Положения Директивы ЕС о защите лиц, сообщающих о нарушениях, частично вступили в силу 17 декабря 2021 года. Мы также ожидаем ее имплементации, которая может произойти в ближайшее время, поскольку проект закона был опубликован в конце прошлого года.
Организации, которые уже приняли решение о внедрении систем защиты лиц, сообщающих о нарушениях, могут обратиться за помощью к недавно опубликованным рекомендациям комитета ISO/TC309 по стандарту ISO 37002:2021 – Системы управления информированием о нарушениях.
Какие организации могут их использовать?
Руководящие принципы ISO 37002 были разработаны таким образом, чтобы быть применимыми практически к любой организации. Сама Международная организация по стандартизации заявляет, что они носят общий характер и применяются ко всем организациям, независимо от типа, размера, характера деятельности или сектора — государственным, частным или некоммерческим*.
Распространено ошибочное мнение, что создание систем обеспечения соответствия нормативным требованиям (например, в сфере противодействия отмыванию денег, соблюдения GDPR, борьбы с моббингом и дискриминацией, а также защиты осведомителей) на основе стандартов и рекомендаций ISO возможно только для компаний с развитой структурой и значительными финансовыми и ресурсными возможностями. Однако, как отмечалось выше, это совершенно не так, и применение стандартов ISO является хорошей практикой, способствующей созданию эффективной системы.
Что содержат эти рекомендации?
Данный документ содержит рекомендации по созданию, внедрению, поддержанию и совершенствованию системы управления информированием о нарушениях. Рекомендуется, чтобы процесс внедрения основывался на популярном цикле Деминга (Планирование-Выполнение-Проверка-Действие).
Данные руководящие принципы основаны на трех основных принципах – защите, доверии и беспристрастности – и охватывают четыре основных этапа:
- получение сообщений о нарушениях;
- оценка полученных заявок;
- реагировать на сообщения;
- Закрытие отчетов информаторов.
Сертификация
Руководство по системе управления информированием о нарушениях не предназначено для сертификации, поэтому получить подтверждение от независимой аккредитованной организации о том, что стандарт ISO 37002 был эффективно внедрен, будет невозможно.
Краткое содержание
Использование стандартов и руководств ISO при проектировании и внедрении систем соответствия имеет огромную ценность. Они не только помогают создать эффективную систему, но и высоко ценятся надзорными органами (как в случае с Управлением по защите персональных данных и стандартами ISO 27001 и 27701), а также формируют позитивный имидж надежной организации среди клиентов и подрядчиков.
Практическое применение руководящих принципов для систем управления информированием о нарушениях отражено в тех мерах, которые многим организациям придется внедрить в соответствии с директивой ЕС. Руководящие принципы ISO во многом дополняют требования директивы, а иногда даже предъявляют более высокие требования или указывают на конкретные допущения. Кроме того, они подчеркивают необходимость адаптации руководящих принципов к специфике и контексту (включая правовой контекст) организации.
Система управления информированием о нарушениях может быть внедрена как автономно, так и использоваться в рамках общей системы управления соответствием требованиям организации. Руководящие принципы ISO 37002 являются отличным дополнением к ISO 37001 (системы борьбы с коррупцией) и ISO 37301 (системы обеспечения соответствия требованиям). К сожалению, руководящие принципы ISO 37002, касающиеся информирования о нарушениях, пока не включены в программу перевода Польского комитета по стандартизации (PKN), поэтому на данный момент необходимо использовать английскую версию.
Данное уведомление носит исключительно информационный характер и не является юридической консультацией.
* https://www.iso.org/standard/65035.html
автор:
