내부 고발자 정책 및 인사 보호
1) 소개 및 목표
Whistleblowing은 기업 윤리 및 위험 관리의 기초입니다. 직원, 계약자, 파트너 및 계열사가 부패, 사기, AML/제재, 책임있는 놀이 위반, 데이터 보안, 괴롭힘, 이해 상충, 보고 조작 등의 위반을보고 할 수있는 안전한 방법을 제공합니다. 정책 목표: (1) 위반의 조기 발견, (2) 보고 보호, (3) 투명하고 공정한 조사, (4) 보복 방지.
2) 주요 원칙
보복에 대한 무관 용. 모든 형태의 압력, 저하, 해고, "동결" 보너스, 위협은 금지됩니다.
기밀 유지 및 가능한 경우 익명 성. 정보원의 신원은 법적 필요성과 액세스 프로토콜로만 공개됩니다.
조사의 독립. 상충되는 당사자와 관리자는 제외됩니다.
시간과 비례. 이 조건은 SLA에 의해 수정되며 조치는 위험에 상응합니다.
무결성 보호. 사실이 확인되지 않더라도 선의의 메시지가 보호됩니다.
남용에 대한 예방 접종 효과 부족. 엄청나게 잘못된 비난은 징계 책임입니다.
3) 범위
내부 직원 (직원/계약).
계약자, 컨설턴트, 계열사, 지원 에이전트, 게임/결제 제공 업체.
직업 후보자 (채용 위반 보고서).
전직 직원 (해고 후 제한된 시간, 12 개월 이상 권장).
4) 보고해야 할 사항 및 위치 (범주)
금융/사기: 가상의 계정, 리베이트, "드로잉" 메트릭, 직원의 보너스 남용.
준수: AML/KYC 위반, 제재, 문서 위조, 금지 된 지역의 불법 도박.
InfoBase/data: 누출, 백도어, KMS 바이 패스, 로그 조작.
윤리/HR: 괴롭힘, 차별, 괴롭힘, 이해 상충.
게임 정직: RTP/RNG 조작, 부도덕 한 프로모션.
산업 건강/안전: 건강 위험, H&S 위반.
5) 메시지 채널 (최소 세트)
1. 외부 연소 라인 (24/7, 독립 운영자): 웹 양식, 전화, 전자 메일; 익명성과 다국어에 대한 지원.
2. 내부 포털/봇 (SSO, 익명 창 옵션).
3. DPO/SRO/준수 책임자-개인 사서함.
4. 물리적 트러스트 박스 (오프라인 위치 용).
5. 내부 채널이 작동하지 않거나 보복의 위험이있는 경우 규제 기관/옴부즈맨에게 외부 통신의 권리.
채널 요구 사항: 암호화, 감사 로그, 상태 추적, SLA 타이머, 익명화 보호.
6) 타이밍 및 SLA (권장 표준)
T + 7 일: 정보원에게 메시지 수신 확인 (익명이 아닌 경우).
T + 30 일: 예비 결론 (범위, 조사 계획).
T + 90 일: 복잡한 경우에 대한 최종 응답/중간 보고서 (확장에 대한 정당성 포함).
P0 사고 (생명/안전에 대한 위협, 중요한 누출): 즉각적인 대응, 2 시간 이내에 에스컬레이션.
7) 프로세스 (엔드 투 엔드 흐름)
1. 메시지 전송 → 익명의 고유 ID 보안 PIN을 할당합니다.
2. 배정 및 분류 (HR/Legal/GRC): 위험, 이해 상충, 증거를 보존해야합니다.
3. 독립 팀 할당 (RACI 참조).
4. 증거 수집/보존: 로그, 서신, IDS/EDR 아티팩트, 재무 문서 (스토리지 체인 포함).
5. 인터뷰 및 분석 (내부 고발자 신원 공개 최소화).
6. 결론 및 권장 사항: 징계 조치, 통제 개선, 규제 기관에 대한 알림 (필요한 경우).
7. 정보원에 대한 Fidbek: 조사/비밀에 대한 편견없이 상태 및 전반적인 결과.
8. 모니터링 억제: 통제 후 6-12 개월.
8) RACI (역할 및 책임)
9) 내부 고발자 보호
억압 금지: 노동 문서/코드에 고정되어 있습니다.
기밀성: 개인 데이터와 컨텍스트는 "엄격히 알아야 할" 원칙에 따라 공개됩니다.
압력을 줄이기 위해 정보원의 요청에 따른 번역/수정 일정.
유급 휴가/지원 (상황이 매우 유독 한 경우).
법률 지원 (심각한 경우-기본 비용에 대한 보상).
KPI 증상 모니터링: 급격한 등급 악화, 보너스 차단, "페널티" 교대로 전환.
10) 익명: 경계와 기대
익명의 메시지는 받아 들여지지 만 제한을 정직하게 설명해야합니다. 의사 소통이 더 어렵고 오해의 위험이 있습니다. 개선을 위해 양방향 채널 (ID + PI) 을 지원합니다. 익명화를 시도하지 마십시오. 이것은 신뢰를 훼손하고 법을 위반할 수 있습니다.
11) 다른 정책과의 관계
윤리 및 행동 강령
반부패 및 선물 정책
AML/KYC/제재
정보 보안 및 개인 정보 보호 (GDPR/PDPA/LGPD)
산업 건강과 H&S
괴롭힘과 차별 금지 정책
12) 데이터 및 개인 정보
필요한 최소 금액 만 유지하고 정보원의 신원을 사례 자료와 분리하십시오.
처리의 법적 근거: 합법적 인이자/법적 의무.
선반 수명: 지역 요구 사항 (보통 3-6 년) 또는 분쟁이 끝날 때까지.
보안: 별도의 안전/키, 제한된 액세스, 감사 요청.
13) 외부 메시지 및 규제 기관
정책은 특히 내부 채널이 신뢰할 수 없거나 이해 관계가 충돌하는 경우 관할 당국 (규제 당국, 옴부즈맨, 법 집행관) 에 직접 적용 할 수있는 정보원의 권리를 인식해야합니다. 회사는이를 방해하거나 기소하지 않습니다.
14) 범주 및 우선 순위의 매트릭스
15) 성능 지표 (대시 보드)
깔때기: → 수신 → 확인 → 닫힘.
우선 순위에 따른 평균 심사/마감 시간.
시정 조치를 초래하는 사례의 비율.
NPS/채널 신뢰 (익명 설문 조사).
안전 지수: 억압에 대한 불만, 보고 후 "이상한" 인사 결정이 없습니다.
교육 범위 및 빈도.
16) 교육 및 커뮤니케이션
연례 필수 교육 (사례, 시뮬레이션).
QR 채널 코드가있는 포스터/랜딩 페이지.
"방법" 의 교차 절단 예: 편지, 서신, 보고.
직원 보고서: 성격이없는 집계 된 통계 및 사례.
17) 공급 업체/계열사와의 상호 작용
계약에서: 정보원 채널을 가지고/유지 관리하고, 우리에게 직접 연락 할 권리, 억압 금지를 인정해야 할 의무.
"감사 권리" 및 X 시간 이내에 중대한 사고를 통지 할 의무가 있습니다.
윤리 표준 및 연락처의 공통 저장소.
18) 템플릿 조항 (문구 초안)
억압 금지:- "회사는 선의로 위반 혐의를보고 한 개인에 대한 어떠한 형태의 보복도 허용하지 않습니다. 압력의 본질을 가진 모든 행동에는 해고를 포함한 징계 조치가 수반됩니다. "
- "내부 고발자의 신원과 의사 소통의 세부 사항에 대한 정보는 비밀리에 처리되며 엄격히 필요할 때나 법에 의해 요구되는 경우에만 공개됩니다".
- "조사는 공인 된 독립 팀에 의해 수행되고 있습니다. 잠재적 인 이해 상충이있는 사람은 입장 할 수 없습니다. "
- "확인 - 7 일; 예비 대응 - 30 일; 총-90 일 (또는 연장의 정당성을 가진 임시 보고서) "
(사용 전 현지 법/계약에 적합합니다.)
19) iGaming 위험과의 통합
책임있는 게임 번들 (VIP 프로그램 남용, 자체 배제 우회).
게임 제공 업체의 제어 (RTP와의 간섭, 규정 외부의 빠른 수정).
마케팅/제휴사: 허위 약속, "흑인" 리드 생성 관행.
지불: 제재/AML 우회, "회색" PSP, 위험한 온/오프 램프.
20) 구현 점검표
1. 내부 고발자 및 백업보고 라인을 이사회에 할당합니다.
2. 보호 채널을 선택하고 시작하십시오 (외부 운영자가 권장
3. 승인 정책, RACI, SLA, 메시지 양식.
4. 법적 보류 및 증거 보존 절차를 설정합니다.
5. 킥오프 교육 + 연간 상쾌한 모듈을 수행하십시오.
6. 고용 계약 및 코드에 억제 금지를 포함하십시오.
7. 대시 보드 지표 및 분기 별 보드 리뷰를 시작하십시오.
8. 주요 공급 업체에 대한 위험을 평가하고 계약에 약속을 포함시킵니다.
9. 6-12 개월마다 채널 트러스트 설문 조사를 구성합니다.
10. 보드 및 주요 기능으로 탁상 테스트 사고를 수행하십시오.
결론
내부 고발자 작업 정책은 단순히 "탈퇴 불만" 채널이 아닙니다. 이것은 안전한 채널, 명확한 역할, 독립적 인 조사, 억압에 대한 무관 용 및 이사회에 대한 정기적 인보고 등 신뢰의 생태계입니다. 공식화 된 SLA, 교육 및 위험 관리와의 통합은 위반을 예방하고 회사의 윤리 문화를 강화하는 효과적인 도구입니다.