Důvěra a nestrannost
Systém musí být navržen tak, aby si získal a udržel důvěru všech zúčastněných stran. Hlášení jsou vyřizována nestranně, bez předsudků a zaujatosti.
ISO 37002:2021
Whistleblowing v souladu s ISO 37002, ve výchozím stavu anonymní.
ISO 37002:2021 poskytuje mezinárodní pokyny pro zavedení účinného systému oznamování. Ashio je v souladu s těmito zásadami.
Naposledy zkontrolováno: 7. října 2026
Přehled
Co je ISO 37002:2021?
ISO 37002:2021 je mezinárodní standard vydaný Mezinárodní organizací pro normalizaci (ISO), který poskytuje pokyny pro systémy oznamování. ISO 37002 doplňuje směrnici EU o ochraně oznamovatelů tím, že poskytuje dobrovolný standard systému řízení, proti kterému mohou být organizace auditovány.
Klíčové principy
Šest klíčových principů
ISO 37002 definuje šest základních zásad, na nichž stojí účinný systém řízení oznamování:
Ochrana před represáliemi
Oznamovatelé musí být chráněni před jakoukoli formou odvety — ať už přímé (propuštění, degradace), nebo nepřímé (obtěžování, vyloučení).
Důvěrnost a anonymita
Totožnost oznamovatele musí být chráněna. Anonymní hlášení musí být přijímána a vyřizována se stejnou péčí jako hlášení s uvedením jména.
Viditelnost a dostupnost
Kanál pro oznamování musí být jasně komunikován a dostupný všem relevantním stranám — včetně zaměstnanců, dodavatelů, subdodavatelů a dalších zainteresovaných stran.
Rychlý a transparentní proces
Hlášení musí být neprodleně potvrzena a vyřízena v definovaných lhůtách. Oznamovatelé by měli být průběžně informováni o postupu.
Neustálé zlepšování
Systém by měl být pravidelně přezkoumáván, sledován a zlepšován. Zpětná vazba zajišťuje, že se proces vyvíjí spolu s potřebami organizace a novými riziky.
Srovnání standardů
ISO 37002 vs ISO 27001 vs směrnice EU vs BSI PAS 1999 vs NIST
Tři rámce, jeden cíl. ISO 37002 je dobrovolný mezinárodní standard, směrnice EU o whistleblowingu je závazné právo v členských státech EU, BSI PAS 1999 je britský předstandard a NIST SP 800-53 pokrývá americké federální hlášení.
| Rámec | Oblast | Povinný? | Překryv s ISO 37002 |
|---|---|---|---|
| ISO 37002:2021 | Systémy pro whistleblowing — globální | Dobrovolný | — (základ) |
| Směrnice EU 2019/1937 | Členské státy EU, 50+ zaměstnanců | Ano (EU) | Vysoká — ISO 37002 = v souladu se směrnicí |
| BSI PAS 1999:2020 | UK, dobrovolný | Dobrovolný | Velmi vysoká — předchůdce, plně kompatibilní |
| NIST SP 800-53 §3.6 | Federální informační systémy USA | Ano (US federální) | Částečný — pokrývá hlášení, užší záběr |
| ISO 27001:2022 | Řízení bezpečnosti informací — celosvětově | Dobrovolná (často vyžadována smluvně) | Částečný — hlášení bezpečnostních incidentů a auditní stopy, ale žádný oznamovací kanál |
ISO 27001 a ISO 9001
Vyžadují ISO 27001 nebo ISO 9001 oznamovací kanál?
Ani jedna norma neukládá provozovat oznamovací kanál ve smyslu směrnice (EU) 2019/1937 nebo národního zákona o ochraně oznamovatelů. Obě však vyžadují, aby byly nahlášené problémy řešeny doložitelně a dohledatelně — proto většina organizací skončí s jedním vstupem místo tří. Toto každá norma skutečně vyžaduje.
ISO 27001:2022 — bezpečnost informací
Zaměstnanci musí mít možnost hlásit bezpečnostní incidenty a slabá místa a tato hlášení musí být vyhodnocena, řešena a zaznamenána. O anonymním oznamování protiprávního jednání norma neříká nic, ale auditor se přesto zeptá, jak byla nahlášená událost zařazena, komu přidělena a jak uzavřena.
ISO 9001:2015 — management kvality
Požadavek na oznamovací kanál neexistuje. Norma vyžaduje dokumentované řešení neshod a nápravných opatření — stejnou evidenční disciplínu, kterou většina organizací přenáší i na případy oznamovatelů.
Struktura
Struktura normy ISO 37002:2021
ISO 37002 má 9 hlavních klauzulí plus přílohy. Klauzule 1–3 jsou oblast, normativní odkazy a definice. Klauzule 4–10 jsou hlavním obsahem — kontext, vedení, plánování, podpora, provoz, vyhodnocení výkonnosti, zlepšování.
Klauzule 1: Oblast
Vymezuje oblast standardu — vztahuje se na organizace všech velikostí, které chtějí zavést, implementovat, udržovat a zlepšovat systém pro whistleblowing.
Klauzule 2: Normativní odkazy
Odkazy na řadu ISO 37000, ISO 26000 (společenská odpovědnost) a další standardy.
Klauzule 3: Termíny a definice
Definuje klíčové termíny: whistleblowing, oznamovatel, hlášení, vyšetřování, represe, kontrola pohody, aj. V souladu s terminologií ISO 704.
Klauzule 4: Kontext organizace
Identifikuje interní a externí záležitosti ovlivňující zamýšlené výsledky systému. Zahrnuje analýzu zúčastněných stran — zaměstnanci, dodavatelé, zákazníci, regulátoři, veřejnost.
Klauzule 5: Vedení
Vrcholové vedení musí prokázat závazek, stanovit politiku, přiřadit role a odpovědnosti. Zahrnuje ochranu proti represím jako závazek vedení.
Klauzule 6: Plánování
Řešení rizik a příležitostí, stanovení cílů, plánování změn. Posouzení rizik se zaměřuje na provozní rizika i rizika integrity.
Klauzule 7: Podpora
Zdroje, kompetence, povědomí, komunikace, dokumentované informace. Zahrnuje analýzu potřeb školení.
Klauzule 8: Provoz
Největší klauzule. Pokrývá příjem hlášení, posouzení a potvrzení, vyšetřování, komunikaci výsledků, uzavření.
Klauzule 9: Vyhodnocení výkonnosti
Monitorování, měření, analýza, vyhodnocení, interní audit, přezkum vedením.
Klauzule 10: Zlepšování
Neshoda, nápravná opatření, neustálé zlepšování. Zahrnuje ponaučení z každého případu a analýzu vzorců.
Implementace
Jak implementovat ISO 37002:2021
Většina organizací dokončí funkční systém v souladu s ISO 37002 za 60–90 dní při použití strukturovaného rámce. Cesta níže je to, co dodržují vyzrálé compliance týmy.
1
Týden 1–2: Rozsah a podpora vedení
Identifikujte rozsah, zajistěte závazek vrcholového vedení, zdokumentujte politiku. Mapujte zúčastněné strany.
2
Týden 3–4: Hodnocení rizik a politika
Identifikujte rizika integrity. Kde mohou nastat problémy, kdo je ovlivněn, jaké kanály existují, kde jsou mezery.
3
Týden 5–6: Návrh kanálu a procesu
Implementujte nebo aktualizujte oznamovací kanál podle klauzule 8 — příjem, potvrzení, vyšetřování, komunikace, uzavření. Dokumentujte postup.
4
Týden 7–8: Kompetence a povědomí
Proškolte vyšetřovatele, informujte manažery, srozumitelně komunikujte se zaměstnanci v místních jazycích.
5
Týden 9–10: Spuštění a monitorování
Spusťte systém. Nastavte KPI, interní audit do 60 dní, přezkum vedením do 90 dní.
6
Od 1. čtvrtletí: Neustálé zlepšování
Analýza vzorců, analýza kořenových příčin, roční přezkum vedením. Aktualizujte politiku a postupy.
Jak Ashio pomáhá
Jak Ashio mapuje na požadavky ISO 37002
Nemusíte začínat od nuly. Ashio implementuje provozní části ISO 37002 ihned po nastavení. Zde je mapování podle klauzulí.
Klauzule 5 (Vedení): politika a governance
Konfigurovatelný text politiky v 17 jazycích. Jednotné přihlášení pro vyšetřovatele s rolemi a úplnou auditní stopou.
Klauzule 6 (Plánování): design založený na riziku
Konfigurovatelné kategorie zrcadlí taxonomii rizik. Kanál oslovuje zaměstnance, dodavatele, zákazníky — všechny zúčastněné strany.
Klauzule 7 (Podpora): školení a dokumentace
Ashio zajišťuje technickou platformu; poskytujeme hotové školicí materiály pro vyšetřovatele a zaměstnance. Veškerá dokumentace v datových centrech s certifikací ISO 27001.
Klauzule 8 (Provoz): jádro
Kompletní správa případů: příjem, potvrzení, vyšetřování, komunikace, uzavření. Dvě povinné lhůty (7 dní, 3 měsíce) jsou sledovány automaticky. Anonymita vestavěna.
Klauzule 9 (Vyhodnocení výkonnosti): metriky
Automatické KPI: čas do potvrzení, čas do uzavření, objem případů, distribuce kategorií. Exportovatelné pro přezkum vedením.
Klauzule 10 (Zlepšování): učicí se smyčka
Analýza vzorců mezi případy, pracovní postupy pro analýzu kořenových příčin, šablony ročního přezkumu. Neustálé zlepšování vestavěno.
Certifikace
Lze získat certifikaci podle ISO 37002?
Krátká odpověď: ne, přímo ne. ISO 37002 je poradní dokument, nikoli certifikovatelný systémový management standard. Certifikovatelný systém pro compliance je ISO 37301. Nicméně řada certifikačních orgánů nabízí posouzení souladu s ISO 37002.
Samotné ISO 37002 není certifikovatelné
Jedná se o guidance standard typu B, nikoli o certifikovatelný management standard typu A. Pro certifikovatelný compliance rámec hledejte ISO 37301.
Certifikační orgány nabízejí posouzení souladu
BSI, TÜV, DNV, Bureau Veritas, SGS a další nabízejí nezávislá posouzení souladu s ISO 37002. Užitečné pro due diligence dodavatelů a důvěru zákazníků.
Interní audit je pro ISO 37002 vyžadován
Podle klauzule 9 musíte provádět interní audity v plánovaných intervalech. Organizace v prvním roce typicky audituje dvakrát; vyzrálé organizace jednou ročně.
Ashio poskytuje data pro obojí
Zprávy o čase do potvrzení, čase do uzavření, analýze vzorců — všechny vstupy, které externí auditor nebo váš vlastní interní audit bude potřebovat.
Klíčové metriky
Metriky, které dokazují, že váš systém ISO 37002 funguje
Klauzule 9 ISO 37002 vyžaduje monitorování, měření a vyhodnocení. Zde jsou metriky, které sledují vyzrálé compliance týmy.
Čas do potvrzení
Cíl: <7 dní podle směrnice EU a klauzule 8.2. Pod 3 dny je vynikající. Měří odezvu na oznamovatele a signalizuje zdraví systému.
Čas do uzavření
Cíl: <3 měsíce podle směrnice EU. Pod 1 měsíc je vynikající. Sleduje efektivitu vyšetřování. Rozlišujte uzavření (informace předána) od úplného vyřešení (akce provedena).
Objem hlášení na 100 zaměstnanců
Oborový benchmark: 1–3 hlášení na 100 zaměstnanců ročně. Výrazně méně: možné podhlášení. Výrazně více: buď vážný problém, nebo silná kultura oznamování.
Diverzita kanálů
ISO 37002 klauzule 8.1 vyžaduje více kanálů. Sledujte, kolik % přichází odkud. Pokud 95 % z jednoho zdroje, diverzita je slabá a pravděpodobně vám chybí celé kategorie hlášení.
Oficiální zdroje
Oficiální zdroje
Pro ověření vlastních povinností a čtení originálních textů. Mezinárodní normalizační orgán, směrnice EU a doplňkové systémové normy jsou uvedeny níže.
ISO 37002:2021 (ISO.org)
Oficiální abstrakt, oblast a informace o výboru od Mezinárodní organizace pro normalizaci.
iso.org/standard/80095ISO 37301:2021 (Systémy managementu compliance)
Certifikovatelný systémový management standard, který ISO 37002 podporuje. Doporučeno jako další krok pro organizace usilující o formální certifikaci.
iso.org/standard/75080ISO 27001 (Informační bezpečnost)
Pro organizace implementující ISO 37002 s digitálním kanálem poskytuje ISO 27001 certifikovatelný rámec informační bezpečnosti, který doplňuje whistleblowing systém.
iso.org/standard/27001Pro koho
Kdo těží z ISO 37002?
ISO 37002 je určena organizacím všech velikostí, ve všech odvětvích a po celém světě. Je obzvláště relevantní pro:
- Nadnárodní korporace, které hledají jednotný globální standard pro oznamování napříč jurisdikcemi
- Organizace v zemích bez specifické legislativy o oznamování, které chtějí postupovat podle mezinárodní osvědčené praxe
- Compliance týmy, které chtějí porovnat svůj stávající program oznamování s uznávaným standardem
- Subjekty veřejného sektoru, nevládní organizace a mezinárodní organizace, které se hlásí k transparentnosti a odpovědnosti
Stopa auditu
Stopa auditu: dokumentace připravená na certifikaci dle ISO 37002.
Stopa auditu patří mezi stěžejní požadavky normy ISO 37002 — bez ní nelze prokázat shodu se standardem. Ashio poskytuje kompletní, neměnnou stopu auditu od prvního dne: každá akce je zaznamenána s časovým razítkem, zpětně nezměnitelná a připravená pro certifikační audit.
Neměnný protokol činností
Každá akce — vytvoření hlášení, změna stavu, přidání komentáře, nahrání souboru — je zaznamenána s časovým razítkem v neměnném protokolu. Auditor vidí, kdo co kdy provedl, bez možnosti zpětné manipulace se záznamy.
Dokumentace celého životního cyklu hlášení
Od přijetí hlášení až po jeho uzavření Ashio dokumentuje každý krok včetně odpovědné osoby, časového razítka a odůvodnění. Při auditu zrekonstruujete celý životní cyklus případu během několika sekund.
Automatické sledování lhůt 7 dní a 3 měsíce
Směrnice EU i zákon o ochraně oznamovatelů vyžadují potvrzení o přijetí do 7 dnů a odpověď do 3 měsíců. Ashio obě lhůty dokumentuje automaticky — když se auditor zeptá na jejich dodržení, důkaz je okamžitě k dispozici.
Export pro certifikační orgán
Všechna hlášení, aktivity i auditní stopy lze exportovat ve formátech PDF a CSV — ideální pro externí auditory, certifikační orgány i interní kontrolu. Žádný vendor lock-in, žádné proprietární formáty.
FAQ
Často kladené otázky o ISO 37002
Je ISO 37002 zákonný požadavek?+
Ne. Na rozdíl od směrnice EU o oznamování nebo vnitrostátních zákonů, jako je německý HinSchG, je ISO 37002 dobrovolný standard. Představuje mezinárodní osvědčenou praxi — organizace jej zavádějí, aby prokázaly závazek k excelenci v řízení oznamování nad rámec zákonných minimálních požadavků.
Může být softwarový produkt certifikován podle ISO 37002?+
Ne, ISO 37002 je norma pro systém řízení, nikoli certifikace produktu. Organizace zavádějí a provozují systém v souladu s ISO 37002 — software tento systém podporuje. Ashio poskytuje technickou infrastrukturu pro zavedení pokynů ISO 37002 do praxe, ale norma se týká celého systému řízení, nikoli jednoho nástroje.
Jaký je vztah mezi ISO 37002 a ISO 37001?+
ISO 37001 je norma pro systém řízení proti úplatkářství. ISO 37002 ji doplňuje tím, že poskytuje konkrétní pokyny k oznamování — což je klíčová součást každého protikorupčního programu. Organizace s certifikací ISO 37001 často zavádějí pokyny ISO 37002, aby posílily své mechanismy oznamování.
Pomáhá Ashio s audity ISO 37002?+
Platforma Ashio poskytuje dokumentaci, auditní stopy a strukturu procesů, které podporují soulad s ISO 37002. Ashio samo není certifikačním orgánem, ale naše protokoly aktivit a pracovní postupy pro správu případů dávají auditorům důkazy, které potřebují k ověření vašich procesů oznamování.
Pokrývá ISO 27001 oznamování?+
Ne. ISO 27001 je standard pro řízení informační bezpečnosti — řeší, jak organizace chrání důvěrnost, integritu a dostupnost informací. ISO 27001 nepředepisuje, jak provozovat oznamovací kanál, jak zpracovávat oznámení ani jak chránit oznamovatele před odvetou. Pro specifické pokyny k oznamování používají organizace ISO 37002 (systémy řízení oznamování) a řídí se směrnicí EU o oznamovatelích, případně národními prováděcími předpisy.
ISO 9001 vs ISO 37002 — jaký je rozdíl?+
ISO 9001 je standard pro systém řízení kvality — řeší, jak organizace soustavně plní požadavky zákazníků a předpisů. ISO 37002 (vydaný v roce 2021) je standard pro systémy řízení oznamování — řeší, jak oznámení přijímat, posuzovat a jednat podle nich a přitom chránit oznamovatele před odvetou. Mnoho organizací s certifikací ISO 9001 používá ISO 37002 pro svůj oznamovací kanál; oba standardy se doplňují, nejsou zaměnitelné.
Je certifikace podle ISO 37002 dostupná?+
Ne. ISO 37002:2021 je poradní dokument, nikoli certifikovatelný management standard. Pro certifikovatelné compliance rámce viz ISO 37301. Certifikační orgány však nabízejí posouzení souladu a interní audity podle ISO 37002 jsou vyžadovány podle klauzule 9.
Je ISO 37002 povinné?+
Ne. ISO 37002 je dobrovolné. Směrnice EU o whistleblowingu (2019/1937) je však závazná v členských státech EU pro organizace s 50+ zaměstnanci a systém v souladu s ISO 37002 tyto povinné požadavky podstatně splní.
Jaký je rozdíl mezi ISO 37002 a směrnicí EU o whistleblowingu?+
ISO 37002 je mezinárodní, dobrovolný standard pro systémy pro whistleblowing, vydaný ISO. Směrnice EU o whistleblowingu (2019/1937) je závazné právo EU, které vyžaduje, aby členské státy transponovaly ji do 17. prosince 2021 a vztahuje se na organizace s 50+ zaměstnanci. ISO 37002 je širší z hlediska rozsahu (všechna odvětví, všechny velikosti), ale směrnice EU je právní minimum. Systém navržený podle ISO 37002 podstatně splňuje požadavky směrnice EU.
Jak dlouho trvá implementace ISO 37002?+
Soustředěná implementace s využitím strukturovaného rámce typicky trvá 60–90 dní pro počáteční systém v souladu. Vyzrálé neustálé zlepšování a úplné pokrytí klauzulí (zejména 8, 9, 10) trvá 6–12 měsíců. S platformou jako Ashio lze počáteční implementaci smrsknout na 1–2 týdny pro klauzule 6–9.
Vztahuje se ISO 37002 na malé podniky?+
Ano. ISO 37002 je aplikovatelné na organizace všech velikostí, včetně malých podniků. Standard však uvádí, že některé požadavky nemusí být pro velmi malé organizace aplikovatelné. Směrnice EU o whistleblowingu (kterou ISO 37002 pomáhá splnit) se vztahuje na organizace s 50+ zaměstnanci v členských státech EU.
Jak souvisí ISO 37002 s dalšími compliance rámci?+
ISO 37002 je v souladu s ISO 37301 (compliance management systems), ISO 27001 (informační bezpečnost) a ISO 45001 (bezpečnost a ochrana zdraví při práci). Integruje se také se směrnicí EU o whistleblowingu (2019/1937) v členských státech EU, UK Bribery Act 2010 a americkým Sarbanes-Oxley Act §806. Mnoho organizací mapuje svou implementaci ISO 37002 na tyto související rámce.
Jaká je role oznamovatele podle ISO 37002?+
ISO 37002 definuje oznamovatele jako osobu, která podává hlášení nebo zveřejňuje informace o určité obavě. Standard vyžaduje ochranu oznamovatele před represáliemi, zachování důvěrnosti a přístup k nápravným prostředkům v případě represe. Oznamovatel je považován za zúčastněnou stranu podle klauzule 4, se specifickými požadavky na ochranu v klauzulích 5 (závazek vedení) a 8 (provozní kontroly).
Kdy byla ISO 37002 zveřejněna?+
ISO 37002:2021 byla zveřejněna v červenci 2021. Je součástí řady ISO 37000 o governance, compliance managementu a whistleblowingu.
Jak se ISO 37002 liší od směrnice EU o whistleblowingu?+
Směrnice EU 2019/1937 stanovuje minimální právní požadavky v členských státech EU. ISO 37002 je komplexnější dobrovolný mezinárodní standard. Systém navržený podle ISO 37002 podstatně překračuje požadavky směrnice EU. Směrnice je právní minimum; ISO 37002 je zlatý standard.
Je ISO 37002 zdarma?+
Ne. Plné znění normy je třeba zakoupit od ISO nebo národních normalizačních orgánů (např. BSI ve Velké Británii, ANSI v USA, DIN v Německu). Abstrakt a obsah jsou volně dostupné. Náklady se typicky pohybují od 100 do 200 CHF za PDF.
Platí ISO 37002 pro veřejný sektor?+
Ano. ISO 37002 platí pro veřejné, soukromé a neziskové organizace jakékoli velikosti. Mnoho veřejných orgánů jej využívá k posílení svých interních oznamovacích kanálů nad rámec minimálních požadavků směrnice EU o whistleblowingu.
Jak souvisí ISO 37002 s ISO 9001 systémem managementu kvality?+
ISO 37002 doplňuje ISO 9001 o strukturované pokyny pro příjem, hodnocení a vyřizování oznámení o protiprávním jednání. Organizace s existujícím systémem ISO 9001 mohou integrovat požadavky ISO 37002 bez duplikování své governance infrastruktury.
Funguje certifikace ISO 37002 mezinárodně?+
Ano. ISO 37002 je mezinárodní norma publikovaná ISO a celosvětově uznávaná. Jako metodický dokument (nikoli certifikovatelný systém managementu) je využíván auditory a regulátory v mnoha jurisdikcích včetně EU, Spojeného království, USA, Austrálie a Asie a Tichomoří.
Potřebují malé organizace ISO 37002?+
ISO 37002 je dobrovolný a není ze zákona vyžadován pro žádnou velikost organizace. Malé organizace často přijímají část pokynů, aby posílily svůj oznamovací kanál, prokázaly osvědčené postupy a připravily se na budoucí regulační rozšíření.
Vyžaduje ISO 27001 oznamovací kanál?+
Ne. ISO 27001 je norma pro systémy řízení bezpečnosti informací: vyžaduje, aby zaměstnanci mohli hlásit bezpečnostní incidenty a slabá místa, což není totéž jako oznamovací kanál podle směrnice (EU) 2019/1937. Mnoho organizací řeší obojí jedním vstupem, takže každé oznámení je zaznamenáno, klasifikováno a uzavřeno na jednom auditovatelném místě. Servery Ashio jsou certifikované podle ISO 27001; samotný produkt nikoli.
Jaká norma ISO platí pro oznamování?+
ISO 37002:2021 je jediná norma ISO věnovaná systémům řízení oznamování. ISO 37301 pokrývá řízení souladu a ISO 27001 bezpečnost informací — obě se oznámení dotýkají z jiného úhlu. ISO 37002 je dobrovolné doporučení; závazná pravidla přicházejí ze směrnice (EU) 2019/1937 a vnitrostátních zákonů.
Pokryté směrnice EU
Související průvodci compliance.
Prohlédněte si, jak Ashio pokrývá jednotlivá nařízení EU.
Soulad se směrnicí EU
Jedna platforma pro každou směrnici EU — NIS2, AI Act, CSRD, CSDDD, transparentnost odměňování, ISO 37002.
Read moreSměrnice EU o oznamovatelích
Požadavky, lhůty a sankce podle směrnice 2019/1937.
Read moreHlášení incidentů NIS2
Lhůty pro hlášení kyberbezpečnostních incidentů a interní kanály.
Read moreSkutečně anonymní oznamování
Žádná IP adresa, žádné cookies, žádné sledování otisku prohlížeče. End-to-end šifrování.
Read morePřipraveni na soulad s ISO 37002?
Zřiďte systém oznamování, který splňuje nejvyšší mezinárodní standardy. Procesy v souladu s ISO 37002, soulad s GDPR a švýcarský hosting — to vše na jedné platformě.