Een klokkenluidersmeldpunt opzetten: wat de meeste bedrijven over het hoofd zien

De meeste bedrijven die een meldpunt opzetten, krijgen het zichtbare deel goed voor elkaar: er is een formulier of een e-mailadres, en dat staat ergens gepubliceerd. De gaten zitten meestal in alles eromheen. Wie leest wat er binnenkomt? Wie kan het nog meer zien? Wie mag het meldpunt gebruiken? En wat moet er op dag 7 en in maand 3 zijn gebeurd? Niemand merkt die gaten op totdat er een echte melding binnenkomt, en dan zijn ze al onderdeel van het probleem.

Hieronder de tien die het vaakst voorkomen. Per gat: wat er meestal gebeurt, waarom dat tekortschiet en wat u in plaats daarvan doet. De juridische verwijzingen gaan over de EU-klokkenluidersrichtlijn (Richtlijn (EU) 2019/1937). Bedrijven in het Verenigd Koninkrijk zijn er niet aan gebonden, maar het blijft de meest volledige beschrijving van een meldpunt dat werkt (zie VK versus EU: wat is waar daadwerkelijk vereist). Aan het eind vindt u een check voor uw eigen meldpunt, met bij elk punt hoe u het controleert.

1. Niemand is er specifiek verantwoordelijk voor

Wat er meestal gebeurt: meldingen komen binnen in een gedeelde mailbox, of algemeen „bij HR", en iedereen gaat ervan uit dat iemand anders ermee bezig is.

Waarom dat tekortschiet: de richtlijn vereist een aangewezen, onpartijdige persoon of afdeling die meldingen opvolgt (art. 9, lid 1, onder c). Een mailbox is geen persoon. Een melding die twee weken ongelezen blijft liggen omdat drie mensen allemaal dachten dat een ander hem had opgepakt, heeft de eerste termijn al gemist.

Wat u doet: wijs de persoon aan voordat u het meldpunt ergens publiceert. Nog beter: wijs een kleine groep van twee of drie mensen aan, zodat verlof en ziekte er niet toe leiden dat meldingen blijven liggen. Zie Het aanwijzen van wie meldingen behandelt.

2. Niemand heeft gecontroleerd wie meldingen nog meer kan zien

Wat er meestal gebeurt: de lijst van behandelaars is kort, maar meldingen komen toch bij anderen terecht. Een IT-beheerder kan elke mailbox openen. De notificatiemail bevat de volledige melding. De formuliertool bewaart inzendingen in een omgeving waar half het bedrijf bij kan.

Waarom dat tekortschiet: artikel 9, lid 1, onder a vereist dat het meldpunt veilig wordt ontworpen en beheerd, zodat niet-gemachtigd personeel geen toegang tot meldingen heeft. Artikel 16 beschermt de identiteit van de melder tegenover iedereen die niet bij de behandeling betrokken is. Dat moet door het systeem zelf worden gegarandeerd, niet afhangen van de voorzichtigheid van iedereen met toegang.

Wat u doet: volg een testmelding van indiening tot opslag, en noteer wie er bij elke stap bij zou kunnen, inclusief beheerders, back-ups en e-mailnotificaties. Zie „Volstaat een e-mailadres als meldkanaal voor klokkenluiders?” en „Kunt u Google Forms gebruiken als meldkanaal voor klokkenluiders?”.

3. Alleen schriftelijke meldingen worden aangenomen

Wat er meestal gebeurt: een webformulier of een e-mailadres is het hele meldpunt.

Waarom dat tekortschiet: in Nederland vereist artikel 2 van de Wbk dat een werknemer ten minste schriftelijk, mondeling via de telefoon of een ander spraakberichtsysteem, en op verzoek in een persoonlijk gesprek kan melden. Een meldpunt dat alleen tekst aanneemt, voldoet daar niet aan. De richtlijn zelf is ruimer: die laat schriftelijk, mondeling of beide toe (artikel 9, lid 2), en Duitsland staat bijvoorbeeld een kanaal toe dat alleen schriftelijk werkt, mits een persoonlijk gesprek op verzoek mogelijk is. Spraak brengt bovendien een eigen probleem mee: een opname kan iemand identificeren, ook als diens naam niet in de melding staat.

Wat u doet: voeg een spraakoptie toe, bepaal hoe opnames worden beschermd, en leg in uw beleid vast hoe iemand om een gesprek vraagt en wie dat gesprek voert. Zie Spraakmeldingen en anonimisering, eenvoudig uitgelegd.

4. Alleen werknemers weten dat het bestaat

Wat er meestal gebeurt: de link staat op het intranet of in het personeelshandboek.

Waarom dat tekortschiet: de bescherming van de richtlijn reikt veel verder dan de eigen loonlijst: zzp'ers, personeel van leveranciers, vrijwilligers en stagiairs, aandeelhouders en niet-uitvoerende bestuurders, sollicitanten en oud-werknemers (art. 4). Of elk van deze groepen uw interne meldpunt kan gebruiken, hangt deels af van het nationale recht (art. 8, lid 2), maar ze kunnen allemaal rechtstreeks naar een autoriteit stappen. Als ze uw meldpunt niet kunnen vinden, melden ze buiten het bedrijf.

Wat u doet: publiceer het meldpunt op een plek die ook mensen van buiten het bedrijf kunnen bereiken, zoals uw website, en bepaal uitdrukkelijk voor welke groepen het openstaat. Zie Wie er beschermd wordt onder de richtlijn.

5. De termijnen hangen af van iemands geheugen

Wat er meestal gebeurt: de data voor ontvangstbevestiging en terugkoppeling staan in iemands agenda, of nergens.

Waarom dat tekortschiet: de richtlijn kent twee termijnen. De ontvangst moet binnen 7 dagen worden bevestigd (art. 9, lid 1, onder b). De terugkoppeling moet binnen een redelijke termijn volgen, en uiterlijk 3 maanden na de ontvangstbevestiging (art. 9, lid 1, onder f). Terugkoppeling heeft bovendien een specifieke betekenis: de melder vertellen welke maatregelen zijn of worden genomen, en waarom (art. 5, punt 13). „We kijken ernaar" telt niet.

Wat u doet: maak de ontvangstbevestiging automatisch, laat het systeem de termijn van 3 maanden bijhouden en u waarschuwen voordat die verstrijkt, en plan terugkoppeling die zegt wat er daadwerkelijk gebeurt. Zie De termijn van 7 dagen/3 maanden voor terugkoppeling, uitgelegd.

6. Een anonieme melder is niet meer te bereiken

Wat er meestal gebeurt: het meldpunt neemt een anonieme melding aan, maar er gaat niets terug. Een webformulier heeft geen antwoordfunctie, en een anoniem e-mailaccount wordt vaak na één bericht achtergelaten.

Waarom dat tekortschiet: de termijnen van de richtlijn gaan uit van een gesprek. De ontvangst wordt binnen 7 dagen bevestigd (art. 9, lid 1, onder b), de opvolging is zorgvuldig (art. 9, lid 1, onder d), wat meestal betekent dat u de melder iets vraagt, en de terugkoppeling volgt binnen 3 maanden (art. 9, lid 1, onder f). Die plichten gelden voor anonieme meldingen die u aanneemt net zo goed als voor geïdentificeerde. Een meldpunt dat de melder alleen via contactgegevens kan bereiken, dwingt een keuze af tussen anonimiteit en terugkoppeling, en velen kiezen er dan voor om niet te melden.

Wat u doet: geef elke melder een weg terug naar de zaak die niet van contactgegevens afhangt, bijvoorbeeld een zaakreferentie waarmee berichten gelezen en beantwoord worden. Kan uw meldpunt dat niet, zeg dat dan duidelijk waar gemeld wordt, en bied een optionele contactmogelijkheid aan. Zie anonieme versus geïdentificeerde melding.

7. Melders horen niet hoe ze bij de autoriteiten kunnen melden

Wat er meestal gebeurt: het beleid legt uit hoe iemand intern meldt, en houdt daar op.

Waarom dat tekortschiet: artikel 9, lid 1, onder g vereist duidelijke en gemakkelijk toegankelijke informatie over extern melden bij de bevoegde autoriteiten. Bedrijven laten dat vaak weg, omdat het voelt als mensen de deur wijzen. Maar het is een verplicht onderdeel van de procedure, en een melder die uw meldpunt vertrouwt, gebruikt dat meestal toch als eerste.

Wat u doet: noem de bevoegde autoriteiten voor elk land waarin u actief bent, en zet die informatie in uw beleid en naast het meldpunt. Zie Interne, externe en openbare meldroutes vergeleken.

8. Er is geen plan voor een melding over de behandelaar

Wat er meestal gebeurt: elke melding gaat naar dezelfde persoon, ook een melding over die persoon, diens leidinggevende of diens eigen team.

Waarom dat tekortschiet: artikel 9, lid 1, onder c vereist dat degene die de melding opvolgt onpartijdig is. Niemand is onpartijdig over een melding over zichzelf, hoe goed de bedoelingen ook zijn.

Wat u doet: noem in uw beleid een alternatief contactpunt, zoals een bestuurder, de voorzitter van de raad van commissarissen of een externe adviseur, en vraag melders zich rechtstreeks daar te melden als hun zorg de behandelaar betreft. Beslis dit nu. Als u het pas regelt wanneer zo'n melding binnenkomt, heeft de behandelaar hem al gezien.

9. De werknemersvertegenwoordiging is niet geraadpleegd (EU)

Wat er meestal gebeurt: de directie kiest het meldpunt en voert het in zonder iemand anders te betrekken.

Waarom dat tekortschiet: artikel 8, lid 1 bepaalt dat interne meldkanalen worden ingesteld na raadpleging van de sociale partners en, waar het nationale recht daarin voorziet, in overeenstemming met hen. In Nederland heeft de ondernemingsraad (of PVT) instemmingsrecht over de meldprocedure. In Duitsland heeft de ondernemingsraad medezeggenschap over hoe het kanaal werkt, en in Frankrijk moet het CSE worden geraadpleegd voordat de procedure wordt vastgesteld. Wie deze stap overslaat, maakt het meldpunt aanvechtbaar, ook als al het andere klopt.

Wat u doet: controleer vóór de lancering wat het recht in uw land vereist, en plan daar tijd voor in. Zie Nederlands Wet bescherming klokkenluiders (Wbk), uitgelegd, en ook Duitsland en Frankrijk.

10. Er is geen regel voor hoe lang dossiers worden bewaard

Wat er meestal gebeurt: meldingen en dossiers worden voor onbepaalde tijd bewaard, of verwijderd wanneer iemand toevallig opruimt.

Waarom dat tekortschiet: artikel 18 vereist dat van elke melding een registratie wordt bijgehouden, die niet langer wordt bewaard dan noodzakelijk en evenredig is. Artikel 17 voegt daar het gegevensbeschermingsrecht aan toe: persoonsgegevens die niet nodig zijn, horen niet bewaard te blijven. Alles eeuwig bewaren en te vroeg verwijderen zijn allebei fouten. U hebt ook een manier nodig om verwijdering te stoppen wanneer een zaak mogelijk naar de rechter gaat.

Wat u doet: stel bewaartermijnen vast op basis van hoe een zaak afloopt, verwijder automatisch zodra ze verlopen, en zorg voor een manier om een zaak te blokkeren. Zie Een bewaarbeleid kiezen.

Controleer uw eigen meldpunt

Bij elke vraag staat op de tweede regel hoe u het te weten komt. Kunt u een vraag niet beantwoorden, tel die dan als een „nee".

1. Kunt u de persoon noemen die de volgende melding leest, en wie die vervangt?

   Vraag wie de laatste melding heeft geopend, en wie dat tijdens diens vakantie had gedaan.

2. Hebt u op een rij wie een melding technisch kan zien?

   Dien een testmelding in en volg die: mailbox of formulier, notificaties, spreadsheets, beheerders die wachtwoorden kunnen resetten of e-mail kunnen doorzoeken, back-ups.

3. Kan iemand mondeling melden en om een persoonlijk gesprek vragen?

   Lees uw procedure als iemand die niets wil opschrijven. Is er een nummer om te bellen, en een aangewezen persoon die gesprekken voert? In Nederland vereist artikel 2 Wbk beide.

4. Kan een zzp'er, leverancier of oud-werknemer het meldpunt vinden?

   Zoek het uitgelogd op uw openbare website.

5. Worden de termijnen van 7 dagen en 3 maanden bewaakt, met een waarschuwing vóór een deadline?

   Zoek voor uw laatste melding de datum van de ontvangstbevestiging en de uiterste datum voor terugkoppeling op.

6. Kunt u een anonieme melder opnieuw bereiken?

   Dien een testmelding in zonder contactgegevens en probeer daarna een vraag te stellen.

7. Legt uw beleid uit hoe iemand bij de autoriteiten meldt?

   Controleer of het de bevoegde autoriteit noemt voor elk land waar u actief bent, zoals het Huis voor Klokkenluiders in Nederland.

8. Zegt uw beleid waar een melding over de behandelaar naartoe moet?

   Controleer of het alternatieve aanspreekpunt bij naam genoemd is en bereikbaar is zonder via de behandelaar te gaan.

9. Is de werknemersvertegenwoordiging betrokken, waar uw land dat vereist?

   Zoek het instemmingsbesluit van de ondernemingsraad (of PVT) over de meldprocedure op.

10. Hebt u bewaartermijnen voor afgesloten zaken, en een manier om er een stil te zetten?

    Zoek de oudste afgesloten zaak die u nog hebt, en de regel die verklaart waarom die er nog is.

Elk „nee" is een gat om te dichten vóór de volgende melding, niet erna.

Gebruikt u een e-mailadres of een formulier? Daar beginnen de meeste van deze gaten. Loop de kanaalspecifieke controles door in „Volstaat een e-mailadres als meldkanaal voor klokkenluiders?” of „Kunt u Google Forms gebruiken als meldkanaal voor klokkenluiders?”, met een oplossing voor elk gat dat u vindt.

Wanneer u dit aanpakt

Als u in de EU 50 of meer werknemers hebt, is een meldpunt al wettelijk verplicht (zie De drempel van 50 werknemers, uitgelegd). Daaronder, of in het Verenigd Koninkrijk, is er geen vaste datum. Het moment om klaar te zijn is vóór de eerste serieuze melding, want een meldpunt dat pas in elkaar wordt gezet nadat er informeel al een zorg is geuit, heeft meestal de meeste van de gaten hierboven.

Hoe Provoxis deze gaten dicht

Drie van deze punten zijn beslissingen die alleen u kunt nemen: wie meldingen behandelt (1), waar een melding over de behandelaar naartoe gaat (8) en wie u betrekt (9). De rest dicht Provoxis:

Elke handeling in een zaak wordt vastgelegd in de auditlog, en meldingen worden opgeslagen in de EU (of in het Verenigd Koninkrijk voor klanten daar), versleuteld in rust en tijdens transport. U richt het zelf in met een begeleide checklist, de prijs is een vast maandbedrag (zie prijzen) en er is een gratis proefperiode van 30 dagen.

Juridische basis

Alle verwijzingen gaan over Richtlijn (EU) 2019/1937.

• Art. 4: wie de richtlijn beschermt, inclusief mensen buiten het eigen personeel van de werkgever.
• Art. 5, punt 13: wat „terugkoppeling" betekent.
• Art. 6, lid 2: of anonieme meldingen moeten worden aangenomen, is een nationale keuze.
• Art. 8, lid 1: het instellen van interne meldkanalen na raadpleging van de sociale partners, waar het nationale recht daarin voorziet.
• Art. 8, lid 2: voor wie interne meldkanalen open moeten, en open mogen, staan.
• Art. 9, lid 1, onder a–g: veilig ontwerp, ontvangstbevestiging binnen 7 dagen, een onpartijdige aangewezen persoon of afdeling, zorgvuldige opvolging, terugkoppeling binnen 3 maanden en informatie over extern melden.
• Art. 9, lid 2: schriftelijk, mondeling of beide melden; mondeling per telefoon of spraakberichtsysteem, en een persoonlijk gesprek op verzoek. In Nederland vereist artikel 2 Wbk beide routes.
• Art. 16: vertrouwelijkheid van de identiteit van de melder.
• Art. 17 en 18: verwerking van persoonsgegevens en registratie van meldingen.