ISO 37002 Whistleblowing (İhbar) Yönetim Sistemi Standardı: Kapsamlı Rehber

ISO 37002, kuruluşların yolsuzluk şüphesi, etik ihlal veya diğer yanlış davranışlara ilişkin bildirimleri güvenilir şekilde almasını, değerlendirmesini, ele almasını ve sonuçlandırmasını sağlayan bir whistleblowing (ihbar) yönetim sistemi rehber standardıdır. ISO Teknik Komitesi 309 tarafından Temmuz 2021'de yayımlanan standart, Güven, Tarafsızlık ve Koruma olmak üzere üç temel ilkeye dayanır. Önemli bir nokta: ISO 37001'in aksine ISO 37002 bir “rehber” (guidance) standardıdır ve akredite bir kuruluş tarafından sertifikalandırılamaz; kuruluşlar yalnızca uygulamalarının bu rehberle “uyumlu” olduğunu beyan edebilir.

ISO 37002 nedir, hangi kuruluşları kapsar?

ISO 37002:2021, büyüklük, sektör, yapı, coğrafya veya hukuk sistemi fark etmeksizin tüm kuruluşlara (kamu, özel sektör, kâr amaç gütmeyen) uygulanabilecek şekilde tasarlanmıştır. Standart; kuruluşların etkili bir ihbar yönetim sistemi kurmasına, mevcut sistemini değerlendirmesine veya iyileştirmesine rehberlik eder ve genellikle ISO 37001 (Rüşvetle Mücadele) ve ISO 37301 (Uyum Yönetim Sistemleri) gibi sertifikalandırılabilir standartlarla birlikte kullanılır.

Üç temel ilke: Güven, Tarafsızlık, Koruma

• Güven: İhbarcının bildiriminin ciddiye alınacağına, gizli tutulacağına ve uygun şekilde sonuçlandırılacağına inanması.
• Tarafsızlık: Bildirimlerin önyargı veya çıkar çatışması olmadan, bağımsız ve objektif şekilde değerlendirilip soruşturulması.
• Koruma: İhbarcının ve sürece dahil olan diğer kişilerin misillemeye karşı korunması.

Dört süreç adımı

ISO 37002, etkili bir ihbar yönetim sisteminin dört aşamadan oluşması gerektiğini öngörür:

• Bildirimlerin alınması (receiving) – erişilebilir ve güvenli kanallar aracılığıyla.
• Bildirimlerin değerlendirilmesi (assessing) – kapsam, ciddiyet ve öncelik tespiti.
• Bildirimlerin ele alınması (addressing) – soruşturma, düzeltici ve önleyici aksiyonlar.
• Vakanın sonuçlandırılması (concluding) – bulgular, geri bildirim ve kayıt altına alma.

ISO 37002 sertifikalandırılabilir mi? Yaygın bir yanılgı

ISO'nun kendi resmi SSS dokümanına göre ISO 37002 bir rehber standarttır ve sertifikasyon amacıyla yazılmamıştır; akredite hiçbir kuruluş “ISO 37002 sertifikası” veremez. Bazı danışmanlık firmalarının veya yazılım sağlayıcılarının aksini iddia etmesi yaygın bir hatadır. Kuruluşlar yalnızca ihbar sistemlerinin ISO 37002 ilke ve süreçleriyle “uyumlu” olduğunu beyan edebilir; bu nedenle EthicAll da ürününü “ISO 37002 sertifikalı” değil, “ISO 37002 ilkeleriyle uyumlu” olarak konumlandırır.

ISO 37001, ISO 37301 ve AB Whistleblower Directive ile ilişkisi

ISO 37002, rüşvetle mücadeleye odaklanan ISO 37001 ve genel uyum yönetimini kapsayan ISO 37301 ile tamamlayıcı niteliktedir; her üçü de merkeze güvenilir bir ihbar mekanizması koyar. AB Whistleblower Directive'in iç kanal kurma zorunluluğunun aksine ISO 37002 bir yasal zorunluluk değil, bu zorunluluğun nasıl iyi uygulanacağına dair rehberdir. AB direktifinin gerekliliklerini AB Whistleblower Directive Nedir? yazımızda, ISO 37001'in ihbar hattına ilişkin gerekliliklerini ise ISO 37001 ve Etik İhbar Hattının Rolü yazımızda ele aldık.

EthicAll, ISO 37002'nin dört sürecini nasıl karşılıyor?

EthicAll'ın etik ihbar hattı platformu, ISO 37002'nin öngördüğü dört süreci uçtan uca destekleyecek şekilde tasarlanmıştır:

• Bildirimlerin alınması: Form, sesli hat ve talebe göre şirkete özel dedike hat dahil çoklu kanal; 8 haneli şifreli takip kodu ile kimlik ifşa edilmeden iki yönlü iletişim.
• Bildirimlerin değerlendirilmesi: Yapay zekâ destekli soruşturma asistanı, bildirimleri kategori ve önceliğe göre ön değerlendirmeye tabi tutarak ekip yükünü azaltır.
• Bildirimlerin ele alınması: Otomatik SLA takibi, misilleme yasağının çalışanlara açık şekilde iletilmesi ve vaka bazı yetkilendirme ile tarafsız bir soruşturma süreci.
• Vakanın sonuçlandırılması: İhbarcıya kimliği ifşa edilmeden geri bildirim verme imkânı, eksiksiz denetim izi ve tek tıkla dışa aktarılabilir raporlama.

Bu tasarım, EthicAll'ı kullanan şirketlerin ISO 37002'nin Güven, Tarafsızlık ve Koruma ilkelerini sahada somut bir altyapıya dönüştürmesini sağlar; ancak belirtmek gerekir ki bu bir sertifika değil, standardın öngördüğü iyi uygulamalarla mimari düzeyde bir uyumdur. Kurulum sürecini Kurumsal Etik İhbar Hattı Nasıl Kurulur? rehberimizde, tedarik zinciri denetimlerindeki karşılıklarını ise amfori BSCI ve SEDEX/SMETA yazılarımızda bulabilirsiniz.

Türk şirketleri için pratik adımlar

• Mevcut ihbar kanallarınızı Güven, Tarafsızlık, Koruma ilkelerine göre bir öz değerlendirmeden geçirin.
• Dört süreç adımının (alma, değerlendirme, ele alma, sonuçlandırma) her biri için sorumlu ve süre tanımlayın.
• Misilleme yasağını yazılı hale getirip tüm çalışanlara duyurun.
• Sistemi ISO 37001 veya ISO 37301 gibi mevcut sertifikalı yönetim sistemlerinizle entegre edin.
• “ISO 37002 sertifikalı” değil, “ISO 37002 ilkeleriyle uyumlu” ifadesini kullanarak pazarlama ve uyum iletişiminizde doğruluğu koruyun.

Bu makale bilgilendirme amaçlı hazırlanmıştır. Hukuki tavsiye niteliği taşımaz.