Welche Risiken birgt die interne Verwaltung von Whistleblowing-Systemen?

Unternehmen, die Whistleblowing-Regelungen einführen, müssen entscheiden, ob sie die Systeme intern verwalten oder externe Anbieter beauftragen wollen.

Zwar bietet die interne Verwaltung Vorteile – direkte Kontrolle, Vertrautheit mit der Unternehmenskultur, potenziell geringere Kosten –, doch birgt sie auch spezifische Risiken, die Compliance-Beauftragte sorgfältig abwägen sollten. Das Verständnis dieser Risiken hilft Unternehmen dabei, fundierte Entscheidungen darüber zu treffen, ob interne Kapazitäten für ihre jeweiligen Gegebenheiten ausreichen oder ob externes Fachwissen ihren Compliance-Verpflichtungen und Governance-Zielen besser gerecht wird.

Die Entscheidung ist nicht schwarz-weiß. Viele Organisationen kombinieren interne und externe Elemente: interne Fallbearbeitungsteams, die von externen Hotline-Diensten unterstützt werden, interne Untersuchungen bei einfachen Anliegen und externe Untersuchungen bei komplexen oder sensiblen Angelegenheiten oder interne Verfahren, die durch externe Qualitätssicherung ergänzt werden. Die Risikobewertung hilft dabei, das richtige Gleichgewicht zu finden.

Weitere Informationen zu den Compliance-Anforderungen finden Sie in unserem Compliance-Hub zur EU-Whistleblower-Richtlinie sowie in unserem Artikel darüber, wie Unternehmen die EU-Richtlinien zum Schutz von Hinweisgebern einhalten können.

Unabhängigkeit und Interessenkonflikte

Das größte Risiko, das durch die interne Verwaltung entsteht, ist der vermeintliche oder tatsächliche Mangel an Unabhängigkeit:

Strukturelle Konflikte

Wenn Mitarbeiter Bedenken gegenüber Kollegen, Vorgesetzten oder internen Compliance-Teams äußern, haben sie möglicherweise Zweifel daran, dass diese Meldungen unvoreingenommen behandelt werden. Dies ist besonders dann der Fall, wenn:

• Die Vorwürfe betreffen die Geschäftsleitung oder Führungskräfte
• Die Vorwürfe betreffen einflussreiche Personen, die Macht über die Empfänger der Berichte ausüben
• Whistleblower berichten über die Abteilungen, mit denen sie zusammenarbeiten
• Kleine Organisationen, in denen sich alle kennen

Die EU-Whistleblower-Richtlinie schreibt vor, dass benannte Personen „unparteiisch und frei von Interessenkonflikten“ sein müssen. Für interne Mitarbeiter kann es schwierig sein, dies nachzuweisen, wenn die Bedenken Kollegen, Vorgesetzte oder organisatorische Praktiken betreffen, in die sie eingebunden sind.

Herausforderungen beim Schutz vor Vergeltungsmaßnahmen

Es ist schwierig, Whistleblower vor Vergeltungsmaßnahmen zu schützen, wenn diejenigen, die die Meldungen entgegennehmen, mit potenziellen Vergeltungsakteuren zusammenarbeiten. Interne Mitarbeiter können:

• Dem Druck ausgesetzt, die Identität von Whistleblowern preiszugeben
• Schwierigkeiten, die Vertraulichkeit in kleinen Teams zu wahren
• Es fällt mir schwer, mich gegen Vergeltungsmaßnahmen von Führungskräften zu wehren
• Konflikte zwischen der Loyalität gegenüber Kollegen und der Fürsorgepflicht

Wie können Unternehmen Whistleblower vor Vergeltungsmaßnahmen schützen? Und wie gehen Organisationen mit dem Risiko von Vergeltungsmaßnahmen gegen Whistleblower um? Wir beleuchten die Herausforderungen beim Schutz von Whistleblowern im Detail.

Glaubwürdigkeit der Regulierung

Aufsichtsbehörden, die Whistleblowing-Regelungen prüfen, stellen in Frage, ob interne Systeme ausreichende Unabhängigkeit gewährleisten. Die Financial Conduct Authority erwartet beispielsweise von Finanzdienstleistungsunternehmen, dass sie bei der Bearbeitung von Bedenken echte Unabhängigkeit nachweisen. Eine rein interne Handhabung könnte bei den Aufsichtsbehörden Skepsis hervorrufen.

Kompetenz- und Qualifikationslücken

Ein wirksames Whistleblowing erfordert spezifisches Fachwissen, das intern oft nicht vorhanden ist:

Ermittlungsfähigkeiten

Die Untersuchung von Hinweisen von Whistleblowern erfordert Fähigkeiten, die über die üblichen Schulungen im Personalwesen oder im Bereich Compliance hinausgehen:

• Durchführung von Befragungen, bei denen umfassende Beweise gesammelt werden, ohne die Vertraulichkeit zu verletzen
• Erkennen, wann Bedenken auf schwerwiegende Risiken hindeuten, die eine sofortige Eskalation erfordern
• Die regulatorischen Auswirkungen gemeldeter Verfehlungen verstehen
• Untersuchungen so zu dokumentieren, dass sie einer Überprüfung durch Gerichte oder Aufsichtsbehörden standhalten

In den 25 Jahren, in denen wir Organisationen unterstützen, haben wir festgestellt, dass die Qualität der Ermittlungen einen erheblichen Einfluss auf die Ergebnisse hat. Professionelle Ermittlungskompetenz – wie sie beispielsweise ehemalige Polizeibeamte mitbringen – ermöglicht es, schwerwiegende Bedenken zu erkennen und geeignete Beweise zu sammeln, die von Mitarbeitern ohne Spezialkenntnisse möglicherweise übersehen werden.

Rechtliche und regulatorische Kenntnisse

Whistleblowing steht im Schnittpunkt komplexer rechtlicher Rahmenbedingungen: PIDA, die EU-Richtlinie, DSGVO, Arbeitsrecht und branchenspezifische Vorschriften. Internen Teams fehlt es möglicherweise an umfassenden Kenntnissen in all diesen Bereichen, was folgende Risiken mit sich bringt:

• Unzureichender rechtlicher Schutz für Hinweisgeber
• Verstöße gegen die DSGVO durch unsachgemäßen Umgang mit Daten
• Versäumnis, meldepflichtige Sachverhalte zu erkennen
• Ermittlungsverfahren, die nicht den gesetzlichen Anforderungen entsprechen

Grenzüberschreitende Komplexität

Multinationale Unternehmen, die eigene Systeme verwalten, müssen sich mit den unterschiedlichen Anforderungen der Mitgliedstaaten, verschiedenen Sprachen und kulturellen Gegebenheiten, den für Untersuchungen geltenden lokalen arbeitsrechtlichen Vorschriften sowie den Beschränkungen der DSGVO für grenzüberschreitende Datenübermittlungen auseinandersetzen. Diese Komplexität übersteigt häufig die internen Kapazitäten.

Ressourcen- und Verfügbarkeitsbeschränkungen

Eigene Systeme stoßen an praktische Grenzen:

Rund um die Uhr verfügbar

Die Richtlinie schreibt vor, dass die Meldekanäle jederzeit zugänglich sein müssen. Eine echte Rund-um-die-Uhr-Betreuung aus eigener Kraft erfordert erhebliche Ressourcen:

• Personaleinsatzpläne für Nacht-, Wochenend- und Feiertagsdienste
• Mehrere Mitarbeiter, die darin geschult sind, Meldungen einheitlich zu bearbeiten
• Verfahren, die sicherstellen, dass dringende Anliegen umgehend behandelt werden

Viele Organisationen können diese Ressourcen nicht allein für die Meldung von Missständen rechtfertigen. Externe Anbieter wie Safecall betreiben rund um die Uhr Hotlines als Kerngeschäft und verteilen die Kosten auf mehrere Kunden.

Spitzenkapazität

Das Meldeaufkommen schwankt unvorhersehbar. Unternehmen, die – infolge öffentlich bekannter Vorfälle, behördlicher Überprüfungen oder Veränderungen in der Unternehmensführung – mit einem plötzlichen Anstieg konfrontiert sind, verfügen möglicherweise nicht über die internen Kapazitäten, um solche Spitzenbelastungen zu bewältigen und gleichzeitig die Qualität sowie die Einhaltung von Fristen zu gewährleisten. Externe Anbieter verfügen über die Flexibilität, ihre Unterstützung rasch zu skalieren.

Fachressourcen

Komplexe Untersuchungen können forensische Wirtschaftsprüfer, technische Sachverständige oder Rechtsexperten erfordern. Interne Teams müssen entweder umfassendes Fachwissen aufbauen oder bei Bedarf externe Unterstützung hinzuziehen. Rein interne Ansätze führen zu einer Abhängigkeit von begrenzten internen personellen Ressourcen.

Risiken in Bezug auf Vertraulichkeit und Anonymität

Die Wahrung der Vertraulichkeit stellt intern eine Herausforderung dar:

Herausforderungen für kleine Unternehmen

In Unternehmen mit weniger als 100 Mitarbeitern ist es nahezu unmöglich, die Anonymität zu wahren. Wenn Meldungen konkrete Angaben zu Vorfällen, Zeitpunkten oder Orten enthalten, können die Empfänger oft auch ohne namentliche Nennung auf die Identität des Meldenden schließen. Externe Anbieter sorgen für eine gewisse Distanz, wodurch die Identifizierung erschwert wird.

Systemsicherheit

Bei internen Systemen, die auf einer Standard-IT-Infrastruktur basieren, fehlen möglicherweise die für echte Anonymität erforderlichen Sicherheitsfunktionen:

• Die Rückverfolgung der IP-Adresse enthüllt die Identität des Reporters
• Prüfprotokolle, aus denen hervorgeht, wer auf Online-Systeme zugegriffen hat
• E-Mail-Metadaten zur Identifizierung von Absendern
• Unzureichende Verschlüsselung zum Schutz der Daten

Externe spezialisierte Anbieter investieren in Sicherheitsinfrastruktur – End-to-End-Verschlüsselung, keine IP-Nachverfolgung, sichere bidirektionale Kommunikation –, die interne IT-Abteilungen allein für die Meldung von Missständen möglicherweise nicht als Priorität betrachten.

Unbeabsichtigte Offenlegung

Mitarbeiter, die mehrere Aufgaben wahrnehmen, können versehentlich Informationen preisgeben:

• Fälle mit Kollegen besprechen, die keinen Zugriff darauf haben sollten
• Akten für unbefugtes Personal sichtbar lassen
• Verwendung unsicherer Kommunikationsmethoden
• Nicht zu erkennen, wann bestimmte Angaben Rückschlüsse auf die Identität von Reportern zulassen könnten

Professionelle externe Dienstleister wenden strenge Vertraulichkeitsvorschriften an, die speziell für die Sensibilität von Whistleblowing-Fällen entwickelt wurden.

Herausforderungen bei der Einhaltung der DSGVO

Wie sehen die Richtlinien zur Datenaufbewahrung für Whistleblowing-Systeme aus? Hier werden die datenschutzrechtlichen Anforderungen beleuchtet. Die interne Verwaltung birgt spezifische Risiken im Hinblick auf die DSGVO:

Datenschutz-Folgenabschätzungen

Whistleblowing-Systeme erfordern Datenschutz-Folgenabschätzungen, um den hohen Risiken für die Rechte des Einzelnen Rechnung zu tragen. Internen Teams fehlt es möglicherweise an Fachwissen, um angemessene Datenschutz-Folgenabschätzungen durchzuführen oder die empfohlenen Schutzmaßnahmen umzusetzen.

Entscheidungen zur Datenaufbewahrung

Bei der Festlegung angemessener Aufbewahrungsfristen müssen gesetzliche Verpflichtungen gegen die Grundsätze der Datenminimierung abgewogen werden. Interne Mitarbeiter können unter Druck geraten, Daten länger als nötig aufzubewahren (zum Schutz des Unternehmens) oder vorzeitig zu löschen (um das Risiko von Rechtsstreitigkeiten zu verringern).

Grenzüberschreitende Überweisungen

Multinationale Unternehmen, die Whistleblowing-Daten zwischen ihren Niederlassungen übermitteln, müssen die Einhaltung der DSGVO gewährleisten. Interne zentralisierte Systeme können unbeabsichtigt gegen Übermittlungsbeschränkungen verstoßen, insbesondere nach dem Brexit bei in Großbritannien ansässigen Stellen, die Whistleblowing-Daten aus der EU verarbeiten.

Risiken in Bezug auf Qualität und Konsistenz

Die interne Verwaltung bringt Herausforderungen bei der Qualitätskontrolle mit sich:

Schulung und Fluktuation

Mitarbeiter, die Meldungen von Missständen entgegennehmen, benötigen regelmäßige Schulungen, um ihre Fähigkeiten und Kenntnisse auf dem neuesten Stand zu halten. Personalfluktuation bedeutet, dass kontinuierlich in Schulungen investiert werden muss. Zu uneinheitlichen Vorgehensweisen kommt es, wenn verschiedene Mitarbeiter unterschiedliche Maßstäbe anlegen oder nicht über aktuelle Kenntnisse der gesetzlichen Vorschriften verfügen.

Dokumentationsstandards

Professionelle externe Dienstleister sorgen für eine einheitliche Dokumentation, die den behördlichen Anforderungen entspricht. Interne Teams erstellen unter Umständen Unterlagen von schwankender Qualität, was bei behördlichen Kontrollen oder Gerichtsverfahren, bei denen der Nachweis einer ordnungsgemäßen Abwicklung erforderlich ist, Risiken mit sich bringt.

Lücken im Prüfpfad

Um die Einhaltung der Vorschriften nachweisen zu können, sind umfassende Prüfpfade erforderlich, aus denen die rechtzeitige Bestätigung, die Untersuchungsmaßnahmen, die Rückmeldung sowie die Schutzmaßnahmen hervorgehen. Interne Systeme, die auf E-Mail, Tabellenkalkulationen oder einfachen Datenbanken basieren, verfügen möglicherweise nicht über die robusten Prüfpfadfunktionen, die eine spezialisierte Fallmanagement-Software bietet.

Wenn externe Anbieter einen Mehrwert schaffen

Externe Dienstleister sind besonders für Organisationen von Vorteil, die mit folgenden Herausforderungen konfrontiert sind:

Umfelder mit hohem Risiko: Regulierungsintensive Branchen, in denen die behördliche Aufsicht streng ist und die Qualität der Untersuchungen von entscheidender Bedeutung ist. Was macht eine Whistleblowing-Lösung für regulierte Branchen geeignet? Hier werden diese Anforderungen beleuchtet.

Komplexe Fälle: Untersuchungen, die Führungskräfte betreffen, forensisches Fachwissen erfordern oder sich über mehrere Rechtsordnungen erstrecken, profitieren von externer Unabhängigkeit und fachlicher Kompetenz. Unabhängige Untersuchungsdienste stellen dieses Fachwissen zur Verfügung.

Begrenzte Ressourcen: Kleinere Unternehmen, die über keine eigenen Compliance-Teams verfügen oder keinen Rund-um-die-Uhr-Betrieb gewährleisten können, profitieren von der Größe und Verfügbarkeit externer Anbieter.

Anforderungen an die Glaubwürdigkeit: Wenn es darauf ankommt, gegenüber Aufsichtsbehörden, Investoren oder anderen Interessengruppen Unabhängigkeit nachzuweisen, bieten externe Dienstleister eine sichtbare Trennung vom Management.

Hybride Ansätze

Viele Organisationen verbinden interne und externe Elemente auf effektive Weise:

• Externe Hotlines zur Entgegennahme von Meldungen mit interner Untersuchung bei einfachen Fällen
• Interne Fallbetreuung, unterstützt durch externe Qualitätssicherung
• Interne Verfahren für die meisten Fälle, in denen bei sensiblen Angelegenheiten eine externe Untersuchung erforderlich ist
• Softwareplattformen zur Fallverfolgung, ergänzt durch externe Fachdienstleistungen, wenn Fachwissen benötigt wird

Wie Safecall interne Teams ergänzt

Safecall unterstützt Unternehmen, die eine teilweise interne Verwaltung bevorzugen, durch:

Professionelle Entgegennahme von Meldungen: Rund-um-die-Uhr-Hotlines, die von ehemaligen britischen Polizeibeamten (mit jeweils über 25 Jahren Erfahrung) betreut werden, nehmen Meldungen professionell entgegen, dokumentieren sie und leiten sie an interne Teams weiter.

Qualitätssicherung: Jeder Bericht wird von erfahrenen Betriebsleitern geprüft, um Vollständigkeit und angemessene Dokumentation sicherzustellen und die internen Ermittler zu unterstützen.

Unabhängigkeit, wenn es darauf ankommt: Wir stehen für komplexe oder sensible Untersuchungen zur Verfügung, die externes Fachwissen und eine Unabhängigkeit von internen Strukturen erfordern.

Flexible Zusammenarbeit: Unternehmen entscheiden selbst, welche Aufgaben sie intern abwickeln und in welchen Bereichen sie externe Unterstützung benötigen, und gestalten so Lösungen, die auf ihre spezifischen Gegebenheiten zugeschnitten sind.

Nächste Schritte

Unternehmen, die die Einrichtung eines internen Whistleblowing-Managements in Erwägung ziehen, sollten:

1. Bewerten Sie Risiken für die Unabhängigkeit, insbesondere bei Angelegenheiten, an denen möglicherweise die Geschäftsleitung beteiligt ist
2. Prüfung der Verfügbarkeit von Fachwissen in Bezug auf Untersuchungen, die Einhaltung gesetzlicher Vorschriften und die Anforderungen der DSGVO
3. Berücksichtigen Sie den Ressourcenbedarf für eine Rund-um-die-Uhr-Betreuung und für Spitzenauslastungen
4. Überprüfung der Vertraulichkeitsmaßnahmen in kleineren Organisationen, in denen die Wahrung der Anonymität eine Herausforderung darstellt
5. Entwickeln Sie einen hybriden Ansatz, der interne Stärken mit externem Fachwissen kombiniert, wo Lücken bestehen

Wenn Sie Beratung zur Einrichtung wirksamer Whistleblowing-Regelungen benötigen, wenden Sie sich bitte an Safecall unter +44 (0)191 516 7720 oder besuchen Sie unsere Seite zu Whistleblowing-Lösungen.