01Dringlichkeit danach beurteilen, was irreversibel werden kann
Das Dokument trennt die Schwere des berichteten Sachverhalts, den verfügbaren Kenntnisstand und die Folgen, die bereits vor einer abschließenden Bewertung eintreten können. Jede Intervention soll mit einem konkreten Risiko, einem Handlungszeitfenster und einem Zeitpunkt für die erneute Prüfung verknüpft werden.
02Prüfmöglichkeiten sichern, ohne sämtliche Zugriffe zu öffnen
Die Unterscheidung zwischen Sicherung, Erhebung, Einsichtnahme und Analyse hilft, Umfang, Berechtigungen und Zweck jeder Handlung festzulegen. So wird vermieden, dass aus einer technischen Vorsichtsmaßnahme eine allgemeine Datenerhebung oder ein undifferenziertes Zugriffsrecht auf Inhalte entsteht.
03Eine Übergabe organisieren, die Hypothesen offenhält
Bei der Übergabe sind eingegangene Informationen, getroffene Entscheidungen, deren Gründe und Grenzen sowie noch offene Fragen voneinander zu trennen. Diese Nachvollziehbarkeit ermöglicht es der übernehmenden Stelle, die erste Zusammenfassung zu korrigieren und Maßnahmen anzupassen, wenn sich Risiko oder Kenntnisstand verändern.
Vollständiger Überblick
Das Whitepaper untersucht die Entscheidungen, die in den ersten Tagen nach Eingang eines sensiblen Hinweises zu treffen sind: Aufnahme der Schilderung, Risikobewertung, Schutzmaßnahmen, Sicherung relevanter Informationen und Wahl des zuständigen Verfahrenswegs. Es unterscheidet zwischen der Schwere des berichteten Sachverhalts, der Dringlichkeit, dem verfügbaren Kenntnisstand und den möglichen Auswirkungen eines Eingreifens, damit jede Entscheidung auf einer eigenen Grundlage begründet werden kann. Zudem erläutert es die Unterschiede zwischen Sicherung, Erhebung, Einsichtnahme und Analyse sowie die Voraussetzungen für eine begrenzte Weitergabe von Informationen. Abschließend behandelt es die Überprüfung getroffener Maßnahmen und die Übergabe des Vorgangs, ohne die ursprüngliche Schilderung festzuschreiben. Französische und europäische Referenzen werden ihrem jeweiligen Anwendungsbereich zugeordnet.
Für wen?
Personalabteilungen, Verantwortliche für Compliance und Ethik, Unternehmensjuristinnen und Unternehmensjuristen, Verantwortliche für Hinweisgebersysteme, Risikomanagement, interne Untersuchungsstellen, Datenschutzbeauftragte, Geschäftsleitungen sowie IT-Verantwortliche, die mit der Sicherung von Daten befasst sind.
