व्हिसलब्लोअर चैनल और डेटा सुरक्षा

1) उद्देश्य और क्षेत्र

कर्मचारियों, ठेकेदारों, सहयोगियों और अन्य हितधारकों को उल्लंघन (भ्रष्टाचार, धोखाधड़ी, एएमएल/प्रतिबंध, आरजी, जीडीपीआर/पीआईआई, सूचना सुरक्षा, विज्ञापन/सहयोगी, हितों के टकराव, भेदभाव और कानून/उल्लंबन) की रिपोर देना। दस्तावेज़ चैनल, गुमनामी, डेटा प्रसंस्करण, जांच प्रक्रियाओं और दमन से सुरक्षा को नियंत्रित करता

2) सिद्धांत

दमन के लिए शून्य सहिष्णुता। कोई भी प्रतिशोध निषिद्ध है।

डेटा गोपनीयता और न्यूनतम करना। आवश्यकता के अनुसार संग्रह केवल आवश्यक है।

मुखबिर की पसंद से गुमनामी। पहचान प्रकट किए बिना संवाद करने की क्षमता।

समयबद्धता और निष्पक्षता। एसएलए स्वीकृति/समीक्षा; एक प्रलेखित, निष्पक्ष कार्यप्रणाली।

स्वतंत्रता। भूमिकाओं का पृथक्करण: संदेश प्राप्त करना, जांच, प्रतिबंध।

प्रक्रिया की पारदर्शिता। व्यक्तित्व के बिना स्थिति ट्रैकिंग, प्रतिक्रिया, सार्वजनिक आंकड़

3) भूमिकाएँ और आरएसीआई

व्हिसलब्लोइंग ऑफिसर (डब्ल्यूबीओ) - प्रक्रिया के मालिक, ट्राइएज, जांच समन्वय, रिपोर्टिंग। (ए/आर)

अनुपालन/कानूनी/डीपीओ - कानूनी मूल्यांकन, डेटा सुरक्षा, गोपनीयता नीति। (आर/सी)

InfoSec/CISO - चैनल सुरक्षा, एन्क्रिप्शन, एक्सेस कंट्रोल, लॉगिंग। (आर)

एचआर/ईआर (कर्मचारी संबंध) - नैतिकता/व्यवहार मामले, समर्थन उपाय। (आर)

आंतरिक लेखा परीक्षा (आईए) - जांच और सीएपीए का स्वतंत्र गुणवत्ता नियंत्रण। (सी)

सुरक्षा/न्यास और सुरक्षा - तकनीकी/धोखाधड़ीके मामले, डिजिटल कलाकृतियों का संग्रह। (आर)

Exec प्रायोजक (CEO/COO) - "शीर्ष से स्वर", संसाधन, वृद्धि S1। (I/A)

4) संदेश प्राप्त करने वाले चैनल

1. वेब फॉर्म (अनुशंसित मुख्य): गुमनामी के लिए समर्थन; सुरक्षित टोकन/पिन पत्राचार।

2. ई-मेल: ऑटो-एन्क्रिप्शन के साथ एक समर्पित बॉक्स, सामग्री प्रकटीकरण के बिना ऑटो-वेंटिलेशन।

3. हॉटलाइन/फोन: डेटा मास्किंग के साथ सिस्टम पर लिखें।

4. कॉर्पोरेट संदेशवाहक में चैटबॉट: अनाम के लिए नहीं (या एक प्रॉक्सी तंत्र के साथ)।

5. डाक पता/भौतिक डाकपेटी: ऑफ़ लाइन संदेश के लिए (सिस्टम में स्कैनिंग और लोड करना).

6. डब्ल्यूबीओ/आईए के साथ सीधा संपर्क: व्यक्तिगत बैठक - मुखबिर के अनुरोध पर।

चैनल की आवश्यकताएं: टीएलएस एंड-टू-एंड, एन्क्रिप्टेड स्टोरेज में भंडारण, आरबीएसी, एक्सेस लॉग अपरिवर्तनीय हैं, अनाम रूप में आईपी/उपकरणों की कोई ट्रैकिंग नहीं, पारदर्शी कुकी/लॉग पॉलिसी।

5) डेटा संरक्षण और कानूनी आधार

कानूनी आधार: कानूनी कर्तव्यों का निष्पादन, कंपनी के वैध हित, सार्वजनिक हित (अधिकार क्षेत्र के आधार पर)।

DPIA: लॉन्च से पहले - गोपनीयता प्रभाव मूल्यांकन; जोखिम और शमन उपायों को ठीक करना।

डेटा का वर्गीकरण: व्यक्तिगत, संवेदनशील (स्वास्थ्य, जातीयता, आदि), वाणिज्यिक रहस्य, जांच की कलाकृतियां।

न्यूनतम करना: अनावश्यक एकत्र न करें; गैर-अनुरूपण दस्तावेज़ मिटाएँ।

सीमा पार स्थानांतरण: केवल अगर कानूनी आधार और संविदात्मक गारंटी हैं।

डेटा विषयों के अधिकार: डीएसएआर को डीपीओ द्वारा संसाधित किया जाता है; अपवाद: व्हिसलब्लोअर की पहचान का खुलासा नहीं करना और जांच/तीसरे पक्ष को खतरे में डालना।

प्रतिधारण: संदेश और कलाकृतियाँ - आमतौर पर 5 साल या नीति/कानून/लाइसेंस द्वारा; फिर सुरक्षित विलोपन (लॉग के साथ क्रिप्टो-श्रेड/तार्किक मिटाना)।

6) सुरक्षा और तकनीकी उपाय

एन्क्रिप्शन: एट-रेस्ट (केएमएस/एचएसएम), इन-ट्रांजिट (टीएलएस), कुंजियाँ - रोटेशन और सीमांकन के साथ।

पहुंच: RBAC/ABAC, कम से कम विशेषाधिकारों का सिद्धांत, अनाम मामलों के लिए अलग डोमेन।

लॉग: अपरिवर्तनीय (WORM), असामान्य पहुँच की निगरानी, अलर्ट।

विभाजन: संदेश प्रणाली उत्पादन प्रणालियों से अलग है; वसूली की जाँच के साथ व्यक्तिगत बैकअप।

मेटाडेटा: मास्किंग, EXIF को अटैचमेंट से हटाना, मुखबिर को स्वचालित डी-पहचान के बारे में चेतावनी देना।

गुप्त संचार चैनल: दो-तरफ़ाअनाम पत्राचार के लिए सुरक्षित मेलबॉक्स/वेब मेल।

7) मामला वर्गीकरण और प्राथमिकताएं

एस 1 (महत्वपूर्ण): भ्रष्टाचार/रिश्वत, बड़ी धोखाधड़ी, पीआईआई/पीसीआई रिसाव, जीवन/सुरक्षा खतरे, गंभीर लाइसेंस/कानून का उल्लंघन।

S2 (उच्च): प्रणालीगत नीति उल्लंघन (AML/RG/GDPR/IS), हित के गंभीर संघर्ष, भेदभाव/उत्पीड़न।

S3 (मध्यम): प्रक्रियाओं के स्थानीय उल्लंघन, विज्ञापन/सहयोगी में त्रुटियां, व्यवहार का एक बार उल्लंघन।

S4 (कम): सुधार के लिए सुझाव, कम जोखिम वाली घटनाएं।

• रसीद: S1/S2 - ≤ 24 घंटे; S3/S4 - ≤ 3 कारोबारी दिन
• प्राथमिक मूल्यांकन (ट्राइएज): S1 - ≤ 48 h; S2 - ≤ 5 व्यावसायिक दिन; S3/S4 - ≤ 10 कारोबारी दिन
• जांच योजना: S1 - ≤ 3 व्यावसायिक दिन; S2 - ≤ 10 व्यावसायिक दिन

8) संदेश से बंद करने की प्रक्रिया

चरण 1 - रसीद और रसीद। आईडी असाइन करना, चैनल को ठीक करना, सबूत सहेजना "जैसा है।"

चरण 2 - ट्राइएज और स्वतंत्रता। नियुक्त व्यक्तियों में हितों के टकराव की जांच करें; संघर्ष - पुनर्वितरण के मामले में।

चरण 3 - जोखिम मूल्यांकन और योजना। स्कोप, परिकल्पना, विधियों की वैधता, कलाकृतियों की सूची, रोडमैप।

चरण 4 - साक्ष्य एकत्र करना। दस्तावेज, लॉग, साक्षात्कार, लेनदेन का चयन; चेन-ऑफ-हिरासत का अनुपालन।

चरण 5 - विश्लेषण और निष्कर्ष। तथ्य → मानदंड (नीति/कानून/लाइसेंस) → जोखिम → प्रभाव।

चरण 6 - सिफारिशें और CAPA। सुधारात्मक/निवारक क्रियाएं, मालिक, समय, सफलता मेट्रिक्स।

चरण 7 - संचार और प्रतिक्रिया। मुखबिर की पहचान का खुलासा किए बिना; साफ भाषा (अंतिम तक कोई आरोप नहीं)।

चरण 8 - बंद और प्रतिधारण। अंतिम रिपोर्ट, स्थिति, कलाकृतियों का भंडारण, अवैयक्तिक आंकड़ों का विमोचन।

9) संचार और व्हिसलब्लोअर सुरक्षा

कोई टिपिंग-ऑफ नहीं। कथित उल्लंघनकर्ताओं को रिपोर्टिंग/जांच के तथ्य का खुलासा न करें।

दमन से सुरक्षा। बोनस कम करना, बर्खास्तगी, बोनस की कमी, बदमाशी आदि निषिद्ध हैं। प्रतिशोधी उपायों को एक अलग S1/S2 उल्लंघन माना जाता है।

समर्थन: यदि आवश्यक हो - किसी अन्य टीम, छुट्टी, एचआर/कानूनी सलाह/मनोवैज्ञानिक समर्थन में स्थानांतरित करें।

दो-तरफ़ाअनाम संचार: मुखबिर सवाल पूछ सकता है और वेब इनबॉक्स/टोकन के माध्यम से स्थिति प्राप्त कर सकता है।

10) अन्य नीतियों के साथ संबंध

नैतिकता और आचार संहिता - मानक और चैनल।

भ्रष्टाचार विरोधी नीति - उचित परिश्रम, उपहार, मध्यस्थ।

जीडीपीआर/पीआईआई - प्रसंस्करण की वैधता, डीएसएआर, प्रतिधारण।

एएमएल/आरजी/पीसीआई/आईएस - विशेष प्रक्रियाएं और ट्राइएज।

आंतरिक लेखा परीक्षा - जांच का स्वतंत्र गुणवत्ता

11) चेकलिस्ट

11. 1 चैनल प्रारंभ करने से पहले

• डीपीओ/कानूनी द्वारा अनुमोदित डीपीआईए और गोपनीयता नीति।
• तकनीकी वास्तुकला: एन्क्रिप्शन, आरबीएसी, वर्म लॉग।
• एक अनाम वेब फॉर्म और दो-तरफ़ाटोकन संचार कॉन्फ़िगर किए गए हैं।
• डब्ल्यूबीओ/जांच पद्धति में ट्राइएज टीम प्रशिक्षण।
• टेम्पलेट तैयार किए गए हैं (रसीद, जांच योजना, रिपोर्ट, बंद पत्र)।
• संचार अभियान: "शीर्ष से टोन", पोस्टर, इंट्रानेट, एफएक्यू।

11. 2 संदेश स्वागत समारोह

• आईडी सौंपा गया, दिनांक/चैनल/एस-स्तर रिकॉर्ड किया गया।
• विवरण का खुलासा किए बिना मुखबिर को भेजा गया पुष्टि।
• कलाकारों के लिए ब्याज परीक्षण का एक संघर्ष आयोजित किया गया था।
• सभी संलग्नक/मेटाडेटा प्रतिबद्ध, डी-प्रमाणित।

11. 3 जांच

• योजना और परिकल्पनाओं को मंजूरी (कानूनी/डीपीओ/जानकारी - आवश्यकतानुसार)।
• प्रत्येक कलाकृतियों के लिए चेन-ऑफ-हिरासत बनाए रखा जाता है।
• साक्षात्कार लॉग इन हैं; गोपनीयता चेतावनी।
• सत्यापन योग्य तथ्यों, सहकर्मी-समीक्षा पर आधारित निष्कर्ष।

11. 4 बंद करना

• CAPA असाइन किए गए हैं, तारीखें और मेट्रिक्स परिभाषित किए गए हैं।
• व्हिसलब्लोअर (अवसर) को अवैयक्तिक प्रतिक्रिया मिली।
• प्रतिधारण/वर्गीकरण स्थापित; कलाकृतियों को संग्रहीत किया जाता है।
• डैशबोर्ड पर अपडेट किए गए आंकड़े।

12) दस्तावेज़ टेम्पलेट (त्वरित आवेषण)

ए) मुखबिर को रसीद

कुंजी> आपके संदेश के लिए धन्यवाद। आपका आईडी WB-XXXX है. इस सुरक्षित चैनल के माध्यम से यदि आवश्यक हो तो हम सूचना की समीक्षा करेंगे और आपसे संपर्क करेंगे। आप गुमनाम रह सकते हैं। सत्यापन पूरा होने तक कृपया सार्वजनिक रूप से खुलासा न करें।

बी) जांच योजना (एक-पेजर)

मामला: WB-XXXX प्राथमिकता: S1/S2/S3/S4 मालिक:... समयरेखा:...
Hypotheses/मापदंड:...
डेटा/कलाकृतियाँ:...

साक्षात्कार: सूची/अनुसूची

गोपनीयता जोखिम/कानूनी प्रतिबंध:...
संचार और नियंत्रण बिंदु:...

सी) अंतिम रिपोर्ट (संरचना)

सारांश तथ्य मानदंड (नीति/कानून) विश्लेषण निष्कर्ष CAPA सिफारिशें परिशिष्ट (कलाकृतियां)।

डी) समापन पत्र

13) मेट्रिक्स और डैशबोर्ड

इनटेक वॉल्यूम - श्रेणी और चैनल द्वारा संदेशों की संख्या।

टाइम-टू-स्वीकार/टाइम-टू-ट्राइएज/टाइम-टू-डिसीजन।

एस-स्तरों द्वारा एसएलए अनुपालन।

CAPA प्रगति पूरी हो गई/प्रगति/समाप्ति में, मेडियन बंद।

प्रतिशोध सूचकांक: रिपोर्ट की गई प्रतिक्रिया शिकायतें (लक्ष्य

बेनामी दर: अनाम संदेशों का अनुपात और पुष्टि किए गए मामलों में उनका रूपांतरण।

दोहराएं निष्कर्ष: 12 महीनों में विषयों की पुनरावृत्ति।

जागरूकता प्रभाव: पोस्ट-अभियान अपील विकास; चैनल ट्रस्ट एनपीएस।

14) जोखिम और नियंत्रण

मेटाडेटा के माध्यम से डीनामकरण। → डी-पहचान, EXIF विलोपन, स्पष्ट चेतावनी।

केस एक्सेस लीक - RBAC →, विभाजन, WORM लॉग, नियमित एक्सेस ऑडिट।

काल्पनिक संदेश/दुरुपयोग। → विनम्र फ़िल्टर और तथ्य-जाँच; जानबूझकर गलत बयानों के लिए प्रतिबंध (डराने के प्रभाव के बिना)।

जांच में हितों का टकराव। → कलाकारों का रोटेशन, आईए/कानूनी की भागीदारी।

दमन। - शिकायतों की एक अलग धारा; तेजी से एचआर/अनुपालन प्रतिक्रिया।

15) प्रशिक्षण और जागरूकता

ऑनबोर्डिंग: चैनल, गुमनामी और डेटा सुरक्षा पर मॉड्यूल (परीक्षण ≥ 85%)।

सभी के लिए वार्षिक पुनरावृत्ति; डब्ल्यूबीओ/जांचकर्ताओं के लिए अतिरिक्त

त्रैमासिक अभियान (पोस्टर/बॉट क्विज ़/वीडियो): जो अपेक्षित है, उदाहरण कैसे प्रस्तुत करें।

16) 30-दिवसीय कार्यान्वयन योजना

सप्ताह 1

1. WBO और वर्कग्रुप (अनुपालन/कानूनी/DPO/InfoSec/HR/IA) आवंटित करें।

2. डीपीआईए का संचालन करें, एक गोपनीयता और प्रतिधारण नीति को मंजूरी दें।

3. चैनल (वेब फॉर्म/मेल/लाइन), गुमनामी और लॉग के लिए आवश्यकताओं को निर्दिष्ट करें।

सप्ताह 2

4. एक तकनीकी मंच लागू करें: एन्क्रिप्शन, आरबीएसी, वर्म लॉग, अनाम वेब इनबॉक्स।

5. टेम्पलेट और एसओपी तैयार करें: रसीद, योजना, रिपोर्ट, समापन पत्र, सीएपीए।

6. ट्रेन डब्ल्यूबीओ/ट्राइएज टीम; RACI और SLA रजिस्टर करें।

सप्ताह 3

7. पायलट: 1-2 परीक्षण मामले (टेबल-टॉप), साक्ष्य और प्रतिधारण की श्रृंखला का सत्यापन।

8. डैशबोर्ड मैट्रिक्स स्थापित करना और प्रबंधन/समिति के लिए रिपोर

9. संचार: सीईओ पत्र, इंट्रानेट पृष्ठ, एफएक्यू, पोस्टर।

सप्ताह 4

10. चैनल स्टार्ट-अप; एसएलए/लोड मॉनिटरिंग; गर्म समर्थन।

11. S1/S2 मामलों और CAPA स्टेटस की साप्ताहिक समीक्षा।

12. रेट्रो और v1 समायोजन। 1 (नीतियां, रूप, प्रशिक्षण)।

17) संबंधित अनुभाग

नैतिकता और आचार संहिता

भ्रष्टाचार विरोधी नीति

एएमएल और कर्मचारी प्रशिक्षण/अनुपालन जागरूकता

हादसा प्लेबुक और स्क्रिप्ट

अनुपालन डैशबोर्ड और निगरानी

आंतरिक लेखा परीक्षा और बाहरी लेखा परीक्षा

उल्लंघन और रिपोर्टिंग समय सीमा की सूचना

नियामक रिपोर्ट और डेटा प्रारूप