Modelos e registos · ISO 37301 · Cláusula 8.3
Livro-registo do canal de denúncias: ISO 37301 e Ley 2/2023
O registo de cada comunicação recebida pelo canal e da investigação que origina, com os prazos legais à vista e a confidencialidade garantida.
Numa frase
O livro-registo do canal de denúncias reúne as comunicações recebidas e as investigações internas a que dão origem, com as datas de confirmação de receção e de resposta; é exigido pelo art. 26 da Ley 2/2023 espanhola, que limita a sua conservação a dez anos, e é também o registo de atividade que demonstra o processo para expressar preocupações da secção 8.3 da ISO 37301.
- Onde a norma o exige
- ISO 37301 · Cláusula 8.3 As secções seguem a ISO 37301:2021, a edição em vigor, que substituiu o guia ISO 19600.
- Tipo de informação
- Registo obrigatório Art. 26 da Ley 2/2023; registo de atividade da ISO 37301 (8.3 e 9.1.5)
- Quem o preenche
- Responsável do Sistema Designado pelo órgão de administração; o acesso ao registo é restrito
- Quando
- Ao receber cada comunicação Completa-se ao longo da tramitação até ao encerramento
- Durante quanto tempo se conserva
- Máximo de 10 anos Art. 26.2 da Ley 2/2023; supressão aos três meses se não tiver sido iniciada investigação, salvo evidência do funcionamento (art. 32.4)
O que a norma exige
O que o referencial ISO 37301 exige e o que fica ao seu critério
A ISO 37301 pede um processo que incentive e permita comunicar tentativas, suspeitas ou incumprimentos reais da política ou das obrigações, com confidencialidade, possibilidade de anonimato e proteção contra represálias. A norma, por si só, não exige um livro-registo, mas exige registos exatos e atualizados das atividades de compliance (9.1.5).
Em Espanha, a Ley 2/2023 torna-o obrigatório para as empresas privadas com cinquenta ou mais trabalhadores e para todo o setor público: é preciso manter um livro-registo das comunicações recebidas e das investigações, que não é público e cujos dados não podem ser conservados mais de dez anos.
Os prazos legais determinam os campos: confirmação de receção em sete dias de calendário e resposta num máximo de três meses, prorrogável por mais três em casos complexos. Se em três meses não tiver sido aberta investigação, os dados pessoais são suprimidos, salvo para deixar evidência do funcionamento do sistema.
Estrutura
Campos que o modelo deve ter
- Código da comunicação e data de receção
- Via de entrada e se é anónima
- Matéria e âmbito: penal, administrativo, laboral, código de ética
- Data da confirmação de receção (limite: 7 dias de calendário)
- Admissão ou não admissão, com o motivo
- Investigação aberta, instrutor e referência do processo
- Data da resposta ao denunciante (limite: 3 meses, prorrogável)
- Conclusão e medidas adotadas
- Data de encerramento e de supressão dos dados
Exemplo
Exemplo: comunicação anónima sobre convites a compradores
Empresa, pessoas e números fictícios: o exemplo serve apenas para mostrar como fica um registo bem preenchido.
| Campo | Conteúdo |
|---|---|
| Código e data | COM-2026-007 · 2 de abril de 2026 |
| Entrada | Formulário do canal · anónima |
| Matéria | Possível suborno a pessoal de compras de um hospital · âmbito penal |
| Confirmação | 3 de abril, na caixa segura do canal |
| Admissão | Admitida: factos concretos e verosímeis |
| Investigação | INV-2026-003 · instrutora externa |
| Resposta | 24 de junho · dentro do prazo de três meses |
| Conclusão | Factos parcialmente provados · ver relatório de investigação |
Na auditoria
Erros que os auditores costumam apontar
- Confirmações de receção fora de prazo ou sem data que o comprove.
- Comunicações anónimas rejeitadas pelo simples facto de o serem.
- Livro-registo acessível aos recursos humanos ou à direção sem restrições.
- Dados conservados sem limite ou, pelo contrário, apagados sem deixar evidência do funcionamento do canal.
No Kimobox
Como se gere este registo no Kimobox
- 1Só o Responsável do Sistema e as pessoas que este autorize acedem às comunicações e ao seu conteúdo.
- 2O sistema avisa antes de expirarem os sete dias da confirmação de receção e os três meses da resposta.
- 3As comunicações recebidas e as investigações que originam ficam registadas para o livro-registo, com cada processo rastreado até ao encerramento.
Perguntas frequentes
O que nos perguntam antes de começar
Quem é obrigado a manter o livro-registo?
As entidades obrigadas a ter sistema interno de informação pela Ley 2/2023: empresas privadas com cinquenta ou mais trabalhadores, as dos setores do art. 10.1.b) e c) com qualquer número de trabalhadores, e todo o setor público.
O livro-registo é público?
Não. Só se pode aceder ao seu conteúdo, total ou parcialmente, a pedido fundamentado da autoridade judicial competente, no âmbito de um processo judicial e sob a sua tutela.
Faça a gestão dos registos do referencial ISO 37301 sem modelos avulsos
Mostramos-lhe o módulo a funcionar com dados semelhantes aos seus.
Continue a explorar
Páginas relacionadas
Um canal de denúncias que protege quem denuncia
Canal de denúncias para empresas com 50 ou mais trabalhadores: receção restrita, confirmação em sete dias…
Suporte
O suporte em compliance assenta em dois pilares: que o pessoal conheça as suas obrigações e que exista um…
Modelo de registo de obrigações de compliance ISO 37301
Como documentar as obrigações de compliance exigidas pela ISO 37301: requisitos obrigatórios e compromissos…
Modelo de matriz de riscos de compliance ISO 37301
Como documentar a avaliação de riscos de compliance da ISO 37301: obrigação, atividade, causas…
Fontes
De onde vem cada dado
Referências ao texto oficial em vigor. Se uma norma for revista, esta página é atualizada e a data de revisão reflete-o.
- Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción BOE-A-2023-4513 · 21 de fevereiro de 2023
- ISO 37301:2021 — Sistemas de gestão de compliance. Requisitos com orientação para utilização ISO · Abril de 2021