Ashio whistleblowing software

Sep 14, 2026

Whistleblowing politika firmy: povinný obsah a jak ji zavést

Pracovník pro dodržování předpisů prověřuje anonymní případ oznamovatele

Ano, vaše interní whistleblowing politika musí být písemná a musí obsahovat minimálně určení příslušné osoby, dostupné kanály pro oznamování, lhůty 7 a 30 dnů, a záruky ochrany totožnosti oznamovatele. Právním základem je směrnice EU 2019/1937, která tato pravidla zavádí jako minimální standard pro všechny povinné subjekty v EU.

Stručně:

  • Interní whistleblowing politika musí být písemná, obsahovat určení odpovědné osoby a dostupné kanály pro oznamování do 14 dnů, přičemž musí chránit totožnost oznamovatele.
  • Kanály potřebují být zabezpečené s šifrovaným přenosem dat, uložením v EU a omezeným přístupem, aby splnily požadavky GDPR a minimalizovaly riziko odhalení identity.
  • Oznámení musí být potvrzeno do 7 dnů a věcné posouzení provedené do 30 dnů, přičemž složitější případy lze zpracovávat s prodloužením lhůt a s informováním oznamovatele.
  • Proces řešení zahrnuje příjem, záznam, předběžné posouzení, vyšetřování, doporučení opatření a uzavření případu s možností prodloužení u složitých případů.
  • Funkční a testovaný komunikační kanál je klíčem k účinné ochraně zaměstnanců a splnění legislativy, tedy předností je platforma, která zabezpečí anonymitu, správu případů a dodržení lhůt.
Ashio
Zajistěte bezpečný whistleblowing kanál
Ashio chrání identitu oznamovatelů, umožňuje anonymní hlášení a nabízí auditní stopu i přehledné řízení oznámení.
Zjistit více o Ashio

Obsah

Co musí obsahovat interní whistleblowing politika firmy

Dobře napsaná politika není formální dokument do šuplíku, ale návod, který musí obstát v reálné situaci. Měla by mít tuto strukturu:

  • Účel a rozsah – komu je dokument určen (zaměstnanci, bývalí zaměstnanci, uchazeči, dodavatelé) a proč firma politiku zavádí.
  • Definice oznamovaného porušení – jaké jednání spadá pod ochranu (korupce, porušení právních předpisů, ohrožení bezpečnosti) a co naopak ne, typicky běžné pracovní spory nebo osobní stížnosti na kolegy.
  • Kanály pro podání – písemná forma (elektronický formulář, e-mail), ústní forma (telefon) a možnost osobního setkání na žádost oznamovatele do 14 dnů.
  • Zabezpečení a anonymita – jasně popsat, zda systém umožňuje anonymní podání, a jak se v obou režimech chrání identita osoby.
  • Potvrzení přijetí a evidence – lhůta pro potvrzení, způsob vedení evidence a doba uchovávání záznamů.

Konkrétní vzory těchto formulací najdete v šabloně vnitřní oznamovací směrnice, kterou lze upravit podle velikosti firmy. Pro hlubší rozpracování jednotlivých bodů se hodí i podrobný přehled povinného obsahu politiky.

Jaký právní rámec politiku určuje

Směrnice (EU) 2019/1937 ukládá povinným subjektům zajistit dostupnost interních i externích kanálů, zachovat důvěrnost identity oznamovatele a zakázat jakoukoli odvetu vůči němu. Povinným subjektem je zpravidla firma nad 50 zaměstnanců, přičemž firmy s 50 až 249 zaměstnanci mohou v některých případech sdílet zdroje pro příjem a prošetřování oznámení v rámci skupiny.

Praktické šablony vycházejí z jednotné mechaniky lhůt: potvrzení přijetí oznámení do 7 dnů, věcné posouzení do 30 dnů s možností prodloužení dvakrát o dalších 30 dnů u složitých případů, a uchovávání celého spisu minimálně 5 let. [mzdy.cz] Tuto mechaniku popisuje i šablona interní směrnice, kterou přebírá většina existujících firemních politik. Praktickému zasazení whistleblowingu do širšího systému compliance se věnuje i průvodce implementací směrnice.

Lhůty a doba uchovávání v souvislosti s oznamováním pochybení

Jak vypadá proces od přijetí oznámení po jeho uzavření

Provozní postup by měl mít pevnou strukturu, kterou příslušná osoba dokáže opakovaně použít bez ohledu na typ případu:

  1. Příjem – oznámení dorazí zvoleným kanálem a systém nebo osoba zaznamená datum a čas.
  2. Záznam – informace se zapíší do evidence, včetně identifikace kanálu a případné anonymity.
  3. Předběžné posouzení – příslušná osoba do několika dnů rozhodne, zda oznámení spadá do rozsahu politiky.
  4. Vyšetřování – shromažďování podkladů, výslechy, kontrola dokumentů, s dodržením lhůty 30 dnů.
  5. Návrh opatření – doporučení nápravných kroků, případně postoupení vedení nebo orgánům.
  6. Uzavření – informování oznamovatele o výsledku a archivace spisu.

U složitějších případů je nutné lhůtu prodloužit a oznamovatele o tom informovat, ideálně s odhadem nového termínu. Po celou dobu šetření platí dočasná ochranná opatření proti odvetě, například zákaz jakékoli změny pracovních podmínek osoby, která oznámení podala, bez zdůvodnění nesouvisejícího s oznámením.

Jak zabezpečit data a splnit požadavky GDPR

Kanál pro oznamování musí mít šifrovaný přenos dat, ideálně s uložením na serverech v EU, a přístup k evidenci by měl mít jen omezený okruh osob, obvykle příslušná osoba a její zástupce. Auditní stopa, tedy záznam o tom, kdo a kdy s případem pracoval, je nutná pro doložení souladu, ale nesmí odhalit identitu oznamovatele nikomu mimo oprávněné osoby.

Pokud firma využívá externího poskytovatele technického řešení, potřebuje s ním uzavřít zpracovatelskou smlouvu (DPA) a ověřit si bezpečnostní certifikace. Referenci pro posouzení důvěryhodnosti poskytovatelů nabízí i registr Cloud Security Alliance, který sleduje bezpečnostní standardy cloudových služeb.

Kdo může být příslušnou osobou a co potřebuje

Příslušná osoba musí být nestranná, musí mít přístup k potřebným dokumentům a dostatek času na řešení případů, ne jen formální pověření navíc ke stávající pracovní náplni. Firma může tuto roli svěřit i externímu odborníkovi, což řeší konflikt zájmů u malých organizací, kde by interní zaměstnanec mohl posuzovat případ svého nadřízeného.

Doporučuje se zajistit i zástupce pro dobu nepřítomnosti a nezávislý reportingový kanál směrem k vedení firmy, aby výsledky šetření nemohl nikdo blokovat. Příručka pro whistleblowing officera zdůrazňuje právě tuto nezávislost jako klíčovou podmínku funkčního systému, spolu s dostatečnými zdroji pro vyšetřování.

Jak politiku zavést a udržet funkční v čase

Zavedení má smysl rozdělit na jasné kroky: audit současného stavu, nastavení kanálů a evidence, testování, proškolení zaměstnanců a teprve poté ostré spuštění.

  • Jednou ročně proveďte skrytý test kanálu, třeba fiktivní oznámení, které ověří, zda systém funguje a zda se dodržují lhůty.
  • Sledujte metriky jako počet oznámení, průměrnou dobu vyřízení a podíl případů uzavřených v zákonné lhůtě.
  • Výsledky pravidelně reportujte vedení, ideálně čtvrtletně, aby politika nezůstala jen na papíře.

Profesionální tip: Nespoléhejte na sdílenou e-mailovou schránku HR oddělení jako jediný kanál. Praxe ukazuje, že takové schránky často nejsou pravidelně kontrolovány, což ohrožuje dodržení lhůty pro potvrzení přijetí.

Jak technologie zjednoduší plnění zákonných povinností

Ruční správa oznámení v tabulkách a e-mailech se u firem nad 50 zaměstnanců rychle stává neudržitelnou. Specializovaná platforma řeší anonymní podání oznámení, automaticky ukládá auditní stopu a hlídá lhůty 7 a 30 dnů pomocí notifikací, takže příslušná osoba nemusí termíny sledovat ručně.

Rozdělení rolí a oprávnění zajišťuje, že k citlivým údajům má přístup jen omezený okruh lidí, a dashboard s přehledem stavu jednotlivých případů usnadňuje reporting směrem k vedení. Data se ukládají v evropských datových centrech v souladu s GDPR, což řeší i požadavek na bezpečné uchovávání evidence po celou pětiletou lhůtu.

Co byste si měli z tohoto tématu odnést

Většina firem podceňuje jednu věc: whistleblowing politika není primárně o textu dokumentu, ale o tom, zda kanál skutečně funguje ve chvíli, kdy ho někdo poprvé použije. Viděl jsem desítky směrnic, které formálně splňují všechny náležitosti směrnice 2019/1937, ale v praxi vedou oznámení do schránky, kterou nikdo pravidelně nekontroluje.

Co byste si měli z tohoto tématu odnést — overview diagram

Konvenční rady se soustředí na právní formulace a lhůty, což je nutné, ale nedostatečné. Skutečný test přichází až s prvním reálným případem, kdy se ukáže, jestli příslušná osoba má čas, pravomoci a nezávislost jednat bez ohledu na to, koho se oznámení týká. Pokud musíte upřednostnit jednu věc, upřednostněte funkční a testovaný kanál před perfektně napsaným dokumentem. Politika bez důvěryhodného kanálu je jen alibi, ne ochrana zaměstnanců.

Druhá věc, kterou firmy podceňují, je komunikace s oznamovatelem během šetření. Ticho po dobu 30 nebo 60 dnů podkopává důvěru rychleji než jakákoli formální chyba v dokumentu. Krátká, pravidelná zpráva o stavu případu stojí minimum úsilí a rozhoduje o tom, zda příští oznamovatel promluví, nebo mlčí.

Jak Ashio zjednoduší nasazení whistleblowing kanálu

Pokud teprve stavíte interní systém od nuly, nemusíte řešit technické zabezpečení kanálu, evidenci a sledování lhůt ručně vedle sebe. Platforma nabízí anonymní podávání oznámení, kompletní auditní stopu, správu případů od přijetí po vyřešení a přehledný dashboard, který ukazuje, u kterých případů hrozí prošvihnutí lhůty.

Data se ukládají v evropských datových centrech v souladu s GDPR, role a oprávnění lze nastavit podle velikosti compliance týmu. Před podpisem smlouvy s jakýmkoli poskytovatelem si vždy ověřte zpracovatelskou smlouvu (DPA) a proběhlé bezpečnostní audity, u Ashio i u konkurenčních řešení.

Pokud chcete vidět, jak platforma funguje na konkrétních případech, prohlédněte si produktovou stránku Ashio nebo si domluvte demo a probere se, jak nasazení vypadá u firmy vaší velikosti.

Zdroje

Pro samotnou tvorbu dokumentu doporučujeme kombinovat právní text směrnice na EUR-Lex, praktickou šablonu vnitřní směrnice a metodický přehled implementace pro provozní detaily, které samotný text zákona neřeší.

This article is general information, not a substitute for advice from a qualified lawyer. Consult a qualified legal professional about your own circumstances before acting on anything here.

Časté dotazy

Co přesně znamená whistleblowing?

Whistleblowing je oznámení protiprávního nebo neetického jednání, o kterém se osoba dozvěděla v souvislosti se svou prací, obvykle prostřednictvím interního nebo externího oznamovacího kanálu.

Musí firma nad 50 zaměstnanců mít oznamovací kanál?

Ano, směrnice EU 2019/1937 ukládá povinnost zavést interní oznamovací kanál firmám a organizacím s 50 a více zaměstnanci, přičemž menší subjekty do 249 zaměstnanců mohou v některých případech sdílet zdroje v rámci skupiny.

Co je whistleblowing směrnice a co konkrétně upravuje?

Jde o směrnici (EU) 2019/1937, která stanoví minimální standardy ochrany oznamovatelů v celé EU, včetně povinných kanálů, lhůt pro reakci a zákazu odvetných opatření.

Jaké lhůty musí firma dodržet po přijetí oznámení?

Standardem je potvrzení přijetí do sedmi dnů a věcné posouzení oznámení do 30 dnů, s možností prodloužení dvakrát o dalších 30 dnů u složitějších případů, podle praktických vzorů interních směrnic.

Jaký je rozdíl mezi anonymním a důvěrným oznámením?

Anonymní oznámení neobsahuje žádnou informaci o totožnosti oznamovatele, zatímco důvěrné oznámení identitu obsahuje, ale firma je ze zákona povinna ji chránit před nepovolanými osobami. Platformy jako Ashio umožňují oba režimy podle volby oznamovatele.

Doporučené