Titel
Die Norm trägt den Titel: ISO 37002:2021 – Hinweismanagementsysteme – Leitlinien bzw. im englischen Original: Whistleblowing management systems – Guidelines [1]. Im allgemeinen Sprachgebrauch ist im Deutschen auch die Bezeichnung ISO 37002 üblich, so auch in diesem Beitrag.

Angaben zur aktuellen Ausgabe
Die aktuelle Ausgabe der Norm liegt in englischer Fassung, eine deutsche Fassung als Entwurf vor. Die ISO 37002 enthält Leitlinien für die Festlegung, Umsetzung, Pflege und Verbesserung eines Hinweismanagementsystems.

Ergänzung zur ISO 37301:2021
Die Norm ist eine wertvolle Ergänzung zur ISO 37301:2021 (vgl. Kap. 12650), die eine Zertifizierung von Compliance-Managementsystemen ermöglicht. Im Normabschnitt 8.3 der ISO 37301 wird explizit ein Prozess zum Äußern von Bedenken bei Verstößen gegen Compliance-Verpflichtungen gefordert.

Ziele der Norm
Die ISO 37002 verfolgt folgende Ziele:

Vertrauen schaffen
Darüber hinaus weist die ISO 37002 darauf hin, dass ein wirksames Hinweismanagementsystem Vertrauen in das Unternehmen schafft, indem es:

Gesetzliche Vorgaben erfüllen
War der Umgang mit Hinweisgebern in der EU lange Zeit uneinheitlich geregelt, so trat im Jahr 2019 die EU-Richtlinie zum Schutz von Whistleblowern in Kraft, mit der Aufforderung an die einzelnen EU-Mitgliedstaaten, diese Richtlinie innerhalb von zwei Jahren in nationales Recht umzusetzen. Obwohl diese Umsetzung bis heute auf sich warten lässt, ist davon auszugehen, dass Unternehmen in absehbarer Zeit nationale rechtliche Vorgaben zum Schutz von Hinweisgebern zu beachten haben. Die ISO 37002 kann dabei helfen, weil sie Unternehmen dabei unterstützt, diese Vorgaben zu erfüllen.

Aufbau der Norm
Die ISO 37002 ist ebenso wie verschiedene andere Managementsystemnormen nach der High Level Structure gegliedert. Sie besteht demzufolge aus zehn Hauptabschnitten. Die inhaltlichen Schwerpunkte liegen in den Hauptabschnitten 4 bis 10. Diese enthalten die für den Anwender der Norm relevanten Leitlinien. Abbildung 1 zeigt den Aufbau eines Hinweismanagementsystems nach ISO 37002, wobei in Klammern die Normabschnitte angegeben sind.

Anwendungsbereich der ISO 37002
Die Leitlinien in der ISO 37002 sind allgemein gefasst und für alle Unternehmen anwendbar, unabhängig von ihrem Typ, ihrer Größe, der Art ihrer Tätigkeit, ihrer Rechtsform und davon, ob es sich um öffentliche, privatwirtschaftliche oder gemeinnützige Sektoren handelt. Gemäß den Leitlinien ISO 37002 basiert ein wirksamer Hinweismeldungsprozess auf den Grundsätzen Vertrauen, Unparteilichkeit und Schutz und umfasst folgende vier Schritte, die auch in Abbildung 2 gezeigt werden:

Entscheidungen delegieren
Gemäß ISO 37002 kann die oberste Leitung die Befugnis für Entscheidungen im Rahmen des Hinweismeldungsprozesses, etwa die Entgegennahme von Meldungen über Fehlverhalten, die Durchführung von Bewertungen, die Umsetzung von Schutzmaßnahmen, die Durchführung von Untersuchungen und den Abschluss der Fälle, delegieren [1]. Dazu sollte ein angemessener Entscheidungsfindungsprozess festgelegt und aufrechterhalten werden, der sicherstellt, dass die Entscheidungsträger über angemessene Befugnisse verfügen und frei von tatsächlichen oder potenziellen Interessenkonflikten sind. Ferner besteht die Möglichkeit, einzelne oder alle Hinweismanagementfunktionen an Personen außerhalb des Unternehmens zuzuweisen, also auszugliedern, z. B. an einen externen Rechtsanwalt.

Vertraulichkeit sicherstellen
Eine große Bedeutung kommt der Vertraulichkeit der Informationen von Hinweisgebern zu [1]. Dies bedeutet, dass die Identität des Hinweisgebers ohne dessen Zustimmung niemandem gegenüber offengelegt werden darf, der nicht unbedingt davon Kenntnis erhalten muss. Anonymität ist durch geeignete Prozesse sicherzustellen.

Meldewege anbieten
Im Hinblick auf die Entgegennahme von Berichten über Fehlverhalten fordert die ISO 37002, dass das Unternehmen sichtbare, zugängliche und sichere Meldewege identifiziert, umsetzt, kommuniziert und aufrechterhält [1]. Dies sind insbesondere persönliche und telefonische Kanäle, webbasierte Onlinedienste und die herkömmliche Briefpost. Diese Meldewege werden in Tabelle 1 erläutert.

Rückmeldungen geben
Die ISO 37002 legt großen Wert darauf, dass der Hinweisgeber nach jedem Verfahrensschritt im Hinweismeldungsprozess eine Rückmeldung erhält, insbesondere Informationen zum Status des Berichts und zum nächsten Schritt, der unternommen wird. Wichtig ist insbesondere, dass die Entgegennahme eines Berichts zu einem Fehlverhalten zeitnah erfolgt, z. B. innerhalb von drei Arbeitstagen.

Bewertungsindikatoren
Die Norm fordert ferner, dass das Unternehmen die Leistung des Hinweismanagementsystems überwacht und misst. Dazu kann es quantitative und qualitative Indikatoren heranziehen, z. B. [1]: