Het aanwijzen van wie meldingen behandelt

Een kanaal alleen is niet genoeg — de wet vereist een persoon

Het is mogelijk om een indienformulier op te zetten en toch geen compliant kanaal te hebben, omdat de richtlijn niet alleen een plek vereist waar meldingen kunnen landen — ze vereist iemand die verantwoordelijk is voor wat daarna gebeurt. Art. 9, lid 1, onder c vereist "de aanwijzing van een onpartijdige persoon of afdeling die bevoegd is voor de opvolging van de meldingen," die contact onderhoudt met de melder en, waar nodig, om nadere informatie vraagt en terugkoppeling geeft aan die melder. Een formulier waar niemand duidelijk verantwoordelijk voor is, voldoet aan de letter van "we hebben een kanaal" terwijl het mist waar het kanaal daadwerkelijk voor dient.

Dezelfde persoon of afdeling kan zowel meldingen ontvangen als deze opvolgen — de richtlijn vereist geen twee aparte rollen — maar wie het ook is, moet met naam zijn aangewezen, onpartijdig zijn, en daadwerkelijk zijn toegerust om het opvolgingswerk te doen, niet slechts nominaal toegewezen.

Intern of uitbesteed — beide zijn expliciet toegestaan

Dit is een echte, open beslissing, geen keuze waar de richtlijn u de ene of de andere kant op duwt. Art. 8, lid 5 is expliciet: meldingskanalen "kunnen intern worden beheerd door een daartoe aangewezen persoon of afdeling, of extern ter beschikking worden gesteld door derden." Beide zijn legitiem:

• Intern. Iemand binnen het bedrijf — vaak HR, juridische zaken, of een compliance-verantwoordelijke — behandelt meldingen rechtstreeks. Deze persoon begrijpt de context, de mensen en de geschiedenis van de organisatie al, wat opvolging sneller en beter geïnformeerd maakt. Het compromis is onafhankelijkheid: hoe kleiner het bedrijf, hoe moeilijker het is iemand te vinden die helemaal geen nabijheid heeft tot wie er uiteindelijk gemeld zou kunnen worden.
• Uitbesteed. Een externe ombudspersoon, advocatenkantoor, of gespecialiseerde dienstverlener behandelt meldingen (of in ieder geval de eerste triage) in plaats van intern personeel. Dit koopt echte afstand van interne politiek en gezagslijnen, tegen de prijs dat iemand die minder bekend is met de eigen context van de organisatie zich per zaak moet inwerken.

Geen van beide keuzes gaat over de software waarmee u het kanaal draait — een bedrijf kan een doelgericht platform gebruiken en toch elke zaak intern behandelen, of hetzelfde platform gebruiken en zaken doorsturen naar een externe behandelaar. De tooling en de behandelbeslissing staan los van elkaar.

Wat "onpartijdig" in de praktijk uitsluit

"Onpartijdig" is het kernwoord in art. 9, lid 1, onder c, en het heeft een praktische implicatie die het waard is om vooraf te doordenken, voordat een echte melding het test: wie wordt aangewezen, moet niet iemand zijn die zijn eigen gedrag, of dat van zijn eigen directe leidinggevende, zou moeten onderzoeken. Bij een bedrijf dat net over de drempel van 50 werknemers zit, is dit vaak oprecht lastig — een klein leidinggevend team betekent een beperkte poule mensen zonder aannemelijk belangenconflict. Dat is vaak precies het moment waarop bedrijven besluiten een externe behandelaar in te schakelen, op zijn minst voor de zaken waarbij een intern conflict waarschijnlijk is, ook als de meeste meldingen nog steeds intern worden behandeld.

Hoeveel mensen daadwerkelijk toegang zouden moeten hebben

Er is een tweede balans te vinden, los van onpartijdigheid: hoe groot de aangewezen groep is. Kleiner is over het algemeen beter voor vertrouwelijkheid — de eis van art. 9, lid 1, onder a dat een kanaal zo is ingericht "waartoe niet-gemachtigde personeelsleden geen toegang hebben" is gemakkelijker daadwerkelijk te garanderen naarmate er minder mensen op de lijst staan. Maar één enkele aangewezen behandelaar is een single point of failure: ziekte, verlof, een belangenconflict bij één specifieke zaak, of gewoonweg overbelasting kunnen er allemaal voor zorgen dat meldingen oprecht onbeheerd blijven. Een aangewezen groep van twee of drie, met duidelijke achtervang, is voor de meeste bedrijven die de drempel overschrijden een realistischer minimum dan één persoon.

Hoe Provoxis in deze beslissing past

Provoxis neemt deze beslissing niet voor u — wie uw behandelaars zijn, is een organisatorische keuze die het bedrijf moet maken ongeacht welk platform eronder draait, of dat nu neerkomt op één persoon, een klein intern team, of een externe dienstverlener die als behandelaar aan het platform wordt toegevoegd. Wat Provoxis wel doet, is de grens handhaven zodra die beslissing is genomen: alleen het personeel dat een bedrijf expliciet als behandelaar of beheerder heeft toegevoegd, kan de gegevens van een geïdentificeerde melder zien, het auditlog registreert elke keer dat een van hen een melding opent, en toegang is niet iets dat stilletjes kan blijven bestaan via een gedeeld wachtwoord of een oude doorstuurregel, zoals dat kan bij een gedeelde mailbox.

Juridische basis

• Art. 9, lid 1, onder c, Richtlijn (EU) 2019/1937 — de eis om een onpartijdige persoon of afdeling aan te wijzen die bevoegd is voor de opvolging van meldingen.
• Art. 8, lid 5 — interne meldkanalen kunnen intern worden beheerd door een aangewezen persoon of afdeling, of extern ter beschikking worden gesteld door derden.
• Art. 9, lid 1, onder a — de eis dat kanalen zo zijn ontworpen en beheerd dat niet-gemachtigde personeelsleden er geen toegang toe hebben, de basis om de aangewezen groep bewust klein te houden.