Ashio whistleblowing software

Sep 24, 2026

Vyšetřování interního oznámení krok za krokem: od přijetí hlášení po uzavření případu

Vyšetřování interního oznámení krok za krokem: od přijetí hlášení po uzavření případu

Většina compliance officerů se na první anonymní hlášení připravuje teoreticky — a v praxi zjistí, že chybí konkrétní postup od přijetí až po uzavření, který by obstál u auditora i u soudu. Právě tady se rozhoduje, zda organizace zvládne sedmidenní lhůtu pro potvrzení, tříměsíční lhůtu pro zpětnou vazbu a zda při kontrole doloží, že se nikdo nestal terčem represálií. Tento návod ukazuje, jak vézt vyšetřování interního oznámení krok za krokem — od okamžiku, kdy anonymní podání dorazí do schránky, až po uzavření případu a předání dokumentace auditorovi. Cílem je jasný řetězec rozhodnutí, který zvládnete reprodukovat i pod tlakem termínů.

Obsah

Klíčové poznatky

  • Vyšetřovací workflow u interního oznámení musí pokrýt šest fází: příjem, triage, plán vyšetřování, sběr důkazů, komunikaci s oznamovatelem a uzavření případu — každá fáze zanechává vlastní stopu v auditním protokolu.
  • Sedmidenní lhůta pro potvrzení a tříměsíční lhůta pro zpětnou vazbu podle směrnice EU o oznamovatelích jsou závazné termíny; jejich prokázání musíte mít připravené dříve, než první hlášení dorazí.
  • Důkazní řetězec stojí na třech pilířích: neměnném časovém razítku, izolaci důkazů od běžné firemní komunikace a přístupu k případu založeném na rolích.
  • Komunikace s anonymním oznamovatelem musí probíhat výhradně přes bezpečný obousměrný kanál uvnitř platformy — nikoli přes e-mail, firemní chat ani telefon.
  • Uzavření případu znamená nejen rozhodnutí o nálezu, ale i vydání závěrečné zprávy oznamovateli, archivaci všech artefaktů a přípravu auditního balíčku pro ISO 37002 i pro orgány vnitřní kontroly.

Co je vyšetřovací workflow a proč na něm závisí obhajoba u auditora

Vyšetřovací workflow u whistleblowingu je opakovatelný postup, který definuje, kdo co udělá s každým hlášením od přijetí až po archivaci. Nestačí mít formulář a schránku — auditor i soud se ptají, zda existuje zdokumentovaný proces, podle kterého se postupovalo u všech případů stejně.

Workflow musí být písemný, schválený vedením a známý všem členům týmu, kteří se na vyšetřování podílejí. Postup „v hlavě" zkušeného compliance officeru nestačí — pokud kolega onemocní nebo odejde, nový člověk musí vědět přesně, co dělat v prvních 24 hodinách. Tehdy se rozhoduje o tom, zda stihnete sedmidenní lhůtu pro potvrzení a zda prvotní důkazy zůstanou v čistém, neměnném stavu.

Workflow by měl pokrývat šest fází, z nichž každá zanechává v auditním protokolu vlastní stopu:

  1. Příjem hlášení — zaznamenání data, kanálu, kategorií pochybení a identifikátoru případu.
  2. Triage — posouzení závažnosti, urgence, bezpečnostního rizika pro oznamovatele a rozhodnutí, kdo případ přebírá.
  3. Plán vyšetřování — seznam hypotéz, svědků, důkazů, požadovaných dokumentů a časového rámce.
  4. Sběr a analýza důkazů — výslechy, revize dokumentů a zachování důkazního řetězce.
  5. Komunikace s oznamovatelem — pravidelná, avšak přiměřeně obecná zpětná vazba, která neohrozí anonymitu ani integritu vyšetřování.
  6. Uzavření případu — závěrečná zpráva, nález, opatření, informování oznamovatele a archivace.

Pokud některou fázi vynecháte nebo sloučíte s jinou, auditor to při kontrole uvidí. Vyšetřovací workflow whistleblowing je důkaz, že jste jednali s péčí řádného hospodáře a že váš proces není závislý na náhodě.

Jaké jsou nejčastější chyby ve workflow, které auditoři okamžitě rozpoznají?

Auditoři typicky nacházejí tytéž slabiny: chybějící časová razítka, sdílené schránky bez přístupových práv, dokumentaci v e-mailech a rozhodnutí bez uvedení důvodu. Workflow musí být proto postavený tak, aby každé rozhodnutí bylo zpětně dohledatelné a každý krok měl přiřazeného vlastníka. Jinak se z něj při kontrole stane spíše zátěž než obrana.

Mezi konkrétní projevy takových slabin patří například situace, kdy je příjem hlášení zaznamenán pouze v e-mailové konverzaci bez jednoznačného data a identifikátoru případu. Stejně tak rozhodnutí o závažnosti bývá uloženo v chatu nebo v osobních poznámkách vyšetřovatele, takže při výměně pracovníka se celý kontext ztratí. Právě proto by měl každý krok — od prvního potvrzení přes triage až po uzavření — existovat v jediné autoritativní verzi uložené v systému s neměnným časovým razítkem a s definovaným vlastníkem.

Jak přijmout anonymní hlášení, aby se neporušila identita oznamovatele

Příjem anonymního hlášení je první okamžik, ve kterém můžete identitu oznamovatele nevratně vyzradit — a stává se to i nevinnými kanály. Stačí, aby oznamovatel použil firemní e-mail nebo se připojil z podnikové Wi-Fi, a v hlavičkách zprávy zůstanou stopy, které ho prozradí.

Postupujte tak, aby se identita oznamovatele dostala do kontaktu jen s těmi, kteří ji nezbytně potřebují. Nejprve ověřte, že platforma, kterou používáte, nesbírá IP adresy, neukládá cookies, neprovádí fingerprinting prohlížeče a nevyžaduje e-mail ani registraci. Pokud kterýkoli z těchto požadavků nesplňuje, máte v kanálu skrytý sběrač metadat. Směrnice EU o oznamovatelích, konkrétně článek 6 o transparentnosti a článek 16 o uchovávání identity, přitom výslovně ukládá chránit totožnost oznamovatele před neoprávněným přístupem — viz směrnice (EU) 2019/1937.

Praktický postup při příjmu:

  • Okamžitě přidělte identifikátor případu, například „WH-2024-0017", a pod tímto kódem veďte veškerou další agendu. Nikde nepoužívejte jméno oznamovatele ani popis, podle kterého by se dal v malém kolektivu identifikovat.
  • Rozdělte přístupová práva tak, aby osobní údaje oznamovatele (i když jde o anonymní podání, může obsahovat indicie) viděl jen pověřený vyšetřovatel, a nikoli celý tým najednou.
  • Ověřte, zda hlášení neobsahuje náhodné identifikátory — popis pracoviště, časového okna, konkrétní kolegy, čísla projektu. Pokud ano, rozhodněte, zda tyto údaje anonymizovat hned, nebo s nimi pracovat podle potřeby a dbát na to, aby se nikam nešířily.
  • Zaznamenejte datum a čas přijetí do auditního protokolu. Toto je první razítko, u kterého musíte umět prokázat, že jste od něj odvodili sedmidenní lhůtu pro potvrzení.

Co musí obsahovat první auditní záznam o přijetí hlášení?

Auditní záznam musí obsahovat datum a čas přijetí, identifikátor případu, kategorii pochybení (například podezření z podvodu, obtěžování, porušení bezpečnosti), jméno vyšetřovatele, který případ převzal, a rozhodnutí o nízké, střední nebo vysoké závažnosti. Teprve s těmito poli máte založený záznam, na který můžete navazovat v dalších fázích. Pokud kterékoli z nich chybí, je celý důkazní řetězec při interním oznámení oslabený.

Jak vézt důkazní řetězec při interním oznámení, aby obstál u soudu

Důkazní řetězec je posloupnost kroků, kterými důkaz prošel od okamžiku svého vzniku až po jeho předložení. Pokud se v tomto řetězci ztratí byť jedno pojítko, soudce nebo auditor může důkaz odmítnout — a vy přijdete o nejlepší argument pro obhajobu svého závěru.

Základní pravidlo zní: čím dříve důkaz izolujete od běžného firemního provozu, tím lépe. Pokud důkaz zůstane ve sdílené poště, firemním chatu nebo na osobním notebooku vyšetřovatele, ztratíte možnost prokázat, že s ním nebylo manipulováno. Izolace znamená přesun do úložiště, ke kterému má přístup jen úzký okruh pověřených osob, a kde se každý přístup loguje. Standard ISO 37002:2021, kapitola 7.5 o dokumentaci, tento princip výslovně vyžaduje — viz ISO 37002:2021.

Praktické zásady pro důkazní řetězec:

  • Každý důkaz opatřete časovým razítkem a identifikátorem případu, ke kterému patří. Razítko musí být zapsané v systému, jehož čas nelze měnit zpětně.
  • Přístup k důkazům udělujte na základě rolí, nikoli na základě organizačního zařazení. I právní oddělení by mělo vidět jen to, co nezbytně potřebuje, a zásadně přes protokolovaný přístup.
  • Sepište rozhodnutí o každém kroku — proč jste tento důkaz shromáždili, proč jste oslovili zrovna tohoto svědka, proč jste ponechali či vyloučili určitou linii vyšetřování. Tato zdůvodnění jsou při auditu i u soudu klíčová.
  • Uchovávejte originály a oddělené kopie tak, aby se originál nikdy neupravoval. Jakákoli práce s důkazem probíhá výhradně na kopii, jejíž verze se verzují.

V praxi to znamená, že například výpis z přístupového systému bude uložený ve vyšetřovacím úložišti odděleně od běžné IT infrastruktury, s vlastním logem přístupů a s neměnným časovým razítkem. Stejně tak výslechové poznámky budou existovat v jedné autoritativní verzi, ke které se nepřipisují dodatečné poznámky mimo protokolované revize.

Kdy je vhodné přizvat externího forenzního specialistu?

Externího forenzního specialistu přizvěte vždy, když existuje riziko, že interní tým bude vnímán jako podjatý, nebo když složitost důkazů přesahuje interní kapacity — typicky u IT incidentů, podezření z korupce ve veřejné zakázce nebo u případů s přeshraničním prvkem. Přizvání specialisty posiluje důkazní řetězec při interním oznámení, protože do protokolu vstupuje nezávislá strana, která potvrzuje postup. Pokud byste se přizváním zdráhali i u jasně závažného případu, auditor to může vykládat jako nedostatek péče.

Jakou roli má při vyšetřování compliance officer, HR a vedoucí tým

Rozdělení rolí je místo, kde se v praxi nejvíce chybuje. Compliance officer dostává hlášení, ale často neví, kdy smí zapojit HR, kdy musí informovat vedení a kdy je naopak musí držet mimo, aby nedošlo ke střetu zájmů.

V kostce by mělo rozdělení vypadat takto:

  • Compliance officer vede celý proces, rozhoduje o závažnosti, přiděluje případ vyšetřovateli a je garantem dodržení lhůt podle směrnice EU o oznamovatelích. Jeho úkolem je udržet proces v kolejích, ne nutně vyšetřovat každý detail.
  • HR vstupuje do hry ve chvíli, kdy se případ dotýká pracovněprávních vztahů — pokud se uvažuje o disciplinárním řízení, hrozí ukončení pracovního poměru nebo je třeba chránit oznamovatele před represáliemi. HR nesmí dostávat přístup k identitě oznamovatele dříve, než je to bezpodmínečně nutné, a vždy jen v roli, kterou nezbytně potřebuje.
  • Vedoucí tým by měl být informován jen tehdy, pokud případ přesahuje rámec běžného vyšetřování — typicky jde o podezření ze závažného podvodu, bezpečnostní incident nebo situaci, kdy je sám vedoucí předmětem hlášení. V takovém případě je třeba informovat vedoucí orgán (například představenstvo), nikoli přímo manažera, jehož se případ týká.

Pro menší organizace, kde se tyto role překrývají, je klíčové mít písemně stanovené pravidlo, kdo zastupuje kterou roli v případě střetu zájmů. Pokud je compliance officer zároveň HR ředitelem, musí být ve workflow předem definovaný zástup, který v takové situaci přebírá vedení případu. Stejně tak pokud je vedoucí tým zároveň předmětem hlášení, musí existovat cesta, jak záležitost eskalovat mimo jeho přímou linii — typicky k internímu auditorovi nebo k představenstvu. Detailnější pohled na to, jak takové rozdělení rolí řeší jednotlivé týmy v praxi, nabízí průvodce pro compliance týmy.

Jak se vyhnout střetu zájmů u malých týmů?

Střetu zájmů se vyhnete tak, že si ještě před přijetím prvního hlášení písemně určíte zástupce pro roli compliance officeru, HR a vedoucího týmu — a to vždy mimo přímou linii toho, kdo by mohl být předmětem hlášení. Pokud je organizace tak malá, že zástupce není k dispozici, je namístě přizvat externího advokáta nebo alespoň zdokumentovat, jak jste střet zájmů řešili. Bez tohoto kroku je celý vyšetřovací workflow whistleblowing snadno napadnutelný.

Jak komunikovat s oznamovatelem během vyšetřování bez porušení anonymity

Jak komunikovat s oznamovatelem během vyšetřování bez porušení anonymity Komunikace s oznamovatelem je oblast, ve které organizace opakovaně chybují — buď nekomunikují vůbec, nebo komunikují způsobem, který anonymitu poruší. Směrnice EU o oznamovatelích přitom výslovně ukládá, že oznamovatel má právo na zpětnou vazbu, ale zároveň musí být chráněna jeho identita.

Základní pravidlo zní: veškerá komunikace probíhá výhradně uvnitř platformy, kterou oznamovatel použil. Nikdy neodpovídejte z firemního e-mailu, nikdy nepište oznamovateli na soukromý telefon, nikdy nevolte jeho jménem v prostorách kanceláře. Pokud byste cokoli z toho udělali, identita se vyzradí — a vy ztratíte nejen důvěru oznamovatele, ale i právní ochranu, kterou směrnice poskytuje.

Konkrétně dodržujte tyto zásady:

  • První zprávu odešlete do sedmi dnů od přijetí, jak vyžaduje směrnice (EU) 2019/1937. Zpráva by měla obsahovat potvrzení přijetí, stručný popis dalšího postupu a kontaktní bod pro případné doplňující informace.
  • Další zprávy posílejte v rozumných intervalech, typicky jednou za dva až čtyři týdny, abyste udrželi důvěru oznamovatele, ale zároveň neprozradili průběžné detaily vyšetřování.
  • Formulujte zprávy obecně, ale srozumitelně. Místo „vyslechli jsme svědka X a zjistili jsme, že…" použijte „prověřili jsme vaše tvrzení a v současnosti pokračujeme v analýze dokumentace". Detaily by mohly identifikovat konkrétní osoby.
  • Neptejte se na identitu — pokud oznamovatel zůstává anonymní, nepokoušejte se ho identifikovat ani prostřednictvím „neškodných" otázek typu „ve kterém týmu pracujete". I taková otázka může v kombinaci s dalšími indicemi stačit.

Právě v této fázi se ukazuje, proč je důležité, aby byl kanál pro oznamování skutečně oddělený od běžné firemní infrastruktury. Pokud komunikujete přes sdílenou e-mailovou schránku nebo přes Slack, každá zpráva zanechává stopu v hlavičkách, logu nebo u poskytovatele e-mailu. Bezpečný obousměrný kanál uvnitř whistleblowingové platformy chrání obě strany — oznamovatele před identifikací a organizaci před obviněním z porušení anonymity. Pokud se chcete podívat, jak může takový kanál vypadat v praxi, je užitečné prostudovat si možnosti whistleblowingového softwaru pro HR týmy, protože právě HR nejčastěji řeší dilema mezi potřebou komunikovat a povinností chránit anonymitu.

Jak dlouho má trvat, než odpovíte oznamovateli na doplňující otázku?

Na doplňující otázku odpovězte ideálně do 48 hodin, rozhodně ne déle než do pěti pracovních dnů. Rychlost reakce je pro oznamovatele signálem, že jeho podání nebylo odloženo, a chráníte tím jeho ochotu spolupracovat. Pokud odpověď do 48 hodin nestihnete, odešlete alespoň krátké potvrzení, že jste zprávu přijali a že zpracování trvá déle. Tím se vyhnete tomu, aby se oznamovatel domníval, že jste ho ignorovali — což je podle judikatury Soudního dvora EU jeden z faktorů, které soudy posuzují při posuzování represálií.

Kdy a jak případ uzavřít včetně lhůt 7 dní a 3 měsíce

Uzavření případu není jen rozhodnutí, zda šlo o pochybení. Je to okamžik, ve kterém musíte zároveň dodržet dvě závazné lhůty, informovat oznamovatele a připravit auditní stopu.

Sedmidenní lhůta pro potvrzení a tříměsíční lhůta pro zpětnou vazbu jsou dva zásadní termíny ukotvené v článku 11 směrnice EU o oznamovatelích. Směrnice umožňuje lhůtu pro zpětnou vazbu v odůvodněných případech prodloužit na šest měsíců, ale toto prodloužení musíte oznámit oznamovateli a zdůvodnit. Pokud tuto lhůtu nedodržíte bez zdůvodnění, vystavujete se riziku správního postihu.

Praktický postup uzavření:

  • Nejprve rozhodněte o nálezu — buď bylo pochybení prokázáno, prokázáno částečně, nebo nebylo prokázáno. Rozhodnutí musí být zdůvodněné a podložené důkazy, jinak se stane snadno napadnutelným.
  • Poté formulujte opatření — disciplinární řízení, změna procesu, proškolení, úprava interní směrnice nebo naopak konstatování, že není třeba jednat. Opatření musí být přiměřená zjištění.
  • Následně informujte oznamovatele s ohledem na ochranu anonymity. Zpráva by měla obsahovat informaci o výsledku, přijatých opatřeních a případně důvodech, proč určité informace nelze sdělit.
  • Uzavřete případ v systému — přidělte stav „uzavřeno", uložte datum uzavření, finální zprávu, seznam důkazů a rozhodnutí o následných krocích.

Důležité je, aby uzavření případu neznamenalo jeho zapomenutí. Archivace musí proběhnout v úložišti, kde záznam zůstává čitelný po celou dobu, po kterou to vyžadují předpisy — typicky pět let od uzavření, případně déle, pokud jde o případ s potenciálními občanskoprávními nebo trestněprávními důsledky. V České republice se na uchovávání osobních údajů v rámci pracovněprávních vztahů vztahuje zákon č. 110/2019 Sb., o zpracování osobních údajů, který je v souladu s GDPR.

Co když oznamovatel nesouhlasí se závěry vyšetřování?

Pokud oznamovatel nesouhlasí, musíte mu nabídnout možnost obrátit se na nezávislý orgán — typicky na interního ombudsmana, pokud ho máte, nebo přímo na příslušný orgán veřejné moci, například na Úřad pro ochranu oznamovatelů. Nesouhlas oznamovatele sám o sobě neznamená, že byl váš závěr chybný, ale musíte ho řádně zdokumentovat a uložit. Pokud by se později objevily nové důkazy, je třeba mít v protokolu zapsáno, že oznamovatel svou nespokojenost uplatnil a že jste ji vzali na vědomí.

Jaké dokumenty a logy připravit pro auditory ISO 37002 a vnitřní kontrolu

Auditní balíček je soubor dokumentů, který auditor potřebuje k posouzení, zda váš vyšetřovací proces splňuje požadavky normy a zákona. Nestačí mít výslednou zprávu — auditor chce vidět celý průběh, včetně rozhodnutí, která jste učinili a která možná ani nevedla k jednoznačnému závěru.

Pro audit podle ISO 37002:2021 připravte tyto kategorie dokumentů:

  • Směrnice a postupy — schválený vyšetřovací workflow, definice rolí, pravidla pro střet zájmů a pravidla pro komunikaci s oznamovatelem. Auditor chce vidět, že postup existuje v písemné formě a je schválený vedením.
  • Auditní stopa každého případu — časová razítka přijetí, rozhodnutí o závažnosti, seznam osob s přístupem k případu, logy přístupu k důkazům a datum uzavření. Auditní stopa musí být neměnná a úplná.
  • Dokumentace rozhodnutí — zdůvodnění, proč byl případ přijat, proč byly vyloučeny nebo naopak prozkoumány určité linie vyšetřování, jaké důkazy byly použity a jaké nikoli.
  • Komunikace s oznamovatelem — kopie všech zpráv odeslaných oznamovateli, včetně prvního potvrzení a závěrečné zprávy. Komunikace musí být vedena uvnitř platformy a oddělena od běžné firemní komunikace.
  • Výstupy a opatření — závěrečná zpráva s nálezem, seznam přijatých opatření, odpovědné osoby a termíny plnění.

V kontextu českého prostředí se auditem rozumí také vnitřní kontrola podle zákona č. 320/2001 Sb., o finanční kontrole ve veřejné správě — pokud vaše organizace přijímá veřejné prostředky nebo s nimi nakládá. I když jde o soukromý subjekt, principy finanční kontroly jsou užitečným vodítkem pro to, jak strukturovat vnitřní auditní proces.

Důležité je, aby auditní balíček nebyl připravovaný dodatečně až v okamžiku kontroly, ale aby vznikal průběžně. Pokud totiž dokumentaci skládáte těsně před auditem, hrozí, že některé kroky zůstanou mimo evidenci. Vyšetřovací workflow whistleblowing musí auditní stopu generovat automaticky, nikoli zpětně.

Jak dlouho se mají auditní záznamy uchovávat?

Auditní záznamy uchovávejte po dobu nejméně pěti let od uzavření případu, v případě závažných případů s potenciálními právními důsledky déle. Tato doba vychází z obecných promlčecích lhůt a z požadavků GDPR na omezení uchovávání, které však zároveň vyžaduje, abyste po dosažení účelu uchovávání údaje smazali. V praxi to znamená, že si u každého případu stanovíte datum, ke kterému bude archivace ukončena, a toto datum budete respektovat.

Časté dotazy

Musím potvrdit příjem anonymního hlášení, i když nevím, kdo ho poslal?

Ano, potvrzení příjmu musíte odeslat do sedmi dnů, a to i v případě, že oznamovatel zůstává plně anonymní. Potvrzení slouží jako důkaz, že jste hlášení přijali a že jste zahájili vyšetřování. Odešlete jej obousměrným kanálem uvnitř platformy, kterou oznamovatel použil, aby se identita neprozradila prostřednictvím e-mailu. Pokud byste potvrzení neodeslali, porušíte směrnici EU o oznamovatelích a vystavíte se riziku správního postihu.

Jak dlouho smím během vyšetřování čekat, než odpovím oznamovateli na doplňující otázku?

Na doplňující otázku odpovězte ideálně do 48 hodin, rozhodně ne déle než do pěti pracovních dnů, abyste udrželi důvěru oznamovatele. Delší prodleva může být vykládána jako nezájem o případ, a to i v případě, že vyšetřování reálně probíhá. Pokud odpověď do 48 hodin nestihnete, odešlete alespoň krátké potvrzení, že zprávu zpracováváte.

Mohu v průběhu vyšetřování informovat vedoucího pracovníka, jehož se hlášení týká?

Vedoucího pracovníka, jehož se hlášení týká, informujte až ve chvíli, kdy je to nezbytné pro pokračování vyšetřování, a vždy jen v rozsahu, který nezbytně potřebuje. Pokud byste ho informovali předčasně, riskujete ovlivnění svědků, maření vyšetřování a v krajním případě i represálie vůči oznamovateli. U závažných případů je namístě informovat přímo nadřízený orgán, například představenstvo nebo interního auditora, a nikoli přímo vedoucího, jehož se případ týká.

Co mám dělat, když se oznamovatel ozve až po uzavření případu?

Pokud se oznamovatel ozve po uzavření případu, znovu otevřete případ jen tehdy, pokud přináší nové skutečnosti nebo důkazy, které mohou ovlivnit závěr. Samotná nespokojenost oznamovatele s výsledkem není důvodem k obnovení vyšetřování, ale musíte ji zdokumentovat a uložit. Pokud nové informace skutečně mohou změnit závěr, postupujte podle stejného workflow jako u nového hlášení.

Jak poznám, že můj auditní balíček bude stačit pro ISO 37002 i pro českou vnitřní kontrolu?

Auditní balíček je dostatečný, pokud obsahuje písemné směrnice, neměnnou auditní stopu každého případu, zdokumentovaná rozhodnutí, kopie komunikace s oznamovatelem a seznam přijatých opatření. Pokud tyto kategorie pokryjete u všech případů stejně, obstojíte jak u auditu podle ISO 37002, tak u vnitřní kontroly. Důležité je, aby balíček vznikal průběžně a nebyl připravovaný dodatečně těsně před kontrolou.

Zdroje