemēram, janvāra otrajā pusē), lai nodrošinātu regularitāti un novērstu aizmāršanos.

Cikla struktūra ietver četrus posmus: plānošana (kad un ko auditēt), izpilde (faktiskā audita veikšana), ziņošana (rezultātu dokumentēšana un prezentēšana), uzraudzība (korektīvo darbību izpildes kontrole). Katrs posms ir tikpat svarīgs kā pārējie, un neviens posms nevar iztikt bez pārējiem.

Plānošana notiek 2–3 mēnešus pirms plānotā audita datuma. Šajā posmā: apstiprina audita tvērumu, izvēlas auditoru (tas pats vai cits), sagatavo dokumentu sarakstu, ko pieprasīt, izvēlas izlases apjomu (ja ziņojumu skaits to atļauj), izstrādā laika grafiku.

Izpildes posms ir pats audits, kura metodoloģija: dokumentu analīze, intervijas ar atbildīgajiem, tehniskā pārbaude, izlases veida datu pārbaude. Šis posms parasti aizņem 3–5 darba dienas atkarībā no organizācijas lieluma un audita apjoma.

Ziņošana ietver ziņojuma sagatavošanu un tā apspriešanu ar vadību. Šis posms ir kritisks: ja ziņojums netiek pienācīgi prezentēts un izskatīts, tā vērtība zūd. Ieteicams prezentācijā iekļaut ne tikai konstatējumus, bet arī salīdzinājumu ar iepriekšējo gadu (ja tāds ir), lai parādītu progresu vai stagnāciju.

Uzraudzības posms ilgst visu gadu pēc audita. Šajā posmā: regulāri pārbauda korektīvo darbību izpildi (reizi mēnesī vai ceturksnī), fiksē izmaiņas kanāla konfigurācijā, gatavo starpziņojumus vadībai. Šis posms ir īpaši svarīgs, jo bez tā audits paliek kā vienreizējs notikums, nevis kā sistēmisks uzlabošanas instruments.

Nākamā gada auditā jāiekļauj: korektīvo darbību izpildes novērtējums, jaunu neatbilstību identifikācija, tendenču analīze (vai konkrēta neatbilstība atkārtojas), audita metodoloģijas uzlabošana. Tendenču analīze ir īpaši vērtīga: ja konkrēta neatbilstība parādās atkārtoti, tā signalizē par sistēmisku problēmu, nevis par vienreizēju kļūdu.

Visbeidzot, atkārtotā cikla kvalitāte ir atkarīga no tā, vai organizācija patiešām izmanto audita rezultātus. Ja pēc audita nekas nemainās, audits zaudē savu jēgu. Tieši tāpēc uzraudzības posmam jābūt tikpat prioritāram kā pašam auditam. Labs veids, kā to nodrošināt: iekļaut audita rezultātus un korektīvo darbību izpildi vadības pārskatu vai valdes sēžu darba kārtībā.

Biežāk uzdotie jautājumi

Cik bieži jāveic trauksmes celšanas kanāla audits?

Trauksmes celšanas kanāla audits jāveic vismaz reizi gadā, bet ieteicams biežāk — piemēram, reizi sešos mēnešos, ja organizācija saņem lielu ziņojumu skaitu vai ja kanāla darbībā ir būtiskas izmaiņas. Obligāti audits jāveic pirms ikgadējā atbilstības pārskata sagatavošanas, pēc nozīmīgām izmaiņām kanāla tehniskajā vai organizatoriskajā uzbūvē, kā arī pēc jebkurām ārējām izmaiņām tiesiskajā regulējumā, kas ietekmē direktīvu un Latvijas Trauksmes celšanas likuma piemērošanu.

Vai trauksmes celšanas kanāla auditu var veikt atbilstības speciālists bez ārēja auditora?

Jā, kanāla auditu var veikt atbilstības speciālists bez ārēja auditora piesaistes, jo īpaši mazākos un vidējos uzņēmumos ar 80–120 darbiniekiem. Šādā gadījumā ieteicams izmantot strukturētu kontrolsarakstu un dokumentētu metodoloģiju, kā arī nodrošināt objektivitāti (piemēram, piesaistot neatkarīgu novērotāju vai izmantojot citas struktūrvienības speciālista sagatavotu kontrolsarakstu). Tomēr reizi 2–3 gados ieteicams piesaistīt ārēju auditoru, lai iegūtu neatkarīgu novērtējumu un identificētu aklās zonas, ko iekšējais audits var nepamanīt.

Kādas ir tipiskākās neatbilstības, kas konstatējamas Latvijas uzņēmumu kanālu audits?

Tipiskākās neatbilstības Latvijas uzņēmumos ir: nokavēts 7 dienu apstiprinājuma termiņš (visbiežākais), nepilnīga ziņojumu izskatīšanas dokumentācija, nepietiekama darbinieku informēšana par kanāla esamību un darbību, pārāk šaurs ziņotāju aizsardzības tvērums (interpretēts šauri), tehniskas nepilnības anonimitātes nodrošinājumā (piemēram, IP adreses reģistrēšana), kā arī neskaidra atbildības sadale starp struktūrvienībām. Visas šīs neatbilstības ir novēršamas bez lieliem ieguldījumiem, bet to novēršana prasa skaidru metodoloģiju un konsekventu uzraudzību.

Kā nodrošināt, ka audita rezultāts patiešām tiek izmantots praksē?

Lai nodrošinātu, ka audita rezultāts tiek izmantots praksē, jāievieš četri elementi: reģistrs, kurā fiksēti visi konstatējumi un korektīvo darbību plāns; atbildīgais, kas uzrauga korektīvo darbību izpildi; regulāra ziņošana vadībai par progresu (vismaz reizi ceturksnī); un vadības lēmums, kas apstiprina korektīvo darbību plānu un tā izpildes termiņus. Bez šiem četriem elementiem audits paliek kā vienreizējs notikums bez ilgtermiņa ietekmes.

Avoti