Dôvera a nestrannosť
Systém musí byť navrhnutý tak, aby si získal a udržal dôveru všetkých zainteresovaných strán. Oznámenia sa vybavujú nestranne, bez predsudkov a zaujatosti.
ISO 37002:2021
Oznamovanie v súlade s ISO 37002, štandardne anonymné.
ISO 37002 vyžaduje dôvernosť, ochranu pred odvetou a neustále zlepšovanie. Ashio to prináša: anonymné už v návrhu (žiadne IP adresy, žiadne cookies, žiadna digitálna stopa), šifrovanie end-to-end, hosting ISO 27001. V prevádzke za 10 minút.
Naposledy skontrolované: 7. októbra 2026
Prehľad
Čo je ISO 37002:2021?
ISO 37002:2021 je medzinárodná norma vydaná Medzinárodnou organizáciou pre normalizáciu (ISO), ktorá poskytuje usmernenia pre systémy riadenia oznamovania. Vydaná v júli 2021 ponúka rámec, ako oznámenia o protiprávnom konaní prijímať, posudzovať a konať na ich základe, chrániť oznamovateľov pred odvetou a zabezpečiť riadny proces. ISO 37002 dopĺňa smernicu EÚ o ochrane oznamovateľov tým, že poskytuje dobrovoľnú normu systému riadenia, podľa ktorej možno organizáciu auditovať.
ISO 27001
Vyžaduje ISO 27001 kanál na oznamovanie?
Nie, nie v zmysle smernice (EÚ) 2019/1937. ISO/IEC 27001:2022 vyžaduje mechanizmus, aby zamestnanci mohli oznámiť zistené alebo predpokladané bezpečnostné incidenty (príloha A 6.8, výklad v ISO/IEC 27002), a zdokumentovaný proces pre nezhody a nápravné opatrenia (článok 10.2). Chránený a anonymný kanál na porušenie práva EÚ vyplýva zo smernice a z vášho národného zákona o oznamovaní, nie z ISO 27001.
Obe požiadavky sa stretávajú pri príchode oznámenia: jeden vstup môže zaznamenať bezpečnostný incident pre ISMS, smerovať podnet podľa zákona o oznamovaní a uchovať časovo označenú stopu, ktorú audítor žiada v oboch prípadoch.
Kľúčové zásady
Šesť základných zásad ISO 37002
ISO 37002 definuje šesť základných zásad, na ktorých stojí efektívny systém riadenia oznamovania:
Ochrana pred odvetou
Oznamovatelia musia byť chránení pred akoukoľvek formou odvety, priamou (výpoveď, degradácia) aj nepriamou (obťažovanie, vylúčenie).
Dôvernosť a anonymita
Identita oznamovateľa musí byť chránená. Anonymné oznámenia musia byť prijímané a spracúvané rovnako dôsledne ako oznámenia s uvedením mena.
Viditeľnosť a dostupnosť
Kanál na oznamovanie musí byť jasne komunikovaný a dostupný všetkým relevantným stranám, vrátane zamestnancov, dodávateľov, external providerov a ďalších.
Včasný a transparentný proces
Oznámenia musia byť promptne potvrdené a vybavené v stanovených lehotách. Oznamovatelia majú byť priebežne informovaní o postupe.
Neustále zlepšovanie
Systém sa má pravidelne preskúmavať, monitorovať a zlepšovať. Spätná väzba zaisťuje, že proces sa vyvíja s potrebami organizácie a novými rizikami.
Porovnanie noriem
ISO 37002 vs ISO 27001 vs smernica EÚ vs BSI PAS 1999 vs NIST
Tri rámce, jeden cieľ. ISO 37002 je dobrovoľná medzinárodná norma, smernica EÚ o ochrane oznamovateľov je záväzné právo v členských štátoch EÚ, BSI PAS 1999 je britská prednorma a NIST SP 800-53 pokrýva oznamovanie v americkej federálnej správe. Väčšina nadnárodných organizácií sa najprv zosúlaďuje s ISO 37002 a potom pridáva požiadavky jednotlivých jurisdikcií.
| Rámec | Rozsah | Povinný? | Prekryv s ISO 37002 |
|---|---|---|---|
| ISO 37002:2021 | Riadenie oznamovania, celosvetovo | Dobrovoľný | (východisko) |
| Smernica EÚ 2019/1937 | Členské štáty EÚ, 50+ zamestnancov | Áno (EÚ) | Vysoký, ISO 37002 znamená súlad so smernicou |
| BSI PAS 1999:2020 | Spojené kráľovstvo, dobrovoľný | Dobrovoľný | Veľmi vysoký, predchodca, plne kompatibilný |
| NIST SP 800-53 §3.6 | Federálne informačné systémy USA | Áno (federálna správa USA) | Čiastočný, pokrýva oznamovanie v užšom rozsahu |
| ISO 27001:2022 | Riadenie informačnej bezpečnosti, celosvetovo | Dobrovoľný (často zmluvne vyžadovaný) | Čiastočný, oznamovanie incidentov a audity, bez kanála na oznamovanie |
ISO 27001 a ISO 9001
Vyžaduje ISO 27001 alebo ISO 9001 kanál na oznamovanie?
Ani jedna norma neukladá viesť kanál na oznamovanie v zmysle smernice (EÚ) 2019/1937 alebo národného zákona o oznamovaní. Obe však vyžadujú, aby sa nahlásené problémy vybavovali zdokumentovaným a dohľadateľným spôsobom, a preto väčšina organizácií skončí pri jednom vstupe namiesto troch. Tu je, čo každá norma skutočne vyžaduje.
ISO 27001:2022, informačná bezpečnosť
Zamestnanci musia dokázať oznámiť bezpečnostné incidenty a slabiny a tieto oznámenia sa musia posúdiť, vybaviť a zaznamenať. Norma sa o anonymnom oznamovaní porušení práva nevyjadruje, no audítor sa aj tak opýta, ako boli nahlásené incidenty vytriedené, kto ich mal na starosti a ako boli uzavreté.
ISO 9001:2015, riadenie kvality
Požiadavka na kanál na oznamovanie tu nie je žiadna. ISO 9001 však vyžaduje zdokumentované riešenie nezhôd a nápravných opatrení, teda rovnakú disciplínu vedenia záznamov, ktorú väčšina organizácií rozširuje aj na prípady oznamovania.
Štruktúra
Štruktúra ISO 37002:2021
ISO 37002 má 9 hlavných kapitol a prílohy. Kapitoly 1-3 sú rozsah a normatívne odkazy. Kapitoly 4-10 tvoria obsah, ktorý sa dá uviesť do praxe: kontext, vedenie, plánovanie, podpora, prevádzka, hodnotenie výkonnosti, zlepšovanie. Väčšina implementácií sústreďuje úsilie na kapitoly 6 (plánovanie), 8 (prevádzka) a 10 (zlepšovanie).
Kapitola 1: Rozsah
Vymedzuje hranice normy: vzťahuje sa na organizácie všetkých veľkostí, ktoré chcú zaviesť, prevádzkovať, udržiavať a zlepšovať systém riadenia oznamovania.
Kapitola 2: Normatívne odkazy
Odkazy na sériu ISO 37000, ISO 26000 (spoločenská zodpovednosť) a ďalšie normy citované v texte. Bez povinného viazania verzií.
Kapitola 3: Termíny a definície
Definuje kľúčové pojmy: oznamovanie, oznamovateľ, oznámenie, prešetrenie, odveta, kontrola pohody dotknutej osoby a ďalšie. Kde je to možné, zosúladené s terminológiou ISO 704.
Kapitola 4: Kontext organizácie
Určuje interné a externé otázky, ktoré ovplyvňujú zamýšľané výsledky systému. Zahŕňa analýzu zainteresovaných strán: zamestnanci, dodávatelia, external provideri, zákazníci, regulačné orgány, verejnosť.
Kapitola 5: Vedenie
Vrcholový manažment musí preukázať záväzok, stanoviť politiku a prideliť roly a zodpovednosti. Ochrana pred odvetou je súčasťou záväzku vedenia, nie len prevádzkovou záležitosťou.
Kapitola 6: Plánovanie
Riešiť riziká a príležitosti, stanoviť ciele, plánovať zmeny. Hodnotenie rizík sa zameriava na prevádzkové riziká (keď sa podnet objaví) aj na riziká integrity (keď je podnet potlačený).
Kapitola 7: Podpora
Zdroje, kompetencie, povedomie, komunikácia, zdokumentované informácie. Zahŕňa analýzu vzdelávacích potrieb pre riešiteľov prípadov aj manažment.
Kapitola 8: Prevádzka
Najrozsiahlejšia kapitola. Pokrýva prijímanie oznámení, posúdenie a potvrdenie, prešetrenie, komunikáciu výsledkov a uzavretie. Zahŕňa formálne oznámenia aj neformálne podnety.
Kapitola 9: Hodnotenie výkonnosti
Monitorovanie, meranie, analýza, hodnotenie, interný audit, preskúmanie vedením. Zahŕňa metriky na úrovni systému aj jednotlivých prípadov.
Kapitola 10: Zlepšovanie
Nezhoda, nápravné opatrenie, neustále zlepšovanie. Zahŕňa poznatky z každého prípadu a analýzu vzorov naprieč prípadmi.
Implementácia
Ako zaviesť ISO 37002:2021
Väčšina organizácií dokončí funkčný systém v súlade s ISO 37002 za 60-90 dní, ak použije sústredený rámec. Nižšie uvedený plán je ten, ktorý nasledujú skúsené compliance tímy.
1
1.-2. týždeň: Vymedzenie rozsahu a podpora vedenia
Určite rozsah (celá organizácia alebo obchodná jednotka), získajte záväzok vrcholového manažmentu podľa kapitoly 5 a zdokumentujte politiku. Zmapujte interné a externé zainteresované strany podľa kapitoly 4.
2
3.-4. týždeň: Hodnotenie rizík a politika
Určite riziká integrity podľa kapitoly 6: kde môžu vzniknúť problémy, koho môžu zasiahnuť, aké kanály dnes existujú a kde sú medzery. Pripravte alebo aktualizujte politiku oznamovania.
3
5.-6. týždeň: Návrh kanála a procesu
Zaveďte alebo vylepšite kanál podľa kapitoly 8: príjem, potvrdenie, prešetrenie, komunikácia, uzavretie. Zdokumentujte postup.
4
7.-8. týždeň: Kompetencie a povedomie
Podľa kapitoly 7: vyškolte riešiteľov prípadov, informujte manažérov, komunikujte so všetkými zamestnancami. Politiku zviditeľnite v miestnych jazykoch tam, kde sa podnety najpravdepodobnejšie zvažujú.
5
9.-10. týždeň: Spustenie a monitorovanie
Spustite systém. Podľa kapitoly 9: nastavte KPI, do 60 dní urobte interný audit a do 90 dní preskúmanie vedením. Prvé metriky predložte vedeniu.
6
Od prvého štvrťroka: Neustále zlepšovanie
Podľa kapitoly 10: analýza vzorov naprieč prípadmi, analýza koreňových príčin nezhôd, preskúmanie vedením na konci roka. Politiku a postupy podľa potreby aktualizujte.
Ako Ashio pomáha
Ako Ashio pokrýva požiadavky ISO 37002
Nemusíte začínať od nuly. Ashio zavádza prevádzkové časti ISO 37002 hneď po nasadení. Tu je mapovanie po kapitolách.
Kapitola 5 (Vedenie): politika a riadenie
Nastaviteľný text politiky v 18 jazykoch, zverejnený spolu s formulárom. Jednotné prihlásenie pre riešiteľov, práva podľa rolí a kompletný audit.
Kapitola 6 (Plánovanie): návrh s ohľadom na riziká
Nastaviteľné kategórie zrkadlia taxonómiu rizík. Kanál zasiahne interných zamestnancov, dodávateľov, external providerov aj zákazníkov, teda všetky skupiny, ktoré ISO vyžaduje zohľadniť.
Kapitola 7 (Podpora): školenie a dokumentácia
Technickú platformu zabezpečuje Ashio. Naše servery bežia v dátových centrách s certifikáciou ISO 27001 vo Švajčiarsku, pričom táto certifikácia pokrýva hosting, nie samotný produkt Ashio.
Kapitola 8 (Prevádzka): jadro
Správa prípadov end-to-end: prijatie, potvrdenie, prešetrenie, komunikácia, uzavretie. Dve povinné lehoty (potvrdenie do 7 dní, spätná väzba do 3 mesiacov) sa sledujú automaticky. Anonymita je vstavaná.
Kapitola 9 (Hodnotenie výkonnosti): metriky
Automatické KPI: čas do potvrdenia, čas do uzavretia, počet prípadov, rozdelenie kategórií. Exportovateľné na preskúmanie vedením podľa požiadavky ISO.
Kapitola 10 (Zlepšovanie): slučka učenia
Analýza vzorov naprieč prípadmi, postupy analýzy koreňových príčin, šablóny preskúmania vedením na konci roka. Neustále zlepšovanie je vstavané.
Certifikácia
Dá sa získať certifikácia podľa ISO 37002?
Stručne: nie, nie priamo. ISO 37002 je usmerňujúci dokument, nie certifikovateľná norma systému riadenia. Certifikovateľnou normou systému pre compliance je ISO 37301 (systémy riadenia compliance). Súlad s ISO 37002 sa však často vyžaduje nepriamo a certifikačné orgány ponúkajú potvrdenia o súlade s ISO 37002.
ISO 37002 samotná certifikovateľná nie je
Je to usmerňujúca norma typu B, nie certifikovateľná norma systému riadenia typu A. Ak potrebujete certifikovateľný rámec compliance, hľadajte ISO 37301.
Mnohé certifikačné orgány ponúkajú potvrdenia
BSI, TÜV, DNV, Bureau Veritas, SGS a ďalší ponúkajú nezávislé posúdenie súladu s ISO 37002. Hodí sa pri preverovaní dodávateľov a pri budovaní dôvery zákazníkov.
ISO 37002 vyžaduje interný audit
Podľa kapitoly 9 musíte vykonávať interné audity v plánovaných intervaloch. Organizácia v prvom roku audituje zvyčajne dvakrát, zrelé organizácie raz ročne.
Ashio poskytuje údaje pre oboje
Prehľady času do potvrdenia, času do uzavretia a analýzy vzorov, teda všetky vstupy, ktoré bude externý audítor alebo váš interný audit potrebovať.
Kľúčové metriky
Metriky, ktoré preukážu, že váš systém podľa ISO 37002 funguje
Kapitola 9 normy ISO 37002 vyžaduje monitorovanie, meranie a hodnotenie. Tu sú metriky, ktoré skúsené compliance tímy sledujú.
Čas do potvrdenia
Cieľ: menej ako 7 dní podľa smernice EÚ a kapitoly 8.2. Pod 3 dni je výborné. Meria pohotovosť voči oznamovateľom a signalizuje stav systému.
Čas do uzavretia
Cieľ: menej ako 3 mesiace podľa smernice EÚ. Pod 1 mesiac je výborné. Sleduje efektivitu prešetrovania a cykly spätnej väzby. Rozlišujte uzavretie (informácia poskytnutá) od úplného vyriešenia (opatrenie prijaté).
Počet oznámení na 100 zamestnancov
Referenčná hodnota v odvetví: 1-3 oznámenia na 100 zamestnancov ročne. Výrazne menej: možno nedostatočné oznamovanie. Výrazne viac: možno vážny problém alebo naopak silná kultúra oznamovania.
Rozmanitosť kanálov
Kapitola 8.1 normy ISO 37002 vyžaduje viacero kanálov. Sledujte, aké percento prichádza ktorým. Ak 95 % prichádza z jedného zdroja, rozmanitosť je slabá a možno vám unikajú celé kategórie oznámení.
Oficiálne zdroje
Oficiálne zdroje
Na overenie vlastných povinností a čítanie originálnych textov. Medzinárodný normalizačný orgán, smernica EÚ a doplnkové normy systému riadenia sú uvedené nižšie.
ISO 37002:2021 (ISO.org)
Oficiálny abstrakt, rozsah a informácie o výbore od Medzinárodnej organizácie pre normalizáciu.
iso.org/standard/80095ISO 37301:2021 (systémy riadenia compliance)
Certifikovateľná norma systému riadenia, ktorú ISO 37002 podporuje. Odporúčaný ďalší krok pre organizácie, ktoré chcú formálnu certifikáciu.
iso.org/standard/75080ISO 27001 (informačná bezpečnosť)
Pre organizácie, ktoré zavádzajú ISO 37002 s digitálnym kanálom, poskytuje ISO 27001 certifikovateľný rámec informačnej bezpečnosti, ktorý systém oznamovania dopĺňa.
iso.org/standard/27001Pre koho je určený
Komu prospieva systém v súlade s ISO 37002?
ISO 37002 je určená organizáciám všetkých veľkostí, vo všetkých odvetviach a na celom svete. Je obzvlášť relevantná pre:
- Nadnárodné spoločnosti, ktoré hľadajú jednotný globálny štandard oznamovania naprieč jurisdikciami
- Organizácie v krajinách bez špecifickej právnej úpravy oznamovania, ktoré chcú postupovať podľa medzinárodnej osvedčenej praxe
- Compliance tímy, ktoré chcú porovnať svoj existujúci program oznamovania s uznávanou normou
- Subjekty verejnej správy, mimovládne organizácie a medzinárodné organizácie zaviazané transparentnosti a zodpovednosti
Audit
Audit: dokumentácia, ktorú audit podľa ISO 37002 vyžaduje.
Audit je jednou z najdôležitejších požiadaviek ISO 37002, bez neho zhodu nepreukážete. Ashio vám dáva kompletný a nefalšovateľný audit od prvého dňa: každá akcia má časovú značku, nedá sa dodatočne zmeniť a je pripravená na interný audit alebo potvrdenie o súlade.
Nemenný záznam aktivít
Každá akcia, vytvorenie oznámenia, zmena stavu, pridaný komentár, nahraný súbor, má časovú značku v nemennom zázname. Audítori vidia, kto čo a kedy urobil, bez možnosti záznamy dodatočne upraviť.
Dokumentácia celého životného cyklu oznámenia
Od prijatia oznámenia po jeho uzavretie dokumentuje Ashio každý krok s časovou značkou a autorom, takže audítor vidí súvislý príbeh namiesto roztrieštených e-mailov.
Automatické sledovanie 7 dní a 3 mesiacov
Smernica EÚ a národné zákony o oznamovaní vyžadujú potvrdenie do 7 dní a spätnú väzbu do 3 mesiacov od potvrdenia. Ashio dokumentuje obe lehoty automaticky, takže keď sa audítor opýta, či boli dodržané, dôkaz už existuje.
Export pre audítorov a hodnotiteľov
Všetky oznámenia, aktivity a audity sa dajú exportovať do PDF, ideálne pre externých audítorov, hodnotiteľov alebo interné compliance tímy. Žiadne uzamknutie u dodávateľa, žiadne proprietárne formáty.
Časté otázky
Časté otázky o ISO 37002
Je ISO 37002 zákonná povinnosť?+
Nie. Na rozdiel od smernice EÚ o ochrane oznamovateľov alebo národných predpisov, ako nemecký HinSchG, je ISO 37002 dobrovoľná norma. Predstavuje medzinárodnú osvedčenú prax: organizácie ju prijímajú, aby preukázali záväzok k excelentnosti v riadení oznamovania nad rámec minimálnych zákonných požiadaviek.
Môže byť softvérový produkt „certifikovaný podľa ISO 37002“?+
ISO 37002 je norma systému riadenia, nie certifikácia produktu. Organizácie zavádzajú a prevádzkujú systém v súlade s ISO 37002 a softvér tento systém podporuje. Ashio poskytuje technickú infraštruktúru na prevádzkovanie usmernení ISO 37002, norma sa však týka celého systému riadenia, nie jedného nástroja.
Ako súvisí ISO 37002 s ISO 37001?+
ISO 37001 je norma systému riadenia proti úplatkárstvu. ISO 37002 ju dopĺňa konkrétnym usmernením k oznamovaniu, ktoré je kľúčovou súčasťou každého programu proti úplatkárstvu. Organizácie s certifikáciou ISO 37001 často prijímajú usmernenia ISO 37002, aby posilnili mechanizmy oznamovania.
Pomáha Ashio pri auditoch alebo certifikácii podľa ISO 37002?+
Platforma Ashio poskytuje dokumentáciu, audity a štruktúru procesov, ktoré podporujú súlad s ISO 37002. Ashio samo nie je certifikačný orgán, no naše záznamy aktivít a postupy správy prípadov dávajú audítorom dôkazy potrebné na overenie vašich procesov oznamovania.
Pokrýva ISO 27001 oznamovanie?+
Nie. ISO 27001 je norma systému riadenia informačnej bezpečnosti, ktorá rieši, ako organizácia chráni dôvernosť, integritu a dostupnosť informácií. Neukladá, ako viesť kanál na oznamovanie, ako vybavovať oznámenia ani ako chrániť oznamovateľov pred odvetou. Na usmernenie špecifické pre oznamovanie organizácie používajú ISO 37002 (systémy riadenia oznamovania) a riadia sa smernicou EÚ o ochrane oznamovateľov a národnými transpozičnými predpismi.
ISO 9001 vs ISO 37002, aký je rozdiel?+
ISO 9001 je norma systému riadenia kvality, ktorá rieši, ako organizácia trvalo napĺňa požiadavky zákazníkov a regulácie. ISO 37002 (vydaná 2021) je norma systému riadenia oznamovania, ktorá rieši, ako oznámenia o protiprávnom konaní prijímať, posudzovať a konať na ich základe a ako pritom chrániť oznamovateľov pred odvetou. Mnohé organizácie s certifikáciou ISO 9001 prijímajú ISO 37002 pre svoj kanál na oznamovanie, normy sa dopĺňajú, nenahrádzajú.
Vyžaduje ISO 27001 kanál na oznamovanie?+
Nie, nie v zmysle smernice (EÚ) 2019/1937. ISO/IEC 27001:2022 vyžaduje mechanizmus, aby zamestnanci mohli oznámiť zistené alebo predpokladané bezpečnostné incidenty (príloha A 6.8, výklad v ISO/IEC 27002), a zdokumentovaný proces pre nezhody a nápravné opatrenia (článok 10.2). Chránený a anonymný kanál na porušenie práva EÚ vyplýva zo smernice a z vášho národného zákona o oznamovaní, nie z ISO 27001.
Dá sa získať certifikácia podľa ISO 37002?+
Nie. ISO 37002:2021 je usmerňujúci dokument, nie certifikovateľná norma systému riadenia. Certifikovateľné rámce compliance nájdete v ISO 37301. Certifikačné orgány však ponúkajú potvrdenia o súlade s ISO 37002 a interné audity podľa ISO 37002 sa podľa kapitoly 9 očakávajú.
Je ISO 37002 povinná?+
Nie. ISO 37002 je dobrovoľná. Smernica EÚ o ochrane oznamovateľov 2019/1937 je však v členských štátoch EÚ záväzná pre organizácie s 50 a viac zamestnancami a systém v súlade s ISO 37002 tieto povinné požiadavky podstatne naplní.
Aký je rozdiel medzi ISO 37002 a smernicou EÚ o ochrane oznamovateľov?+
ISO 37002 je medzinárodná dobrovoľná norma pre systémy riadenia oznamovania, ktorú vydala ISO. Smernica EÚ (2019/1937) je záväzné právo EÚ, ktoré museli členské štáty transponovať do 17. decembra 2021, a vzťahuje sa na organizácie s 50 a viac zamestnancami. ISO 37002 má širší rozsah (všetky odvetvia, všetky veľkosti), smernica EÚ je zákonné minimum. Systém v súlade s ISO 37002 podstatne spĺňa požiadavky smernice EÚ.
Ako dlho trvá zavedenie ISO 37002?+
Sústredená implementácia so štruktúrovaným rámcom zvyčajne trvá 60-90 dní, kým vznikne prvý systém v súlade s normou. Plné neustále zlepšovanie a pokrytie všetkých kapitol (najmä 8, 9 a 10) zvyčajne trvá 6-12 mesiacov. S platformou, akou je Ashio, sa prvé zavedenie kapitol 6-9 dá skrátiť na 1-2 týždne.
Vzťahuje sa ISO 37002 na malé firmy?+
Áno. ISO 37002 sa vzťahuje na organizácie všetkých veľkostí vrátane malých firiem. Norma však uvádza, že niektoré požiadavky sa na veľmi malé organizácie nemusia vzťahovať. Smernica EÚ o ochrane oznamovateľov, ktorej splneniu ISO 37002 pomáha, sa v členských štátoch EÚ vzťahuje na organizácie s 50 a viac zamestnancami.
Ako súvisí ISO 37002 s inými rámcami compliance?+
ISO 37002 je v súlade s ISO 37301 (systémy riadenia compliance), ISO 27001 (informačná bezpečnosť) a ISO 45001 (bezpečnosť a ochrana zdravia pri práci). Prepája sa aj so smernicou EÚ o ochrane oznamovateľov (2019/1937) v členských štátoch EÚ, britským Bribery Act 2010 a americkým Sarbanes-Oxley Act, paragraf 806. Mnohé organizácie mapujú svoju implementáciu ISO 37002 na tieto súvisiace rámce.
Akú rolu má podľa ISO 37002 oznamovateľ?+
ISO 37002 definuje oznamovateľa ako osobu, ktorá podá oznámenie alebo podnet. Norma vyžaduje ochranu oznamovateľa pred odvetou, zachovanie dôvernosti a prístup k náprave, ak k odvete dôjde. Oznamovateľ sa podľa kapitoly 4 považuje za zainteresovanú stranu, s konkrétnymi požiadavkami na ochranu v kapitolách 5 (záväzok vedenia) a 8 (prevádzkové kontroly).
Kedy bola ISO 37002 vydaná?+
ISO 37002:2021 bola vydaná v júli 2021. Patrí do rodiny noriem ISO 37000 pre riadenie, compliance a oznamovanie.
Čím sa ISO 37002 odlišuje od smernice EÚ o ochrane oznamovateľov?+
Smernica EÚ 2019/1937 stanovuje minimálne zákonné požiadavky v členských štátoch EÚ. ISO 37002 je rozsiahlejšia dobrovoľná medzinárodná norma. Systém navrhnutý podľa ISO 37002 podstatne prekračuje požiadavky smernice EÚ. Smernica je zákonné minimum, ISO 37002 je zlatý štandard.
Je ISO 37002 dostupná zadarmo?+
Nie. Celú normu je potrebné kúpiť od ISO alebo od národných normalizačných orgánov (napríklad BSI v Británii, ANSI v USA, DIN v Nemecku). Abstrakt a obsah sú dostupné voľne. Cena sa zvyčajne pohybuje medzi 100 a 200 CHF za PDF.
Je ISO 37002 použiteľná vo verejnom sektore?+
Áno. ISO 37002 sa vzťahuje na verejné, súkromné aj neziskové organizácie akejkoľvek veľkosti. Mnohé subjekty verejnej správy ju používajú na posilnenie interných kanálov nad rámec minima, ktoré vyžaduje smernica EÚ o ochrane oznamovateľov.
Ako súvisí ISO 37002 s ISO 9001 pre riadenie kvality?+
ISO 37002 dopĺňa ISO 9001 tým, že pridáva štruktúrované usmernenie na prijímanie, posudzovanie a vybavovanie oznámení o protiprávnom konaní. Organizácie s existujúcim systémom kvality podľa ISO 9001 môžu požiadavky ISO 37002 na oznamovanie začleniť bez duplikovania svojej infraštruktúry riadenia.
Funguje ISO 37002 medzinárodne?+
Áno. ISO 37002 je medzinárodná norma vydaná ISO a uznávaná na celom svete. Keďže ide o usmerňujúci dokument, nie o certifikovateľný systém riadenia, používajú ju audítori a regulačné orgány naprieč jurisdikciami vrátane EÚ, Británie, USA, Austrálie a ázijsko-pacifického regiónu.
Potrebujú malé organizácie ISO 37002?+
ISO 37002 je dobrovoľná a nie je zákonnou povinnosťou pre žiadnu veľkosť organizácie. Malé organizácie často prijímajú časť jej usmernení, aby posilnili svoj kanál na oznamovanie, preukázali osvedčenú prax partnerom a zákazníkom a pripravili sa na budúce rozšírenie regulácie.
Vyžaduje ISO 27001 kanál na oznamovanie?+
Nie. ISO 27001 je norma systému riadenia informačnej bezpečnosti, ktorá očakáva, že zamestnanci dokážu oznámiť bezpečnostné incidenty a slabiny, čo nie je to isté ako kanál na oznamovanie podľa smernice (EÚ) 2019/1937. Mnohé organizácie vedú oboje cez jeden vstup, aby každé oznámenie bolo zaznamenané, klasifikované a uzavreté na jednom auditovateľnom mieste. Servery Ashia majú certifikáciu ISO 27001, samotný produkt nie.
Ktorá norma ISO sa týka oznamovania?+
ISO 37002:2021 je jediná norma ISO venovaná systémom riadenia oznamovania. ISO 37301 pokrýva riadenie compliance a ISO 27001 informačnú bezpečnosť, obe sa dotýkajú oznamovania z iného uhla. ISO 37002 je dobrovoľné usmernenie, záväzné pravidlá prináša smernica (EÚ) 2019/1937 a národné zákony o oznamovaní.
Pokryté smernice EÚ
Súvisiaci sprievodcovia súladom.
Preskúmajte, ako Ashio pokrýva jednotlivé predpisy EÚ.
Súlad s oznamovaním v EÚ
Jedna platforma pre každú smernicu EÚ: NIS2, akt o AI, CSRD, CSDDD, transparentnosť odmeňovania, ISO 37002.
Čítať ďalejSmernica EÚ o ochrane oznamovateľov
Požiadavky, lehoty a sankcie podľa smernice 2019/1937.
Čítať ďalejHlásenie incidentov podľa NIS2
Lehoty hlásenia kybernetických incidentov a interné kanály.
Čítať ďalejSkutočne anonymné oznamovanie
Žiadna IP adresa, žiadne cookies, žiadne odtlačky. End-to-end šifrovanie.
Čítať ďalejPripravení zosúladiť sa s osvedčenou praxou ISO 37002?
Zriaďte systém oznamovania, ktorý spĺňa najvyššie medzinárodné štandardy. Procesy v súlade s ISO 37002, súlad s GDPR a švajčiarsky hosting, to všetko na jednej platforme.