whistleblower-policy-malik-taiar

举报系统 - 评估与起草

概述

本指南可帮助你 (a) 评估现有举报系统的合规性，或 (b) 根据提供的模板起草举报政策。

涵盖的法律框架

• 欧盟指令 2019/1937
• 修订后的 Sapin II 法（2022 年 Waserman 法）
• 第 2022-1284 号法令
• CNIL 专业举报框架

两种使用模式

模式	描述	输出
A. 合规评估	审计现有系统	评估报告 + 行动计划
B. 政策起草	根据引用的来源创建系统	基于模板的政策

此技能的功能 / 不具备的功能

此技能的功能	此技能不具备的功能
评估现有系统的合规性	提供确定的法律结论
根据提供的模板起草举报政策	保证可执行性

范围：受修订后的 Sapin II 法和第 2022-1284 号法令约束的内部举报系统。

差异提示：

• 公共部门：与《刑事诉讼法典》第 40 条协调
• 警戒义务：员工人数 ≥ 5,000 / 10,000 的公司

目录

/
├── SKILL.md
├── LICENSE.txt
├── README.md
├── assets/
    ├── Template_Politique_Lanceur_Alerte.docx ← Template for Mode B
    ├── [PDF sources]
└── references/
    ├── TEXTES_LEGAUX.md      ← Verbatim legal article citations
    ├── DECRET_PROCEDURE.md   ← Mandatory elements (Decree 2022-1284)
    ├── RGPD_CNIL.md          ← GDPR compliance and CNIL framework
    ├── FONCTION_PUBLIQUE.md  ← Public sector specifics + Art. 40 CPP
    └── VIGILANCE.md          ← Duty of vigilance coordination

免责声明

本内容不构成法律建议。 本技能仅用于提供信息和教育。法律因司法管辖区和个人情况而异，只有具备资质的律师才能针对你的具体情况提供建议。本内容不构成法律建议或意见，而是一项面向法律专业人士的 Claude 技能。本技能生成的所有内容在用于任何法律用途之前，都必须由具备资质的法律专业人士审核。

选择使用模式

模式 A：合规评估

使用时机：客户端已拥有系统，希望核实其合规性。

→ 转到第 3 节（输入），然后转到第 5 节（评估工作流）

模式 B：政策起草

使用时机：客户端没有系统，或希望创建一个新系统。

→ 转到第 3 节（输入），然后转到第 13 节（政策起草）

模板	格式	用途
Template_Politique_Lanceur_Alerte.docx	Word	内部举报政策模板

重要：必须完全按照提供的方式使用模板。只能调整可变元素。

收集输入（评估前请求）

A. 组织背景（必填）

• 法律形式和员工人数（是否达到 ≥ 50 名员工/代理人门槛？）
• 业务领域和组织性质（私营/公共/混合）
• 集团结构（是否可以共用？）
• 现有系统：实施日期、是否在 Waserman 法之后更新？

B. 请求提供的文件

• 内部举报程序
• 员工沟通材料
• 使用的模板（确认收件、反馈、结案）
• 职位描述 / 指定负责人任命文件
• GDPR 登记册 / DPIA（如已有）

C. 实际限制（建议）

• 是否考虑与其他实体共用？
• 是否将接收渠道外包？
• 是否与其他系统（警戒义务）协调？

交付成果 - 模式 A：评估

快速开始（默认输出）

始终生成：

1. 执行摘要（1 页）
2. 分阶段评估表（8 个阶段）
3. 建议行动计划

A. 执行摘要

• 整体合规性：合规 / 部分合规 / 不合规
• 已发现的主要 5 项差距（按优先级排序）
• 建议：“合规” / “部署前纠正” / “升级处理”

B. 详细评估表

阶段	检查项	合规	发现的差距	优先级	建议
1. 适用性
1.1	达到员工人数门槛（≥ 50）
1.2	已确定实体类型（私营／公共／混合）
1.3	如适用，联合处理符合规定（< 250，协同决策）
2. 接收渠道
2.1	提供书面或口头渠道（由实体选择）
2.2	如提供口头渠道：提及电话或语音留言
2.3	如提供口头渠道：应要求提供视频／当面会议（20 个工作日内）
2.4	能够提交任何类型的文件
2.5	在 7 个工作日内书面确认收到
3. 指定人员
3.1	正式指定负责接收的人员
3.2	正式指定负责处理的人员
3.3	具备充分的专业能力
3.4	具备充分的权限
3.5	配备充足的资源
3.6	已采取公正性保障措施
3.7	如外包：第三方义务符合规定
4. 核实／处理
4.1	已定义受理标准（第 6 条 + 第 8 条 I.A.）
4.2	如举报不可受理，已告知举报人
4.3	已规定对不合规举报的跟进处理
4.4	已规定对匿名举报的跟进处理
4.5	在 3 个月内提供书面反馈
4.6	反馈内容符合规定（措施 + 理由）
4.7	提供有理由的结案说明
4.8	向举报人发送书面结案通知
5. 保密性
5.1	保证信息完整性
5.2	对举报人身份保密
5.3	对涉事人员保密
5.4	对被提及的第三方保密
5.5	将访问权限限制在获授权人员范围内
5.6	及时将信息传达给指定人员
5.7	如为口头举报：已规定记录程序
5.8	保障举报人核实／批准记录的权利
5.9	限定保留期限
6. 传播／信息告知
6.1	以充分公开的方式传播相关程序
6.2	符合条件的人员可随时查阅
6.3	举报人身份认定条件
6.4	符合条件的人员类别
6.5	举报程序（表单、渠道）
6.6	处理时限（7 天内确认收到，3 个月内反馈）
6.7	保密保障
6.8	给予的保护
6.9	外部渠道信息
6.10	GDPR 信息
7. GDPR 合规（CNIL 参考日期：2023 年 6 月 7 日）
7.1	已确定法律依据（法定义务或合法利益）
7.2	已明确处理目的，且不会以不兼容的方式重复使用数据
7.3	遵守数据最小化原则（按阶段：收集、调查、决定后）
7.4	可进行匿名举报，且不会重新识别举报人
7.5	已记录获授权用户，并记录访问日志
7.6	遵守披露规则（举报人：经同意；涉事人员：事实查证后）
7.7	已按阶段规定保留期限并告知相关人员
7.8	符合规定地通知数据主体（确认收到时通知举报人，1 个月内通知涉事人员）
7.9	保障数据主体权利（访问、反对、更正、限制处理）
7.10	安全措施符合规定（CNIL 的 17 个类别）
7.11	已更新处理活动记录
7.12	已完成 DPIA（建议）
8. 特定行业要求
8.1	公共部门：已记录与《刑事诉讼法典》第 40 条的协调情况
8.2	公共部门：已告知指定负责人第 40 条规定的义务
8.3	警戒义务：已与代表性工会协商
8.4	警戒义务：扩大适用范围（子公司、分包商）
8.5	警戒义务：外部利益相关方符合资格
8.6	受监管行业：已协调特定行业义务

评估工作流（模式 A）

步骤 1 — 确认是否适用

该组织是否受此义务约束？

• 私人法人 ≥ 50 名员工 → 是
• 公共法人 ≥ 50 名工作人员 → 是
• 市镇 ≥ 10,000 名居民 → 是
• 国家行政机构 → 是
• 其他 → 核查行业特定法规

可以合并处理（< 250 名员工/工作人员）：参见修订版 Sapin II 法第 8 条 I. B. 和 C. + 法令第 7 条 II

步骤 2 — 评估合规性（使用参考资料）

重要 - 必须阅读：在进行任何评估之前，请完整阅读文件 assets/Decret_2022_1284.pdf（第 1 至 8 条及附件）。不要仅依赖摘要——法令原文具有权威性。

使用参考资料系统地评估该系统：

参考资料	涵盖内容
assets/Decret_2022_1284.pdf	务必首先阅读 - 法令全文
DECRET_PROCEDURE.md	强制要素摘要（法令第 4-8 条）
RGPD_CNIL.md	GDPR 合规性和 CNIL 框架
FONCTION_PUBLIQUE.md	公共部门特定事项 + CPP 第 40 条
VIGILANCE.md	警戒义务协调（如适用）
TEXTES_LEGAUX.md	用于核验的原文引文

评估方法：

1. 开始评估前，完整阅读第 2022-1284 号法令
2. 核实是否包含所有强制要素（完整性）
3. 核实每项条款是否符合法律和监管框架（不存在矛盾）
4. 使用第 6 节检查清单，按阶段开展评估
5. 如有疑问，务必回到法令原文

步骤 3 — 起草报告

REPORT STRUCTURE:
1. Executive summary (overall compliance, strengths, priority areas)
2. Context and scope (organization, regulatory framework, documents analyzed)
3. Detailed results (cover all 8 checklist phases)
4. Gap summary table
5. Recommended action plan
6. Annexes (completed checklist, applicable texts)

步骤 4 — 确定建议优先级

优先级	标准	示例
严重	缺少系统、未遵守法定期限、保密性失效	未提供收件确认
重要	信息不足、未明确指定负责人、GDPR 不合规	处理负责人存在公正性风险
改进	程序需要完善、文档不完整、需要加强培训	需要补充宣传材料

评估检查清单（8 个阶段）

阶段 1：适用性

参见修订版 Sapin II 法第 8 条 I. B. + 法令第 1 条和第 2 条

• 组织受此义务约束（达到门槛）
• 已确定实体类型（私人/公共/混合）
• 如适用，合并处理符合规定（< 250 人，并经共同决定）

阶段 2：接收渠道

→ 详细参考资料：DECRET_PROCEDURE.md - 第 1 节

• 提供书面或口头渠道（由实体选择 - 法令第 4 条 I）
• 如提供口头渠道：注明电话或语音信箱
• 如提供口头渠道：应要求提供视频或面对面会谈（20 个工作日内）
• 能够传送任何类型的文件
• 规定在 7 个工作日内书面确认收件

阶段 3：指定人员

→ 详细参考资料：DECRET_PROCEDURE.md - 第 3 节

• 在程序中正式指定人员（接收和处理）
• 具备充分的能力、权限和资源
• 已制定公正性保障措施
• 如合并处理（< 250 名员工）：符合第 7 条 II 的条件
• 如外包：第三方义务符合第 7 条 I

第 4 阶段：核查与处理

→ 详细参考：DECRET_PROCEDURE.md - Section 2

核查：

• 已定义受理标准（Art. 6 和 Art. 8 I.A.）
• 已规定在举报不予受理时通知举报人
• 已说明对不合规举报的后续处理
• 已说明对匿名举报的后续处理

处理：

• 已规定最迟在 3 个月内提供书面反馈
• 反馈内容合规（已考虑／采取的措施及其理由）
• 已说明有理由的结案情形（指控不成立或已无实际意义）
• 已规定向举报人发送书面结案通知

第 5 阶段：保密

→ 详细参考：DECRET_PROCEDURE.md - Section 4

• 保证信息的完整性和保密性
• 保护相关人员身份：举报人、相关人员及被提及的第三方
• 禁止未经授权的人员访问
• 已规定及时将信息传递给指定人员
• 如果采用口头方式：已规定录音程序
• 保存期限仅限于严格必要的时间

第 6 阶段：传播与告知

→ 详细参考：DECRET_PROCEDURE.md - Section 6

• 通过充分宣传传播程序
• 符合条件的人员可随时查阅
• 信息内容完整（见法令第 7 节）
• 提供有关外部渠道的信息

第 7 阶段：GDPR 合规（CNIL 框架，2023 年 7 月 6 日）

→ 详细参考：RGPD_CNIL.md

• 已确定法律依据（法定义务或合法利益）
• 已明确目的，不得以不兼容的方式重复使用数据
• 按阶段落实数据最小化（收集、调查、决定后）
• 可匿名举报，不得重新识别举报人
• 已记录获授权用户，并记录访问日志
• 遵守披露规则（举报人：经同意；相关人员：指控证实后）
• 已按阶段定义保存期限并告知相关人员
• 符合数据主体告知要求（受理确认时告知举报人，1 个月内告知相关人员）
• 保障数据主体权利（访问、反对、更正、限制处理）
• 安全措施合规（17 个 CNIL 类别）
• 已更新处理活动记录
• 已完成 DPIA（建议）

第 8 阶段：行业特定要求

→ 公共部门 → FONCTION_PUBLIQUE.md

• 已记录与 Art. 40 CPP 的协调情况
• 已告知指定负责人 Art. 40 规定的义务

→ 警戒义务 → VIGILANCE.md

• 已与代表性工会协商建立机制
• 扩大适用范围（子公司、分包商、供应商）
• 外部利益相关方符合条件

→ 受监管行业（金融、医疗保健等）

• 已记录与行业特定义务的协调情况

三种举报渠道（《Sapin II 法》第 8 条）

┌──────────────────────────────────────────────────────────────────────────────┐
│  CHANNEL 1: INTERNAL REPORTING (Art. 8 I)                                    │
│  ────────────────────────────────────────                                    │
│  WHEN: Can be used directly, without prior condition                         │
│                                                                              │
│  ELIGIBLE PERSONS (Art. 8 I.A. 1° to 5°):                                    │
│  → Staff members (current or former)                                         │
│  → Job applicants                                                            │
│  → Shareholders, partners, voting rights holders                             │
│  → Members of administrative, management, supervisory bodies                 │
│  → External and occasional collaborators                                     │
│  → Contractors, subcontractors and their bodies/staff                        │
├──────────────────────────────────────────────────────────────────────────────┤
│  CHANNEL 2: EXTERNAL REPORTING (Art. 8 II)                                   │
│  ─────────────────────────────────────────                                   │
│  WHEN: Can be used in two ways                                               │
│    ✓ EITHER after making an internal report                                  │
│    ✓ OR directly (without going through internal)                            │
│                                                                              │
│  POSSIBLE RECIPIENTS:                                                        │
│  1° Competent authority (list in annex to Decree No. 2022-1284)              │
│  2° Defender of Rights                                                       │
│  3° Judicial authority (Public Prosecutor)                                   │
│  4° Competent EU institution, body or agency                                 │
├──────────────────────────────────────────────────────────────────────────────┤
│  CHANNEL 3: PUBLIC DISCLOSURE (Art. 8 III)                                   │
│  ─────────────────────────────────────────                                   │
│  WHEN: Protection granted only in the following cases                        │
│                                                                              │
│  CASE 1 (Art. 8 III 1°) - Ineffective reports:                               │
│    → After external report (preceded or not by internal)                     │
│    → AND no appropriate measure taken at deadline expiry                     │
│                                                                              │
│  CASE 2 (Art. 8 III 2°) - Serious and imminent danger                        │
│                                                                              │
│  CASE 3 (Art. 8 III 3°) - Risks related to external reporting:               │
│    → Risk of retaliation                                                     │
│    → OR impossibility of effective remedy                                    │
│                                                                              │
│  DEROGATORY CASE (Art. 8 III penultimate paragraph):                         │
│    → IMMINENT or MANIFEST danger to the public interest                      │
│                                                                              │
│  ⚠️ EXCLUSION: Cases 2°, 3° and derogatory do NOT apply if                   │
│     disclosure harms national defense/security                               │
└──────────────────────────────────────────────────────────────────────────────┘

注意：自 Waserman 法（2022 年）出台以来，举报人可以在内部渠道和外部渠道之间自由选择。不再要求举报人必须先通过内部渠道举报。

举报人定义（《Sapin II 法》第 6 条）

举报人 = 符合以下条件的自然人：

• 举报或披露时未获得直接经济利益
• 善意
• 所涉信息涉及：
  • 犯罪或违法行为
  • 对公共利益的威胁或损害
  • 违反或试图掩盖以下内容的行为：
    • 国际承诺
    • 欧盟法律
    • 法律或法规

除外情形（Art. 6 II）：国防机密、医疗保密、司法合议保密、调查或询问保密、律师与客户之间的保密特权。

协助人（Art. 6-1）：协助举报人的自然人或非营利私法法人。

举报人保护

→ 详细参考：TEXTES_LEGAUX.md - Article 10-1

民事和刑事豁免（第 10-1 条 I）：只要有合理理由相信举报是必要的，即可获得豁免。

禁止采取报复措施（第 10-1 条 II）：停职、解雇、降职、调岗、歧视、骚扰、列入黑名单等。

举证责任倒置（第 10-1 条 III）：雇主必须证明其决定有正当理由。

任何违反上述保护规定的行为均自动无效。

常见错误

错误	风险	纠正措施
系统自 2022 年以来未更新	不符合 Waserman 法案	全面修订
要求先使用内部渠道	违反渠道自由选择原则	删除此要求
未自动确认收到举报	不符合 7 天期限要求	自动发送确认
未通过技术手段保障保密性	信息泄露风险	加密、隔离
指定负责人是高层管理人员	可能存在利益冲突	任命独立负责人
未提供外部渠道信息	法定义务	补充完整信息
无限期保留数据	不符合 GDPR	遵循 CNIL 保留期限
未提供口头举报选项	不符合第 2022-1284 号法令要求	提供口头渠道

处罚和风险

违法行为	处罚	法律依据
妨碍举报	监禁 1 年 + 罚款 €15,000	第 13 条《Sapin II 法案》
报复	监禁 3 年 + 罚款 €45,000	《刑法典》第 225-1 条和第 225-2 条
泄露举报人身份	监禁 2 年 + 罚款 €30,000	第 9 条《Sapin II 法案》
滥用举报	监禁 5 年 + 罚款 €45,000	《刑法典》第 226-10 条

参考文本

文本	日期	文件
欧盟指令 2019/1937	10/23/2019	assets/Directive_2019_1937.pdf
第 2016-1691 号法律（Sapin II）	12/09/2016	assets/Loi_Sapin_II_consolidee.pdf
第 2022-401 号法律（Waserman）	03/21/2022	assets/Loi_Waserman_2022.pdf
第 2022-1284 号法令	10/03/2022	assets/Decret_2022_1284.pdf
CNIL 框架	07/24/2023	assets/Referentiel_CNIL_alertes_professionnelles.pdf
公共部门通函	06/26/2024	assets/Circulaire_26_juin_2024.pdf
DREETS 摘要	02/17/2025	assets/DREETS_synthese_2025.pdf
第 2017-399 号法律（警戒义务）	03/27/2017	assets/L225-102-1.pdf 和 assets/L225-102-2.pdf
欧盟指令 2024/1760（CS3D）	06/13/2024	assets/Directive_CS3D_2024_1760.pdf

政策起草（模式 B）

提供的模板

模板	格式	用途
Template_Politique_Lanceur_Alerte.docx	Word	内部举报政策模板

IMPORTANT：必须完全按照提供的模板使用。只能根据客户的具体情况调整可变内容。不得改写、删除或重新编排模板条款。

起草工作流

步骤 1 — 收集客户信息

• 法律形式和员工人数
• 选择的渠道（书面、口头或两者兼有）
• 指定负责人的身份
• 举报渠道的联系方式
• 符合条件的人员范围
• 与其他制度（警戒义务）的协调

步骤 2 — 调整模板

• 打开 Template_Politique_Lanceur_Alerte.docx
• 仅填写可变内容
• 不要改写现有条款
• 不要删除任何章节
• 添加关于外部渠道的强制性条款

可插入政策的示例措辞：

Independently of this system, any person may submit an external report
directly to the Defender of Rights, the judicial authority, or the
competent authority according to the relevant domain. The list of
external authorities is set by the annex to Decree No. 2022-1284 of
October 3, 2022, available at:
https://www.legifrance.gouv.fr/loda/id/JORFTEXT000046357368

步骤 3 — 核验合规性 → 使用 DECRET_PROCEDURE.md 和 TEXTES_LEGAUX.md 核验强制性要素 → 使用 RGPD_CNIL.md 核验 GDPR 合规性

步骤 4 — 添加外部渠道信息 （法律义务——第 2022-1284 号法令第 8 条第 3 款）

最终定稿

步骤 5 — 验证

• 请管理层审核
• 如适用，咨询职工委员会（员工人数 ≥ 50）
• 如涉及警戒义务：咨询代表性工会

步骤 6 — 发布

• 选择发布渠道（见第 6 节——阶段 6）
• 确保长期可访问
• 培训指定负责人