Whistleblowing - system zgłaszania nieprawidłowości
Kanał komunikacji dla osób chcących zgłosić nieprawidłowości w organizacji to jeden z kluczowych elementów systemów whistleblowingowych, które muszą wdrożyć podmioty państwowe i prywatne w ramach dyrektywy UE o ochronie sygnalistów. Większości z nich zapewne skorzysta ze wsparcia zewnętrznych firm i kupi gotową aplikację służącą do tego celu. Na rynku pojawiło się wiele różnych rozwiązań, ale jak wybrać system, który nie tylko zapewni organizacji zgodność z przepisami, ale i nie przysporzy w przyszłości problemów?
Liczba organizacji, które zostały objęte przepisami dotyczącymi ochrony sygnalistów szacowana jest na kilkadziesiąt tysięcy podmiotów. Duża część z nich wciąż wstrzymuje się z podejmowaniem konkretnych działań, oczekując na krajowe przepisy. W niedalekiej przyszłości czeka je jednak wzmożona praca przy tworzeniu i implementacji wewnętrznych procedur, a także w poszukiwaniu usług wspierających – m.in. systemów służących jako kanał komunikacji z sygnalistami. W ostatnich miesiącach na rynku pojawiło się wiele zróżnicowanych rozwiązań służących właśnie do tego celu. Klienci mogą wybierać spośród systemów IT wspomagających procesy i zgodnych z OWASP (bezpieczeństwo systemów informatycznych), WCAG (dostępność dla osób niepełnosprawnych) czy ISO 27001 (bezpieczeństwo informacji), ale są też rozwiązania, które nie dają żadnej gwarancji, poza sloganami marketingowymi.
Wybór odpowiedniego systemu
Część przedsiębiorców zapewne kupi system, na który trafi w pierwszej kolejności, bez jego dokładnej weryfikacji. Problemy mogą pojawić się później, gdy dane pochodzące z takich aplikacji wypłyną na zewnątrz. Konsekwencje mogą być naprawdę poważne np. procesy ze strony sygnalistów, straty wizerunkowe, spadek cen akcji czy utratę zaufania kontrahentów.
Jak więc wybrać odpowiednie rozwiązanie dla swojej organizacji? Poniżej opisałem najważniejsze cechy, jakie powinien spełniać system do komunikacji nadużyć w firmie, wynikające z dyrektywy oraz dobrych praktyk tworzenia systemów dla działów compliance.
Whistleblowing a ochrona prywatności
Jedną z najważniejszych cech kanału komunikacji dla sygnalisty, o której mówi dyrektywa, jest ochrona poufności tożsamości sygnalisty, czyli ochrony jego danych osobowych przed ujawnieniem stronom trzecim. Często w tym kontekście pojawia się również pojęcie anonimowości sygnalisty, ale dziś wiemy, że projekt polskiej ustawy implementującej założenia dyrektywy, decyzję o procesowaniu zgłoszeń anonimowych pozostawia w rękach pracodawców. Warto jednak zwrócić uwagę, że możliwość składania takich zgłoszeń wynika z oczekiwań samych pracowników, którzy w badaniu przeprowadzonym przez ARC Rynek i Opinia[1] wskazali tę cechę jako kluczową dla efektywności systemu whistleblowingowego.
W przypadku rozwiązań informatycznych kluczowe jest więc zaprojektowanie rozwiązania w taki sposób, aby dla obu powyższych sytuacji uniemożliwiało ono ujawnienie lub identyfikację tożsamości sygnalisty, ograniczało dostęp do danych, zapewniało możliwość ciągłości komunikacji między sygnalistą a osobą odbierającą zgłoszenia po stronie firmy. Z technicznego punktu widzenia konieczne jest więc np. automatyczne kasowanie plików ciasteczek, danych IP sygnalisty czy metadanych zaszytych w załącznikach przesłanych w procesie zgłoszenia. Ważne jest też, by system umożliwiał prowadzenie anonimowego dialogu między zgłaszającym i osobami przyjmującymi zgłoszenia w firmie, bez konieczności tworzenia kont użytkownika, np. poprzez nadawanie unikalnych identyfikatorów. Zapewnienie anonimowości to jednak również elementy takie jak ograniczenie dostępu do aplikacji przez osoby nieuprawnione, czyli indywidualne konta koordynatorów systemu i logowanie z uwzględnieniem 2FA (dwustopniowe uwierzytelnienie).
Kanał komunikacji dla sygnalistów a bezpieczeństwo danych
Równie ważnym warunkiem, jaki musi spełniać kanał komunikacji dla sygnalistów, jest ochrona danych pozyskanych w procesie zgłaszania nadużyć. W przypadku, gdy decydujemy się na rozwiązanie informatyczne, należy zabezpieczyć zarówno transmisję danych, jaki i proces ich przetwarzania, a potem przechowywania oraz sam dostęp do aplikacji. W tym celu stosuje się m.in. szyfrowanie danych algorytmami czy szyfrowanie transmisji danych protokołami bezpieczeństwa. Podstawą bezpieczeństwa jest jednak infrastruktura IT, na której oparta jest aplikacja. Najbezpieczniejszym rozwiązaniem jest zbudowanie systemu na technologii chmurowej. Renomowani dostawcy, tacy jak Microsoft czy Amazon, gwarantują najwyższy poziom zabezpieczenia przed atakami, ochrony prywatności i zgodności ze standardami oraz przepisami prawa. Warto zaznaczyć, że praktycznie każde rozwiązanie stosowane w procesach compliance, w tym także system whistleblowingowy, musi zapewniać najlepszą możliwą ochronę danych. To nie tylko zabezpieczenie przed niepowołanym dostępem czy atakami, ale również przed manipulacją danymi czy ich utratą bądź zniszczeniem. W obszarze whistleblowingu były dotychczas stosowane rozwiązania analogowe, jak skrzynki na listy, specjalnie do tego celu przeznaczone konta e-mail czy infolinie, które jednak nie wspierają podstawowych założeń dyrektywy i są niepraktyczne w użyciu.
Inne wskazówki
Dobry system nie musi być drogi, a jego wybór warto skonsultować z działem IT. Nie obawiajmy się też zadawać pytań dostawcy rozwiązania, bo to nasze prawo. W grę wchodzi przecież bezpieczeństwo naszych danych i danych sygnalistów, czyli kluczowy element w całym procesie zbierania i przetwarzania zgłoszeń. Niedopełnienie tego obowiązku może w przyszłości nieść za sobą bardzo poważne konsekwencje dla reputacji oraz finansów organizacji.
[1] https://whiblo.pl/blog/ochrona-sygnalistow-w-firmach-w-polsce/