Pasitikėjimas ir nešališkumas
Sistema turi būti sukurta taip, kad pelnytų ir išlaikytų visų suinteresuotųjų šalių pasitikėjimą. Pranešimai nagrinėjami nešališkai, be išankstinių nuostatų ar šališkumo.
ISO 37002:2021
ISO 37002 atitinkantis pranešimas, numatytasis anoniminis.
ISO 37002:2021 pateikia tarptautines gaires, kaip sukurti, įdiegti ir palaikyti veiksmingą pranešimų apie pažeidimus valdymo sistemą. „Ashio“ platforma sukurta laikantis šių principų – padėdama organizacijoms atitikti aukščiausią pasaulinį pranešėjų apsaugos standartą.
Paskutinį kartą peržiūrėta: 2026 m. spalio 7 d.
Apžvalga
Kas yra ISO 37002:2021?
ISO 37002:2021 – Tarptautinės standartizacijos organizacijos (ISO) paskelbtas tarptautinis standartas, kuriame pateikiamos pranešimų apie pažeidimus valdymo sistemų gairės. Paskelbtas 2021 m. liepą, jis suteikia organizacijoms sistemą, leidžiančią priimti, vertinti ir reaguoti į pranešimus apie pažeidimus – apsaugant pranešėjus nuo persekiojimo ir užtikrinant tinkamą procesą. ISO 37002 papildo ES pranešėjų apsaugos direktyvą, siūlydamas savanorišką valdymo sistemos standartą, pagal kurį organizacijos gali būti audituojamos.
Pagrindiniai principai
Šeši pagrindiniai ISO 37002 principai
ISO 37002 apibrėžia šešis pagrindinius principus, kuriais grindžiama veiksminga pranešimų apie pažeidimus valdymo sistema:
Apsauga nuo persekiojimo
Pranešėjai turi būti apsaugoti nuo bet kokios formos persekiojimo – tiek tiesioginio (atleidimas, pareigų sumažinimas), tiek netiesioginio (priekabiavimas, atstūmimas).
Konfidencialumas ir anonimiškumas
Pranešėjo tapatybė turi būti apsaugota. Anoniminiai pranešimai turi būti priimami ir nagrinėjami taip pat kruopščiai kaip ir vardiniai.
Matomumas ir prieinamumas
Pranešimų kanalas turi būti aiškiai komunikuojamas ir prieinamas visoms susijusioms šalims – įskaitant darbuotojus, rangovus, tiekėjus ir kitas suinteresuotąsias šalis.
Savalaikis ir skaidrus procesas
Pranešimai turi būti operatyviai patvirtinami ir nagrinėjami per nustatytus terminus. Pranešėjai turi būti nuolat informuojami apie eigą.
Nuolatinis gerinimas
Sistema turi būti reguliariai peržiūrima, stebima ir tobulinama. Grįžtamojo ryšio ciklai užtikrina, kad procesas vystytųsi kartu su organizacijos poreikiais ir kylančiomis rizikomis.
Context
ISO 37002 vs. ISO 27001 vs. ES direktyva vs. BSI PAS 1999 vs. NIST
Nors ES pranešėjų apsaugos direktyva (ES) 2019/1937 nustato teisinę prievolę ES valstybių narių organizacijoms, ISO 37002 siūlo savanorišką, tarptautiniu mastu pripažintą geriausios praktikos sistemą. Direktyva nurodo, ko reikalauja teisė; ISO 37002 nurodo, kaip tai padaryti gerai. Daugelis organizacijų naudoja ISO 37002 kaip etaloną net ten, kur ES direktyva netaikoma – apimdamos jurisdikcijas visame pasaulyje ir viršydamos minimalius teisinius reikalavimus.
| Standartas | Taikymo sritis | Privalomas? | Sutampa su ISO 37002 |
|---|---|---|---|
| ISO 37002:2021 | Pranešimų apie pažeidimus valdymas — pasaulinis | Savanoriškas | — (lyginamasis lygis) |
| ES direktyva 2019/1937 | ES valstybės narės, 50+ darbuotojų | Taip (ES) | Aukštas — ISO 37002 = atitinka direktyvą |
| BSI PAS 1999:2020 | Jungtinė Karalystė, savanoriškas | Savanoriškas | Labai aukštas — pirmtakas, visiškai suderinamas |
| NIST SP 800-53 §3.6 | JAV federalinės informacinės sistemos | Taip (JAV federalinis) | Dalinis — apima pranešimus, siauresnė taikymo sritis |
| ISO 27001:2022 | Informacijos saugos valdymas — visame pasaulyje | Savanoriška (dažnai reikalaujama sutartyje) | Dalinė — saugos incidentų pranešimas ir audito pėdsakai, bet ne pranešimų kanalas |
ISO 27001 ir ISO 9001
Ar ISO 27001 ar ISO 9001 reikalauja pranešimų kanalo?
Nė vienas standartas neįpareigoja turėti pranešimų kanalo Direktyvos (ES) 2019/1937 ar nacionalinio pranešėjų apsaugos įstatymo prasme. Tačiau abu reikalauja, kad gautos problemos būtų tvarkomos dokumentuotai ir atsekamai — todėl dauguma organizacijų apsiriboja vienu kanalu, o ne trimis. Štai ko iš tikrųjų reikalauja kiekvienas standartas.
ISO 27001:2022 — informacijos sauga
Darbuotojai turi galėti pranešti apie saugos incidentus ir silpnąsias vietas, o tokie pranešimai turi būti įvertinti, išnagrinėti ir užregistruoti. Standartas nieko nesako apie anoniminį teisės pažeidimų pranešimą, tačiau auditorius vis tiek klaus, kaip pranešti incidentai buvo klasifikuoti, kam priskirti ir kaip užbaigti.
ISO 9001:2015 — kokybės vadyba
Reikalavimo turėti pranešimų kanalą nėra. Ko standartas reikalauja — dokumentuoto neatitikčių ir korekcinių veiksmų tvarkymo. Tai ta pati registravimo disciplina, kurią dauguma organizacijų taiko ir pranešimų apie pažeidimus byloms.
Struktūra
ISO 37002:2021 struktūra
ISO 37002 sudaro 9 pagrindiniai skyriai ir priedai. 1–3 skyriai apima taikymo sritį, normines nuorodas ir apibrėžtis. 4–10 skyriai yra veiklos turinys – kontekstas, vadovybė, planavimas, parama, veikla, veiklos vertinimas ir gerinimas. Dauguma įgyvendinimų sutelkia dėmesį į 6 (planavimas), 8 (veikla) ir 10 (gerinimas) skyrius.
1 skyrius: Taikymo sritis
Apibrėžia standarto ribas – taikoma visų dydžių organizacijoms, norinčioms sukurti, įdiegti, palaikyti ir tobulinti pranešimų apie pažeidimus valdymo sistemą.
2 skyrius: Norminės nuorodos
Nuorodos į ISO 37000 seriją, ISO 26000 (socialinė atsakomybė) ir kitus tekste nurodytus standartus.
3 skyrius: Terminai ir apibrėžtys
Apibrėžia pagrindinius terminus: pranešimų apie pažeidimus teikimas, pranešėjas, pranešimas, tyrimas, persekiojimas, gerovės patikra ir kt. Kur įmanoma, derinama su ISO 704 terminologija.
4 skyrius: Organizacijos kontekstas
Nustato vidines ir išorines problemas, turinčias įtakos numatytiems sistemos rezultatams. Apima suinteresuotųjų šalių analizę – darbuotojus, rangovus, tiekėjus, klientus, reguliuotojus, visuomenę.
5 skyrius: Vadovybė
Aukščiausioji vadovybė turi parodyti įsipareigojimą, nustatyti politiką, paskirti vaidmenis ir atsakomybes. Apsauga nuo persekiojimo yra vadovybės įsipareigojimas, o ne tik operacinis.
6 skyrius: Planavimas
Rizikų ir galimybių sprendimas, tikslų nustatymas, pokyčių planavimas. Rizikos vertinimas apima tiek operacines rizikas (kai problema iškeliama), tiek vientisumo rizikas (kai problema nuslopinama).
7 skyrius: Parama
Ištekliai, kompetencija, sąmoningumas, komunikacija, dokumentuota informacija. Apima mokymo poreikių analizę tiek tyrėjams, tiek vadovybei.
8 skyrius: Veikla
Didžiausias skyrius. Apima pranešimų priėmimą, vertinimą ir patvirtinimą, tyrimą, rezultatų komunikavimą ir užbaigimą. Apima tiek formalius pranešimus, tiek neformalius susirūpinimus.
9 skyrius: Veiklos vertinimas
Stebėsena, matavimas, analizė, vertinimas, vidaus auditas, vadovybės peržiūra. Apima tiek sistemos lygmens, tiek atskirų bylų rodiklius.
10 skyrius: Gerinimas
Neatitiktis, taisomieji veiksmai, nuolatinis gerinimas. Apima kiekvienos bylos pamokas ir šablonų analizę tarp bylų.
Įgyvendinimas
Kaip įgyvendinti ISO 37002:2021
Dauguma organizacijų sukuria veikiančią su ISO 37002 suderintą sistemą per 60–90 dienų naudodamos tikslinę sistemą. Toliau pateiktas planas – tai, ko laikosi brandžios atitikties komandos.
1
1–2 savaitės: apimties nustatymas ir vadovybės įsitraukimas
Nustatykite apimtį, užsitikrinkite aukščiausios vadovybės įsipareigojimą pagal 5 skyrių ir dokumentuokite politiką. Susiekite vidines ir išorines suinteresuotąsias šalis pagal 4 skyrių.
2
3–4 savaitės: rizikos vertinimas ir politika
Nustatykite vientisumo rizikas pagal 6 skyrių: kur gali kilti problemų, kas gali būti paveiktas, kokie kanalai jau egzistuoja ir kur yra spragos.
3
5–6 savaitės: kanalo ir procesų projektavimas
Įdiekite arba atnaujinkite pranešimų kanalą pagal 8 skyrių – priėmimas, patvirtinimas, tyrimas, komunikacija, užbaigimas. Dokumentuokite procedūrą.
4
7–8 savaitės: kompetencija ir sąmoningumas
Pagal 7 skyrių: apmokykite tyrėjus, informuokite vadovus, komunikuokite visiems darbuotojams. Užtikrinkite, kad politika būtų matoma vietinėmis kalbomis ten, kur pranešimas labiausiai tikėtinai svarstomas.
5
9–10 savaitės: paleidimas ir stebėsena
Paleiskite. Pagal 9 skyrių: nustatykite KPI, atlikite vidaus auditą per 60 dienų ir vadovybės peržiūrą per 90 dienų. Pateikite pirmuosius rodiklius vadovybei.
6
Nuo pirmojo ketvirčio: nuolatinis gerinimas
Pagal 10 skyrių: šablonų analizė tarp bylų, šakninės priežasties analizė dėl neatitikčių, metų pabaigos vadovybės peržiūra. Prireikus atnaujinkite politiką ir procedūras.
Kaip padeda Ashio
Kaip „Ashio“ atitinka ISO 37002 reikalavimus
Jums nereikia pradėti nuo nulio. „Ashio“ iš karto įgyvendina operacines ISO 37002 dalis. Štai atitiktis skyrius po skyriaus.
5 skyrius (Vadovybė): politika + valdymas
Konfigūruojamas politikos tekstas 17 kalbų, skelbiamas šalia pranešimo formos. Vienkartinis prisijungimas tyrėjams su vaidmenimis pagrįstomis teisėmis ir išsamiu audito pėdsaku.
6 skyrius (Planavimas): į riziką orientuotas projektavimas
Konfigūruojamos kategorijos atspindi rizikos taksonomiją. Kanalas pasiekia darbuotojus, rangovus, tiekėjus ir klientus – visas ISO reikalaujamas apsvarstyti suinteresuotųjų šalių grupes.
7 skyrius (Parama): mokymai + dokumentacija
„Ashio“ tvarko techninę platformą; mes teikiame paruoštas mokymo medžiagas tyrėjams ir darbuotojams. Visa dokumentacija laikoma ISO 27001 sertifikuotuose duomenų centruose.
8 skyrius (Veikla): esmė
Bylų valdymas nuo pradžios iki pabaigos: priimti, patvirtinti, ištirti, komunikuoti, užbaigti. Du privalomi terminai (patvirtinimas per 7 dienas, grįžtamasis ryšys per 3 mėnesius) stebimi automatiškai. Anonimiškumas įmontuotas.
9 skyrius (Veiklos vertinimas): rodikliai
Automatiniai KPI: laikas iki patvirtinimo, laikas iki užbaigimo, bylų skaičius, kategorijų pasiskirstymas. Eksportuojami ISO reikalaujamai vadovybės peržiūrai.
10 skyrius (Gerinimas): mokymosi ciklas
Šablonų analizė tarp bylų, šakninės priežasties darbo eigos ir metų pabaigos vadovybės peržiūros šablonai. Nuolatinis gerinimas įmontuotas.
Sertifikavimas
Ar galima gauti ISO 37002 sertifikatą?
Trumpas atsakymas: ne, ne tiesiogiai. ISO 37002 yra gairių dokumentas, o ne sertifikuojamas valdymo sistemos standartas. Sertifikuojamas atitikties sistemos standartas yra ISO 37301. Tačiau atitiktis ISO 37002 dažnai yra netiesioginis reikalavimas, o sertifikavimo įstaigos siūlo ISO 37002 atitikties patvirtinimus.
Pats ISO 37002 nėra sertifikuojamas
Tai B tipo gairių standartas, o ne A tipo sertifikuojamas valdymo sistemos standartas. Jei jums reikia sertifikuojamos atitikties sistemos, rinkitės ISO 37301.
Daugelis sertifikavimo įstaigų siūlo patvirtinimus
BSI, TÜV, DNV, Bureau Veritas, SGS ir kiti siūlo nepriklausomus ISO 37002 atitikties vertinimus. Naudinga tiekėjų išsamiam patikrinimui ir klientų pasitikėjimui.
ISO 37002 reikalauja vidaus audito
Pagal 9 skyrių privalote atlikti vidaus auditus suplanuotais intervalais. Pirmaisiais metais organizacija paprastai audituoja du kartus; brandžios organizacijos – kartą per metus.
„Ashio“ teikia duomenis, kurių reikia abiem
Ataskaitos apie laiką iki patvirtinimo, laiką iki užbaigimo ir šablonų analizę – visi duomenys, kurių reikės išorės auditoriui ar jūsų vidaus auditui.
Pagrindiniai rodikliai
Rodikliai, įrodantys, kad jūsų ISO 37002 sistema veikia
ISO 37002 9 skyrius reikalauja stebėsenos, matavimo ir vertinimo. Štai rodikliai, kuriuos stebi brandžios atitikties komandos.
Laikas iki patvirtinimo
Tikslas: <7 dienos pagal ES direktyvą ir 8.2 skyrių. Mažiau nei 3 dienos – puiku. Matuoja reagavimą į pranešėjus ir signalizuoja sistemos būklę.
Laikas iki užbaigimo
Tikslas: <3 mėnesiai pagal ES direktyvą. Mažiau nei 1 mėnuo – puiku. Stebi tyrimų efektyvumą ir grįžtamojo ryšio ciklus. Atskirkite užbaigimą (informacija suteikta) nuo visiško išsprendimo (veiksmų imtasi).
Pranešimų skaičius 100 darbuotojų
Sektoriaus etalonas: 1–3 pranešimai 100 darbuotojų per metus. Gerokai mažiau: galimas pranešimų slopimas. Gerokai daugiau: galima rimta problema ARBA stipri pranešimų kultūra.
Kanalų įvairovė
ISO 37002 8.1 skyrius reikalauja kelių kanalų. Stebėkite, kokia dalis ateina per kiekvieną. Jei 95 % ateina iš vieno šaltinio, įvairovė menka ir galite prarasti ištisas pranešimų kategorijas.
Oficialūs šaltiniai
Oficialūs šaltiniai
Savo pareigoms patikrinti ir originaliems tekstams skaityti. Tarptautinė standartizacijos organizacija, ES direktyva ir papildomi vadybos sistemos standartai išvardyti žemiau.
ISO 37002:2021 (ISO.org)
Tarptautinės standartizacijos organizacijos oficialus santrauka, taikymo sritis ir komiteto informacija.
iso.org/standard/80095ISO 37301:2021 (Atitikties vadybos sistemos)
Sertifikavimo standartas, kurį ISO 37002 papildo. Rekomenduojamas kaip kitas žingsnis siekiant formalaus sertifikavimo.
iso.org/standard/75080ISO 27001 (Informacijos sauga)
Organizacijoms, diegiančioms ISO 37002 su skaitmeniniu kanalu, ISO 27001 suteikia sertifikuojamą informacijos saugos sistemą, papildančią pranešėjų sistemą.
iso.org/standard/27001Kam skirta
Kas naudojasi su ISO 37002 suderinta sistema?
ISO 37002 skirta visų dydžių organizacijoms visuose sektoriuose visame pasaulyje. Ji ypač aktuali:
- Tarptautinėms korporacijoms, siekiančioms vienodo pasaulinio pranešimų apie pažeidimus standarto įvairiose jurisdikcijose
- Organizacijoms šalyse, kuriose nėra specialių pranešėjų teisės aktų ir kurios nori laikytis tarptautinės geriausios praktikos
- Atitikties komandoms, norinčioms palyginti esamą pranešimų programą su pripažintu standartu
- Viešojo sektoriaus įstaigoms, NVO ir tarptautinėms organizacijoms, įsipareigojusioms skaidrumui ir atskaitomybei
Audito pėdsakas
Audito pėdsakas: dokumentacija paruošta ISO 37002 sertifikavimui.
Audito pėdsakas yra vienas svarbiausių ISO 37002 reikalavimų — be jo negalima įrodyti atitikties standartui. „Ashio“ nuo pirmos dienos pateikia pilną, nekeičiamą audito pėdsaką: kiekvienas veiksmas registruojamas su laiko žyma, jo negalima vėliau pakeisti, ir jis paruoštas sertifikavimo auditui.
Nekeičiamas veiklos žurnalas
Kiekvienas veiksmas — pranešimo sukūrimas, būsenos pakeitimas, komentaro pridėjimas, failo įkėlimas — registruojamas su laiko žyma nekeičiamame žurnale. Auditorius mato, kas ką ir kada atliko, be galimybės vėliau pakeisti įrašų.
Visos pranešimo gyvavimo ciklo dokumentacija
Nuo pranešimo gavimo iki uždarymo „Ashio“ dokumentuoja kiekvieną žingsnį su atsakingu asmeniu, laiko žyma ir pagrindimu. Per auditą per kelias sekundes galite atkurti visą bylos gyvavimo ciklą.
Automatinis 7 dienų ir 3 mėnesių terminų sekimas
ES direktyva ir Pranešėjų apsaugos įstatymas reikalauja gavimo patvirtinimo per 7 dienas ir atsakymo per 3 mėnesius. „Ashio“ abu terminus registruoja automatiškai — jei auditorius klausia, ar jie buvo laikomi, įrodymas prieinamas iš karto.
Eksportavimas sertifikavimo įstaigai
Visus pranešimus, veiksmus ir audito pėdsakus galima eksportuoti PDF ir CSV formatais — puikiai tinka išorės auditoriams, sertifikavimo įstaigoms ar vidaus kontrolei. Nėra pardavėjo užrakinimo, nėra nuosavybinių formatų.
FAQ
Dažniausiai užduodami klausimai apie ISO 37002
Ar ISO 37002 yra teisinis reikalavimas?+
Ne. Skirtingai nuo ES pranešėjų apsaugos direktyvos ar nacionalinių įstatymų, tokių kaip Vokietijos HinSchG, ISO 37002 yra savanoriškas standartas. Jis atspindi tarptautinę geriausią praktiką – organizacijos jį priima norėdamos parodyti įsipareigojimą siekti meistriškumo pranešimų valdymo srityje, viršijančio minimalius teisinius reikalavimus.
Ar programinės įrangos produktas gali būti „sertifikuotas pagal ISO 37002“?+
ISO 37002 yra valdymo sistemos standartas, o ne produkto sertifikavimas. Organizacijos įdiegia ir valdo su ISO 37002 suderintą sistemą – programinė įranga šią sistemą palaiko. „Ashio“ teikia techninę infrastruktūrą ISO 37002 gairėms įgyvendinti, tačiau standartas susijęs su visa valdymo sistema, o ne su atskiru įrankiu.
Kaip ISO 37002 susijęs su ISO 37001?+
ISO 37001 yra kovos su kyšininkavimu valdymo sistemos standartas. ISO 37002 jį papildo teikdamas konkrečias pranešimų apie pažeidimus gaires – kurios yra pagrindinė bet kurios kovos su kyšininkavimu programos dalis. Organizacijos, turinčios ISO 37001 sertifikatą, dažnai priima ISO 37002 gaires, kad sustiprintų savo pranešimų mechanizmus.
Ar „Ashio“ padeda atliekant ISO 37002 auditus ar sertifikavimą?+
„Ashio“ platforma teikia dokumentaciją, audito pėdsakus ir procesų struktūrą, padedančią atitikti ISO 37002. Nors „Ashio“ nėra sertifikavimo įstaiga, mūsų veiklos žurnalai ir bylų valdymo procesai suteikia auditoriams įrodymus, reikalingus jūsų pranešimų procesams patikrinti.
Ar ISO 27001 apima pranešimus apie pažeidimus?+
Ne. ISO 27001 yra informacijos saugos valdymo sistemos standartas – jis apima tai, kaip organizacija saugo informacijos konfidencialumą, vientisumą ir prieinamumą. ISO 27001 nenurodo, kaip valdyti pranešimų kanalą, kaip nagrinėti pranešimus ar kaip apsaugoti pranešėjus nuo persekiojimo. Specialioms pranešimų apie pažeidimus gairėms organizacijos naudoja ISO 37002 (pranešimų apie pažeidimus valdymo sistemos) ir laikosi ES pranešėjų apsaugos direktyvos bei nacionalinių perkėlimo įstatymų.
ISO 9001 ar ISO 37002 – koks skirtumas?+
ISO 9001 yra kokybės valdymo sistemos standartas – jis apima tai, kaip organizacija nuosekliai atitinka klientų ir teisės aktų reikalavimus. ISO 37002 (paskelbtas 2021 m.) yra pranešimų apie pažeidimus valdymo sistemų standartas – jis apima tai, kaip priimti, vertinti ir reaguoti į pranešimus apie pažeidimus, kartu apsaugant pranešėjus nuo persekiojimo. Daugelis ISO 9001 sertifikuotų organizacijų taiko ISO 37002 savo pranešimų kanalui; abu standartai papildo vienas kitą, bet nėra pakeičiami.
Ar yra ISO 37002 sertifikavimas?+
Ne. ISO 37002:2021 yra gairių dokumentas, o ne sertifikuojamas valdymo sistemos standartas. Sertifikuojamų atitikties sistemų ieškokite ISO 37301. Vis dėlto sertifikavimo įstaigos siūlo ISO 37002 atitikties patvirtinimus, o vidaus auditai pagal ISO 37002 yra laukiami pagal 9 skyrių.
Ar ISO 37002 yra privalomas?+
Ne. ISO 37002 yra savanoriškas. Tačiau ES pranešėjų apsaugos direktyva 2019/1937 yra privaloma ES valstybėse narėse organizacijoms, turinčioms 50+ darbuotojų, o su ISO 37002 suderinta sistema iš esmės atitiks šiuos privalomus reikalavimus.
Kuo skiriasi ISO 37002 ir ES pranešėjų apsaugos direktyva?+
ISO 37002 – tarptautinis, savanoriškas pranešimų apie pažeidimus valdymo sistemų standartas, paskelbtas ISO. ES pranešėjų apsaugos direktyva (2019/1937) – privaloma ES teisė, įpareigojanti valstybes nares ją perkelti iki 2021 m. gruodžio 17 d., taikoma organizacijoms, turinčioms 50+ darbuotojų. ISO 37002 apima platesnę sritį (visi sektoriai, visi dydžiai), tačiau ES direktyva yra teisinis minimumas. Su ISO 37002 suderinta sistema iš esmės atitinka ES direktyvos reikalavimus.
Kiek laiko trunka ISO 37002 įgyvendinimas?+
Tikslingas įgyvendinimas naudojant struktūrizuotą sistemą paprastai trunka 60–90 dienų iki pirmosios atitinkančios sistemos. Brandus nuolatinis gerinimas ir visiškas skyrių aprėptis (ypač 8, 9, 10) paprastai trunka 6–12 mėnesių. Naudojant tokią platformą kaip „Ashio“, pradinį įgyvendinimą galima sutrumpinti iki 1–2 savaičių 6–9 skyriuose.
Ar ISO 37002 taikomas mažoms įmonėms?+
Taip. ISO 37002 taikomas visų dydžių organizacijoms, įskaitant mažas įmones. Standartas vis dėlto pažymi, kad kai kurie reikalavimai gali netikti labai mažoms organizacijoms. ES pranešėjų apsaugos direktyva (kurios atitiktį padeda užtikrinti ISO 37002) taikoma organizacijoms, turinčioms 50+ darbuotojų ES valstybėse narėse.
Kaip ISO 37002 siejasi su kitomis atitikties sistemomis?+
ISO 37002 suderintas su ISO 37301 (atitikties valdymo sistemos), ISO 27001 (informacijos sauga) ir ISO 45001 (darbuotojų sauga ir sveikata). Jis taip pat integruojamas su ES pranešėjų apsaugos direktyva (2019/1937) ES valstybėse narėse, UK Bribery Act 2010 ir JAV Sarbanes-Oxley akto 806 straipsniu.
Koks yra pranešėjo vaidmuo pagal ISO 37002?+
ISO 37002 apibrėžia pranešėją kaip asmenį, kuris pateikia pranešimą arba atskleidžia susirūpinimą. Standartas reikalauja apsaugoti pranešėją nuo persekiojimo, išsaugoti konfidencialumą ir užtikrinti teisių gynimo priemones persekiojimo atveju. Pranešėjas pagal 4 punktą laikomas suinteresuotuoju subjektu, o 5 punkte (vadovybės įsipareigojimas) ir 8 punkte (veiklos kontrolė) nustatyti konkretūs apsaugos reikalavimai.
Kada ISO 37002 buvo paskelbtas?+
ISO 37002:2021 buvo paskelbtas 2021 m. liepą. Jis priklauso ISO 37000 standartų šeimai apie valdymą, atitikties valdymą ir pranešimus apie pažeidimus.
Kuo ISO 37002 skiriasi nuo ES pranešėjų apsaugos direktyvos?+
ES direktyva 2019/1937 nustato minimalius teisinius reikalavimus ES valstybėse narėse. ISO 37002 yra išsamesnis savanoriškas tarptautinis standartas. Pagal ISO 37002 suprojektuota sistema gerokai viršija ES direktyvos reikalavimus.
Ar ISO 37002 prieinamas nemokamai?+
Ne. Visą standartą reikia įsigyti iš ISO arba nacionalinių standartizacijos institucijų. Santrauka ir turinys prieinami nemokamai. Kaina paprastai svyruoja nuo 100 iki 200 CHF už PDF.
Ar ISO 37002 taikomas viešajam sektoriui?+
Taip. ISO 37002 taikomas viešojo, privataus ir nepelno sektorių organizacijoms, nepriklausomai nuo dydžio. Daugelis viešojo sektoriaus įstaigų jį naudoja vidaus pranešimų kanalams stiprinti, viršijant ES whistleblowing direktyvos minimalius reikalavimus.
Kaip ISO 37002 susijęs su ISO 9001 kokybės vadyba?+
ISO 37002 papildo ISO 9001 struktūrizuotomis gairėmis, kaip priimti, vertinti ir tvarkyti pranešimus apie pažeidimus. Organizacijos, turinčios ISO 9001 sistemą, gali integruoti ISO 37002 reikalavimus nedubliuodamos savo valdymo infrastruktūros.
Ar ISO 37002 sertifikatas galioja tarptautiškai?+
Taip. ISO 37002 yra tarptautinis ISO paskelbtas ir visame pasaulyje pripažintas standartas. Kaip orientacinis dokumentas (ne sertifikuojama vadybos sistema), jį naudoja auditoriai ir reguliuotojai daugelyje jurisdikcijų, įskaitant ES, JK, JAV, Australiją ir Azijos-Ramiojo vandenyno regioną.
Ar mažoms organizacijoms reikalingas ISO 37002?+
ISO 37002 yra savanoriškas ir jokiai organizacijai nėra teisiškai privalomas. Mažos organizacijos dažnai pritaiko dalį gairių, kad sustiprintų pranešimų kanalą, parodytų geriausią praktiką ir pasiruoštų būsimiems reguliavimo pokyčiams.
Ar ISO 27001 reikalauja pranešimų kanalo?+
Ne. ISO 27001 yra informacijos saugos valdymo sistemos standartas: jis reikalauja, kad darbuotojai galėtų pranešti apie saugos incidentus ir silpnąsias vietas, tačiau tai nėra tas pats kaip pranešimų kanalas pagal Direktyvą (ES) 2019/1937. Daug organizacijų abu procesus tvarko per vieną kanalą, kad kiekvienas pranešimas būtų registruojamas, klasifikuojamas ir užbaigiamas vienoje audituojamoje vietoje. Ashio serveriai yra sertifikuoti pagal ISO 27001; pats produktas — ne.
Koks ISO standartas taikomas pranešimams apie pažeidimus?+
ISO 37002:2021 yra vienintelis ISO standartas, skirtas pranešimų apie pažeidimus valdymo sistemoms. ISO 37301 apima atitikties valdymą, o ISO 27001 — informacijos saugą; abu pranešimus liečia kitu kampu. ISO 37002 yra savanoriškos gairės; privalomos taisyklės kyla iš Direktyvos (ES) 2019/1937 ir nacionalinių įstatymų.
Aprėptos ES direktyvos
Susiję atitikties vadovai.
Sužinokite, kaip Ashio apima kiekvieną ES reglamentą.
Atitiktis ES direktyvai
Viena platforma kiekvienai ES direktyvai — NIS2, AI Act, CSRD, CSDDD, darbo užmokesčio skaidrumas, ISO 37002.
Read moreES pranešėjų direktyva
Reikalavimai, terminai ir sankcijos pagal Direktyvą 2019/1937.
Read moreNIS2 incidentų pranešimas
Kibernetinio saugumo incidentų pranešimo terminai ir vidiniai kanalai.
Read moreTikrai anoniminis pranešimas
Jokio IP, jokių slapukų, jokio skaitmeninio piršto atspaudo. Šifruota nuo galo iki galo.
Read morePasiruošę atitikti ISO 37002 geriausią praktiką?
Sukurkite pranešimų apie pažeidimus sistemą, atitinkančią aukščiausius tarptautinius standartus. Su ISO 37002 suderinti procesai, BDAR atitiktis ir Šveicarijos hostingas – visa tai vienoje platformoje.