Whistleblower politikası ve personel koruması

1) Giriş ve hedefler

Bilgi uçurma, kurumsal etik ve risk yönetiminin temelidir. Çalışanların, yüklenicilerin, ortakların ve bağlı kuruluşların ihlalleri bildirmeleri için güvenli bir yol oluşturur: yolsuzluk, dolandırıcılık, AML/yaptırımlar, sorumlu oyun ihlalleri, veri güvenliği, taciz, çıkar çatışması, raporlama manipülasyonu vb. Politika hedefleri: (1) ihlallerin erken tespiti, (2) raporlamanın korunması, (3) şeffaf ve adil soruşturma, (4) misillemelerin önlenmesi.

2) Temel ilkeler

Misillemelere sıfır tolerans. Her türlü baskı, düşürme, işten çıkarma, "donma" bonusları, tehditler yasaktır.
Gizlilik ve mümkünse anonimlik. Muhbirin kimliği ancak yasal zorunluluk ve erişim protokolü ile açıklanır.
Soruşturmanın bağımsızlığı. Çatışan taraflar ve yöneticileri hariç tutulur.
Zamanlama ve orantılılık. Şartlar SLA tarafından belirlenir, önlemler riskle orantılıdır.
Bütünlük koruması. Gerçek bir mesaj, gerçek doğrulanmasa bile korunur.
Kötüye kullanım için bağışıklık kazandırıcı etki eksikliği. Bilerek yanlış ihbarlar disiplin sorumluluğudur.

3) Kapsam

İç çalışanlar (personel/sözleşme).
Yükleniciler, danışmanlar, bağlı kuruluşlar, destek acenteleri, oyun/ödeme sağlayıcıları.
İş adayları (işe alım ihlalleri raporları).
Eski çalışanlar (işten çıkarıldıktan sonra sınırlı süre, 12 ay ≥ önerilir).

4) Ne ve nerede rapor verilecek (kategoriler)

Finans/dolandırıcılık: hayali hesaplar, komisyon, "çizim" metrikleri, personel tarafından bonus kötüye kullanımı.
Uyum: AML/KYC ihlalleri, yaptırımlar, belgelerin sahteciliği, yasak coğrafyada yasadışı kumar.
InfoBase/data: sızıntılar, arka kapılar, KMS bypass, log manipülasyonu.
Etik/İK: taciz, ayrımcılık, zorbalık, çıkar çatışması.
Oyun dürüstlüğü: RTP/RNG manipülasyonu, vicdansız tanıtımlar.
İş Sağlığı/Güvenliği: Sağlık Tehlikeleri, H&S İhlalleri.

5) Mesaj kanalları (minimum set)

1. Harici yakma hattı (24/7, bağımsız operatör): web formu, telefon, e-posta; Anonimlik ve çok dillilik için destek.
2. Dahili portal/bot (SSO, ancak anonim pencere seçeneği).
3. DPO/SRO/Uyumluluk Görevlisi - kişisel posta kutusu.
4. Fiziksel güven kutusu (çevrimdışı konumlar için).
5. İç kanallar çalışmamışsa veya misilleme riski varsa, düzenleyicilere/ombudsmanlara dış iletişim hakkı.

Kanal gereksinimleri: şifreleme, denetim günlüğü, durum izleme, SLA zamanlayıcıları, deanonymization koruması.

6) Zamanlama ve SLA (önerilen standart)

T + 7 gün: Bilgilendiriciye iletinin alındığının onaylanması (anonim değilse).
T + 30 gün: Ön sonuç (kapsam, soruşturma planı).
T + 90 gün: karmaşık vakalar için nihai yanıt/ara rapor (uzatma gerekçesi ile).
P0 olayları (can/güvenlik tehdidi, kritik sızıntı): anında müdahale, 2 saat içinde tırmanma.

7) Süreç (uçtan uca akış)

1. Mesaj gönderme - benzersiz bir kimlik atama, anonim için güvenlik PIN'i.
2. Triyaj ve sınıflandırma (İK/Yasal/GRC): risk, çıkar çatışması, kanıtları koruma ihtiyacı.
3. Bağımsız bir ekip atayın (bkz. RACI).
4. Kanıtların toplanması/korunması: günlükler, yazışmalar, IDS/EDR eserleri, finansal belgeler (bir depolama zinciri ile).
5. Mülakatlar ve analizler (muhbir kimliğinin açıklanmasının en aza indirilmesi).
6. Sonuçlar ve öneriler: disiplin önlemleri, kontrol iyileştirmeleri, düzenleyicilere bildirimler (gerekirse).
7. Muhbire Fidbek: soruşturmaya/gizliliğe halel getirmeksizin durum ve genel sonuçlar.
8. Baskının izlenmesi: Kontrol sonrası 6-12 ay.

8) RACI (roller ve sorumluluklar)

9) Muhbirlerin korunması

Baskı yasağı: iş belgelerinde/kodunda sabittir.
Gizlilik: Kişisel veriler ve bağlam "kesinlikle bilinmesi gereken" ilkesiyle açıklanır.
Baskıyı azaltmak için muhbir talebi üzerine çeviri/değişiklik planlayın.
Ücretli izin/destek (durum çok zehirliyse).
Adli yardım (ciddi durumlarda - temel masraflar için tazminat).
KPI belirtileri izleme: notların ani bozulması, bonus bloğu, "ceza" değişimlerine geçiş.

10) Anonimlik: Sınırlar ve Beklentiler

Anonim mesajlar kabul edilir, ancak kısıtlamaların dürüstçe açıklanması gerekir: iletişim daha zordur, yanlış anlaşılma riski vardır. İyileştirmeler için iki yönlü kanalı (ID + PIN) destekleyin. Anonimleştirmeye çalışmayın - bu güveni zayıflatır ve yasaları ihlal edebilir.

11) Diğer politikalarla ilişki

Etik ve Davranış Kuralları

Yolsuzlukla mücadele ve hediye politikası

AML/KYC/Yaptırımlar

Bilgi Güvenliği ve Gizliliği (GDPR/PDPA/LGPD)

İş Sağlığı ve H&S

Taciz ve ayrımcılıkla mücadele politikası

12) Veri ve gizlilik

Sadece gerekli minimum tutun, muhbirin kimliğini vaka materyallerinden ayırın.
İşlemenin yasal dayanağı: meşru çıkar/yasal görev.
Raf ömrü: Yerel gereksinimlere göre (genellikle 3-6 yıl) veya anlaşmazlıkların sonuna kadar.
Güvenlik: ayrı kasa/anahtarlar, kısıtlı erişim, denetim istekleri.

13) Harici mesajlar ve düzenleyiciler

Politika, muhbirin doğrudan yetkili makamlara (düzenleyiciler, ombudsmanlar, kolluk görevlileri), özellikle de iç kanalların güvenilmez olması veya çıkar çatışması olması durumunda başvurma hakkını tanımalıdır. Şirket bunun için engel olmamayı veya dava açmamayı taahhüt eder.

14) Kategoriler ve öncelikler matrisi

15) Performans metrikleri (gösterge tablosu)

Huni: - alındı - onaylandı - kapatıldı.
Önceliğe göre ortalama triyaj/kapanma süresi.
Düzeltici eylemle sonuçlanan vakaların oranı.
NPS/kanal güveni (anonim anket).
Güvenlik endeksi: Baskı şikayeti yok, raporlardan sonra "garip" personel kararları yok.
Eğitim kapsamı ve sıklığı.

16) Eğitim ve İletişim

Yıllık zorunlu eğitim (vakalar, simülasyonlar).
QR kanal kodlu posterler/açılış sayfaları.
"Nasıl yapılır'ın çapraz kesme örnekleri: mektuplar, yazışmalar, raporlama.
Çalışan raporu: toplu istatistikler ve kişiliksiz vakalar.

17) Tedarikçiler/bağlı kuruluşlarla etkileşim

Sözleşmelerde: Bir muhbir kanalına sahip olma/bunu sürdürme, bizimle doğrudan temas kurma hakkını tanıma yükümlülüğü, baskı yasağı.
"Denetim hakkı've X saat içinde maddi olayları bildirme görevi.
Etik standartların ve temas noktalarının ortak deposu.

18) Şablon hükümleri (taslak ifadeler)

• "Şirket, iddia edilen ihlalleri iyi niyetle bildiren kişilere karşı herhangi bir misilleme yapılmasına izin vermiyor. Baskı niteliği taşıyan her türlü eylem, işten çıkarma dahil olmak üzere disiplin tedbirlerini gerektirecektir"

• "İhbarcının kimliği ve iletişimin ayrıntıları hakkındaki bilgiler gizli olarak ele alınır ve yalnızca kesinlikle gerekli olduğunda veya yasaların gerektirdiği şekilde açıklanır".

• "Soruşturma yetkili bağımsız bir ekip tarafından yürütülüyor; Potansiyel çıkar çatışması olan kişiler buna kabul edilmeyecektir"

• "Onay - 7 gün; Ön yanıt - 30 gün; Toplam - 90 gün (veya uzatma gerekçesi ile ara rapor)

(Kullanımdan önce yerel yasalara/sözleşmelere uyum sağlayın.)

19) iGaming riskleri ile entegrasyon

Sorumlu Oyun ile Paket (VIP programlarının kötüye kullanımı, kendini dışlama baypasları).
Oyun sağlayıcılarının kontrolü (RTP ile parazit, yönetmeliklerin dışındaki hızlı düzeltmeler).
Pazarlama/bağlı kuruluşlar: sahte vaatler,'siyah "liderlik uygulamaları.
Ödemeler: Yaptırımların/AML'nin atlatılması, "gri" PSP, riskli açık/kapalı rampa.

20) Uygulama kontrol listesi

1. Panoya bir İhbar Memuru ve yedek raporlama hattı atayın.
2. Korumalı kanalları seçin ve başlatın (harici operatör önerilir).
3. Politikayı onayla, RACI, SLA, mesaj formu.
4. Yasal tutma ve kanıt koruma prosedürleri oluşturun.
5. Başlama eğitimi + yıllık yenileme modülleri gerçekleştirin.
6. İş sözleşmelerinde ve kodlarda baskı yasağını dahil edin.
7. Pano metriklerini ve üç aylık pano incelemelerini başlatın.
8. Kilit tedarikçilere yönelik riskleri değerlendirin ve sözleşmelere taahhütler ekleyin.
9. Her 6-12 ayda bir kanal güven anketi düzenleyin.
10. Tahta ve anahtar fonksiyonlarla bir masa üstü test olayı gerçekleştirin.

Sonuç

Whistleblower çalışma politikası sadece bir "şikayet" kanalı değildir. Bu bir güven ekosistemidir: güvenli kanallar, net roller, bağımsız soruşturma, baskı için sıfır tolerans ve kurula düzenli raporlama. Resmi SLA'lar, eğitim ve risk yönetimi ile entegrasyon, ihlalleri önlemek ve şirketin etik kültürünü güçlendirmek için etkili bir araç haline getirir.