Ақпаратшылар саясаты және персоналды қорғау

1) Кіріспе және мақсаттар

Ақпаратшылар саясаты (whistleblowing) - корпоративтік этика мен тәуекелдерді басқарудың негізі. Ол қызметкерлерге, мердігерлерге, әріптестерге және аффилиаттарға бұзушылықтар: сыбайлас жемқорлық, алаяқтық, AML/санкциялар, жауапты ойын бұзушылықтары, деректер қауіпсіздігі, қудалау, мүдделер қақтығысы, есептілікті манипуляциялау және т.б. туралы хабарлауға қауіпсіз жол ашады, Саясаттың мақсаттары: (1) бұзушылықтарды ерте анықтау, (2) хабарлағандарды қорғау, (3) ашық және әділ тергеу, (4) алдын алу қуғын-сүргін.

2) Негізгі қағидаттар

Қуғын-сүргінге нөлдік рұқсат. Қысымның, төмендетудiң, жұмыстан босатудың, бонустарды, қатерлердi «тоңазытудың» кез келген нысанына тыйым салынады.
Құпиялылық және мүмкіндігінше жасырын болу. Хабарлаушының жеке басы тек құқықтық қажеттілік бойынша және қол жеткізу хаттамасымен ашылады.
Тергеудің тәуелсіздігі. Даулы тараптар мен олардың менеджерлері шығарылады.
Уақтылығы және үйлесімділігі. Мерзімдер SLA белгіленген, шаралар - тәуекелге мөлшерлес.
Адалдықты қорғау. Шындық расталмаса да, адал хабар қорғалған.
Теріс пайдалану үшін иммундаушы әсердің болмауы. Көрінеу жалған мәлімдемелер - тәртіптік жауаптылық.

3) Қолданылу саласы

Ішкі қызметкерлер (штат/келісімшарт).
Мердігерлер, консультанттар, аффилиаттар, қолдау агенттері, ойындар/төлемдер провайдерлері.
Жұмысқа кандидаттар (рекрутингтік бұзушылықтар туралы хабарламалар).
Бұрынғы қызметкерлер (жұмыстан босатылғаннан кейінгі шектеулі мерзім, 12 айға ≥ ұсынылады).

4) Не және қайда хабарлау керек (санаттар)

Қаржы/алаяқтық: жалған шоттар, қайтарымдар, «сурет салу», персонал тарапынан бонус-абьюз.
Комплаенс: AML/KYC бұзушылықтар, санкциялар, құжаттарды бұрмалау, тыйым салынған геодезиядағы заңсыз гемблинг.
Инфобез/деректер: ағулар, бэкдорлар, KMS-ті айналып өту, логтарды манипуляциялау.
Этика/HR: азаптау, кемсітушілік, буллинг, мүдделер қақтығысы.
Ойын адалдығы: RTP/RNG манипуляциясы, жосықсыз промо.

Еңбекті қорғау/қауіпсіздік: денсаулыққа қауіп, H&S бұзушылықтары

5) Хабарлама арналары (ең аз жиынтық)

1. Сыртқы жанатын желі (24/7, тәуелсіз оператор): веб-нысан, телефон, e-mail; анонимділікті және көп тілділікті қолдау.
2. Ішкі портал/бот (SSO, бірақ жасырын терезе опциясы).
3. DPO/ӨРҰ/Комплаенс-офицер - жеке пошта жәшігі.
4. Жеке сенім жәшігі (оффлайн орналасулар үшін).
5. Егер ішкі арналар жұмыс істемесе немесе қуғын-сүргін қаупі болса, реттеушілерге/омбудсмендерге сыртқы хабарлау құқығы.

Арналарға қойылатын талаптар: шифрлау, аудит журналы, мәртебелерді қадағалау, SLA-таймерлер, deanonymization-дан қорғау.

6) Мерзімдер және SLA (ұсынылатын стандарт)

T + 7 күн: хабарлаушыға хабарламаны алғанын растау (егер жасырын болмаса).
T + 30 күн: алдын ала қорытынды (scope, тергеу жоспары).
Т + 90 күн: күрделі істер кезіндегі соңғы жауап/аралық есеп (ұзартуды негіздей отырып).
P0-инциденттер (өмірге/қауіпсіздікке қауіп-қатер, қауіпті жылыстау): дереу ден қою, 2 сағат ішінде эскалация.

7) Үдеріс (өтпелі ағын)

1. Хабар жіберу → бірегей ID беру, жасырын адамдар үшін қорғайтын PIN.
2. Триаж және жіктеу (HR/Legal/GRC): тәуекел, мүдделер қақтығысы, дәлелдемелерді консервациялау қажеттілігі.
3. Тәуелсіз команданы тағайындау (RACI қараңыз).
4. Дәлелдемелерді жинау/консервациялау: логтар, хат алмасу, IDS/EDR артефактілері, қаржылық құжаттар (сақтау тізбегімен).
5. Сұхбат және талдау (хабарлаушының жеке басын ашуды барынша азайту).
6. Қорытындылар мен ұсынымдар: тәртіптік шаралар, бақылау жақсартулары, реттеушілердің хабарламалары (егер талап етілсе).
7. Фидбек ақпаратшыға: тергеуге/құпияға нұқсан келтірмей, мәртебесі және жалпы қорытындылары.
8. Қуғын-сүргiндер мониторингi: пост-бақылау 6-12 ай.

8) RACI (рөлдер мен жауапкершілік)

9) Хабарлаушыларды қорғау

Қуғын-сүргінге тыйым салу: еңбек құжаттарында/кодексте белгіленеді.
Құпиялылық: дербес деректер мен мәтін «қатаң білу қажет» қағидаты бойынша ашылады.
Қысымды төмендету үшін хабарлаушының сұрауы бойынша кестені аудару/өзгерту.
Ақылы демалыс/қолдау (жағдайдың уыттылығы жоғары болған кезде).
Құқықтық көмек (күрделі істерде - базалық шығыстарды өтеу).
KPI-симптомдарының мониторингі: бағалардың кенеттен нашарлауы, бонустар блогы, «айыппұл» ауысымдарына ауыстыру.

10) Анонимділік: шекаралар мен күту

Жасырын хабарламалар қабылданады, бірақ шектеулерді шынайы түсіндіру керек: коммуникация қиын, түсініспеушілік қаупі. Нақтылау үшін екі жақты арнаны (ID + PIN) қолдаңыз. Деанонимдеуге тырыспаңыз - бұл сенімге нұқсан келтіреді және заңды бұзуы мүмкін.

11) Басқа саясаткерлермен өзара байланыс

Этика және мінез-құлық кодексі

Сыбайлас жемқорлыққа қарсы және сыйлық саясаты

AML/KYC/санкциялар

Ақпараттық қауіпсіздік және құпиялылық (GDPR/PDPA/LGPD)

Еңбекті қорғау және H&S

Қудалау және кемсітушілікке қарсы саясат

12) Деректер және құпиялылық

Тек қажетті минимумды сақтаңыз, ақпарат берушінің жеке басын кейс-материалдардан бөліңіз.
Өңдеудің құқықтық негіздері: заңды мүдде/құқықтық міндет.
Сақтау мерзімі: жергілікті талаптар бойынша (әдетте 3-6 жыл) немесе даулар аяқталғанға дейін.
Қауіпсіздік: жеке сейф/кілттер, шектеулі қолжетімділік, сұрау аудиті.

13) Сыртқы хабарлар және реттегіштер

Саясат, әсiресе iшкi арналар сенiмсiз немесе мүдделерге қайшы келсе, ақпарат берушiнiң құзыреттi органдарға (реттеушiлерге, омбудсмендерге, құқық қорғау қызметкерлерiне) тiкелей жүгiну құқығын тануға тиiс. Компания бұл үшін кедергі жасамауға және қудаламауға міндеттенеді.

14) Санаттар мен басымдықтар матрицасы

15) Тиімділік метрикасы (дашборд)

Воронка: алынды → жұмыста → расталды → жабылды.
Басымдықтар бойынша триаждың/жабудың орташа уақыты.

Түзету шараларына әкеп соққан кейстердің үлесі

NPS/арнаға сенім (жасырын сауалнама).
Қауіпсіздік индексі: қуғын-сүргінге шағым жоқ, хабарламалардан кейін «қызық» кадрлық шешімдер жоқ.
Тренингтермен қамту және олардың кезеңділігі.

16) Оқыту және коммуникация

Жыл сайынғы міндетті тренинг (кейстер, симуляциялар).
Арналардың QR-кодтары бар плакаттар/лендингтер.
«Қалай дұрыс» деген толассыз мысалдар: хаттар, хат алмасу, есептілік.
Қызметкерлерге арналған есеп: біріктірілген статистика және персоналиясыз кейстер.

17) Өнім берушілермен/аффилиаттармен өзара іс-қимыл

Шарттарда: хабарлаушылар арнасын иелену/қолдау, бізге тікелей жүгіну құқығын тану, қуғын-сүргінге тыйым салу міндеттемесі.
«Right to audit» және X сағат ішінде елеулі оқыс оқиғалар туралы хабарлау міндеті.
Этикалық стандарттар мен байланыс нүктелерінің жалпы репозиторийі.

18) Шаблондық ережелер (тұжырымдардың нобайлары)

• "Компания болжанған бұзушылықтар туралы адал хабарлаған адамдарға қатысты ешқандай қуғын-сүргін түрлеріне жол бермейді. Қысым сипатындағы кез келген іс-әрекеттер жұмыстан шығаруға дейін тәртіптік шараларға әкеп соғады".

• «Хабарлаушының жеке басы және хабарламаның егжей-тегжейі туралы ақпарат құпия өңделеді және қатаң қажеттілік кезінде не заңның талабы бойынша ғана ашылады».

• "Тексеруді уәкілетті тәуелсіз топ жүргізеді; мүдделер қақтығысы ықтимал адамдар оған жіберілмейді".

• "Растау - 7 күн; алдын ала жауап - 30 күн; қорытынды - 90 күн (немесе ұзартуды негіздей отырып аралық есеп) ".

(Қолданар алдында жергілікті құқыққа/арандатуларға бейімдеңіз.)

19) iGaming-тәуекелдермен интеграциялау

Responsible Gaming байланысы (VIP-бағдарламаларды теріс пайдалану, өзін-өзі жоққа шығаруды айналып өту).
Ойын провайдерлерін бақылау (RTP араласу, регламенттен тыс жылдам фикстер).
Маркетинг/аффилиаттар: жалған уәделер, лидогенерацияның «қара» практикасы.
Төлемдер: санкцияларды айналып өту/AML, «сұр» PSP, тәуекелді on/off-ramp.

20) Енгізу чек-парағы

1. Whistleblowing Officer және сақтық борт бағыну сызығын тағайындау.
2. Қорғалған арналарды таңдау және іске қосу (сыртқы оператор ұсынылады).
3. RACI, SLA, хабарламалар формуляры саясатын бекіту.
4. Legal hold және дәлелдемелерді консервациялау рәсімдерін баптау.
5. kick-off-тренинг + жыл сайынғы жаңарту модульдерін өткізу.
6. Қуғын-сүргінге тыйым салуды еңбек шарттары мен кодекске енгізу.
7. Метриканың дашбордын және бордоның тоқсандық шолуларын іске қосу.
8. Негізгі өнім берушілердің тәуекелдеріне бағалау жүргізу және міндеттемелерді келісімшарттарға енгізу.
9. Әрбір 6-12 ай сайын арналарға сенім сұрауын ұйымдастыру.
10. Бордпен және негізгі функциялармен тест-инцидент (table-top) жүргізу.

Шығару

Ақпаратшылардың жұмыс саясаты - тек «шағымды қалдыру» арнасы ғана емес. Бұл сенімнің экожүйесі: қорғалған арналар, айқын рөлдер, тәуелсіз тергеу, қуғын-сүргінге нөлдік жол беру және тұрақты есеп беру. Формализацияланған SLA, оқыту және тәуекелдерді басқарумен интеграциялау оны бұзушылықтардың алдын алудың тиімді құралына айналдырады және компанияның этикалық мәдениетін нығайтады.