whistleblower-compliance

⚠️ 实验性内容 — 本技能仅用于教育和提供信息，不构成法律建议。使用本技能的全部责任由用户承担。采取任何行动前，请咨询合格的法律专业人士。

举报人合规技能

概述

可用于生产环境的举报人合规工具包，用于审计现有举报系统和起草合规政策。涵盖欧盟指令 2019/1937、美国《萨班斯-奥克斯利法案》第 806 条、美国《多德-弗兰克法案》以及英国《1998 年公共利益披露法》。支持两种模式：模式 A（评估）对现有系统进行包含 8 个阶段、56 个检查点的审计；模式 B（起草）生成适用于特定司法辖区的举报政策。

目录

• 工具
• 参考指南
• 工作流
• 故障排除
• 成功标准
• 范围与限制
• 反模式
• 工具参考

首先确认

生成输出前，请确认以下信息。如果有任何一项未知或含糊不清，请提问，不要擅自假设：

• 模式：评估现有系统，还是起草政策 — 模式 A 运行包含 56 个检查点的审计并评估差距；模式 B 生成政策框架，两者生成的材料完全不同
• 司法辖区 — 欧盟、美国或英国 — 决定适用法规的要求、门槛和时限（欧盟要求 7 天内确认收到 / 3 个月内反馈；SOX 的申报期限为 180 天）
• 员工人数 + 组织类型 — 欧盟的门槛有所不同（私营部门 50 人以上；公共部门全部适用）；这决定了法规是否适用以及哪些章节是强制性的
• 行业 — 金融、医疗保健、国防、核能、交通运输 — 会触发第 8 阶段的行业特定要求

停止规则：只询问对输出影响最大的 2-3 项。如果用户说“直接起草”，则继续操作，并在输出顶部列出你的假设。

工具

1. 合规检查器（scripts/whistleblower_compliance_checker.py）

根据监管要求评估现有举报人系统。接收组织参数，并输出合规评分以及按优先级分类的差距。

python scripts/whistleblower_compliance_checker.py \
  --jurisdiction EU --headcount 300 --sector financial \
  --channels internal,external --has-designated-person \
  --has-confidentiality --has-gdpr-measures --has-dissemination

python scripts/whistleblower_compliance_checker.py \
  --jurisdiction US --headcount 5000 --sector healthcare \
  --channels internal --json

python scripts/whistleblower_compliance_checker.py \
  --jurisdiction UK --headcount 50 --sector technology \
  --channels none

2. 政策框架生成器（scripts/whistleblower_policy_scaffolder.py）

生成举报人政策框架，并根据监管框架预先填入必需章节。

python scripts/whistleblower_policy_scaffolder.py \
  --jurisdiction EU --org-type private --headcount 500 \
  --org-name "Acme Corp"

python scripts/whistleblower_policy_scaffolder.py \
  --jurisdiction US --org-type public --headcount 10000 \
  --org-name "MegaCorp Inc" --json

python scripts/whistleblower_policy_scaffolder.py \
  --jurisdiction UK --org-type nonprofit --headcount 100 \
  --org-name "CharityOrg" --output policy-draft.md

参考指南

参考资料	用途
references/regulatory_framework.md	多司法辖区举报人法规、对照表
references/assessment_checklist.md	包含 8 个阶段、56 个检查点的评估清单及优先级分类

工作流

模式 A：评估工作流

1. 收集参数 -- 收集司法辖区、员工人数、行业和系统描述
2. 运行合规检查器 -- 使用参数执行 whistleblower_compliance_checker.py
3. 审查差距 -- 优先处理 CRITICAL 差距，其次是 IMPORTANT，再其次是 IMPROVEMENT
4. 交叉核对清单 -- 按照 assessment_checklist.md 逐项进行人工核验
5. 生成整改计划 -- 按优先级弥补差距，并根据监管时限设定截止日期

模式 B：起草工作流

1. 确定司法辖区 -- 根据总部所在地和运营范围，确定适用法规
2. 生成框架 -- 使用组织详情运行 whistleblower_policy_scaffolder.py
3. 自定义章节 -- 将占位内容替换为组织特定信息
4. 法律审核 -- 将草案提交法律顾问，根据司法辖区要求进行验证
5. 批准与发布 -- 获得董事会/管理层批准，并向全体员工发布

8 阶段评估框架

阶段	重点	检查点
1. 适用性	确定监管范围	3
2. 接收渠道	举报渠道是否充分	5
3. 指定人员	人员与独立性	7
4. 核查/处理	调查程序	8
5. 保密性	身份与数据保护	9
6. 传播/信息	意识与可访问性	10
7. 数据保护/GDPR	隐私合规	12
8. 行业特定要求	行业要求	6
总计		60

三种举报渠道

渠道	使用情形	主要要求
内部	首选；向组织举报	7 天内确认收到；3 个月内提供反馈
外部（监管机构）	内部渠道无效或不适用时	向主管机关举报；适用相同保护措施
公开披露	最后手段；存在迫在眉睫的危险或遭受报复	仅在内部/外部渠道均已用尽时才受保护

举报人保护措施

保护措施	描述
民事免责	不因违反保密义务承担责任
刑事免责	不因获取所举报信息承担刑事责任
禁止报复	解雇、降职、骚扰、列入黑名单、歧视
举证责任倒置	雇主必须证明相关行为并非报复
临时救济	调查期间提供临时保护
获得法律援助	可获得法律顾问和支持

优先级分类

优先级	定义	示例
CRITICAL	不符合法律规定；存在即时监管风险	不存在举报渠道；没有保密措施
IMPORTANT	存在重大缺陷，降低系统效能	确认收到举报的时限超过 7 天；未指定负责人
IMPROVEMENT	有改进空间；目前不构成违规	培训频率低于最佳实践；渠道类型有限

故障排除

问题	原因	解决方案
检查器将所有项目报告为 CRITICAL	未提供系统参数	提供准确的 --channels、--has-designated-person 和其他标志
司法管辖区要求不正确	涉及多个司法管辖区的实体仅使用了一个司法管辖区	按司法管辖区分别运行检查器；采用最严格的要求
政策框架缺少章节	司法管辖区标志不正确	确认 --jurisdiction 与 EU、US 或 UK 相符
员工人数门槛令人困惑	EU 指令对不同类型的实体设定了不同门槛	私营部门：50 名及以上员工；公共部门：所有市镇
未标记行业特定缺口	使用了通用行业值	使用具体行业：financial、healthcare、defense、nuclear
US 实体的 GDPR 检查失败	US 实体可能仍需遵守 GDPR	如果处理 EU 公民数据，请添加 --has-gdpr-measures
时间要求不明确	不同司法管辖区的时限不同	EU：7 天内确认收到，3 个月内反馈；SOX：180 天申报期限
政策输出过于笼统	提供的参数过少	添加 --org-name、--org-type 和 --headcount，以提供更具体的信息

成功标准

• 合规覆盖率：评估涵盖指定司法管辖区内 100% 适用的监管要求
• 缺口识别：识别所有 CRITICAL 和 IMPORTANT 缺口，并提供明确的整改指导
• 政策完整性：生成的政策包含适用法规要求的所有强制章节
• 时限合规性：政策反映正确的确认收到（7 天）和反馈（3 个月）时限
• 审计准备情况：评估输出足以用于监管审计准备和证据收集

范围与限制

本技能涵盖：

• 根据欧盟指令 2019/1937、美国 SOX/Dodd-Frank 和英国 PIDA 进行合规评估
• 按司法管辖区提供必备章节的政策框架
• 带优先级分类和整改指导的差距分析
• 多行业考量（金融、医疗保健、国防、核能、交通运输）

本技能不涵盖：

• 实际的举报人案件管理或调查流程
• 法律建议或受律师—客户保密特权保护的分析
• 实时监管监测或法律变更时自动更新
• 举报人热线软件的实施或供应商选择
• 多个监管机构之间的跨境举报协调

反模式

反模式	失败原因	更好的做法
从其他司法管辖区复制粘贴政策	法规存在实质性差异；欧盟要求在 7 天内确认收到，SOX 有 180 天的申报期限	使用正确的司法管辖区运行框架生成器；根据当地要求进行定制
将所有差距视为同等优先级	在 CRITICAL 差距仍存在时，把资源浪费在改进项上	先处理 CRITICAL，再处理 IMPORTANT，最后处理 IMPROVEMENT
对涉及多个司法管辖区的组织只进行一次评估	每个司法管辖区都有独特的要求和门槛	分别评估各司法管辖区；合并为统一政策
跳过行业专属阶段	受监管行业（金融、医疗保健）有额外要求	受监管行业务必完成阶段 8
不进行定期重新评估	法规会变化，转化期限也会到期	安排年度重新评估；监测立法变化

工具参考

scripts/whistleblower_compliance_checker.py

根据监管要求评估举报人系统的合规性。

usage: whistleblower_compliance_checker.py [-h] [--json]
                                           --jurisdiction {EU,US,UK}
                                           --headcount HEADCOUNT
                                           --sector SECTOR
                                           [--channels CHANNELS]
                                           [--has-designated-person]
                                           [--has-confidentiality]
                                           [--has-gdpr-measures]
                                           [--has-dissemination]
                                           [--has-acknowledgment-timeline]
                                           [--has-feedback-timeline]

options:
  -h, --help            Show help message and exit
  --json                Output in JSON format
  --jurisdiction        Regulatory jurisdiction: EU, US, or UK
  --headcount           Number of employees in the organization
  --sector              Industry sector (financial, healthcare, technology, etc.)
  --channels            Comma-separated channel types: internal, external, none
  --has-designated-person  Designated person(s) appointed for handling reports
  --has-confidentiality    Confidentiality measures in place
  --has-gdpr-measures      GDPR/data protection measures implemented
  --has-dissemination      Policy disseminated to all personnel
  --has-acknowledgment-timeline  7-day acknowledgment timeline met
  --has-feedback-timeline  3-month feedback timeline met

scripts/whistleblower_policy_scaffolder.py

生成特定司法管辖区的举报人政策框架。

usage: whistleblower_policy_scaffolder.py [-h] [--json]
                                          --jurisdiction {EU,US,UK}
                                          --org-type {public,private,nonprofit}
                                          --headcount HEADCOUNT
                                          [--org-name ORG_NAME]
                                          [--output OUTPUT]

options:
  -h, --help            Show help message and exit
  --json                Output in JSON format
  --jurisdiction        Regulatory jurisdiction: EU, US, or UK
  --org-type            Organization type
  --headcount           Number of employees
  --org-name            Organization name (used in policy template)
  --output              Write policy to file instead of stdout