ISO 37002:2021 吹哨者管理系統內部評估員培訓課程
ISO 37002:2021 吹哨者管理系統內部評估員培訓課程
ISO 37002:2021提供吹哨者管理系統指引，協助組織建立可信任的違失通報機制，妥善接收、評估、處理及結束案件，並保護相關人員。
本課程適合法遵、內部稽核、人資、法務、風險管理及通報窗口人員，學習檢查制度是否可用、案件處理是否公正，以及保密與反報復措施是否落實。
ISO 37002屬指引，不是獨立的管理系統認證要求標準。完訓證明可作為培訓紀錄，不等於取得調查資格，也不能取代適用法律要求。
ISO 37002吹哨者管理系統是什麼？
ISO 37002以「信任、公正、保護」為原則，涵蓋違失通報的接收、評估、處理及結案，可獨立運作，也可納入既有法遵或反賄賂管理系統。
ISO已於2026年確認ISO 37002:2021繼續有效；確認年度不代表發布了2026新版。
設置檢舉信箱就算完成制度嗎？
不算。企業還須確認誰可以通報、誰負責接收、如何處理利益衝突，以及如何追蹤保護與改善。
例如信箱由被檢舉主管直接管理，即使管道存在，也可能影響通報意願與處理公正性。
吹哨者管理、一般申訴與內部調查有什麼差別？
三者可能互相銜接，但目的與程序不同。企業應建立分類及轉介機制，避免案件在部門間反覆轉送。
| 項目 | 吹哨者管理 | 一般申訴 | 內部調查 |
|---|---|---|---|
| 主要目的 | 接收及處理疑似違失通報 | 回應權益、服務或管理爭議 | 依授權查明具體事實 |
| 常見內容 | 疑似舞弊、賄賂或其他違失 | 個人待遇、行政或服務問題 | 訪談、證據分析及事實認定 |
| 主要控制 | 保密、公正及反報復 | 適當受理與回應 | 獨立性、程序及證據管理 |
| 銜接方式 | 評估後決定處理路徑 | 必要時轉入其他程序 | 將結果交由適當權責者處理 |
每件通報都需要完整調查嗎？
不一定。應依內容、可信資訊、嚴重性及適用要求，決定補充資料、轉介、調查或其他處理方式。
未啟動完整調查，也應保留判斷理由與必要核准，不能直接忽略。
哪些企業與人員適合參加？
需要建立內部通報制度、回應客戶廉潔要求，或改善案件處理品質的組織，都可依需求安排培訓。
| 適合對象 | 主要學習需求 |
|---|---|
| 法遵及倫理管理人員 | 建立制度、分工及監督機制 |
| 通報受理窗口 | 正確接收、記錄與初步評估 |
| 人資及行政人員 | 處理人員保護與工作安排 |
| 內部稽核人員 | 評估程序及控制有效性 |
| 法務與風險管理人員 | 確認適用要求及事件升級 |
| 管理主管 | 提供資源並處理利益衝突 |
中小企業可簡化表單與分工，但仍應保留替代受理管道，避免案件涉及負責人時無法處理。
本課程會培養哪些內部評估能力？
課程以「管道是否可信、處理是否公正、保護是否有效」為主軸，搭配匿名案例與流程演練。
| 課程單元 | 學習重點 | 實務演練 |
|---|---|---|
| 標準定位與原則 | 信任、公正及保護 | 檢查制度設計 |
| 通報管道 | 可近性、語言、接收與紀錄 | 測試使用情境 |
| 初步評估 | 分類、急迫性及利益衝突 | 分析案件處理路徑 |
| 案件處理 | 責任、轉介、溝通與追蹤 | 核對去識別案件 |
| 保密與保護 | 身分、權限及不利待遇風險 | 規劃保護措施 |
| 結案與改善 | 決定依據、回饋及後續監督 | 建立結案查檢表 |
| 評估報告 | 證據、差距與改善建議 | 撰寫評估發現 |
內部評估員是否要重新調查案件？
通常以檢查制度與程序為主，不應未經授權就重新詢問當事人或蒐集敏感資料。
若發現重大程序缺口或新的風險訊號，應依升級機制交由適當權責者處理。
通報接收、評估、處理與結案應查核什麼？
應追蹤案件是否有明確負責人、判斷依據及必要紀錄，而不是只看「已結案」標記。
| 階段 | 評估重點 | 證據示例 |
|---|---|---|
| 接收 | 管道可用、資訊安全及適當確認 | 受理紀錄、管道測試 |
| 評估 | 急迫性、利益衝突與保護需求 | 初評、迴避及轉介紀錄 |
| 處理 | 授權、進度、溝通及程序公正 | 處理計畫、核准與紀錄 |
| 結案 | 決定有依據、適當回饋及追蹤 | 結案紀錄、改善與保護覆核 |
所有案件都適用相同處理期限嗎？
不宜一概而論。應先遵守適用法律及合約期限，再依案件複雜度與急迫性設定內部時程。
需要延長時，應保留原因及適當溝通，避免案件長期沒有進度。
保密、匿名與反報復應如何評估？
保密是限制資訊取得與使用；匿名則是受理方不知道通報者身分，兩者不能混為一談。
| 控制項目 | 建議檢查內容 |
|---|---|
| 身分保密 | 是否僅由必要人員取得身分資訊 |
| 系統權限 | 郵件、案件平台及附件存取是否受控 |
| 匿名聯繫 | 採匿名管道時，能否安全補充資訊 |
| 保密限制 | 是否事先說明依法揭露等例外 |
| 反報復 | 是否能辨識威脅、排擠或不利待遇 |
| 後續保護 | 結案後是否仍依風險追蹤 |
| 被通報者權益 | 是否避免預先定罪及不必要揭露 |
可以承諾通報內容「絕對保密」嗎？
不宜承諾無法履行的絕對保密。涉及法定揭露、必要調查或重大安全風險時，可能需要依法處理。
應清楚說明限制，並將資訊分享控制在必要範圍。
沒有查證成立的通報，就可以懲處通報者嗎？
不能僅因案件未成立，就認定通報者故意捏造。
應區分合理疑慮、資訊不足與明知不實的行為，依適用法律及程序處理，避免打擊正常通報。
企業如何執行吹哨者管理內部評估？
建議結合制度審閱、管道測試與去識別案件抽查，並確保評估人員沒有相關利益衝突。
| 步驟 | 執行重點 | 建議產出 |
|---|---|---|
| 1. 確認範圍 | 地區、人員、管道及適用要求 | 評估計畫 |
| 2. 審閱制度 | 責任、迴避、保密及保護 | 要求對照表 |
| 3. 測試管道 | 使用便利性與安全性 | 測試紀錄 |
| 4. 抽查案件 | 初評、處理、回饋及結案 | 評估工作底稿 |
| 5. 提出改善 | 說明證據、風險及優先程度 | 改善計畫 |
| 6. 驗證成效 | 確認修正與後續保護 | 結案及管理檢討紀錄 |
通報件數少，就代表制度有效嗎？
不一定。可能沒有重大問題，也可能是員工不知道管道、缺乏信任或擔心報復。
應搭配知悉程度、管道可用性、處理品質與保護措施判斷，不能設定「零通報」作為單一成功指標。
課程需要多久，費用如何評估？
以下為建議安排，實際時數依企業規模、制度成熟度及演練需求調整。
| 課程方案 | 建議時數 | 適合需求 |
|---|---|---|
| 標準與制度基礎 | 1天，約6–7小時 | 理解原則與案件流程 |
| 內部評估員實務 | 2天，約12–14小時 | 加入抽樣、保護及報告演練 |
| 企業客製工作坊 | 依管道與制度範圍安排 | 使用匿名案例評估 |
費用依人數、語言、授課形式、地點及客製程度報價。外部通報平台、案件受理、專項調查與法律服務，應另行確認範圍。
報名前有哪些常見疑問？
沒有法務或調查背景，可以參加嗎？
可以。課程重點是制度與程序評估；涉及個案法律判斷或專業調查時，仍須適當支援。
已有申訴制度，還需要另設吹哨者制度嗎？
可先做差距評估，確認現有機制能否處理疑似違失、利益衝突、保密與反報復，不必一律另建平台。
通報管道一定要由外部單位管理嗎？
不一定。可依風險與資源選擇內部、外部或混合方式，但仍須確認公正性、權限及替代管道。
評估發現問題，可以直接開立不符合嗎？
ISO 37002屬指引。若要判定不符合，應先確認相關內容已成為適用法律、合約或企業制度的明確要求。
導入ISO 37002就符合各國吹哨者法律嗎？
不能直接推論。各地對受保護對象、通報管道、期限及資料處理可能有不同規定，須另行確認。
完訓就能取得ISO 37002企業認證嗎？
不能。一般完訓證明代表完成培訓，不能包裝成企業認證；本標準也不是獨立的管理系統認證要求標準。
還可以延伸閱讀哪些相關主題？
ISO 37301法令遵循管理：整合義務、通報與改善機制。
ISO 37001反賄賂管理：銜接疑似賄賂通報。
ISO/TS 37008組織內部調查：建立查明事實與證據管理方法。
個資與機密資訊管理：強化案件資料保護。
職場心理社會風險管理：辨識報復及不利待遇風險。
下一步如何執行？ODI MORGAN提供哪些服務？
先整理通報管道、受理程序、權限設定、保護措施及去識別案件紀錄，再確認營運地區與優先改善事項，規劃培訓及內部評估。
ODI MORGAN 歐迪摩根技術顧問有限公司可依需求規劃ISO 37002標準培訓、內部評估員訓練、通報流程差距評估、保密與反報復查檢表設計，以及制度改善輔導。
歡迎提供產業別、營運地區、員工規模、現有管道、參訓人數及預計完成時間，洽詢合適的課程方案與報價。
