Register der Hinweismeldungen: ISO 37301 und Ley 2/2023

Was die Norm verlangt

---

Was ISO 37301 fordert und was Ihrem Ermessen überlassen bleibt

ISO 37301 verlangt einen Prozess, der dazu ermutigt und es ermöglicht, versuchte, vermutete oder tatsächliche Verstöße gegen die Richtlinie oder die Pflichten zu melden, mit Vertraulichkeit, der Möglichkeit der Anonymität und Schutz vor Repressalien. Ein Meldungsregister verlangt die Norm für sich genommen nicht, wohl aber genaue und aktuelle Aufzeichnungen über die Compliance-Tätigkeiten (9.1.5).

In Spanien macht die Ley 2/2023 daraus eine Pflicht für private Unternehmen ab fünfzig Beschäftigten und den gesamten öffentlichen Sektor: Es ist ein Register der eingegangenen Meldungen und der Untersuchungen zu führen, das nicht öffentlich ist und dessen Daten höchstens zehn Jahre aufbewahrt werden dürfen.

Die gesetzlichen Fristen bestimmen die Felder: Eingangsbestätigung binnen sieben Kalendertagen und Rückmeldung binnen höchstens drei Monaten, in komplexen Fällen um weitere drei verlängerbar. Wurde nach drei Monaten keine Untersuchung eröffnet, werden die personenbezogenen Daten gelöscht, außer zum Nachweis der Funktionsfähigkeit des Systems.

Aufbau

---

Felder, die die Vorlage enthalten sollte

• Kennung der Meldung und Eingangsdatum
• Eingangsweg und ob sie anonym ist
• Gegenstand und Bereich: strafrechtlich, verwaltungsrechtlich, arbeitsrechtlich, Ethikkodex
• Datum der Eingangsbestätigung (Frist: 7 Kalendertage)
• Annahme oder Nichtannahme, mit Begründung
• Eröffnete Untersuchung, untersuchende Person und Aktenzeichen
• Datum der Rückmeldung an die hinweisgebende Person (Frist: 3 Monate, verlängerbar)
• Ergebnis und ergriffene Maßnahmen
• Datum des Abschlusses und der Datenlöschung

Im Audit

---

Fehler, die Auditoren häufig feststellen

• Eingangsbestätigungen außerhalb der Frist oder ohne Datum, das sie belegt.
• Anonyme Meldungen werden allein deshalb verworfen, weil sie anonym sind.
• Personalabteilung oder Geschäftsleitung haben uneingeschränkten Zugriff auf das Register.
• Daten werden unbegrenzt aufbewahrt oder umgekehrt gelöscht, ohne einen Nachweis der Funktionsfähigkeit des Kanals zu hinterlassen.

In Kimobox

---

So wird diese Aufzeichnung in Kimobox geführt

1. 1Nur der Systemverantwortliche und von ihm autorisierte Personen haben Zugriff auf die Meldungen und ihren Inhalt.
2. 2Das System warnt, bevor die sieben Tage für die Bestätigung und die drei Monate für die Rückmeldung ablaufen.
3. 3Die eingegangenen Meldungen und die daraus eröffneten Untersuchungen werden für das Register erfasst, jede Akte bis zu ihrem Abschluss nachverfolgt.

Häufige Fragen

---

Was man uns vor dem Start fragt