Ashio whistleblowing software

Nov 12, 2026

Trauksmes celšanas revīzijas pierādījumu pakete: ko sagatavot auditoram

Trauksmes celšanas revīzijas pierādījumu pakete: ko sagatavot auditoram

Revīzijā nepiemēro, cik daudz ziņojumu jūsu kanāls saņēma. Auditoru interesē cits: vai varat pierādīt, kā ziņojumi tika saņemti, reģistrēti, izmeklēti, dokumentēti un slēgti. Šī rokasgrāmata palīdz sagatavot pārbaudāmu trauksmes celšanas revīzijas pierādījumu paketi, nevis savākt neorganizētus ekranšauktus un atsevišķus e-pastus.

Saturs

Galvenās atziņas

  • Pilnīga pierādījumu pakete sastāv no piecām savstarpēji saistītām daļām: procedūras, ziņojumu apstrādes, lēmumu, piekļuves un tehniskās drošības dokumentācijas.
  • Katram ziņojumam nepieciešams izsekojamāks dzīves cikls: saņemšana, apstiprināšana, izmeklēšana, galīgais lēmums un piezīmes.
  • Auditoram vajag laika rāmi, ne tikai ekrāna attēlus: 7 dienu apstiprināšanas un 3 mēnešu atgriezeniskās saites termiņi ir jāuzrāda skaidri.
  • ISO 37002 atbilstību nedrīkst pierādīt ar vispārīgu apgalvojumu; katrai normai atbilst konkrēts process un tam pievienoti pierādījumi.
  • Katalogizējiet visu materiālu atbilstības pierādījumu failā ar piekļuves kontroli, atribūciju un versiju vēsturi.

Gatavs pierādījumu paketes pārbaudāmais saraksts

Trauksmes celšanas revīzijas pierādījumiem jābūt pārbādejamiem pa vienam ceļam no ziņojuma iesniegšanas līdz lietas slēgšanai. Pilnīga pakete parasti aptver procedūru, reģistru, lēmumu, piekļuves un drošības dokumentus, kā arī skaidru atbilstības matricu pret piemērojamajiem normatīvajiem aktiem.

Minimālie pārbādes punkti ir šādi:

  • Juridiskais pamatteksts — piemērojamie ES un Latvijas normatīvie akti, organizācijas iekšējie kārtulas un procedūras.
  • Kanāla darbības apraksts — kā ziņojumus iesniedz, kā tie tiek saņemti un kā ziņotājam nodrošināta konfidencialitāte.
  • Ziņojumu reģistrs vai procesa žurnāls — datums, statuss, atbildīgais, saskaņotie termiņi un visas nozīmīgās darbības.
  • Lietu materiāli — saziņas ar ziņotāju, izmeklēšanas notices, pierādījumu pielikumi un galīgie lēmumi.
  • Termiņu uzraudzības pierādījumi — ziņojuma apstiprināšana 7 dienu laikā un atgriezeniskās saites nodrošināšana 3 mēnešu laikā.
  • Piekļuves un lomas — piekļuves tiesību apraksts, nozīmīgo lomu uzdevumi un atlūgumu vai piekļuves izņēmumu procedūras.
  • Tehniskās drošības atbilstība — mitināšanas, šifrēšanas, datu glabāšanas un piekļuves uzraudzības apraksts.
  • Atbilstības izvērtēšana — pārbiedēto normu, procesu un pierādījumu pārskats ar skaidrām atzīmēm.

Šāds revīzijas dokumentu saraksts ļauj auditoram ātri atrast katru informācijas elementu un vienlaikus novērst interpretācijas risku. Pirms pārbundes saskaņojiet failu saturu ar atbildīgo personu, jo dažādas organizācijas glabā vienādus pierādījumus atšķirīgos formātos.

Kādas revīzijas dokumentu atbilstības izskatīs?

Revīzijā pārbauda nevis dokumenta izskatu, bet gan tā saistošo spēku: vai pierādījums pierāda, ka organizācija darbojās saskaņā ar savām procedūrām un piemērojamajiem pienākumiem. Līdz ar to dokumentam jābūt ieskaidrotam, pieejama tikai autorizētajām personām, datums jābūt noskaidrojams un tam jābūt saistītam ar konkrētu lietu vai procesa posmu.

Pārbaudāmo dokumentu varētu iedalīt šādi:

  • Atbilstības pamata dokumenti — procedūras, darba devēja iekšējie noteikumi un līguma noteikumi.
  • Operatīvie pierādījumi — reģistri, procesa žurnāli, notices, atbildes un lēmumi.
  • Pārraudzības pierādījumi — piekļuves pārskati, lomu apraksti, apmācību un uzturēšanas dokumentācija.
  • Tehniskie pierādījumi — drošības novērtējumi, šifrēšanas un mitināšanas apraksts, dublēšanas un glabāšanas procedūras.

Galvenais jautājums ir sekojošs: var auditors, balstoties uz piegādātajiem dokumentiem, patstāvīgi secināt, ka process tika īstenots? Ja dokumenti rāda tikai plānu, bet nevis izpildi, pierādījumu pakete nav pabeigta.

Sagatavojot atbilstības pamata dokumentus, pārbaudiet to, vai tie atsaucas uz konkrētiem ES noteikumiem. Eiropas trauksmes celšanas direktīvas prasību atbilstību labāk nodrošināt skaidra atbilstības matrica, nevis vispārīgs paziņojums par normatīvu ievērošanu. Katrai rindai matricā jābūt trīs daļām: normatīvais pamatteksts, organizācijas veiktais darbs un pierādījuma fails.

Prakse rāda, ka dažus dokumentus nevajadzētu pievienot vispār. Tas, kas nav saistīts ar revīzijas tvērumu, palielina datu izplatības risku un apgrūtina pārbaudi. Pirms kopēšanas noņemiet personiskos datus, kas nav nepieciešami konkrētam lēmumam.

Kā sagatavot revīzijai procesa žurnāla paraugu?

Trauksmes celšanas procesa žurnāls ir galvenais elements, kas savieno katru atsevišķo dokumentu ar notikumu secību. Žurnāla paraugam jāatspoguļo reālā darbība, nevis tikai plānotais process, un tam jābūt iespējams pārbaudīt pret citiem pierādījumiem.

Ieteicamā kolonnu struktūra:

  • identifikācijas numurs;
  • ziņojuma saņemšanas datums un laiks;
  • kanāla veids;
  • ziņotāja atgriezeniskās saites identifikators, ja tāds ir;
  • saņemšanas apstiprinājuma datums;
  • lietas atbildīgais;
  • pašreizējais statuss;
  • nākamā termiņa datums;
  • veiktās darbības un to datums;
  • galīgā lēmuma veids un datums;
  • piezīme par pārsūtīšanu vai glabāšanas termiņu.

Žurnāla izveidei vajadzīga vienota datu definīcija. Piemēram, ja “saņemts” nozīmē platformā fiksētu laiku, bet “izmeklēšanā” nozīmē lietas atbildīgā piekrišanos, šie notikumi jāatšķir atsevišķi. Tas novērš situāciju, kad vēlāk nevar noteikt, kāds termiņs sākās un kāds beidzās.

Sagatavojot paraugu, pirms rediģēšanas izveidojiet divas lomas: viens darbinieks pārbriež procesu, bet otra persona pārbauda ierakstu precizitāti. Dubultā kontrole ir svarīga it īpaši tad, ja žurnāla datus papildina ar korespondenci.

Trauksmes celšanas programmatūras darbības žurnāls var palīdzēt saglabāt notikumu secību un termiņus, taču ārējai revīzijai jāuzrāda arī pieejamie apstiprinājumi un termiņi. Ziņošanas programmatūras ieviešanas laikā pārliecinieties, ka izveidotie lauki un darbību žurnāls atbalsta katru lietu, procesa posmu un termiņu.

Kādas revīzijas jautājumus sagatavot auditoram?

Kādas revīzijas jautājumus sagatavot auditoram? ISO 37002 revīzijas jautājumiem jāpārbauda kanāla darbību kā kontrolētu procesu, nevis tikai dokumentu esamību. Labi sagatavots jautājumu kopums palīdz auditoram atrast neatbilstības un vienlaikus liecina par organizācijas pārvaldības disciplīnu.

Piemērotu jautājumu grupas:

  • Ziņojuma ceļš — vai ziņotājs varēja iesniegt ziņojumu bez konta un vai kanāls pieņēma ziņojumu arī tad, ja daļa tehnisko informācijas nebija pieejama.
  • Termiņi — kā tiek kontrolēts 7 dienu apstiprināšanas termiņš un kā tiek nodrošināta atgriezeniskā saite 3 mēnešu laikā.
  • Neatkarība — kā lietas atbildīgais tiek nozīmēts un kā nodrošināta iespēja izslēgt konfliktus.
  • Dokumentācija — kā lēmumi, pierādījumi un piezīmes tiek saistīti ar konkrētu ziņojumu.
  • Aizsardzība pret atriebību — kā organizācija identificē risku un reaģē uz aizdomām par atriebību.
  • Drošība un konfidencialitāte — kā tiek ierobežota piekļuve un kā dati tiek aizsargāti.

Jautājumus ieteicams noformulēt tā, lai uz katru jautājumu varētu atsaukties uz konkrētu pierādījumu. Izvairieties no jautājumiem, uz kuriem atbilde ir “jā” vai “nē”, jo tie nespriež procesa kvalitāti. Labāks jautājums lūdz paskaidrot lēmumu, izslēgšanas pamatu vai veiktās darbības.

ISO 37002 novērtēšanā organizācijai vajadzētu savus secinājumus un pierādījumus atdalīt. Ārējais revidents novērtē, vai secinājumi pamatoti balstās uz pierādījumiem; viņš nedrīkst aizstāt organizācijas atbildīgo personu. Atbilstības speciālistiem paredzētajā darba plānā šī atbildības robeža ir jāfiksē rakstiski.

Darba devēja revīzija bieži aptver arī darba devēja procedūru un piegādātāja pienākumus. Tāpēc atsevišķi norādiet, kuri pierādījumi pieder organizācijai, kuri piegādātājam un kuri kopīgi pārvaldītiem procesiem. Tas samazinās strīdus par piekļuvi un atbildību pārbaudes laikā.

Kā pierādīt ISO 37002 atbilstību bez tukšiem apgalvojumiem?

ISO 37002 atbilstību var pierādīt tikai ar saistību starp standarta normu, organizācijas procedūru un konkrētu izpildes pierādījumu. Deklarācija, ka kanāls atbilst standartam, bez šīs trīskārtīās saiknes auditoram nav pārliecinoša.

Katrai atbilstības normai atbilstības pierādījumu failā ieteicams norādīt:

  • standarta vai tiesību akta prasību;
  • organizācijas procesa vai procedūras daļu;
  • pierādījuma veidu;
  • dokumenta identifikācijas numuru;
  • atbildīgo personu;
  • pēdējā pārbaudes datumu.

Vēl labāk, ja katru prasību var pārbaudīt ar vismaz diviem neatkarīgiem pierādījumiem. Piemēram, termiņa ievērošanu var demonstrēt ar procesa žurnāla ierakstiem un ar konkrētas lietas apstiprinājuma datumiem. Viens pierādījums var būt neprecīzs vai neesošs; divi savstarpēji saistīti pierādījumi veido pārliecinošāku secinājumu.

Pēdējā pārbaudes datums ir svarīgs, jo procedūra var mainīties pēc tam, kad sagatavota atbilstības matrica. Pierakstiet arī nākamā plānotā pārbaudes datumu un konstatēto trūkumu īstenošanas atbildīgo. Tas parāda, ka atbilstība tiek pārvaldīta kā pastāvīgs process, nevis kā vienreizējs audits.

ISO 37002 prasa arī skaidru lēmumu pieņemšanas un pārsūtīšanas kārtību. Šeit svarīgi nošķirt trīs lēmumus: ziņojuma pieņemšana, lietas izpētes pabeigšana un izmeklēšanas rezultātu slēgšana. Ja visi trīs ir apvienoti vienā nepārtrauktā žurnāla statusā, auditoram ir grūti novērtēt, kad sākās un beidzās katrs procesa posms.

Kā sagatavot personas un piekļuves pierādījumus?

Personas un piekļuves pierādījumiem jādemonstrē, ka uzņēmums zina, kas var apstrādāt ziņojumus, kāds ir viņu pienākumu apjoms un kā piekļuve tiek pārbaudīta un atsaukta. Tas ir īpaši svarīgi tad, ja revīzija notiek organizācijā ar augstu personu mainību vai ja sensitīvu lietu izpēti veic ārējs pakalpojumu sniedzējs.

Minimālajā piegādē ietilpt:

  • lomu un atbildību apraksts;
  • piekļuves matricu vai piekļuves uzskaiti;
  • nozīmīgo personu atlūguma procedūras;
  • izmēģinājuma un apmācību pieraksti;
  • lietu izpētē iesaistīto personu konflikta pārbaudes;
  • dokumentēta piekļuves piešķiršanas un atsaukšanas prakse.

Lai aizsargātu ziņotāju un lietu dalībniekus, pierādījumu failā vajadzētu izmantot lomu nosaukumus, nevis personas vārdus, ja konkrēta personas identifikācija nav nepieciešama pārbaudes mērķim. Tas ļauj auditoram pārbaudīt atbildības sadali, neizdalot personiskos datus.

Kad revīzijā piedalās ārējs auditors, sagatavojiet piekļuves procedūru skaidru aprakstu: kas pieprasa piekļuvi, kas to apstiprināja, kāds bija piekļuves mērķis un kad piekļuve beidzās. Šādas darba devēja revīzijas prasības var atšķirīties pat vienas organizācijas iekšienē, ja pārbauda atsevišķas juridiskās vienības vai struktūrvienības.

Piekļuves pārskats nedrīkst būt tikai tehniska apraksta par paroļiem un sistēmām. Tam jāspēj pierādīt, ka piekļuve žurnālam, lietu materiāliem un saziņām ar ziņotāju ir ierobežota arī organizācijā. Drošības un GDPR atbilstības materiāliem jābūt savienotiem ar piekļuves pārvaldības pierādījumiem, nevis jāuzskata par atsevišķu produktu vai tehnisku pielāgojumu.

Kā pārbaudīt, vai pierādījumi veido saskaņotu stāstu?

Pierādījumi veido saskaņotu stāstu tad, ja to datumi, identifikācijas numuri, lomas un pieņēmumi savstarpēji neatkrīt. Labs pārbaudes fails nav vienā lapā esošu dokumentu kopums, bet gan izsekojamā secība, kas atbilst auditora jautājumiem.

Pārbaudi šādus punktus:

  1. Katrs ziņojums izsekojams no sākuma līdz beigai. Žurnāla identifikators atbilst lietas materiāliem, lēmumiem un, ja piemērojams, atgriezeniskās saites ierakstiem.
  2. Datumi nav pretrunādi. Apstiprināšanas datums nepārsniedz 7 dienu termiņu, bet atgriezeniskās saites periods nepārsniedz 3 mēnešus.
  3. Statuss atbilst procesa posmam. Lietas materiāli apstiprina darbību, ko žurnāls apzīmē kā izmeklēšanu vai slēgšanu.
  4. Lēmumi ir pamildoti. Nav pieņemts lēmums bez faktskopja, pierādījuma avota vai izslēgšanas pamatojuma.
  5. Piekļuve ir ierobežota. Katrs dokumenta lietotājs un piekļuves ilgums atbilst piekļuves matricai.
  6. Versijas ir izsekojamas. Aktuālā procedūras versija ir tā, kas tika piemērota attiecīgo lietu laikā.

Praktiskā pārbaude ir vienas dienas seminārs ar auditoru vai neatkarīgu kolēģu. Katrs dalībnieks izvēlos vienu reālu lietu un, balstoties tikai uz piegādātajiem pierādījumiem, patstāvīgi atjauno tās izpildes gaitu. Ja kāds posms nav pierādāms, tas jāatzīmē kā trūkums, nevis jāaizpilda ar mutējumu atmiņā.

Atbilstības pierādījumu failam jābūt pieejams arī tad, ja pārbaudētājs neizmāsina organizācijas iekšējo darba devēju. Faila struktūrai vajadzētu ietvert tā satura rādītāju, versiju žurnālu un dokumentu atbilstības matricu. Pirms nodošanas pārbaudiet arī vai tajā nav personas datu vai konfideeciālas informācijas, kas nav vajadzīga konkrētam revīzijas tvērumam.

Biežāk uzdotie jautājumi

Kādu revīzijas dokumentu sarakstu vajadzēt auditoram?

Auditoram vajadzēt pierādījumu paketei vajadzētu piecām galvenajiem blokiem: procedūras, ziņojumu apstrādes žurnāls, lietu materiāli, termiņu uzraudzības pierādījumi, piekļuves dokumentācija un atbilstības matrica. Dokumenti jānoformē tā, lai katrs secinājums būtu saistīts ar konkrētu lietu, procesa posmu un pēdējo pārbaudes datumu.

Kāds ir labs trauksmes celšanas procesa žurnāls?

Labs procesa žurnāls ir izsekojams, datēts un pārbaudāms pret citiem pierādījumiem. Tajā jābūt redzamiem ziņojuma saņemšanas, apstiprināšanas, izmeklēšanas un slēgšanas notikumiem, atbildīgajam personam, statumam, termiņiem, veiktajām darbībām un galīgajam lēmumam. Žurnāla ieraksti nedrīkst būt tikai brīvi pieraksti, jo auditoram jāvar pārbaudīt to sasaistību ar lietas failiem.

Vai auditoram jāskatā personas dati un sziņotāja identitāti?

Parasti nav. Lai pierādītu procesa darbību, pietiek ar lomu, datumiem, piekļuves un lēmumu dokumentāciju, ja tā ļauj atbildēt revīzijas jautājumiem. Identificējošos datus izmanto tikai tad, ja to nepieciešama konkrēta atbildība vai likumīgas pārbaudes tvērums to prasa, un šādu piekļuvi dokumentē atsevišķi.

Kā pierādīt ISO 37002 atbilstību bez tukšiem apgalvojumiem?

ISO 37002 atbilstību jāpierāda ar izsekojamu trīskārtīgu saikni: normatīvā prasība, organizācijas process un konkrēts izpildes pierādījums. Katrai normai atbilstības matrica un pierādījumu failā jānorāda dokumenta identifikators, atbildīgais un pēdējais pārbaudes datums. Vispārīgs paziņojums par standarta ievērošanu bez šīs saiknes auditoram nav pieņemams.

Kā sagatavot drošības pierādījumus revīzijai?

Drošības pierādījumos skaidiet datu glabāšanas vietu, šifrēšanas pieeju, piekļuves kontroli, žurnālu uzraudzību un incidentu apstrādi. Katrs apgalvojums jāatbalsta ar pieejamu dokumentu vai konkrētu pārbaudes rezultātu. Īpaši svarīgi ir savienot tehniskos pierādījumus ar organizācijas procedūru, jo drošības funkcija bez procedūras nenosaka, kā tā izmantojama praksē.

Avoti