Was tun mit einem Whistleblower-Bericht?

Ein Bericht ist gerade in das dedizierte Postfach, das sichere Portal oder den Posteingang eines Leiters eingegangen. Der Instinkt eines Managers, der so etwas noch nie gesehen hat, ist es, ein ruhiges Gespräch zu planen und zu hoffen, dass sich das Problem von selbst löst. Genau so sollte ein Whistleblowing-Bericht nicht behandelt werden. Nach geltendem europäischem Recht und ISO 37002-Richtlinien folgt darauf ein Prozess: zeitlich begrenzt, dokumentiert und getrennt von den Personen, auf die sich die Anschuldigung bezieht.

Direkt, benannt oder anonym: den richtigen Aufnahmemodus wählen

Jeder Arbeitgeber, der unter die EU-Whistleblower-Richtlinie fällt, muss einen internen Kanal betreiben und eine Person oder Funktion benennen, die für die Bearbeitung zuständig ist. Der benannte Ansprechpartner ist die Standardroute; in größeren Organisationen ist es ein kleines Komitee, in kleineren Organisationen ein einzelner geschulter Mitarbeiter.

Halten Sie die Route über den direkten Vorgesetzten parallel offen für gering bewertete Anliegen, die das Team im Gespräch lösen kann, definieren Sie aber, wo eine Eskalation zwingend erforderlich ist: alles, das den Manager persönlich betrifft, alles Strafrechtliche, alles, das Gesundheit und Sicherheit berührt. Der dritte Kanal, der anonyme Kanal, existiert, weil einige Mitarbeiter unter keinen Umständen ihren Namen unter einen Bericht setzen wollen, und wenn man diese Option weglässt, filtert man stillschweigend die empfindlichsten Fälle heraus.

Ein sicherer und einfacher Meldekanal funktioniert nur, wenn die Arbeitnehmer wissen, dass es ihn gibt, und darauf vertrauen, dass die Öffnung keine Papierspur zu ihnen zurück schafft.

Sichtung in den ersten 48 Stunden

Sobald der Bericht eingegangen ist, bewertet der Fallmanager ihn vor allem anderen. Die Bewertungsfrage ist eng gefasst: Fällt dieses Anliegen in den Geltungsbereich der Richtlinie, welche Art von Verstoß wird behauptet (HR, Betrug, Sicherheit, strafrechtlich, auf Regulierungsebene), und welche Beweise sind bereits im Bericht vorhanden.

Eine zweite Überprüfung läuft parallel. Falls der vorgeschlagene Ansprechpartner irgendeine Berichtslinie, Arbeitsbeziehung oder persönliche Verbindung zum Gegenstand der Anschuldigung hat, wird der Fall neu zugewiesen. Ein Ansprechpartner mit einem Interessenskonflikt übersteht den Kontakt mit einem Tribunal später nicht. Einige Berichte werden in diesem Stadium geschlossen, mit schriftlich festgehaltenen Gründen; andere gehen zu einem Informationsgespräch; wieder andere gehen direkt in eine förmliche Untersuchung über.

Die Sieben-Tage-, Drei-Monats-Frist

Zwei Fristen sind nun in der nationalen Gesetzgebung in der gesamten EU enthalten. Der Melder hat das Recht auf eine Bestätigung des Eingangs innerhalb von 7 Tagen und auf eine Rückmeldung zu ergriffenen oder geplanten Maßnahmen innerhalb von 3 Monaten nach dieser Bestätigung. Die Frist läuft, ob der Bericht benannt, pseudonym oder vollständig anonym eingegangen ist, weshalb das Meldetool selbst das Gespräch führen muss, wenn der Posteingang nicht kann.

Eine der beiden Fristen zu versäumen ist ein Compliance-Verstoß an sich, unabhängig davon, was sich die zugrunde liegende Anschuldigung letztlich herausstellt. Integrieren Sie die Kalender-Erinnerungen in die Fallakte ab dem Moment ihrer Öffnung; die Fristen in Richtlinie (EU) 2019/1937 existieren, um das ältere Muster von Berichten zu unterbrechen, die für ein Quartal in einem Schubfach verschwinden und dann nirgendwo hingehen.

Untersuchung: unparteiisch, dokumentiert, begrenzt

Eine förmliche Untersuchung benötigt drei Dinge, die vor dem ersten Gespräch schriftlich festgehalten werden: Untersuchungsauftrag, der Umfang dessen, was ein- und ausgenommen ist, und die Mittel, die dafür bereitgestellt wurden. ISO 37002 rahmt dies als das Prinzip der Unparteilichkeit ein, und es ist der Teil, bei dem interne Teams am meisten Abkürzungen nehmen.

Ermittler dürfen keine Berichtslinie zum Gegenstand haben und keinen Anteil am Ergebnis; wenn der Gegenstand so hochgestellt ist, dass kein interner Ansprechpartner wirklich unabhängig ist, wird ein externer Ermittler für diesen Fall hinzugezogen, anstatt später nachträglich hinzugefügt zu werden. Jede Bewertungsentscheidung geht mit einem Datum und einem Namen in die Akte, in einer Sprache, die ein Regulator beim Kaltlesen überstehen würde. Das Whistleblowing-Verfahren sollte diese Detailtreue bereits vorschreiben; die Aufgabe des Fallmanagers ist es, sich daran zu halten.

Vergeltung braucht nach Abschluss einen eigenen Arbeitsstrom

Die NAVEX 2025-Benchmark hat etwas hervorgehoben, das Vorstände sorgfältig lesen sollten: Vergeltungsmeldungen sind erneut gestiegen, und während die globale Bestätigung bei etwa 16% liegt, in Europa liegt sie bei 32%. Etwa einer von drei Vergeltungsbeschwerden, die von einem europäischen Arbeitnehmer eingereicht werden, erweist sich bei der Untersuchung als berechtigt. Der Schutz des Melders nur als einfaches Richtlinienversprechen zu behandeln, passt nicht mehr zu diesem Bild.

Die Kontrolle, die passt, hat drei Teile. Verlegen Sie den Vergeltungs-Überwachungs-Posteingang an eine andere Person als die des ursprünglichen Falles, damit der Melder ein Problem melden kann, ohne das ursprüngliche Gespräch zu erneuern. Führen Sie eine strukturierte Überprüfung in einem festen Rhythmus durch; drei Monate und zwölf Monate nach Abschluss sind üblich. Behandeln Sie jede wesentliche Änderung in der Rolle, den Stunden, dem Ort oder dem Bewertungsstand des Melders während dieses Zeitfensters als ein auslösendes Ereignis, das seinen eigenen Fall eröffnet, mit Konsequenzen für Vergeltungstäter, wo die Beweise dafür sprechen. Trends sind auch auf Bevölkerungsebene wert, beobachtet zu werden; die NAVEX-Benchmark veröffentlicht jährliche Veränderungen, die Compliance-Teams verwenden, um zu kalibrieren, was "normal" für eine Belegschaft ihrer Größe aussieht.

Hinter den einzelnen Fällen steht die Managementsicht: ein Verzeichnis jedes eingegangenen Berichts, klassifiziert nach Art, Status und Ergebnis, mit Zeitstempeln bei jeder Rückmeldungsnachricht und jeder eingehaltenen Frist. Das Verzeichnis sagt der Geschäftsführung, ob der Kanal funktioniert, gibt dem Auditor Beweise, dass die zeitlichen Verpflichtungen eingehalten werden, und zeigt die kleine Anzahl von Fällen, die zu einer externen Melderoute eskalieren, wie zum Beispiel an einen nationalen Regulator, wo der externe Kanal der Richtlinie übernimmt.