Compliance in de praktijk
Het kanaal is het makkelijke deel. Het gaat om de discipline eromheen: wie een melding mag lezen, hoe snel je moet antwoorden, wat je moet bewaren en waar nationale wetgeving meer eist dan de richtlijn.
Laatst gecontroleerd: 1 november 2026
Checklist
Eenmalig goed ingericht ziet een auditor, een ondernemingsraad of de arbeidsinspectie een werkend proces in plaats van een formulier.
Deel de meldlink op het intranet, in de gedragscode en in het inwerkprogramma. Je klokkenluidersbeleid hoort het kanaal te noemen, te zeggen wie meldingen ontvangt en vast te leggen dat represailles verboden zijn.
Accountbeheerders regelen huisstijl, team en facturatie en kunnen geen melding openen. Zaakbehandelaars lezen meldingen en zien nooit een factuur. Juist die scheiding maakt de belofte waar: alleen het zaakteam kan een melding lezen.
Eén persoon is een zwakke schakel: vakantie, ziekte en de termijn van 7 dagen onderhandelen niet. Nodig een tweede collega uit, een externe adviseur of beide, en houd de rollenlijst actueel.
Automatische bevestiging meldt de ontvangst zodra een melding binnenkomt. Laat je die uit, bevestig dan dezelfde dag met de hand. In beide gevallen staat de termijn op de zaak en heeft de melder een link om te volgen.
De termijn begint bij de bevestiging, niet bij de melding. Statuswijzigingen en berichten op de zaak leggen vast wat er is gezegd, en komen mee in de export.
De bewaartermijn stel je per organisatie in, één, drie of vijf jaar, en staat in de privacyverklaring die de melder leest. Kies de termijn die je nationale wet eist in plaats van de standaardwaarde te laten staan.
Rollen en onafhankelijkheid
Onafhankelijkheid is in de meeste lidstaten een wettelijke eis, geen kwestie van stijl. Daaruit volgen twee beslissingen: wie toegang krijgt tot meldingen, en wie uit een zaak moet blijven. Beide zijn makkelijker te regelen voor de eerste melding dan erna.
In beginsel wel. Het Europese klokkenluidersrecht verbiedt een CEO niet uitdrukkelijk om meldingen te ontvangen en op te volgen. Dat kan een werkbare regeling zijn, zeker in kleinere organisaties zonder eigen complianceafdeling.
Wel moet de aangewezen meldfunctie onpartijdig en onafhankelijk werken, zonder belangenconflicten. De Europese klokkenluidersrichtlijn erkent dat de meldfunctie in kleinere organisaties met een andere rol in het bedrijf kan worden gecombineerd, mits die waarborgen overeind blijven.
Een CEO kan dus meldingen over andere kwesties behandelen, mits hij onpartijdig en onafhankelijk kan handelen. Hij moet geen meldingen behandelen over zijn eigen gedrag, of situaties waarin zijn persoonlijke belangen of verantwoordelijkheden een belangenconflict opleveren. In die gevallen moet de melding door iemand anders worden behandeld die onpartijdig en voldoende gekwalificeerd is: een andere medewerker, een lid van een toezichthoudend orgaan of een externe adviseur.
Ashio scheidt accountbeheer van zaakbehandeling. De accountbeheerder regelt abonnement, facturatie, teamleden en platformconfiguratie zonder automatisch toegang te hebben tot vertrouwelijke meldingen, en de rol van zaakbehandelaar geeft toegang tot meldingen en zaakbeheer zonder toegang tot facturatiegegevens te vereisen. Zo kan de CEO het abonnement aanhouden, de facturen ontvangen en het account beheren en tegelijk optreden als zaakbehandelaar waar dat passend is.
Onze aanbeveling: ook als de CEO de meldingen zelf behandelt, zorg dan voor een alternatief voordat de eerste melding binnenkomt, zodat een andere medewerker of een externe adviseur met de rol van zaakbehandelaar kan overnemen zodra er een belangenconflict ontstaat. Dat geeft kleinere organisaties speelruimte en helpt de onpartijdigheid en geloofwaardigheid van het proces te bewaren.
Iemand die rechtstreeks bij een melding betrokken is, moet die melding niet beoordelen of opvolgen. Dat levert een belangenconflict op en ondermijnt de onpartijdigheid van de procedure.
Heeft de organisatie maar één aangewezen zaakbehandelaar, dan hoort daar een alternatief voor te bestaan. Afhankelijk van de structuur kan dat een andere voldoende gekwalificeerde medewerker zijn, een lid van een toezichthoudend orgaan of een externe adviseur of dienstverlener.
Het Europese recht staat toe dat de meldfunctie door externe partijen wordt ondersteund, mits de nodige waarborgen voor onafhankelijkheid, onpartijdigheid en vertrouwelijkheid overeind blijven.
Ashio houdt de twee rollen gescheiden, en het alternatief wordt in de teamlijst geregeld: een tweede persoon met de rol van zaakbehandelaar, een medewerker of een externe adviseur, is er al wanneer de melding binnenkomt en kan overnemen als de vaste zaakbehandelaar betrokken is. Wie de rol later krijgt, bereikt een reeds ingediende melding niet.
Onze aanbeveling: ook als de organisatie maar één vaste zaakbehandelaar heeft, zorg dat het alternatief er is voordat de eerste melding binnenkomt. Zo kan elke melding onpartijdig worden behandeld.
Niet in Ashio, en dat is precies waarom er twee rollen zijn. Een accountbeheerder kan zichzelf de rol van zaakbehandelaar niet geven, dus toegang tot meldingen vraagt altijd een tweede persoon die het bevestigt.
Elke rolwijziging wordt met de naam van de persoon die haar doorvoerde in het teamlog vastgelegd. Zo is de vraag wie aan wie toegang tot meldingen gaf maanden later te beantwoorden zonder op geheugen te vertrouwen.
Een eenmansorganisatie moet eerst een collega uitnodigen, want niemand kan zich die rol zelf geven. Voelt dat als een drempel, dan is het dezelfde drempel als een tweede handtekening bij een betaling, en hij levert hetzelfde op: niemand kan er stilletjes binnenkomen.
Ja. Het Europese recht staat organisaties uitdrukkelijk toe externe derden aan te wijzen om meldingen te ontvangen en op te volgen. Overweging 54 van de Europese klokkenluidersrichtlijn noemt externe advocaten, auditors en aanbieders van externe meldplatforms als voorbeelden.
Voor kleinere organisaties kan dat een praktische manier zijn om meldingen onpartijdig te laten behandelen zonder een eigen complianceafdeling. De externe adviseur kan verantwoordelijk worden voor het ontvangen van meldingen, het communiceren met melders en het coördineren van de opvolging.
De externe aanbieder moet passende waarborgen bieden voor onafhankelijkheid, vertrouwelijkheid, gegevensbescherming en beroepsgeheim.
Ashio maakt externe zaakbehandeling eenvoudig. Nodig je externe advocaat of adviseur uit als teamlid met de rol van zaakbehandelaar. Die bereikt de relevante meldingen, de termijnen en de audithistorie via een eigen account, en alles wat die doet wordt aan die persoon toegeschreven.
Twee dingen gaan makkelijk mis. De adviseur heeft een mandaat nodig: Ashio levert het meldkanaal en het zaakbeheer, maar doet zelf geen onderzoek en treedt niet op als je juridisch vertegenwoordiger, dus de organisatie spreekt de opdracht met de adviseur af. En toegang is per organisatie: een adviseur die voor meerdere rechtspersonen werkt, wordt in elke organisatie apart uitgenodigd.
Zo kan een organisatie externe expertise gebruiken en de verantwoordelijkheid voor de klokkenluidersregeling toch duidelijk belegd houden.
De richtlijn staat externe advocaten en adviseurs uitdrukkelijk toe, maar de nationale wet die haar omzet kan extra voorwaarden stellen, en het aanstellen van een adviseur verplaatst de juridische verantwoordelijkheid van de organisatie niet naar die adviseur.
Vereisten per land
Dit zijn enkele van de nationale verschillen die bepalen hoe je je meldkanaal inricht en gebruikt.
De interne meldfunctie moet onafhankelijk en zonder belangenconflicten werken. Zaakbehandelaars mogen andere taken hebben, mits die geen conflicten opleveren, en moeten over de nodige deskundigheid beschikken.
Alle meldingen moeten worden gedocumenteerd en de gegevens worden in de regel drie jaar na afronding van de procedure verwijderd, tenzij langer bewaren noodzakelijk en evenredig is volgens het toepasselijke recht.
Is er een ondernemingsraad, dan moeten de medezeggenschapsrechten worden beoordeeld, zeker als de software geldt als een technisch systeem om gedrag of prestaties van werknemers te controleren.
Organisaties die onder de eisen voor de interne meldprocedure vallen, moeten een procedure hebben voor het ontvangen en opvolgen van meldingen. Die procedure moet de persoon, afdeling of externe partij aanwijzen die verantwoordelijk is voor de behandeling.
De CNIL verlangt passende bewaartermijnen, gebaseerd op het doel van de verwerking en de beginselen van de AVG. Er is geen vaste termijn die voor elke klokkenluiderszaak geldt.
De loi Waserman heeft de bescherming van klokkenluiders uitgebreid en het Franse meldstelsel dichter bij de Europese richtlijn gebracht.
De organisatie moet een Responsable del Sistema aanwijzen, de persoon verantwoordelijk voor het interne informatiesysteem. Die wordt benoemd door het bestuursorgaan en moet de taak onafhankelijk en autonoom uitoefenen, zonder in die rol instructies te ontvangen.
De organisatie moet de ontvangst binnen 7 kalenderdagen bevestigen en binnen 3 maanden na ontvangst antwoorden. In bijzonder complexe gevallen kan die termijn met maximaal 3 maanden worden verlengd.
De benoeming en het ontslag van de verantwoordelijke persoon moeten ook binnen 10 werkdagen aan de bevoegde autoriteit worden gemeld.
Het interne meldkanaal moet worden toevertrouwd aan een autonome persoon of afdeling met speciaal opgeleid personeel. Afhankelijk van de organisatie kan die functie intern of extern worden uitgevoerd.
Meldingen moeten in de regel binnen 7 dagen worden bevestigd en binnen 3 maanden opgevolgd. ANAC, de nationale anticorruptieautoriteit, is verantwoordelijk voor het externe meldkanaal en heeft toezicht- en handhavingsbevoegdheden, waaronder het opleggen van sancties.
Werkgevers die onder de eisen voor de interne meldprocedure vallen, moeten onafhankelijke functionarissen aanwijzen die meldingen ontvangen en zorgen voor een zorgvuldige opvolging.
De procedure moet voorzien in bevestiging binnen 7 dagen en terugkoppeling binnen maximaal 3 maanden na die bevestiging.
De wet staat kleinere werkgevers in de private sector met 50 tot 249 werknemers ook toe om middelen te delen voor het ontvangen en onderzoeken van meldingen, onder de geldende voorwaarden.
De interne meldprocedure moet de persoon of organisatie-eenheid aanwijzen die bevoegd is meldingen te ontvangen, en een onpartijdige interne persoon of eenheid die verantwoordelijk is voor de opvolging.
Meldingen moeten in de regel binnen 7 dagen worden bevestigd en binnen maximaal 3 maanden worden beantwoord, onder de wettelijke voorwaarden.
Voordat de interne meldprocedure wordt ingevoerd, moet de organisatie overleggen met de betrokken vakbond of, als die er niet is, met de werknemersvertegenwoordiging. Dat overleg moet 5 tot 10 dagen duren.
Juridische informatie moet vóór invoering worden getoetst aan de actuele nationale wetgeving. Dit overzicht bestrijkt een selectie van EU-lidstaten, niet alle 27. Nationale eisen kunnen veranderen en kunnen afhangen van de omvang, sector en structuur van de organisatie.
Deze pagina is praktische uitleg, geen juridisch advies. De wet, je ondernemingsraad en je juristen bepalen wat op jou van toepassing is. Elke landpagina vermeldt de datum van de laatste controle.
Start het kanaal, nodig een tweede handler uit en laat de deadlines zichzelf bijhouden. 14 dagen gratis, geen creditcard.