Політика інформаторів і захист персоналу

1) Введення та цілі

Політика інформаторів (whistleblowing) - основа корпоративної етики та управління ризиками. Вона створює безпечний шлях для співробітників, підрядників, партнерів і афіліатів повідомляти про порушення: корупція, шахрайство, AML/санкції, порушення відповідальної гри, безпека даних, домагання, конфлікт інтересів, маніпуляції звітністю і т. п. Цілі політики: (1) раннє виявлення порушень, (2) захист повідомили, (3) прозоре і справедливе розслідування, (4) запобігання репресій.

2) Ключові принципи

Нульовий допуск до репресій. Будь-які форми тиску, зниження, звільнення, «заморозки» бонусів, погроз - заборонені.
Конфіденційність і по можливості анонімність. Особистість інформатора розкривається тільки з правової необхідності і з протоколом доступу.
Незалежність розслідування. Конфліктуючі сторони та їх менеджери виключаються.
Своєчасність і пропорційність. Терміни фіксовані SLA, заходи - пропорційні ризику.
Захист добросовісності. Добросовісне повідомлення захищене, навіть якщо факт не підтвердився.
Відсутність імунізуючого ефекту для зловживань. Завідомо неправдиві доноси - дисциплінарна відповідальність.

3) Область дії

Внутрішні співробітники (штат/контракт).
Підрядники, консультанти, афіліати, агенти підтримки, провайдери ігор/платежів.
Кандидати на роботу (повідомлення про рекрутингові порушення).
Колишні співробітники (обмежений термін після звільнення, рекомендовано ≥ 12 міс.).

4) Що і куди повідомляти (категорії)

Фінанси/шахрайство: фіктивні рахунки, відкати, «малювання» метрик, бонус-аб'юз з боку персоналу.
Комплаєнс: AML/KYC порушення, санкції, підробка документів, незаконний гемблінг в заборонених гео.
Інфобез/дані: витоку, бекдори, обхід KMS, маніпуляції логами.
Етика/HR: домагання, дискримінація, булінг, конфлікт інтересів.
Ігрова чесність: маніпуляція RTP/RNG, недобросовісні промо.
Охорона праці/безпека: загрози здоров'ю, порушення H & S.

5) Канали повідомлень (мінімальний набір)

1. Зовнішня палаюча лінія (24/7, незалежний оператор): веб-форма, телефон, e-mail; підтримка анонімності та багатомовність.
2. Внутрішній портал/бот (SSO, але опція анонімного вікна).
3. DPO/СРО/Комплаєнс-офіцер - персональна поштова скринька.
4. Фізична скринька довіри (для офлайн-локацій).
5. Право зовнішнього сполучення регуляторам/омбудсменам, якщо внутрішні канали не спрацювали або є ризик репресій.

Вимоги до каналів: шифрування, журнал аудиту, відстеження статусів, SLA-таймери, захист від deanonymization.

6) Терміни і SLA (рекомендований стандарт)

T + 7 днів: підтвердження отримання повідомлення інформатору (якщо не анонімно).
T + 30 днів: попередній висновок (scope, план розслідування).
T + 90 днів: фінальна відповідь/проміжний звіт при складних справах (з обґрунтуванням продовження).
P0-інциденти (загроза життю/безпеці, критичний витік): негайне реагування, ескалація протягом 2 годин.

7) Процес (наскрізний потік)

1. Подача повідомлення → присвоєння унікального ID, захисний PIN для анонімних.
2. Тріаж і класифікація (HR/Legal/GRC): ризик, конфлікт інтересів, необхідність консервації доказів.
3. Призначення незалежної команди (див. RACI).
4. Збір/консервація доказів: логи, листування, IDS/EDR артефакти, фінансові документи (з ланцюжком зберігання).
5. Інтерв'ю та аналіз (мінімізація розкриття особистості інформатора).
6. Висновки та рекомендації: дисциплінарні заходи, контрольні поліпшення, повідомлення регуляторів (якщо потрібно).
7. Фідбек інформатору: статус і загальні підсумки без шкоди розслідуванню/таємниці.
8. Моніторинг репресій: пост-контроль 6-12 міс.

8) RACI (ролі та відповідальність)

9) Захист інформаторів

Заборона репресій: фіксується в трудових документах/кодексі.
Конфіденційність: персональні дані та контекст розкриваються за принципом «строго необхідно знати».
Переклад/зміна графіка за запитом інформатора для зниження тиску.
Оплачувана відпустка/підтримка (при високій токсичності ситуації).
Правова допомога (у серйозних справах - компенсація базових витрат).
Моніторинг KPI-симптомів: раптове погіршення оцінок, блок бонусів, переведення на «штрафні» зміни.

10) Анонімність: межі та очікування

Анонімні повідомлення приймаються, але потрібно чесно пояснити обмеження: складніше комунікація, ризик непорозумінь. Підтримайте двосторонній канал (ID + PIN) для уточнень. Не намагайтеся деанонімізувати - це підриває довіру і може порушувати закон.

11) Взаємозв'язок з іншими політиками

Кодекс етики та поведінки

Антикорупційна та подарункова політика

AML/KYC/санкції

Інформаційна безпека та приватність (GDPR/PDPA/LGPD)

Охорона праці та H&S

Політика щодо домагань та антидискримінації

12) Дані та приватність

Зберігайте тільки необхідний мінімум, відокремлюйте особу інформатора від кейс-матеріалів.
Правові підстави обробки: легітимний інтерес/правовий обов'язок.
Термін зберігання: за локальними вимогами (зазвичай 3-6 років) або до завершення спорів.
Безпека: окремий сейф/ключі, обмежений доступ, аудит запитів.

13) Зовнішні повідомлення та регулятори

Політика повинна визнавати право інформатора звертатися безпосередньо в компетентні органи (регулятори, омбудсмени, правоохоронці), особливо якщо внутрішні канали ненадійні або конфліктують інтереси. Компанія зобов'язується не перешкоджати і не переслідувати за це.

14) Матриця категорій і пріоритетів

15) Метрики ефективності (дашборд)

Воронка: отримано → в роботі → підтверджено → закрито.
Середній час тріажу/закриття за пріоритетами.
Частка кейсів, що призвели до коригувальних заходів.
NPS/довіра до каналу (анонімне опитування).
Індекс безпеки: немає скарг на репресії, відсутні «дивні» кадрові рішення після повідомлень.
Покриття тренінгами та їх періодичність.

16) Навчання та комунікації

Щорічний обов'язковий тренінг (кейси, симуляції).
Плакати/лендінги з QR-кодами каналів.
Наскрізні приклади «як правильно»: листи, листування, звітність.
Звіт для співробітників: агрегована статистика і кейси без персоналій.

17) Взаємодія з постачальниками/афіліатами

У договорах: зобов'язання мати/підтримувати канал інформаторів, визнавати право звертатися до нас безпосередньо, заборону репресій.
«Right to audit» і обов'язок повідомляти про суттєві інциденти протягом X годин.
Загальний репозиторій етичних стандартів і контактних точок.

18) Шаблонні положення (начерки формулювань)

• "Компанія не допускає жодних форм репресій щодо осіб, які сумлінно повідомили про передбачувані порушення. Будь-які дії, що мають характер тиску, спричинять дисциплінарні заходи аж до звільнення".

• Інформація про особу інформатора і деталі повідомлення обробляється конфіденційно і розкривається тільки при суворій необхідності або на вимогу закону.

• "Розслідування проводиться уповноваженою незалежною групою; особи з потенційним конфліктом інтересів до нього не допускаються".

• "Підтвердження - 7 днів; попередня відповідь - 30 днів; підсумок - 90 днів (або проміжний звіт з обґрунтуванням продовження) ".

(Перед застосуванням адаптуйте під локальне право/колдоговори.)

19) Інтеграція з iGaming-ризиками

Зв'язка з Responsible Gaming (зловживання VIP-програмами, обходи самовиключення).
Контроль провайдерів ігор (втручання в RTP, швидкі фікси поза регламентом).
Маркетинг/афіліати: помилкові обіцянки, «чорні» практики лідогенерації.
Платежі: обхід санкцій/AML, «сірі» PSP, ризикові on/off-ramp.

20) Чек-лист впровадження

1. Призначити Whistleblowing Officer і резервну лінію підпорядкування борду.
2. Вибрати і запустити захищені канали (зовнішній оператор рекомендований).
3. Затвердити політику, RACI, SLA, формуляр повідомлень.
4. Налаштувати legal hold і процедури консервації доказів.
5. Провести kick-off-тренінг + щорічні освіжаючі модулі.
6. Включити заборону репресій в трудові договори і кодекс.
7. Запустити дашборд метрик і квартальні огляди борду.
8. Провести оцінку ризиків у ключових постачальників і включити зобов'язання в контракти.
9. Організувати опитування довіри до каналів кожні 6-12 місяців.
10. Провести тест-інцидент (table-top) з бордом і ключовими функціями.

Вивід

Робоча політика інформаторів - це не тільки канал «залишити скаргу». Це екосистема довіри: захищені канали, чіткі ролі, незалежне розслідування, нульовий допуск до репресій і регулярна звітність борду. Формалізовані SLA, навчання та інтеграція з управлінням ризиками роблять її ефективним інструментом профілактики порушень і зміцнюють етичну культуру компанії.