Ashio whistleblowing software

Oct 7, 2026

Trauksmes celšanas programmatūras ieviešana uzņēmumā: projekta plāns 90 dienām

Trauksmes celšanas programmatūras ieviešana uzņēmumā: projekta plāns 90 dienām

Ja esat atbildīgs par jaunu ziņošanas kanālu, programmatūra ir tikai sākums — īstais darbs sākas ar 90 dienu ieviešanas plānu, kurā skaidri sadalītas fāzes, atbildīgie un riski. Trauksmes celšanas programmatūras ieviešanas projekts Latvijas uzņēmumā ir strukturēts process, kurā pēc iepirkuma, līguma un konfigurācijas seko komandas apmācība, politikas saskaņošana un palaišana. Ja fāzes netiek sadalītas laikā un pa atbildīgajiem, pat tehniski labākais risinājums nesasniedz likumā noteikto septiņu dienu apstiprinājuma un trīs mēnešu atsauksmju termiņu. Šajā rakstā jūs atradīsiet 90 dienu projekta plānu, komandu un lomu karti, tipiskāko kļūdu sarakstu un atbilstības pārbaudes soli pa solim.

Saturs

Galvenās atziņas

  • 90 dienas ir pietiekams laiks, lai ieviestu iekšējās ziņošanas kanālu, ja vienlaikus notiek trīs plūsmas: iepirkums un līgums, iekšējā politika un komunikācija, tehniskā konfigurācija un komandas apmācība.
  • Projekta vadītājam jābūt vienam — visbiežāk tas ir atbilstības speciālists vai HR direktors, kurš pārvalda laika grafiku un riskus, nevis IT vai juridiskā komanda atsevišķi.
  • Obligātie termiņi — septiņas dienas ziņojuma saņemšanas apstiprinājumam un trīs mēneši atsauksmēm — nosaka projekta kritisko ķēdi un jāiestata konfigurācijā jau pirms palaišanas.
  • Četras izplatītākās projekta kļūdas ir vēlīna darbinieku informēšana, nenoteikts lietu atbildīgais, neesošs auditācijas žurnāls un neatbilstoša datu glabāšana.
  • Latvijas uzņēmumam atbilstība jāpārbauda pēc trim asīm: Trauksmes celšanas likuma, ES Direktīvas 2019/1937 un VDAR (GDPR) datu aizsardzības prasību.

Kāpēc ieviešanas projekts ir svarīgāks par programmatūras izvēli?

Trauksmes celšanas programmatūras ieviešanas projekts ir tas, kas nosaka, vai jaunais kanāls patiešām strādās pēc palaišanas, nevis tā tehniskā platforma. Programmatūra bez skaidra ieviešanas plāna parasti beidzas ar tukšu formu, kurā darbinieki nezina, kā ziņot, un vadība nezina, kas ir atbildīgs par saņemto ziņojumu. Tieši tāpēc pieredzējuši atbilstības speciālisti 90 dienas sadala pa fāzēm, nevis koncentrējas uz līguma parakstīšanu.

Praksē lielākā daļa projektu neizgāžas demonstrēšanas vai līguma slēgšanas posmā, bet pēc palaišanas — pirmajā mēnesī. Pazīmes ir vienādas: nav skaidru atbildīgo par lietu, nav pierakstīts, kā tiek nodrošināta anonimitāte, trūkst pierādījumu par termiņu ievērošanu, un auditors konstatē, ka politika ir uzrakstīta, bet praksē nav ieviesta. Šīs sekas ir dārgākas nekā pati programmatūra, jo tās ir grūti novērst pēc auditācijas.

Latvijas kontekstā darba devējam jāsaprot, ka atbilstība sākas ar projektu, nevis ar rīku. Trauksmes celšanas likums uzliek pienākumu izveidot iekšējo ziņošanas kanālu, bet nenosaka, kā tieši tas jāievieš — tieši to nosaka jūsu 90 dienu plāns. Labs plāns aptver arī iekšējo komunikāciju, kas bieži vien ir noteicošais faktors, vai darbinieki vispār uzticas jaunajam kanālam.

Kāpēc 90 dienas, nevis 30 vai 180?

90 dienas ir optimāls logs, jo tas ietver trīs reālus posmus: 2–3 nedēļas iepirkumam un līgumam, 4–6 nedēļas konfigurācijai un politikas saskaņošanai, 2–4 nedēļas apmācībai un palaišanai. Īsāks termiņš parasti nozīmē, ka kāda no fāzēm tiek izlaista, visbiežāk — komunikācija. Garāks termiņš palielina risku, ka projekts zaudē vadības uzmanību un pārvēršas par "mūžīgo pilotprojektu".

Kā sagatavot ieviešanas projekta plānu 90 dienām? (iepirkums, līgums, konfigurācija, palaišana)

Trauksmes celšanas programmatūras uzņēmumam ieviešanas plāns 90 dienām ir sadalīts četrās fāzēs: atklāšana un iepirkums, līgums un konfigurācijas sākums, pielāgošana un testēšana, apmācība un palaišana. Katrai fāzei ir skaidrs sākuma un beigu datums, iznākums un atbildīgais, un tā ir atspoguļota Ganta diagrammā, ko vada viens projektu vadītājs.

Pirmā fāze (1.–20. diena) ir veltīta atklāšanai un iepirkumam. Šajā laikā tiek definētas juridiskās prasības, identificētas datu aizsardzības vajadzības, salīdzināti vismaz trīs piegādātāji un sagatavots iepirkuma pieprasījums. Šajā fāzē ir svarīgi nodalīt, vai programmatūra būs mākoņpakalpojums vai uzstādīta uzņēmuma infrastruktūrā — tas ietekmē līguma veidu un drošības novērtējumu.

Otrajā fāzē (21.–45. diena) notiek līguma slēgšana un konfigurācijas sākums. Līgumā jābūt skaidriem pakalpojumu līmeņa nosacījumiem, datu glabāšanas vietai, atbalsta reakcijas laikiem un izbeigšanas kārtībai. Paralēli tiek sākta programmatūras konfigurācija: lietotāju lomas, ziņojumu kategorijas, valodas un paziņojumu kanāli.

Trešā fāze (46.–70. diena) ir pielāgošana un testēšana. Šeit notiek politikas saskaņošana ar programmatūras funkcionalitāti, veikti lietotāju piekļuves testi un sagatavoti ziņojumu veidņu piemēri. Testēšana ietver arī scenāriju pārbaudi — kā sistēma reaģē uz anonīmu ziņojumu, kā notiek lietas nodošana atbildīgajam un kā tiek nodrošināts termiņa monitorings.

Ceturtā fāze (71.–90. diena) ir apmācība un palaišana. Šajā periodā notiek darbinieku informēšana, vadītāju apmācība un "klusā palaišana" — vispirms kanālu testē šaura lietotāju grupa, pēc tam tas tiek atvērts visam uzņēmumam. Palaišana nav projekta beigas, bet gan pāreja uz uzturēšanas fāzi.

Kādas konfigurācijas opcijas iestatīt pirms palaišanas?

Pirms palaišanas obligāti jākonfigurē septiņi elementi: anonimitātes režīms, lietu kategorijas, atbildīgo hierarhija, termiņu monitorings, paziņojumu kanāli, datu glabāšanas termiņš un eksporta formāts. Katram no šiem elementiem jābūt saskaņotam ar uzņēmuma iekšējo politiku un jābūt dokumentētam konfigurācijas žurnālā. Ja kāds no elementiem paliek noklusējuma iestatījumā, tas pēc palaišanas var radīt neatbilstības risku.

Kā izvairīties no "mūžīgā pilotprojekta"?

Visbiežākais iemesls, kāpēc projekts ievelkas, ir nereāli plaša pirmā posma definīcija. Ja pirmajā fāzē tiek iekļauta arī politikas rakstīšana, risku novērtējums un komunikācijas plāns, projekts ātri pārsniedz 90 dienas. Labā prakse ir nodalīt šīs darbības kā atsevišķus projekta darbus ar saviem termiņiem un atbildīgajiem. Ja konstatējat, ka pirmā fāze ir pabeigta, bet līgums vēl nav parakstīts, tas ir skaidrs signāls, ka tvērums bija pārāk plašs.

Kādas komandas un lomas iesaistīt programmatūras ieviešanā Latvijas uzņēmumā?

Trauksmes celšanas programmatūras ieviešanā Latvijas uzņēmumā jāiesaista vismaz sešas lomas: projekta vadītājs, atbilstības speciālists, IT drošības pārstāvis, HR vai personāla vadības pārstāvis, juridiskais padomnieks un datu aizsardzības speciālists. Katrai lomai jābūt skaidri definētam atbildības lokam un vienam kontaktpunktam, kas sazinās ar programmatūras piegādātāju.

Projekta vadītājs ir centrālais punkts, kas koordinē visu plānu un nodrošina, ka fāzes notiek pēc grafika. Visbiežāk šo lomu uzņemas atbilstības speciālists vai HR direktors, jo viņiem ir vislabākā izpratne par uzņēmuma iekšējo struktūru. IT drošības pārstāvis novērtē tehnisko risku un integrācijas iespējas, bet juridiskais padomnieks pārbauda, vai līgums atbilst Trauksmes celšanas likumam un ES Direktīvai 2019/1937. Datu aizsardzības speciālists veic ietekmes uz privātumu novērtējumu (DPIA), kas ir obligāts solis, ja tiek apstrādāti sensitīvi ziņojumi.

HR vai personāla vadības pārstāvis ir atbildīgs par darbinieku informēšanu un apmācību, kas ir kritisks posms projekta ceturtajā fāzē. Bez viņa iesaistes pastāv risks, ka jaunais kanāls paliks nezināms darbiniekiem un pirmie ziņojumi nonāks nevis oficiālajā kanālā, bet gan neoficiālā e-pastā vai "pa čukstu". Juridiskais padomnieks savukārt palīdz definēt ziņojumu kategorijas un to, kādi pārkāpumi ietilpst Trauksmes celšanas likuma tvērumā.

Praksē bieži vien projektā ir iesaistīti arī augstākās vadības pārstāvji, kas apstiprina galvenos lēmumus un budžetu. Viņu loma nav tehniska, bet bez viņu atbalsta projekts var apstāties resursu trūkuma dēļ. Labs projekta plāns ietver arī "projekta sponsoru" — parasti ģenerāldirektoru vai izpilddirektoru — kas nodrošina, ka projekts paliek prioritāšu sarakstā.

Kas ir "lietu atbildīgais" un kāpēc tā ir izšķiroša loma?

Lietu atbildīgais ir persona, kas saņem katru jaunu ziņojumu, novērtē tā saturu un nodod to izskatīšanai atbilstošajai struktūrvienībai. Šī loma ir tik svarīga, jo bez skaidra atbildīgā ziņojumi var palikt neizskatīti, kas nozīmē likuma termiņu pārkāpumu. Latvijas praksē lietu atbildīgais parasti ir atbilstības speciālists vai iekšējā audita vadītājs, bet lielākos uzņēmumos var būt vairāki atbildīgie pēc ziņojuma kategorijas.

Kā organizēt lomas, ja uzņēmumā nav atbilstības speciālista?

Mazākos uzņēmumos (50–100 darbinieku) bieži nav atsevišķa atbilstības speciālista, tāpēc šo lomu uzņemas HR direktors vai ģenerāldirektors. Šādā gadījumā īpaši svarīgi ir dokumentēt lēmumu pieņemšanas ķēdi un nodrošināt, ka lietu atbildīgais nav persona, kas pati varētu būt iesaistīta iespējamā pārkāpumā. Ārējais konsultants vai advokāts var kalpot kā neatkarīgs atbalsts, bet viņš neaizvieto iekšējo lēmumu pieņēmēju.

Kā ieviešanas gaitā sinhronizēt programmatūru ar iekšējo ziņošanas kanālu un politiku?

Lai programmatūra darbotos kā īsts iekšējais ziņošanas kanāls, tās konfigurācija jāsinhronizē ar uzņēmuma trauksmes celšanas politiku trīs līmeņos: ziņojumu kategorijas, termiņi un atbildīgo hierarhija. Šī sinhronizācija nav vienreizējs uzdevums, bet gan nepārtraukts process, kas turpinās arī pēc palaišanas. Politika apraksta, kā rīkoties, bet programmatūra nodrošina, ka šie noteikumi tiek automātiski piemēroti.

Pirmkārt, ziņojumu kategorijas politikā jāsasaista ar programmatūras laukiem. Ja politikā ir definētas piecas pārkāpumu kategorijas (piemēram, korupcija, drošība, diskriminācija, datu aizsardzība, vides pārkāpumi), tad programmatūrā jābūt tām pašām kategorijām, lai lietu atbildīgais varētu ātri novirzīt ziņojumu pareizajam izskatītājam. Otrkārt, termiņi — septiņu dienu apstiprinājums un trīs mēnešu atsauksmes — jāiestata kā automātiski atgādinājumi, nevis jāpaļaujas uz cilvēka atmiņu.

Treškārt, atbildīgo hierarhija jāatspoguļo programmatūras lietotāju struktūrā. Ja politikā ir noteikts, ka finanšu pārkāpumus izskata finanšu direktors, tad programmatūrā jābūt skaidrai kārtībai, kā ziņojums nonāk pie viņa, neapstājoties pie vispārīgā atbildīgā. Šī hierarhija jāapstiprina vadībai un jādokumentē kā projekta daļa.

Ļoti svarīgi ir arī tas, lai programmatūra atspoguļotu politikā noteikto anonimitātes režīmu. Ja politika sola, ka ziņotāja identitāte tiks aizsargāta, tad programmatūrā nedrīkst būt tādas funkcijas kā IP adrešu reģistrēšana vai sīkfailu izmantošana ziņošanas lapā. Šī neatbilstība ir viens no biežākajiem auditācijas konstatējumiem.

Kā panākt, lai politika un programmatūra "runātu vienā valodā"?

Visefektīvākā metode ir izveidot vienotu terminu vārdnīcu, ko izmanto gan politikā, gan programmatūrā. Piemēram, ja politikā lieto terminu "iekšējais ziņošanas kanāls", tad programmatūras dokumentācijā jālieto tas pats termins, nevis "whistleblowing platform" vai "incident management system". Šī vienotā terminoloģija atvieglo arī darbinieku apmācību, jo viņi redz vienādus terminus visos dokumentos. Ja jūs tikai sākat veidot politiku, varat sākt ar Trauksmes celšanas politika uzņēmumā paraugu, kas palīdzēs strukturēt dokumentu.

Kādas ir biežākās kļūdas ieviešanas projektā un kā tās atpazīt?

Astonas izplatītākās kļūdas 90 dienu ieviešanas projektā ir: vēlīna darbinieku informēšana, nenoteikts lietu atbildīgais, neesošs auditācijas žurnāls, neatbilstoša datu glabāšana, pārāk plaša pirmā fāze, ignorēta datu aizsardzības novērtējuma nepieciešamība, nepietiekama vadības iesaiste un neskaidri termiņi. Katra no šīm kļūdām ir savlaicīgi atpazīstama, ja projektā ir noteikts regulārs statusa pārskats.

Pirmā un postošākā kļūda ir darbinieku informēšana pēc palaišanas, nevis pirms tās. Ja darbinieki uzzina par jauno kanālu vienlaicīgi ar tā atvēršanu, pirmie ziņojumi bieži vien ir neskaidri vai ar pārpratumiem par konfidencialitāti. Labā prakse ir informēt darbiniekus vismaz divas nedēļas pirms palaišanas ar skaidru vēstuli, kurā aprakstīts, kā un kāpēc kanāls darbojas.

Otrā kļūda — nenoteikts lietu atbildīgais — nozīmē, ka ziņojumi krājas sistēmā, bet neviens nezina, kas ar tiem jādara. Šī situācija ir īpaši bīstama, jo tā pārkāpj obligāto septiņu dienu termiņu un var tikt konstatēta auditā. Risinājums ir skaidri definēt lietu atbildīgo jau projekta otrajā fāzē un iekļaut viņu konfigurācijas un apmācības procesā.

Trešā kļūda — neesošs auditācijas žurnāls — ir tieši saistīta ar programmatūras izvēli. Ja izvēlētā platforma nefiksē darbības ar ziņojumiem (piemēram, kurš lietotājs atvēra ziņojumu, kad tika mainīts statuss, kad nosūtīta atbilde), tad pēc incidenta nav iespējams pierādīt, ka process tika ievērots. Šī iemesla dēļ Auditní stopa ir viens no trim galvenajiem kritērijiem, izvēloties programmatūru.

Ceturtā kļūda — neatbilstoša datu glabāšana — ietver divus aspektus: kur dati tiek glabāti un cik ilgi. Ja programmatūra glabā datus ārpus Eiropas Savienības, tas var radīt problēmas ar VDAR (GDPR) atbilstību. Ja glabāšanas termiņš nav skaidri noteikts, dati var tikt uzglabāti ilgāk nekā nepieciešams, kas arī ir VDAR pārkāpums.

Kā atpazīt projekta "sarkanos karogus" jau pirmajā mēnesī?

Trīs skaidri sarkanie karogi pirmajā mēnesī ir: iepirkums vēl nav pabeigts pēc 25 dienām, līgumā nav skaidras datu glabāšanas vietas, un nav iecelts lietu atbildīgais. Ja parādās kaut viens no šiem, projekts ir jāpārskata un jākoriģē tvērums vai laika grafiks. Šo karogu ignorēšana parasti nozīmē, ka projekts pārsniegs 90 dienas un palaišana notiks bez pienācīgas sagatavošanās.

Kā pārbaudīt atbilstību Latvijas un ES prasībām?

Kā pārbaudīt atbilstību Latvijas un ES prasībām? Atbilstības pārbaude jāveic trīs asīs: Latvijas Trauksmes celšanas likuma izpilde, ES Direktīvas 2019/1937 prasību ievērošana un VDAR (GDPR) datu aizsardzības nosacījumu nodrošināšana. Katra no šīm asīm aptver konkrētus pārbaudes punktus, kas jādokumentē un jāiesniedz auditā. Atbilstības pārbaude nav vienreizējs uzdevums, bet gan ikgadējs process, kas jāiekļauj uzņēmuma atbilstības programmā.

Pirmā ass — Trauksmes celšanas likums — uzliek pienākumu darba devējiem ar 50 vai vairāk nodarbinātajiem izveidot iekšējo ziņošanas kanālu. Pārbaudes punkti ietver: vai kanāls ir izveidots, vai darbinieki ir informēti, vai ziņojumi tiek apstiprināti septiņu dienu laikā un vai atsauksmes tiek sniegtas trīs mēnešu laikā. Latvijas normatīvais regulējums nosaka arī to, kādas ziņojumu kategorijas ietilpst likuma tvērumā.

Otrā ass — ES Direktīva 2019/1937 — papildina Latvijas likumu ar papildu prasībām, īpaši attiecībā uz ziņotāju aizsardzību un ziņojumu izskatīšanas neatkarību. Pārbaudes punkti šeit ietver: vai ir noteikts neatkarīgs atbildīgais, vai ziņotājs tiek informēts par viņa tiesībām, vai tiek nodrošināta aizsardzība pret atriebību, un vai ziņojumu saturs netiek izpausts nepilnvarotām personām. Sīkāka informācija par šīm prasībām atrodama trauksmes celsanas likums un es direktiva salīdzinājumā.

Trešā ass — VDAR (GDPR) — nosaka datu aizsardzības prasības, kas piemērojamas jebkuram ziņojumu apstrādes procesam. Pārbaudes punkti: vai ir veikts ietekmes uz privātumu novērtējums (DPIA), vai ziņotāja personas dati tiek apstrādāti tikai nolūkā, kam tie ir paredzēti, vai glabāšanas termiņš ir samērīgs, un vai ir īstenota atbilstoša drošība (šifrēšana, piekļuves kontrole). Vispārīgi skaidrojumi par termiņiem un pienākumiem atrodami arī Trauksmes cēlšanas termiņi Latvijā ceļvedī.

Pēc atbilstības pārbaudes ieteicams sagatavot atbilstības pārskatu, kurā uzskaitīti visi pārbaudes punkti, to izpildes statuss un atbildīgie. Šis pārskats kalpo kā pierādījums auditā un palīdz identificēt trūkumus, kas jānovērš. Ja atbilstības pārskats netiek gatavots, pastāv risks, ka neatbilstības tiek atklātas tikai ārējā auditā, kas ir daudz dārgāk.

Kādi ir trīs kritiskie dokumenti, kas jāsaglabā auditam?

Trīs kritiskie dokumenti, kas jāsagatavo un jāglabā vismaz piecus gadus, ir: iekšējā trauksmes celšanas politika, konfigurācijas žurnāls un ziņojumu izskatīšanas žurnāls. Politika pierāda, ka uzņēmumam ir skaidrs process. Konfigurācijas žurnāls pierāda, ka programmatūra ir iestatīta atbilstoši politikai. Ziņojumu izskatīšanas žurnāls pierāda, ka process faktiski tika ievērots. Ja trūkst kaut viens no šiem trim dokumentiem, atbilstības pārbaudi nevar uzskatīt par pilnīgu.

Kā sagatavoties ārējam auditam?

Ārējais audits parasti notiek reizi gadā vai pēc būtiska incidenta. Sagatavošanās sākas vismaz trīs mēnešus pirms auditācijas un ietver: visu trīs kritisko dokumentu pārskatīšanu, izlases veida ziņojumu pārbaudi, darbinieku aptauju par informētību un neatkarīgu drošības testu. Ja jūsu uzņēmums izmanto ārēju konsultantu atbilstības jautājumos, viņš var palīdzēt sagatavot dokumentāciju un identificēt trūkumus pirms auditācijas sākuma.

Biežāk uzdotie jautājumi

Cik ilgā laikā Latvijas uzņēmumam jāievieš iekšējais ziņošanas kanāls?

Latvijas Trauksmes celšanas likums nenosaka konkrētu ieviešanas termiņu dienās, bet prasa, lai kanāls būtu izveidots līdz brīdim, kad uzņēmums kļūst par subjektu. Praksē 90 dienas tiek uzskatītas par optimālu periodu, kas ietver iepirkumu, konfigurāciju, apmācību un palaišanu. Īsāks termiņš parasti nozīmē, ka kāda fāze tiek izlaista, visbiežāk — darbinieku informēšana.

Kas var būt lietu atbildīgais trauksmes celšanas ziņojumiem?

Lietu atbildīgais var būt atbilstības speciālists, iekšējā audita vadītājs vai cita persona, kam ir pietiekama neatkarība un pilnvaras rīkoties ar ziņojumu. Svarīgi, lai šī persona nebūtu pakļauta iespējamā pārkāpuma izdarītājam un viņam būtu skaidra tiesību piekļūt ziņojumu saturam un lemt par tālāko virzību. Lielos uzņēmumos var būt vairāki lietu atbildīgie pēc ziņojuma kategorijas.

Kā nodrošināt, ka ziņotāja identitāte patiešām paliek anonīma?

Anonimitāte tiek nodrošināta trīs līmeņos: tehniskajā (programmatūra nereģistrē IP adreses un sīkfailus ziņošanas lapā), procesuālajā (piekļuve ziņojumam ir ierobežota un kontrolēta) un organizatoriskajā (darbinieki ir apmācīti par konfidencialitāti). Īstenojot visus trīs līmeņus, var runāt par patiesu anonimitātes aizsardzību. Ja kaut viens no līmeņiem ir vājš, anonimitāte var tikt apdraudēta.

Kādas ir sekas, ja netiek ievērots septiņu dienu termiņš?

Septiņu dienu termiņa neievērošana ir likuma pārkāpums, kas var tikt konstatēts ārējā auditā un izraisīt gan administratīvu atbildību, gan reputācijas risku. Turklāt tas var tikt izmantots kā arguments tiesvedībā, ja ziņotājs vēršas tiesā par atriebību. Tieši tāpēc termiņu monitorings ir kritiska programmatūras funkcija, kas jākonfigurē pirms palaišanas. Ja vēl neesat pabeiguši informēšanas posmu, varat sākt ar informet darbiniekus par zinosanas kanalu rokasgrāmatu.

Kā izvēlēties programmatūras piegādātāju?

Piegādātāja izvēlē jāņem vērā seši faktori: atbilstība Latvijas un ES prasībām, drošības līmenis (šifrēšana, mitināšana ES), konfigurācijas iespējas, atbalsts latviešu valodā, cena un ieviešanas laiks. Viens no svarīgākajiem kritērijiem ir spēja pielāgoties jūsu uzņēmuma lielumam un struktūrai, nevis piedāvāt "vienu izmēru visiem" risinājumu. Pirms līguma parakstīšanas ieteicams veikt vismaz trīs piegādātāju salīdzinājumu un pārbaudīt atsauksmes no līdzīga lieluma uzņēmumiem.

Avoti