Das können Sie schon so machen – aber dann wird es halt …

You can do it that way – but then it will just be …
>>> english version below >>>

Zur EU-Richtlinie Hinweisgeberschutz gibt es viele juristische Fachartikel. Fachartikel. Gemeinsam mit dem Rechtsanwalt und Ombudsmann Dr. Rainer Buchert habe ich als langjährige Chief Compliance Officerin und Compliance-Beraterin in den vergangenen zehn Beiträgen das Thema Hinweisgeberschutz aus der Praxis beleuchtet. Im letzten Teil unserer gemeinsamen Blog-Serie fassen wir wichtige Aspekte noch einmal zusammen – in unserer ganz persönlichen Top-10-Liste der Dos und Don’ts zum Thema Hinweisgeberschutz.

(Zur besseren Lesbarkeit verwenden wir im Text das generische Maskulinum. Gemeint sind immer alle Geschlechter.)

1. „Hinweisgeberschutz? Ohne Gesetz unternehmen wir hier gar nichts.“

DON’T
Sie ignorieren das Thema „Hinweisgeberschutz“ komplett, selbst wenn die EU-Richtlinie irgendwann in ein deutsches Gesetz umgewandelt wird.-Denn die EU-Whistleblower-Richtlinie knüpft keine unmittelbaren Strafen an die fehlende Einrichtung eines Hinweisgebersystems im Unternehmen.

DO
Falls noch nicht erfolgt: Setzen Sie sich JETZT mit dem Thema Hinweisgebersystem auseinander und richten Sie einen auf Ihren Bedarf ausgerichteten Meldekanal ein, z.B. indem Sie ein elektronisches System implementieren oder eine Ombudsperson zur Entgegennahme von Hinweisen beauftragen.

Die Einrichtung eines Hinweisgeber-Meldekanals ist inzwischen „state of the art“. Es handelt sich um einen klassischen Bestandteil eines effektiven Compliance Management Systems, um potenzielle Compliance-Verstöße aufzudecken. Sollte die Staatsanwaltschaft eines Tages ein Ermittlungsverfahren gegen Vertreter Ihres Unternehmens einleiten, etwa wegen Bestechung, kann ein fehlendes oder unvollständiges Compliance-Management-System als Organisationsverschulden gewertet werden und in der Folge beispielsweise zu Geldbußen führen. So hat der BGH bereits im Jahr 2013 entschieden, dass der Vorstand dafür Sorge zu tragen hat, eine auf Schadensprävention ausgerichtete Compliance-Organisation einzurichten. Umfang und Ausgestaltung des Systems sind dabei von der Unternehmensgröße, der Branche, der Internationalität und von weiteren Faktoren abhängig. Lesen Sie hier die Details in unserer Blog-Folge 1. Und letztlich nicht zu vergessen: Auch das Lieferkettengesetz verlangt die Einrichtung eines Meldekanals und knüpft an die fehlende Umsetzung nicht unerhebliche Geldstrafen.

2. „Hinweisgeber sollen sich einfach an ihre direkten Führungskräfte wenden“ “

DON’T
Sie verschwenden keine Gedanken an ein Hinweisgeber-Meldesystem. Schließlich beschäftigen Sie Führungskräfte, die Ihre Mitarbeiter direkt ansprechen können. Die Vorgesetzten können schließlich am besten einschätzen, ob der Hinweisgeber ehrlich ist und dann selbst entscheiden, wie mit der Information umzugehen ist.

DO
Achten Sie bei der Auswahl Ihres Hinweisgeberkanals insbesondere darauf, dass dieses die Identität des Hinweisgebers schützt. Zum einen, da dies durch die EU-Whistleblower Richtlinie vorgegeben wird und mit an Sicherheit grenzender Wahrscheinlichkeit auch durch das anstehende deutsche Hinweisgeberschutzgesetz gefordert werden wird. Zum anderen ist das eine der wichtigsten Voraussetzungen, damit potenzielle Hinweisgeber das bereitgestellte System nutzen werden. Wird der Identitätsschutz nicht sichergestellt und unternehmensintern kommuniziert, wenden sich Hinweisgeber unter Umständen direkt an die Behörden oder Presse. Dann haben Sie Ihre Chance vertan, den Hinweis selbstbestimmt intern aufzuklären und Kenntnis von einem möglichen Compliance-Verstoß zu erhalten. Mehr zu diesem Thema finden Sie in Folge 2.

3. „Wir haben doch so ein Meldesystem – irgendwo im Intranet“

DON’T
Sie wenden sich als Geschäftsführer mit folgender Ansprache an Ihre Mitarbeiter: „Wir haben jetzt auch ein Hinweisgebersystem. Wenn Sie glauben, etwas melden zu müssen, finden Sie das in unserem Intranet, irgendwo bei den Formularen.“
Dieser „Tone from the top“ verdeutlicht, was die Geschäftsleitung von Hinweisgebern und einem Meldekanal in Wirklichkeit denkt: „Bei uns gibt es ohnehin keine Verstöße. Mitarbeiter sollten sich bitte nicht mit so etwas beschäftigen und wenn sie sich denn nicht davon abbringen lassen – viel Spaß bei der Suche.“

DO
Unternehmens-Entscheidern empfehlen wir folgendes Vorgehen:
Geben Sie ein persönliches Statement ab, indem Sie deutlich machen, dass Sie jeden Hinweis wertschätzen und intern nachgehen. Bitten Sie Ihre Mitarbeiter um aktive Unterstützung. Benennen Sie die Vorteile, die Ihr Unternehmen davon hat, Hinweisen intern nachzugehen und Maßnahmen zu ergreifen. Es geht darum Schaden vom Unternehmen und seinen Mitarbeitern abzuwenden.
Und das Meldesystem wird im Intranet so aufgehängt, dass es leicht von den Mitarbeitern gefunden wird. Gleiches gilt für einen Hinweis auf der Internetseite, damit auch Externe die Möglichkeit haben, den Link zum System zu finden und ihren Hinweis abzugeben. Mehr zu diesem Thema finden Sie in Folge 4.

4. „Mit einer Ombudsperson sind wir alle Sorgen los.“

DON’T
Ihnen sind die Argumente gegen die Einführung eines Hinweisgeber-Meldesystems ausgegangen. Sie engagieren daher eine Ombudsperson, die sich um alles kümmern soll und Sie können sich dann wieder den wichtigen Dingen – wie den Geschäften – zuwenden. Damit sind Sie ja alle Sorgen los, müssen sich um nichts mehr kümmern und erfahren außerdem jedes Mal, welcher Ihrer Mitarbeiter „gepetzt“ hat.

DO
Die Beauftragung einer Ombudsperson ist für viele Unternehmen mit zahlreichen Vorteilen verbunden. Allerdings befreit sie ein Unternehmen nicht von der Implementierung wichtiger Schaltstellen, Prozesse und Entscheidungsmechanismen. Die Ombudsperson nimmt Hinweise entgegen, stellt im Zweifel Nachfragen, schützt auf Wunsch des Hinweisgebers seine Identität und bewertet im Optimalfall in einem ersten Schritt die Glaubwürdigkeit des Hinweises. Diese Einschätzung erhält dann das Unternehmen, wo nun wichtige Arbeitsschritte vollzogen werden müssen. Dafür ist eine – je nach Unternehmensgröße – kleinere oder größere Compliance-Infrastruktur vonnöten, ohne die kein Hinweisgebersystem funktionieren kann. Erweist sich der Hinweis als substanziell, folgen eine Interne Untersuchung und schließlich, wenn ein Verstoß festgestellt wird, die Sanktionierung. Mehr zu diesem Thema finden Sie in unseren Blogteilen 6,  7 und 8.

 5. „In unserem Unternehmen gibt es keine Compliance-Probleme.“

DON’T
Trotz Einführung eines Meldekanals sind über das Jahr keine oder nur ein oder zwei Hinweise eingegangen und die führten dann auch zu keinen wesentlichen Erkenntnissen. Sie interpretieren diese als sicheres Zeichen dafür, dass sich alle Mitarbeiter Ihres Unternehmens stets an die Regeln halten und es daher keine berichtenswerten Compliance-Verstöße gibt. Stolz stellen Sie sich vor Ihre Mannschaft, verkünden die frohe Botschaft, „keine Meldung = keine Verstöße“ und reduzieren den Vertrag mit der beauftragten Ombudsperson auf ein Minimum: Ein, zwei Tage Verfügbarkeit pro Woche zur Entgegennahme von Hinweisen werden dann ja wohl ausreichen, wenn sowieso kein oder kaum ein Hinweis eingeht.

Die Schlussfolgerung „keine Meldung = keine Vorfälle“ ist zu 99% falsch. Die Gründe können vielfältig sein: Im Durchschnitt werden pro Jahr von 1.000 Mitarbeitern null bis vier Hinweise an Ombudspersonen weitergeleitet. Fehlendes Vertrauen in den Schutz des Hinweisgebers, eine Kultur von Befehl & Gehorsam und keine großen Fragen stellen, Sanktionen nach Gutsherrenart und viele andere Faktoren können dazu führen, das internes Fehlverhalten in Unternehmen nicht gemeldet wird.

DO
Machen Sie sich die Mühe und analysieren Sie die Situation, was die wirklichen Gründe dafür sein können, dass Sie über das Jahr keine Hinweise über das elektronische Hinweisgebersystem oder die Ombudsperson erhalten haben: Denn oft liegt dies daran, dass weder die Einführung des Meldekanals noch Ihre Wertschätzung des Erhalts von relevanten Hinweisen (richtig) kommuniziert wurden. Erhöhen Sie also Ihre diesbezüglichen Bemühungen und optimieren oder holen das nach, was bei der Einführung an Kommunikationsbemühungen versäumt worden ist. Wurde der Meldekanal beispielsweise nur einmal angesprochen, z. B. lediglich auf dem Führungskräftemeeting der Top 20 Mitarbeiter? Was gilt es also zu tun:

• Setzen Sie das Thema auf die Agenda der nächsten Betriebsversammlung.
• Diskutieren Sie mit der Belegschaft über die Gründe der Einführung und warum der Erhalt solcher Hinweise für das Unternehmen und seine Mitarbeiter so wichtig ist.
• Sprechen Sie als Unternehmenslenker am besten selber und leben Sie damit Ihren Mitarbeitern den „Tone from the top“ vor.
• Laden Sie die beauftragte Ombudsperson ein, sich und ihre Arbeit vorzustellen.
• Setzen Sie das Thema auf die monatlichen Vertriebsmeetings und laden Mitarbeiter dazu ein, ihre Gedanken und Sorgen dazu zu äußern.
• Berichten Sie in Form von beispielsweise jährlichen Statistiken über die Anzahl der erhaltenen Hinweise.
• Ordnen Sie die eingegangenen Hinweise bestimmten Themengebieten zu und berichten Sie, ob sich diese bei der durchgeführten Sachverhaltsaufklärung als relevant herausgestellt haben und ob es Sanktionen gab.

Kommunizieren Sie als Unternehmensentscheider zudem regelmäßig und klar, dass Regelverstöße nicht toleriert werden. Betreiben Sie professionelle Sachaufklärung zu eingegangenen relevanten Hinweisen unter Einhaltung datenschutzrechtlicher und arbeitsrechtlicher Vorgaben und verhängen Sie angemessene Sanktionen – unabhängig von der Bedeutung des Mitarbeiters oder der Führungskraft für Ihr Unternehmen. Dann handeln Sie verantwortungsvoll und müssen bei schwerwiegenderen Fällen keine zusätzlichen Sanktionen der Behörden befürchten. Mehr zu diesem Thema finden Sie in Folge 4.

6. „Hinweisgeber sind Nestbeschmutzer, die wir hier nicht brauchen.“

DON’T
Sprechen Sie in vier-Augen Gesprächen regelmäßig davon, dass Hinweisgeber nichts anderes sind als unkollegiale Nestbeschmutzer, denen es eh nur darum geht, Kollegen und Vorgesetzten zu denunzieren und sich daraus einen Vorteil zu sichern. Und warum müssen Hinweisgeber überhaupt unter besonderen Schutz gestellt werden, solche Quertreiber kann keiner gebrauchen. Im Unternehmen müssen doch alle zusammenhalten und wenn man gewisse Dinge seit 20 Jahren erfolgreich so gemacht hat, kann man sie ja schließlich auch nicht von heute auf morgen abstellen.

DO
Betrachten Sie Hinweisgeber als das, was sie sind: Engagierte Mitarbeiter, die Schaden vom Unternehmen abwenden wollen. Unternehmen erhalten von Hinweisgebern oftmals wichtige Informationen über Unregelmäßigkeiten oder sogar Straftaten, die Sie sonst nicht bekommen hätten. Dies gelingt allerdings nur, wenn das Management sich klar zu Compliance-Standards bekennt und dies auch intern kommuniziert. Damit verbunden ist die Wertschätzung gegenüber denjenigen, die Hinweise auf Fehlverhalten melden wollen. Dazu gehört unter anderem der Schutz der Identität. Mehr zu diesem Thema finden Sie in Folge 2.

7. „Es wäre ungerecht, ausgerechnet diesen treuen Mitarbeiter zu bestrafen.“

DON’T
Sanktionieren Sie nach „Gutsherrenart“: Orientieren Sie sich bei der Wahl der jeweiligen Sanktion nicht nur daran an, wie schwerwiegend der Verstoß war, sondern insbesondere, wer gegen die Regeln verstoßen hat. Folgen Sie dem Grundsatz: „Je wichtiger die Person für das Unternehmen und sein Umsatz ist, desto geringer fällt die Sanktion aus“. Ein ermahnendes Gespräch muss dann einfach reichen. Hat den Verstoß jedoch nur ein Sachbearbeiter begangen, den Sie schnell ersetzen können, sanktionieren Sie unnachgiebig und mit voller Härte: Der Mitarbeiter muss gehen, auch wenn es der erste Verstoß gegen die Compliance Richtlinie war und man vorher keine Zeit gehabt hatte, ihren Inhalt zu schulen. So etwas spricht sich im Unternehmen schnell herum und Sie stellen sicher, dass Sie damit auch das beste Hinweisgebersystem zum Scheitern bringen.

DO
Stellen Sie sicher, dass Sie aufgeklärte Compliance Verstöße angemessen sanktionieren und dies unabhängig von der Position und Bedeutung des Mitarbeiters für das Unternehmen.
Die durch das Unternehmen vorgenommene Sanktionierung wird übrigens auch auf den Prüfstand gestellt, wenn wegen eines festgestellten Compliance-Verstoßes seitens der Staatsanwaltschaft ermittelt und der Fall vor Gericht gebracht wird. Die Behörden überprüfen bei der Frage des Organisationsverschuldens und der Festlegung eines Bußgeldes nicht nur, ob ein wirksames Compliance-Management-System vorhanden ist, sondern auch, ob in dem Unternehmen festgestelltes Fehlverhalten konsequent und angemessen sanktioniert wurde. Weitere Fehler im Umgang mit Hinweisen finden Sie in Folge 4.

8. „Wir zeigen grundsätzlich jeden festgestellten Compliance Verstoß bei der Behörde an.“

DON’T
Als tugend- und ehrenhaftes Unternehmen melden Sie grundsätzlich jedes nachgewiesene Fehlverhalten der Behörde. Diese selbstauferlegte Verpflichtung zur Meldung bei den Behörden im Falle eines entdeckten, schwerwiegenden Verstoßes nehmen Sie auch gleich in Ihre Richtlinie „Interne Untersuchungen“ mit auf. Schließlich gibt es nichts zu verbergen und Sie wollen zeigen, dass Sie den „zero tolerance“ Gedanken wirklich leben. Ihnen soll am Ende ja nicht vorgeworfen werden können, dass Sie Vorgänge vertuscht hätten.

DO
Legen Sie sich hinsichtlich der Entscheidung, ob Sie einen Compliance-Vorfall bei den Behörden melden wollen, nicht schon im Vorfeld fest, z. B. durch Aufnahme einer solchen grundsätzlichen Verpflichtung in der Richtlinie. Denn damit verpflichtet sich das Unternehmen unabhängig von den konkreten Umständen des Einzelfalls zu einem Automatismus, der zum Bumerang werden kann. Grundsätzlich sind Unternehmen nicht gesetzlich dazu verpflichtet, nach der internen Aufklärung einer Straftat den Vorgang den Behörden anzuzeigen. Das Gesetz sieht hier nur wenige Ausnahmefälle vor. Vor Erstattung einer Strafanzeige sollte das Unternehmen daher immer prüfen, ob die damit erhofften Vorteile die möglichen Nachteile überwiegen. Handelt es sich um den Fall eines Einzeltäters oder eher um ein systemisches Problem? Hat das Unternehmen alles getan, damit es nicht zu einem solchen Vorfall kommt? Und gibt es möglicherweise weitere Fälle von Fehlverhalten? Diese Fragen sind von entscheidender Bedeutung, bevor eine Meldung bei den Behörden in Betrachtung gezogen werden sollte. Im konkreten Einzelfall kann die Analyse der Situation natürlich auch ergeben, dass ein Herantreten an die Behörden explizit sinnvoll ist: So z. B., wenn zu erwarten ist, dass in jedem Fall eine staatsanwaltliche Ermittlung erfolgen wird.

Für und Wider sind im jeweiligen Einzelfall abzuwägen. Erst nach dieser ausführlichen Betrachtung sollte das Unternehmen die Entscheidung treffen, ob eine zusätzliche Strafanzeige die bestmögliche Entscheidung darstellt. Wir empfehlen daher Unternehmen, sich die Entscheidung für einen Gang zur Staatsanwaltschaft grundsätzlich offen zu halten. Mehr zum Thema erfahren Sie in Teil 9 und Teil 10 unserer Blog-Serie.

9. „Der Betriebsrat hat bei diesem Thema kein Recht auf Mitbestimmung.“

DON’T
Sie binden den Betriebsrat bei der Auswahl und Einrichtung eines zusätzlichen Meldekanals grundsätzlich nicht mit ein. Schließlich besteht in diesem Fall kein Mitbestimmungsrecht und Sie haben ja schon genug Diskussionen mit dem Betriebsrat. Das Thema ist und bleibt Sache der Geschäftsleitung und des Compliance-Verantwortlichen.

DO
Richtig ist wohl, wenn auch nicht ganz unumstritten, dass der Betriebsrat nicht zustimmen muss, wenn zum Beispiel eine Ombudsperson als zusätzlicher Meldekanal beauftragt werden soll. Anders liegen die Dinge bereits bei einem elektronischen Meldesystem. Ungeachtet dessen empfehlen wir:

Holen Sie den Betriebsrat mit ins Boot! Stimmen Sie die Voraussetzungen für die Einleitung einer Internen Untersuchung, den grundsätzlichen Ablauf und die Vorgehensweise für die Durchführung mit dem Betriebsrat ab und regeln diese anschließend in einer Betriebsvereinbarung.
Mit Hilfe dieser Einbindung erzielen Sie bei den Belegschaftsvertretern Akzeptanz für das Thema und sie werden zu einflussreichen Fürsprechern. Diese Unterstützung kann auch dann hilfreich sein, wenn es um die Sanktionierung einzelner „schwarzer Schafe“ geht. Weitere Vorteile und Tipps zur konkreten Vorgehensweise finden Sie in unserem Blog-Teil 9.

 10. „Diese ganzen Compliance-Themen kosten nur unnötig viel Geld und behindern unseren Vertrieb.“

DON’T
Sie verwenden keine finanziellen und personellen Ressourcen für Maßnahmen zur Umsetzung der neuen Auflagen, Richtlinien und Gesetze. Als Unternehmer haben Sie besseres zu tun und solche Maßnahmen mindern am Ende nur den Erfolg Ihres Unternehmens. Sie lassen es also einfach drauf ankommen, wird schon gutgehen …

DO
Verwenden Sie finanzielle und personelle Ressourcen für Maßnahmen zur Umsetzung der neuen Auflagen, Richtlinien und Gesetze! Denn kennen Sie schon das geflügelte Wort „Sie glauben, Compliance sei teuer? Dann versuchen Sie’s mal ohne.“

Schwere mediale Kritik und Gerichtsurteile mit empfindlichen Strafen haben bereits zahlreiche Unternehmen bis ins Mark erschüttert. Unser aktuelles Thema, der Schutz von Hinweisgebern und die Einrichtung eines Meldesystems, sind dabei nur zwei Teile eines ganzen Maßnahmenpakets, die Unternehmensentscheider im Compliance-Bereich veranlassen sollten – und müssen, wenn sie juristische Konsequenzen in Form von persönlicher Haftung oder hohen Geldbußen vermeiden wollen.

Liebe Leser, das war der letzte Teil unserer 11-teiligen Blogserie zum Thema EU-Whistleblower Richtlinie. Hr. Dr. Buchert und ich haben uns viele Stunden ausgetauscht und aus unserer langjährigen Erfahrung einen bunten Strauß an Praxistipps für Sie zusammengestellt. Viele Tipps sind noch unerwähnt, ein paar Anekdoten haben wir uns verkniffen und ein paar Pointen würden wir Ihnen lieber im persönlichen Gespräch mitgeben. Wir freuen uns, von Ihnen zu hören!

>>>>> english version >>>>>

Part 11 of the blog series on the EU Whistleblower Directive: Practical tips for corporate decision-makers

You can do it that way – but then it will just be …

There are many legal articles on the EU Whistleblower Directive. Specialist articles. Together with the lawyer and ombudsman Dr. Rainer Buchert, I, as a long-standing Chief Compliance Officer and compliance consultant, have examined the topic of whistleblower protection from a practical perspective in the past ten articles. In the last part of our joint blog series, we summarise important aspects once again – in our very personal top 10 list of dos and don’ts on the topic of whistleblower protection.

1. „Whistleblower protection? Without the law, we do nothing here. „

DON’T
You are completely ignoring the issue of „whistleblower protection“, even if the EU Directive is eventually converted into German law.- This is because the EU Whistleblower Directive does not link direct penalties to the failure to implement a whistleblower system within the company.

DO
If not already done: Address the issue of whistleblower systems NOW and set up a reporting channel based on your needs, e.g., by implementing an electronic system or appointing an ombudsperson to receive tips.

The establishment of a whistleblower reporting channel is now „state of the art“. It is a classic component of an effective compliance management system to detect potential compliance violations. Should the public prosecutor’s office one day initiate an investigation against representatives of your company, for example for bribery, a missing or incomplete compliance management system can be considered organisational culpability and subsequently can lead to fines, for example. In 2013, the Federal Supreme Court ruled that the executive board must ensure that a compliance organisation is set up that is geared towards preventing damage. The scope and design of the system depend on the size of the company, the industry, the internationality, and other factors. Read the details in our blog episode 1.

And finally, not to be forgotten: The Supply Chain Act also requires the establishment of a reporting channel and attaches significant fines to failure to implement it.

2. „Whistleblowers should simply contact their direct managers.“

DON’T
You don’t waste any thought on a whistleblower reporting system. After all, you employ managers who can be addressed directly by employees. After all, supervisors are best placed to assess whether the whistleblower is honest and then decide for themselves how to deal with the information.

DO
When choosing your whistleblower channel, make sure in particular that it protects the identity of the whistleblower. On the one hand, this is required by the EU Whistleblower Directive and will certainly also be required by the upcoming German Whistleblower Protection Act. On the other hand, this is one of the most important prerequisites for potential whistleblowers to use the system provided. If identity protection is not ensured and communicated internally, whistleblowers may turn directly to the authorities or the press. In this case, you have missed your chance to clarify the information internally in a self-determined manner and to become aware of a possible compliance violation. You can find more on this topic in episode 2.

3. „We have such a reporting system – somewhere on the intranet.“

DON’T
You address your employees as a managing director with the following speech: „We now also have a whistleblower system. If you think you need to report something, you can find it on our intranet, somewhere with the forms.“

This „tone from the top“ reveals what management really thinks of whistleblowers and a reporting channel: „We don’t have any violations anyway. Employees should please not bother with such things and if they don’t let themselves be discouraged from doing so – have fun searching.“

DO
For corporate decision-makers, we recommend the following approach:

Make a personal statement by making it clear that you value every tip and follow it up internally. Ask your employees for active support. State the benefits to your company of following up tips internally and taking action. It is about preventing harm to the company and its employees.
And put the reporting system up on the intranet so that employees can easily find it. The same applies to a notice on the website, so that external people can also find the link to the system and submit their report. More on this topic can be found in episode 4.

4. „With an ombudsperson, we are freed from all worries.“

DON’T
You ran out of arguments against the introduction of a whistleblower reporting system. You therefore hire an ombudsperson to take care of everything and you can then get back to the important things – like business. This way you are free of all worries, you don’t have to worry about anything, and you also find out every time which of your employees has „snitched“.

DO
The appointment of an ombudsperson is associated with numerous benefits for many companies. However, it does not exempt a company from implementing important control points, processes, and decision-making mechanisms. The ombudsperson receives tips, asks questions in case of doubt, protects the identity of the whistleblower if requested and, ideally, assesses the credibility of the tip in a first step. This assessment is then passed on to the company, where important steps must now be taken. This requires a smaller or larger compliance infrastructure, depending on the size of the company, without which no whistleblower system can function. If the tip proves to be substantial, an internal investigation will follow and finally, if a violation is found, sanctions will be imposed. More on this topic can be found in our blog parts 6 to 8.

5. „There are no compliance problems in our company.“

DON’T
Despite the introduction of a reporting channel, no or only one or two tips were received over the year, and these then did not lead to any significant findings. You interpret these as a sure sign that all employees in your company always follow the rules and that there are therefore no compliance violations worth reporting. You proudly stand in front of your team, announce the good news that „no report = no violations“ and reduce the contract with the appointed ombudsperson to a minimum: one or two days of availability per week to receive tips will then suffice if no or hardly any tips are received anyway.

The conclusion „no report = no incidents“ is 99% wrong. The reasons can be manifold: On average, zero to four whistleblowers are referred to ombudspersons per year out of 1,000 employees. Lack of trust in whistleblower protection, a culture of command & obedience and not asking big questions, landlord-style sanctions and many other factors can lead to internal misconduct in companies not being reported.

DO
Take the effort and analyse the situation, what could be the real reasons for not having received any tips via the electronic whistleblowing system or by the ombudsperson over the year: Often, this is because neither the introduction of the reporting channel nor your appreciation of receiving relevant advice was (properly) communicated. So, increase your efforts in this regard and optimise or catch up on what was missed in communication efforts during the introduction. For example, was the reporting channel only addressed once, e.g., only at the management meeting of the top 20 employees? So, what needs to be done:

• Put the issue on the agenda of the next staff meeting.
• Discuss with the staff the reasons for the introduction and why the receipt of such references is so important for the company and its employees.
• As a company leader, it is best to speak for yourself and thus demonstrate the „tone from the top“ to your employees.
• Invite the appointed ombudsperson to introduce himself and his work.
• Include the topic in monthly sales meetings and invite employees to share their thoughts and concerns.
• Report on the number of tips received in the form of, for example, annual statistics.
• Allocate the tips received to specific topics and report whether they turned out to be relevant in the clarification of the facts that was conducted and whether there were any sanctions.

As a company decision-maker, communicate regularly and clearly that breaches of the rules will not be tolerated. Conduct professional fact-finding on relevant information received in compliance with data protection and labour law requirements and impose appropriate sanctions – regardless of the importance of the employee or manager for your company. Then you will act responsibly and will not have to fear additional sanctions from the authorities in more serious cases. You can find more on this topic in episode 4.

6. „Whistleblowers are nest-foulers we don’t need here.“

DON’T
In one-on-one conversations, regularly talk about how whistleblowers are nothing more than uncollegial nest-foulers who are only interested in denouncing colleagues and superiors and gaining an advantage from it. And why do whistleblowers have to be put under special protection at all, nobody needs such troublemakers. Everyone in the company has to stick together, and if you’ve been doing certain things successfully for 20 years, you can’t just stop doing them overnight.

DO
See whistleblowers for what they are: Dedicated employees who want to prevent harm to the company. Companies often get valuable information about irregularities or even crimes from whistleblowers that they would not have received otherwise. However, this is only possible if the management is clearly committed to compliance standards and communicates this internally. Connected to this is the appreciation towards those who want to report indications of misconduct. This includes, among other things, the protection of identity. You can find more on this topic in episode 2.

7. „It would be unfair to punish this successful leader of all people.“

DON’T
Sanctioning according to „landlord-style“: When choosing the respective sanction, do not only orientate yourself on how serious the violation was, but especially on who violated the rules. Follow the principle: „The more important the person is for the company and its turnover, the lower the sanction will be“. A warning conversation must then simply suffice. If, however, the violation was committed by only one employee whom you can quickly replace, sanction him or her relentlessly and with full force: the employee must go, even if it was the first violation of the compliance guideline and you had not had time to train him or her on its content beforehand. Word of this kind gets around quickly in the company, and you ensure that you bring down even the best whistleblower system.

DO
Ensure that you sanction resolved compliance violations appropriately, regardless of the employee’s position and importance to the company.
Incidentally, the sanctioning conducted by the company will also be put to the test if the public prosecutor’s office investigates an identified compliance violation and the case is brought to court. When determining organisational culpability and setting a fine, the authorities not only check whether an effective compliance management system is in place, but also whether misconduct found in the company was sanctioned consistently and appropriately. Further mistakes in dealing with tips can be found in episode 4.

8. „As a matter of principle, we report every compliance violation identified to the authority.“

DON’T
As a virtuous and honourable company, you generally report any proven misconduct to the authorities. You also include this self-imposed obligation to report to the authorities in the event of a discovered, serious violation in your „Internal Investigations“ policy. After all, there is nothing to hide, and you want to show that you really live the „zero tolerance“ idea. After all, you don’t want to be accused of having covered up events.

DO
When deciding whether to report a compliance incident to the authorities, do not commit yourself in advance, e.g., by including such a basic obligation in the policy. Because by doing so, the company commits itself to an automatism that can boomerang, regardless of the specific circumstances of the individual case. In principle, companies are not legally obliged to report a crime to the authorities after it has been internally investigated. The law only provides for a few exceptional cases. Before filing a criminal complaint, the company should therefore always check whether the hoped-for advantages outweigh the possible disadvantages. Is it a case of a single offender or rather a systemic problem? Has the company done everything possible to prevent such an incident from occurring? And are there possibly other cases of misconduct? These questions are crucial before a report to the authorities should be considered. In concrete individual cases, the analysis of the situation may of course also show that approaching the authorities explicitly makes sense: for example, if it is to be expected that a public prosecutor’s investigation will take place in any case.

The pros and cons must be weighed up in each individual case. Only after this detailed consideration should the company make the decision whether additional criminal charges are the best possible decision. We therefore recommend that companies keep the decision to go to the public prosecutor’s office open as a general principle. You can read more about this topic in parts 9 and 10 of our blog series.

9. „The works council has no right of co-determination on this issue.“

DON’T
As a rule, you do not involve the works council in the selection and establishment of an additional reporting channel. After all, there is no right of co-determination in this case, and you already have enough discussions with the works council. The issue is and remains a matter for the management and the compliance officer.

DO
It is probably correct, although not entirely uncontroversial, that the works council does not have to agree if, for example, an ombudsperson is to be commissioned as an additional reporting channel. The situation is different in the case of an electronic reporting system. Regardless of this, we recommend:

Get the works council on board! Agree on the prerequisites for initiating an internal investigation, the basic process, and the procedure for carrying it out with the works council and then regulate it in a company agreement.

With the help of this involvement, you will gain acceptance for the topic among the staff representatives, and they will become influential advocates. This support can also be helpful when it comes to sanctioning individual „black sheeps“. You can find more benefits and tips on how to do this in our blog part 9.

10. „All these compliance issues just cost a lot of money unnecessarily and hinder our sales.“

DON’T
You do not use financial and human resources for measures to implement the new requirements, guidelines, and laws. As an entrepreneur, you have better things to do, and such measures only reduce the success of your company in the end. So, you just go for it, it will be fine …

DO
Use financial and human resources for measures to implement the new requirements, guidelines, and laws! Have you heard the saying „You think compliance is expensive? Then try it without.“
Strong media criticism and court rulings with severe penalties have already shaken numerous companies to the core. Our current topic, the protection of whistleblowers and the establishment of a reporting system, are only two parts of a whole package of measures that corporate decision-makers should – and must – take in the compliance area if they want to avoid legal consequences in the form of personal liability or hefty fines.

Dear readers, this was the last part of our 11-part blog series on the topic of the EU Whistleblower Directive. Dr Buchert and I have spent many hours exchanging views and have compiled a colourful bouquet of practical tips for you from our many years of experience. Many tips are still unmentioned, we have refrained from telling a few anecdotes and we would prefer to share some punchlines with you in a personal conversation. We look forward to hearing from you!