Wyznaczenie, kto obsługuje zgłoszenia

Sam kanał nie wystarczy — prawo wymaga osoby

Można uruchomić formularz zgłoszeniowy i wciąż nie mieć zgodnego kanału, ponieważ dyrektywa nie wymaga jedynie miejsca, gdzie mogą wpływać zgłoszenia — wymaga kogoś odpowiedzialnego za to, co dzieje się dalej. Art. 9 ust. 1 lit. c wymaga "wyznaczenia bezstronnej osoby lub bezstronnego wydziału właściwych do podejmowania działań następczych w związku ze zgłoszeniami... które będą komunikować się z osobą dokonującą zgłoszenia i w stosownych przypadkach zwracać się do niej o dalsze informacje oraz przekazywać jej informacje zwrotne". Formularz, za który nikt nie jest wyraźnie odpowiedzialny, spełnia literę "mamy kanał", pomijając to, do czego kanał faktycznie służy.

Ta sama osoba lub wydział może zarówno przyjmować zgłoszenia, jak i podejmować w związku z nimi działania następcze — dyrektywa nie wymaga dwóch odrębnych ról — ale kimkolwiek jest ta osoba, musi być imiennie wyznaczona, bezstronna i faktycznie wyposażona w zasoby do wykonania pracy związanej z działaniami następczymi, nie tylko nominalnie przypisana.

Wewnętrznie czy na zewnątrz — oba są wprost dozwolone

To prawdziwa, otwarta decyzja, nie coś, do czego dyrektywa skłania w jedną stronę. Art. 8 ust. 5 wprost stanowi, że kanały zgłoszeniowe "mogą być obsługiwane wewnętrznie przez wyznaczoną do tego celu osobę lub wyznaczony dział lub zapewniane zewnętrznie przez osobę trzecią". Oba rozwiązania są uzasadnione:

• Wewnętrznie. Ktoś wewnątrz firmy — często dział kadr, prawny lub osoba odpowiedzialna za zgodność — obsługuje zgłoszenia bezpośrednio. Taka osoba już rozumie kontekst organizacji, jej ludzi i historię, co czyni działania następcze szybszymi i lepiej poinformowanymi. Kompromisem jest niezależność: im mniejsza firma, tym trudniej znaleźć kogoś bez żadnej bliskości do osoby, która mogłaby zostać zgłoszona.
• Na zewnątrz. Zewnętrzny rzecznik, kancelaria prawna lub wyspecjalizowany dostawca obsługuje zgłoszenia (lub przynajmniej wstępną selekcję) zamiast wewnętrznego personelu. Kupuje to faktyczny dystans od wewnętrznej polityki i struktur podległości, kosztem tego, że ktoś mniej zaznajomiony z kontekstem organizacji musi wdrożyć się w każdą sprawę.

Żaden z tych wyborów nie dotyczy oprogramowania, którego używasz do prowadzenia kanału — firma może korzystać z dedykowanej platformy i nadal obsługiwać każdą sprawę wewnętrznie, albo korzystać z tej samej platformy i kierować sprawy do zewnętrznej osoby obsługującej. Narzędzie i decyzja o obsłudze to sprawy odrębne.

Co "bezstronność" wyklucza w praktyce

"Bezstronny" to kluczowe słowo w art. 9 ust. 1 lit. c, i ma praktyczną implikację wartą przemyślenia przed pierwszym prawdziwym zgłoszeniem, które ją zweryfikuje: osoba wyznaczona nie powinna być kimś, kto skończyłby na badaniu własnego postępowania lub postępowania swojego bezpośredniego przełożonego. W firmie, która właśnie przekroczyła próg 50 pracowników, jest to często naprawdę trudne — mały zespół kierowniczy oznacza ograniczoną pulę osób bez wiarygodnego konfliktu interesów. To często dokładnie ten moment, w którym firmy decydują się zaangażować zewnętrzną osobę obsługującą, przynajmniej do spraw, w których wewnętrzny konflikt jest prawdopodobny, nawet jeśli większość zgłoszeń nadal jest obsługiwana wewnętrznie.

Ile osób faktycznie powinno mieć dostęp

Jest jeszcze druga równowaga do znalezienia, odrębna od bezstronności: jak duża jest wyznaczona grupa. Mniej zwykle znaczy lepiej dla poufności — wymóg art. 9 ust. 1 lit. a, by kanał uniemożliwiał "uzyskanie do niego dostępu nieupoważnionym członkom personelu", jest łatwiejszy do faktycznego zagwarantowania, im mniej osób znajduje się na liście. Ale jeden imiennie wyznaczony pracownik to pojedynczy punkt awarii: choroba, urlop, konflikt interesów w konkretnej sprawie lub po prostu przeciążenie mogą sprawić, że zgłoszenia faktycznie pozostaną bez opieki. Wyznaczona grupa dwóch lub trzech osób, z jasnym zastępstwem, to bardziej realistyczne minimum niż jedna osoba dla większości firm przekraczających próg.

Jak Provoxis wpisuje się w tę decyzję

Provoxis nie podejmuje tej decyzji za Ciebie — kim są Twoje osoby obsługujące, to organizacyjny wybór, którego firma musi dokonać niezależnie od tego, jaka platforma działa pod spodem, czy skończy się to na jednej osobie, małym wewnętrznym zespole czy zewnętrznym dostawcy dodanym jako osoba obsługująca w platformie. Provoxis egzekwuje granicę, gdy ta decyzja już zapadnie: tylko personel, który firma wyraźnie dodała jako osoby obsługujące lub administratorów, może zobaczyć dane zidentyfikowanego zgłaszającego, dziennik audytu odnotowuje każde otwarcie zgłoszenia przez którąkolwiek z tych osób, a dostęp nie jest czymś, co może po cichu przetrwać dzięki wspólnemu hasłu lub starej regule przekierowania, tak jak może to się zdarzyć przy wspólnej skrzynce pocztowej.

Podstawa prawna

• Art. 9 ust. 1 lit. c, dyrektywa (UE) 2019/1937 — wymóg wyznaczenia bezstronnej osoby lub wydziału właściwych do podejmowania działań następczych w związku ze zgłoszeniami.
• Art. 8 ust. 5 — wewnętrzne kanały zgłoszeniowe mogą być obsługiwane wewnętrznie przez wyznaczoną osobę lub wydział, lub zapewniane zewnętrznie przez osobę trzecią.
• Art. 9 ust. 1 lit. a — wymóg, by kanały były zaprojektowane i obsługiwane tak, by uniemożliwiać dostęp nieupoważnionemu personelowi, podstawa do celowego utrzymywania małej wyznaczonej grupy.