NEU: Laden Sie noch heute den Whistleblowing-Benchmark-Bericht 2026 herunter

Wie lassen sich Whistleblowing-Lösungen für den Einsatz in Unternehmen skalieren?

Ein Whistleblowing-Programm, das für eine einzelne britische Niederlassung mit 200 Mitarbeitern funktioniert, lässt sich ohne erhebliche Anpassungen nicht auf ein Unternehmen mit 20.000 Mitarbeitern in 15 Ländern, mehreren Geschäftsbereichen und einer komplexen Lieferkette übertragen.

Die Skalierung einer Whistleblowing-Lösung für den Einsatz in Unternehmen ist nicht einfach nur eine Frage des Erwerbs weiterer Lizenzen oder der Erweiterung eines Telefondienstes um zusätzliche Nummern. Sie erfordert wohlüberlegte Entscheidungen hinsichtlich Governance, Konfiguration, Datenarchitektur, Kommunikation und Anbieterkapazitäten – wobei jeder dieser Aspekte Auswirkungen auf die Wirksamkeit, die Compliance und die langfristige Nachhaltigkeit des Programms hat.

Für Compliance-Beauftragte in großen oder wachsenden Organisationen ist es entscheidend zu verstehen, was sich auf Unternehmensebene verändert – und was einheitlich bleiben muss –, um ein Programm aufzubauen, das der gesamten Organisation dient, ohne in unzusammenhängende lokale Regelungen zu zerfallen.

Was ändert sich auf Unternehmensebene?

Die Einführung in Unternehmen bringt Komplexität in verschiedenen Bereichen mit sich, mit der kleinere Programme nicht konfrontiert sind.

Einhaltung von Vorschriften in mehreren Rechtsordnungen

Ein Unternehmen, das EU-weit tätig ist, muss die nationalen Umsetzungsvorschriften der Whistleblowing-Richtlinie (2019/1937) in jedem Mitgliedstaat einhalten, in dem es 50 oder mehr Beschäftigte hat. Diese Umsetzungsvorschriften variieren: Einige erlauben die gemeinsame Nutzung von Meldekanälen durch Unternehmenseinheiten mit 50 bis 249 Beschäftigten, während andere vorschreiben, dass jede juristische Person einen eigenen Kanal unterhalten muss. Einige schreiben eine anonyme Meldung vor, andere nicht. Die Sanktionen bei Nichteinhaltung reichen von geringen Geldbußen bis hin zur strafrechtlichen Haftung einzelner Führungskräfte.

Außerhalb der EU bleibt die Situation weiterhin uneinheitlich. Im Vereinigten Königreich gelten das PIDA und die britische DSGVO. In den USA gelten die Anforderungen des Sarbanes-Oxley-Gesetzes und des Dodd-Frank-Gesetzes. Andere Rechtsordnungen schreiben ihre eigenen Meldepflichten vor. Die Whistleblowing-Lösung muss all diese Anforderungen in einem einzigen operativen Rahmen vereinen, da das Unternehmen andernfalls gezwungen wäre, mehrere separate Programme zu verwalten, was mit entsprechenden Herausforderungen in Bezug auf Governance, Kosten und Einheitlichkeit verbunden wäre.

Organisatorische Komplexität

Großunternehmen bestehen in der Regel aus mehreren Geschäftsbereichen, Tochtergesellschaften und Joint Ventures – von denen jeder über eine eigene Führungsstruktur, ein eigenes Risikoprofil und möglicherweise eine eigene Compliance-Funktion verfügt. Das Whistleblowing-Programm muss so gestaltet sein, dass es dieser Struktur Rechnung trägt: Meldungen müssen je nach betroffenem Geschäftsbereich oder geografischem Gebiet an den zuständigen Bearbeiter weitergeleitet werden, wobei die korrekten lokalen regulatorischen Anforderungen anzuwenden sind; gleichzeitig muss der Geschäftsbereichsleitung Einblick in die eigenen Meldedaten gewährt werden, ohne dass sie Meldungen über sich selbst oder ihre Kollegen einsehen kann.

Diese organisatorische Komplexität wirkt sich auch auf die Unternehmensführung aus. Wer trägt die Gesamtverantwortung für das Programm? Wer prüft Berichte, die Führungskräfte eines bestimmten Geschäftsbereichs betreffen? Wie werden Interessenkonflikte gehandhabt, wenn die beschuldigte Person in ihrer Region die Weisungsbefugnis über die Compliance-Funktion hat? Für den unternehmensweiten Einsatz müssen diese Fragen beantwortet, dokumentiert, kommuniziert und über die Konfiguration der Plattform durchgesetzt werden.

Vielfalt in der Belegschaft

Die Belegschaft eines Unternehmens kann aus Fachkräften in der Zentrale, Fabrikarbeitern, Mitarbeitern im Einzelhandel, Offshore-Ingenieuren, Remote-Mitarbeitern, Auftragnehmern, Leiharbeitern und Partnern in der Lieferkette bestehen. Jede dieser Gruppen hat unterschiedliche Zugangsanforderungen (Geräte, Sprachen, Arbeitszeiten), unterschiedliche Erwartungen an den Meldeprozess und ein unterschiedliches Bewusstsein für die Existenz des Programms. Die Skalierung der Lösung bedeutet, sicherzustellen, dass jede Gruppe über eine für sie geeignete Methode auf den Kanal zugreifen kann – und nicht, das System für die Zentrale zu konzipieren und zu hoffen, dass sich der Rest der Organisation daran anpasst.

Was unternehmensweit einheitlich sein muss

Zwar muss ein Großteil des Programms an die Komplexität des Unternehmens angepasst werden, doch müssen bestimmte Elemente einheitlich bleiben, um die Integrität des Programms zu wahren und eine sinnvolle Überwachung zu ermöglichen.

Kategorisierung und Datenstandards

Wenn verschiedene Unternehmensbereiche Berichte unterschiedlich kategorisieren – beispielsweise stuft ein Geschäftsbereich einen Vorfall als „Betrug“ ein, während ein anderer ihn als „finanzielle Unregelmäßigkeit“ bezeichnet –, wird eine Trendanalyse auf Programmebene unmöglich. Eine einheitliche Kategorisierungstaxonomie, die in allen Geschäftsbereichen und Regionen angewendet wird, bildet die Grundlage für unternehmensweites Reporting und Analysen. Die Taxonomie sollte zentral konfiguriert und über die Plattform durchgesetzt werden und nicht den einzelnen Sachbearbeitern überlassen bleiben, die sie nach eigenem Ermessen anwenden.

Vertraulichkeitsstandards

Die Vertraulichkeitsgarantien für Hinweisgeber müssen unabhängig davon, in welchem Bereich des Unternehmens sie tätig sind, einheitlich sein. Ein Hinweisgeber in einer Tochtergesellschaft sollte dieselbe Anonymitätsgarantie, dieselben Zugriffskontrollen für seinen Fall und dieselbe Dokumentation des Prüfpfads erhalten wie ein Hinweisgeber in der Muttergesellschaft. Diese Einheitlichkeit ist sowohl eine gesetzliche Anforderung gemäß der EU-Richtlinie als auch eine Voraussetzung für Vertrauen: Wenn Mitarbeiter in einem Bereich den Eindruck haben, dass die Vertraulichkeit dort geringer ist als in einem anderen, wird die Meldung von Missständen in dem Bereich mit geringerem Vertrauen unterdrückt.

Standards für Ermittlungen und Maßnahmen

Unternehmensweite Programme müssen Mindeststandards für die Untersuchung festlegen, die für alle Geschäftsbereiche gelten: Bestätigung innerhalb von sieben Tagen, Rückmeldung innerhalb von drei Monaten, dokumentierte Triage-Entscheidungen, zugriffskontrollierte Fallakten und überprüfbare Untersuchungsprotokolle. Diese Standards sollten in die Fallmanagement-Plattform integriert werden, damit die Einhaltung der Vorschriften systemseitig durchgesetzt wird, anstatt sich darauf zu verlassen, dass das lokale Management die Richtlinien befolgt.

Plattformarchitektur für den Einsatz in großen Unternehmen

Die technische Architektur der Whistleblowing-Plattform muss der Komplexität des Unternehmens gerecht werden, ohne dabei Abstriche bei der Leistung oder Sicherheit zu machen.

  • Konfiguration für mehrere Einheiten: Die Plattform sollte mehrere juristische Personen, Geschäftsbereiche oder Regionen innerhalb einer einzigen Instanz unterstützen, mit konfigurierbaren Weiterleitungsregeln, die Meldungen je nach Standort des Meldenden oder Art des Anliegens an den richtigen Bearbeiter weiterleiten. Dadurch werden die Kosten und die Fragmentierung vermieden, die durch den Betrieb separater Plattforminstanzen für jede Einheit entstehen würden.
  • Hierarchische Zugriffskontrollen: Die rollenbasierte Zugriffssteuerung muss die Governance-Strukturen des Unternehmens unterstützen – so dass ein Compliance-Beauftragter auf Abteilungsebene Fälle innerhalb seiner Abteilung einsehen kann, ein Compliance-Leiter auf Konzernebene Daten auf Programmebene über alle Abteilungen hinweg einsehen kann und der Vorstand oder der Prüfungsausschuss aggregierte Berichte erhält, ohne Zugriff auf Einzelheiten zu einzelnen Fällen zu haben.
  • Konfigurierbare Arbeitsabläufe je nach Rechtsgebiet: Je nach Rechtsgebiet können unterschiedliche Triage-Prozesse, Bestätigungsfristen oder Eskalationsregeln erforderlich sein. Die Plattform muss diese Unterschiede innerhalb desselben Systems berücksichtigen und darf nicht auf separate Konfigurationen zurückgreifen, die nicht zentral verwaltet werden können.
  • Skalierbare Infrastruktur: Die Plattform muss das durch den Einsatz in Unternehmen entstehende Volumen – potenziell Tausende von Berichten pro Jahr über mehrere Kanäle und Sprachen hinweg – bewältigen können, ohne dass dabei Leistung, Verfügbarkeit oder Sicherheit beeinträchtigt werden. Eine nach ISO 27001 zertifizierte Infrastruktur bietet die unabhängig überprüfte Gewissheit, dass die Sicherheitskontrollen der Plattform für diesen Umfang ausgelegt sind.
  • Einheitliche Berichterstattung: Dashboards auf Programmebene müssen Daten aus allen Unternehmenseinheiten, Regionen und Kanälen in einer einzigen Übersicht zusammenfassen. Nur so können die Compliance-Abteilung des Konzerns und der Vorstand beurteilen, ob das Programm insgesamt effektiv funktioniert, anstatt sich auf ein Flickwerk lokaler Berichte zu verlassen, die möglicherweise unterschiedliche Formate und Definitionen verwenden.

Planung der unternehmensweiten Einführung

Die unternehmensweite Einführung einer Whistleblowing-Lösung ist ein Projekt, bei dem eine schrittweise Umsetzung vorteilhafter ist als eine gleichzeitige weltweite Einführung. Eine schrittweise Einführung ermöglicht es dem Compliance-Team, die Konfiguration zu testen, Arbeitsabläufe zu optimieren und unerwartete Probleme in einer kontrollierten Umgebung zu beheben, bevor das Programm auf weitere Regionen oder Geschäftsbereiche ausgeweitet wird.

Ein typischer stufenweiser Ansatz könnte mit der Muttergesellschaft oder einer Pilotabteilung beginnen, damit das Team die Plattformkonfiguration, die Triage-Prozesse und die Kommunikationsmaterialien validieren kann. In der zweiten Phase werden weitere wichtige Rechtsräume oder Geschäftsbereiche einbezogen, wobei die aus dem Pilotprojekt gewonnenen Erkenntnisse berücksichtigt werden. Die nachfolgenden Phasen umfassen die verbleibenden Einheiten, den Zugang zur Lieferkette sowie alle speziellen Konfigurationen, die für regulierte Sektoren oder risikoreiche Tätigkeiten erforderlich sind.

In jeder Phase ist Kommunikation ebenso wichtig wie die Konfiguration. Die Mitarbeiter in jeder neuen Region oder Abteilung müssen verstehen, was der Kanal ist, wie sie darauf zugreifen können, was mit den Meldungen geschieht und wie diese geschützt werden. Das lokale Management muss über seine Rolle im Programm und – was ebenso wichtig ist – über die Grenzen dieser Rolle informiert werden. Die Vorgabe der EU-Richtlinie, klare und leicht zugängliche Informationen über die Meldeverfahren bereitzustellen, gilt für jede vom Programm erfasste Einheit, nicht nur für diejenige, die als erste in Betrieb genommen wird.

Prüfen, ob der Anbieter mit Ihrem Wachstum Schritt halten kann

Nicht jeder Whistleblowing-Anbieter ist für den Einsatz in Unternehmen geeignet. Der Compliance-Beauftragte sollte die Leistungsfähigkeit des Anbieters anhand der spezifischen Anforderungen auf Unternehmensebene prüfen:

  • Kann der Anbieter die Berichterstattung in den Sprachen unterstützen, die in der gesamten Belegschaft und Lieferkette gesprochen werden – nicht nur in den wichtigsten europäischen Sprachen, sondern auch in den Sprachen der Mitarbeiter an vorderster Front in allen Ländern, in denen das Unternehmen tätig ist?
  • Bietet der Anbieter einen echten telefonischen Bereitschaftsdienst rund um die Uhr an 365 Tagen im Jahr mit geschulten Mitarbeitern, oder erfolgt die Betreuung außerhalb der Geschäftszeiten über eine Voicemail oder automatisierte Systeme?
  • Kann die Plattform mehrere juristische Personen, rechtsräumliche Arbeitsabläufe und hierarchische Zugriffskontrollen innerhalb einer einzigen Instanz unterstützen?
  • Verfügt der Anbieter über Erfahrung in der Leitung von Programmen im Unternehmensmaßstab, wobei sein Kundenstamm große, komplexe Organisationen umfasst?
  • Ist die finanzielle Stabilität des Anbieters ausreichend, um eine mehrjährige Geschäftsbeziehung zu gewährleisten? Ein Anbieter, der von einer börsennotierten Muttergesellschaft unterstützt wird, bietet eine größere Kontinuitätssicherheit als ein durch Risikokapital finanziertes Start-up.

Der Service von Safecall unterstützt seit über 25 Jahren Whistleblowing-Programme für Unternehmen. Safecall ist in 150 Ländern in mehr als 175 Sprachen tätig, wird von der Law Debenture Corporation (einem FTSE-250-Unternehmen) unterstützt, ist nach ISO 27001 zertifiziert und wird auf Servern mit Standort im Vereinigten Königreich gehostet. Damit bietet Safecall die Infrastruktur, das Fachwissen und die finanzielle Stabilität, die für den Einsatz in Unternehmen erforderlich sind. Eine Kundenbindungsrate von 95 % bei Unternehmen aller Größenordnungen spiegelt das langfristige Vertrauen wider, das Unternehmenskunden in den Dienst setzen.

Weiterführende Ressourcen

Wie Safecall helfen kann

Wenn Sie erfahren möchten, wie Safecall Ihre Organisation bei der unternehmensweiten Einführung eines Whistleblowing-Systems unterstützen kann, wenden Sie sich bitte an unser Team oder rufen Sie uns unter +44 (0) 191 516 7720 an.

Quellen und weiterführende Literatur

  • EU-Richtlinie 2019/1937 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden – Ausnahmeregelung für gemeinsam genutzte Ressourcen, Unterschiede bei der nationalen Umsetzung – eur-lex.europa.eu
  • Bird & Bird, Die EU-Whistleblower-Richtlinie: Der Weg zur Umsetzung – Herausforderungen bei der länderübergreifenden Umsetzung – twobirds.com
  • Morrison Foerster, Whistleblowing-Gesetze im Überblick – Tracker zur nationalen Umsetzung – mofo.com
  • ISO/IEC 27001:2022, Managementsysteme für die Informationssicherheit – iso.org
  • EU-Datenschutz-Grundverordnung (DSGVO), Kapitel V – grenzüberschreitende Datenübermittlungen –gdpr-info.eu