Wie lassen sich Whistleblowing-Lösungen in Compliance-Managementsysteme integrieren?

Whistleblowing findet nicht isoliert statt.

Es ist ein Bestandteil eines umfassenderen Compliance-Management-Rahmens, der unter anderem das Richtlinienmanagement, die Verfolgung von Gesetzesänderungen, Risikoregister, Schulungsunterlagen, das Audit-Management und die Meldung von Vorfällen umfassen kann.

Wenn diese Systeme unabhängig voneinander arbeiten – wobei jedes seine eigenen Daten generiert, seinen eigenen Arbeitsabläufen folgt und über separate Kanäle an den Vorstand berichtet –, fehlt der Compliance-Abteilung der übergreifende Überblick, den sie benötigt, um aufkommende Risiken zu erkennen und die Wirksamkeit des Programms nachzuweisen.

Für Compliance-Beauftragte, die sich in einem zunehmend komplexen regulatorischen Umfeld bewegen, stellt sich die Frage, wie die Whistleblowing-Lösung so in das übergeordnete Compliance-Ökosystem eingebunden werden kann, dass die Aufsicht verbessert wird, ohne die Vertraulichkeit und Unabhängigkeit zu beeinträchtigen, die der Whistleblowing-Kanal erfordert. Die Integration muss dem Programm dienen und darf es nicht untergraben.

Was die Integration in Compliance-Managementsysteme bewirkt

Die Verknüpfung von Whistleblowing-Daten mit der übergeordneten Compliance-Management-Infrastruktur schafft drei Arten von Mehrwert, die keines der beiden Systeme für sich allein bieten kann.

Ein einheitliches Risikobild

Ein Risikoregister, das keine Erkenntnisse aus dem Whistleblowing-Programm enthält, ist unvollständig. Wenn die Risikobewertung der Organisation Bestechung und Korruption als Hauptrisiko identifiziert, das Compliance-Managementsystem jedoch nicht aufzeigen kann, ob in dieser Kategorie Whistleblowing-Meldungen eingegangen sind, basiert die Risikobewertung eher auf Annahmen als auf Fakten. Die Integration von Whistleblowing-Daten – auf aggregierter, anonymisierter Ebene – in die Risikoberichterstattung des Compliance-Managementsystems vermittelt dem Compliance-Beauftragten ein vollständigeres Bild davon, wo tatsächliche Risiken auftreten.

Der „Report to the Nations“ 2024 der Association of Certified Fraud Examiners (ACFE) ergab, dass 43 % der Betrugsfälle am Arbeitsplatz durch Hinweise aufgedeckt wurden – mehr als dreimal so viele wie durch jede andere Methode. Diese Daten bestätigen, dass Whistleblower-Meldungen einer der zuverlässigsten Indikatoren für tatsächliche Risiken innerhalb einer Organisation sind. Ein Compliance-Managementsystem, das diese Informationen nicht einbeziehen kann, lässt sein wertvollstes Signal außer Acht.

Optimierte Berichterstattung im Bereich Governance

Vorstände und Prüfungsausschüsse erwarten zunehmend einen konsolidierten Compliance-Bericht – und nicht eine Reihe einzelner Berichte aus voneinander getrennten Bereichen. Wenn Daten zu Hinweisgebermeldungen zusammen mit den Erfüllungsquoten der Richtlinien, Angaben zum Abschluss von Schulungen, Prüfungsergebnissen und Aktivitäten im Zusammenhang mit regulatorischen Änderungen dargestellt werden können, erhält der Vorstand einen schlüssigen Überblick über die Compliance-Situation des Unternehmens und nicht nur eine Ansammlung zusammenhangloser Kennzahlen.

Diese konsolidierte Sichtweise ist besonders wertvoll, wenn sich verschiedene Datenquellen gegenseitig bestätigen oder widersprechen. Wenn Schulungsunterlagen eine 95-prozentige Teilnahme an Anti-Korruptionsschulungen ausweisen, Whistleblowing-Meldungen jedoch eine steigende Zahl von Bedenken im Zusammenhang mit Korruption zeigen, erhält der Vorstand ein differenzierteres Verständnis des Risikos, als es jede der beiden Datenquellen für sich allein bieten würde. Norton Rose Fulbright hat festgestellt, dass Whistleblowing-Daten, wenn sie mit anderen organisatorischen Kennzahlen verknüpft werden, Risikotrends aufzeigen und auf systemische Probleme hinweisen können, die Änderungen erfordern – ein Grundsatz, der sich nahtlos auf die Integration von Compliance-Managementsystemen übertragen lässt.

Betriebliche Effizienz

Durch die Integration lassen sich zudem Doppelarbeiten vermeiden. Wenn bei einer Whistleblowing-Untersuchung eine Lücke in den Richtlinien festgestellt wird, können die Ergebnisse direkt in den Workflow zur Überprüfung der Richtlinien des Compliance-Managementsystems einfließen, anstatt einen separaten Kommunikations- und Nachverfolgungsprozess zu erfordern. Wenn ein Muster von Whistleblowing-Meldungen den Bedarf an gezielten Schulungen auslöst, kann das Schulungsmanagementmodul entsprechend aktualisiert werden. Diese operativen Verknüpfungen verringern den Verwaltungsaufwand für das Compliance-Team und stellen sicher, dass Whistleblowing-Informationen in konkrete Maßnahmen umgesetzt werden, anstatt in einem separaten System zu verbleiben und auf manuelle Nachverfolgung zu warten.

Integrationsarchitektur: Was wird miteinander verbunden und was bleibt getrennt

Die Architektur der Integration muss dem Grundprinzip Rechnung tragen, dass die Vertraulichkeitsvorkehrungen des Hinweisgebungssystems durch die Anbindung an andere Systeme nicht beeinträchtigt werden dürfen. Das bedeutet, dass bestimmte Daten von der Hinweisgebungsplattform nach außen fließen können, der Zugriff vom Compliance-Managementsystem auf einzelne Hinweisgeberfälle darf jedoch niemals nach innen erfolgen.

Was sollte in das Compliance-Managementsystem einfließen?

• Aggregierte Berichtskennzahlen: Gesamtzahl der Meldungen, Aufschlüsselung nach Kategorien, Bestätigungsquoten, Daten zur Pünktlichkeit und Trendanalysen – alles in einem Maße anonymisiert, dass einzelne Hinweisgeber oder beschuldigte Personen nicht identifiziert werden können. Diese Kennzahlen fließen in die Dashboards und Risikoberichtsmodule des Compliance-Managementsystems ein.
• Untersuchungsergebnisse, die Folgemaßnahmen erfordern: Wenn eine fundierte Untersuchung ergibt, dass eine Überarbeitung der Richtlinien, zusätzliche Schulungen, verbesserte Kontrollmaßnahmen oder strukturelle Änderungen erforderlich sind, sollte im Compliance-Managementsystem eine dokumentierte Maßnahme erfasst werden, die über den Standard-Workflow nachverfolgt werden kann. Dadurch wird sichergestellt, dass die Ergebnisse der Meldungen in messbare Korrekturmaßnahmen umgesetzt werden.
• Risikoindikatoren: Sich abzeichnende Muster in den Whistleblowing-Daten – etwa das Auftreten einer neuen Problemkategorie, eine bestimmte Region, aus der unverhältnismäßig viele Meldungen eingehen, oder ein Zusammenhang zwischen dem Meldungsaufkommen und anderen Ereignissen innerhalb der Organisation – können im Risikomodul des Compliance-Managementsystems zur Bewertung zusammen mit anderen Risikoinformationen gekennzeichnet werden.

Was nicht fließen darf

Einzelfallangaben, die Identität der Hinweisgeber, Ermittlungsunterlagen und Notizen der Fallbearbeiter müssen innerhalb der zugriffskontrollierten Umgebung der Whistleblowing-Plattform verbleiben. Das Compliance-Managementsystem sollte niemals die Möglichkeit haben, von einer aggregierten Kennzahl zu den zugrunde liegenden Einzelfällen zu gelangen. Nutzer des Compliance-Managementsystems, die nicht zum Zugriff auf die Whistleblowing-Plattform berechtigt sind, dürfen diese Einschränkung nicht über die Integration umgehen können.

Das gleiche Prinzip gilt auch für die Integration in HR-Systeme: Die Verbindung muss einseitig und kontrolliert sein, wobei die Whistleblowing-Funktion die Kontrolle darüber behält, welche Informationen die Plattform verlassen. Die Vorgabe der EU-Whistleblowing-Richtlinie, dass die Identität des Hinweisgebers nur autorisierten Mitarbeitern offengelegt werden darf, gilt unabhängig davon, ob die Offenlegung über einen direkten Zugangsweg oder über eine Integration in ein anderes System erfolgt.

Technische Umsetzungsmöglichkeiten

Integration auf Dashboard-Ebene

Der einfachste und oft praktischste Ansatz ist die Integration auf Dashboard-Ebene: Das Berichts-Dashboard des Compliance-Managementsystems enthält ein Modul oder einen Bereich, in dem Kennzahlen zum Whistleblowing-Programm angezeigt werden, die aus der Fallmanagement-Plattform stammen. Dies kann über eine API-Verbindung erfolgen, die vordefinierte, anonymisierte Datensätze in festgelegten Zeitabständen bereitstellt, oder durch den manuellen Export und Import von Berichtsdaten in festgelegten Intervallen.

Die Integration auf Dashboard-Ebene bietet die einheitliche Governance-Übersicht, die Vorstände erwarten, ohne dass eine technische Verbindung zwischen dem Compliance-Managementsystem und einzelnen Whistleblowing-Fällen hergestellt wird. Der Compliance-Beauftragte behält die volle Kontrolle darüber, welche Daten im Dashboard angezeigt werden, und kann den Umfang der Berichterstattung an sich ändernde Anforderungen anpassen.

Workflow-Auslöser

Eine weitergehende Integration kann automatisierte Workflow-Auslöser umfassen: Wenn eine Whistleblowing-Untersuchung mit einem Ergebnis abgeschlossen wird, das eine bestimmte Compliance-Maßnahme erfordert (Überprüfung von Richtlinien, Aktualisierung von Schulungen, Verbesserung von Kontrollmechanismen), generiert die Fallmanagement-Plattform eine Aufgabe im Workflow-Modul des Compliance-Managementsystems. Die Aufgabe enthält die erforderliche Maßnahme und die Frist, jedoch keine Details zum Fall, keine Angaben zum Hinweisgeber und keine Einzelheiten zur Untersuchung.

Diese Automatisierung stellt sicher, dass Korrekturmaßnahmen, die sich aus den Ergebnissen von Whistleblowing-Meldungen ergeben, in das standardmäßige Nachverfolgungs- und Rechenschaftsrahmenwerk des Compliance-Managementsystems aufgenommen werden – wo sie für den Compliance-Leiter einsehbar sind, den zuständigen Verantwortlichen zugewiesen und bis zum Abschluss überwacht werden. Ohne diese Verknüpfung können Korrekturmaßnahmen zwar im Rahmen des Abschlusses der Untersuchung vereinbart werden, werden jedoch möglicherweise nie formell nachverfolgt oder überprüft.

Was Sie vermeiden sollten

Direkte Datenbankverbindungen, die es dem Compliance-Managementsystem ermöglichen, den Datenspeicher der Whistleblowing-Plattform abzufragen, sollten vermieden werden. Selbst bei rollenbasierten Zugriffskontrollen birgt die Existenz einer technischen Verbindung zwischen den beiden Datenbanken ein Risiko – sowohl hinsichtlich eines tatsächlichen unbefugten Zugriffs als auch hinsichtlich des Eindrucks, dass die Vertraulichkeit des Whistleblowing-Systems beeinträchtigt wurde. Die Freshfields Whistleblowing Survey 2023 ergab ein sinkendes Vertrauen in von der Unternehmensleitung gesteuerte Meldekanäle; jede Integration, die das Whistleblowing-System als Erweiterung des übergeordneten Compliance-Technologie-Stacks erscheinen lässt, birgt die Gefahr, dieses Vertrauensdefizit zu verstärken.

Der Vorteil externer Anbieter bei der Integration

Wenn die Whistleblowing-Plattform von einem unabhängigen externen Anbieter gehostet und verwaltet wird, verfügt die Integrationsarchitektur über eine natürliche Grenze, die intern gehosteten Systemen fehlt. Die externe Plattform läuft auf einer separaten Infrastruktur mit separaten Zugriffskontrollen und einer separaten Verwaltung. Die Integration in das Compliance-Managementsystem muss über eine definierte Schnittstelle erfolgen – eine API, einen Datenexport oder einen Dashboard-Feed –, die der Anbieter konfiguriert und kontrolliert.

Diese architektonische Trennung macht es für Nutzer des Compliance-Managementsystems technisch unmöglich, über die Integration auf einzelne Whistleblowing-Fälle zuzugreifen, unabhängig von ihrer Rolle oder ihren Berechtigungen innerhalb der Compliance-Plattform. Die Trennung wird durch die Infrastruktur und nicht nur durch Richtlinien durchgesetzt – eine deutlich wirksamere Maßnahme zum Schutz der Vertraulichkeit.

Für Compliance-Beauftragte, die gegenüber dem Vorstand, den Aufsichtsbehörden oder im Rahmen einer Datenschutz-Folgenabschätzung nachweisen müssen, dass die Unabhängigkeit des Whistleblowing-Systems trotz seiner Einbindung in das übergeordnete Compliance-Ökosystem gewahrt geblieben ist, bietet externes Hosting die eindeutigste und am besten zu begründende Lösung.

Governance-Anforderungen für die Integration

Jede Integration zwischen der Whistleblowing-Plattform und einem Compliance-Managementsystem sollte formell geregelt werden. Zu den wichtigsten Anforderungen gehören:

• Eine dokumentierte Spezifikation zum Datenaustausch, in der genau festgelegt ist, welche Daten zwischen den beiden Systemen in welchem Format, in welcher Häufigkeit und unter wessen Verantwortung ausgetauscht werden.
• Bestätigung, dass alle weitergegebenen Daten so weit anonymisiert sind, dass eine Identifizierung einzelner Personen ausgeschlossen ist, einschließlich einer festgelegten Methodik zur Bewertung des Re-Identifizierungsrisikos bei kleinen Populationen.
• Einbeziehung der Integration in die Datenschutz-Folgenabschätzung des Whistleblowing-Programms, wobei die Auswirkungen auf die Vertraulichkeit der Hinweisgeber, die Datenminimierung und die Zweckbindung bewertet werden.
• Regelmäßige Überprüfung des Integrationsbetriebs – mindestens einmal jährlich –, um sicherzustellen, dass die Datenflüsse im dokumentierten Umfang bleiben und keine unbefugten Zugriffswege entstanden sind.
• Den Mitarbeitern klar vermitteln, dass der Whistleblowing-Kanal unabhängig funktioniert, auch wenn seine aggregierten Daten in das übergeordnete Compliance-Berichtswesen einfließen.

Dieser Governance-Rahmen stellt sicher, dass die Integration die beabsichtigten Vorteile – einheitliche Risikoinformationen, optimierte Berichterstattung, betriebliche Effizienz – bringt, ohne die Vertraulichkeit, Unabhängigkeit und das Vertrauen zu beeinträchtigen, auf denen das Whistleblowing-Programm beruht.

Weiterführende Ressourcen

• Hub für Whistleblowing-Technologie und -Kanäle – Überblick über Meldekanäle und die Auswahl der Technologie.
• Wie lassen sich Whistleblowing-Kanäle in HR-Systeme integrieren? – Kontrollierte Informationsflüsse zwischen Whistleblowing und HR.
• Wie können Unternehmen Analysen in Whistleblowing-Programmen nutzen? – Aufbau der durch die Integration ermöglichten Analysefähigkeiten.
• Wie ermöglichen Whistleblowing-Kanäle ein proaktives Compliance-Management? – Der Übergang von der reaktiven Fallbearbeitung zur Risikoanalyse.

Wie Safecall helfen kann

Die unabhängig gehostete Whistleblowing-Plattform von Safecall ist darauf ausgelegt, sich in Ihre Compliance-Management-Infrastruktur zu integrieren und gleichzeitig die strengen Vertraulichkeitsgrenzen einzuhalten, die für ein effektives Whistleblowing erforderlich sind. Aggregierte Programmdaten – Meldungsvolumen, Kategorietrends, Kennzahlen zur Zeitnähe, Untersuchungsergebnisse – können in Ihre Compliance-Dashboards und Risikoberichte exportiert werden, während die Daten einzelner Fälle in der zugriffskontrollierten, nach ISO 27001 zertifizierten und in Großbritannien ansässigen Umgebung von Safecall verbleiben. Mit über 25 Jahren Erfahrung und einer Kundenbindungsrate von 95 % bietet Safecall die unabhängige Plattform, die eine verantwortungsvolle Integration in Compliance-Systeme ermöglicht.

Wenn Sie erfahren möchten, wie sich die Plattform von Safecall in Ihre Compliance-Managementsysteme integrieren lässt, wenden Sie sich bitte an unser Team oder rufen Sie uns unter +44 (0) 191 516 7720 an.

Quellen und weiterführende Literatur

• Association of Certified Fraud Examiners (ACFE), „Occupational Fraud 2024: A Report to the Nations“ – Hinweisermittlung als primäre Methode zur Betrugsaufdeckung – acfe.com
• Norton Rose Fulbright: Die Rolle von Whistleblowing bei der Schaffung und Aufrechterhaltung einer gesunden Unternehmenskultur – Abgleich von Whistleblowing-Daten mit organisatorischen Kennzahlen – nortonrosefulbright.com
• Freshfields Bruckhaus Deringer, Whistleblowing-Umfrage 2023 – Vertrauen in Meldekanäle – blog.freshfields.us
• EU-Richtlinie 2019/1937 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden – Vertraulichkeit der Identität des Hinweisgebers – eur-lex.europa.eu
• EU-Datenschutz-Grundverordnung (DSGVO), Artikel 5, 25, 35 – Zweckbindung, eingebauter Datenschutz, Folgenabschätzungen –gdpr-info.eu