2019년 EU의 이사회는 내부고발자 보호 지침을 채택했다. 내부고발자에 대한 보호를 강화하고 제보절차를 더 안전하게 하는 것을 목표로 제정된 이 지침은 비록 법률은 아니지만 EU의 각 회원국들에게 관련 국내법을 마련하도록 직접적으로 영향을 미치고 있으며 회원국들은 점차 관련 법을 마련하고 있다. 또한 EU의 지침은 공공 및 민간부분을 모두 포괄하며 잠재적 내부고발자들을 광범위하게 다루고 있어 기업들에 강력하고 공통적인 세계 표준을 제공하고 있다. 해당 지침은 기업들이 최소한으로 충족해야 할 기본적인 사항을 제시하고 있는데 NAVEX의 보고서에 이러한 EU의 요구사항이 요약정리되어 있다.

이번 행동하는 윤리경영에서는 이를 기준으로 2022년 국제투명성기구에서 발간한 ‘내부고발 시스템(Internal Whistleblowing System)’ 보고서를 참고하여 국내 기업 및 담당자가 내부고발자 보호 및 지원 조치를 마련 하거나 운영할 때 기본적인 최소 사항을 고려하고 점검해 볼 수 있도록 체크리스트와 내부고발자 보호의 주요사항을 살펴보고 내부고발자보호제도 구축을 통한 내부고발제도의 효과적인 운영을 돕고자 한다

글로벌 경영자문기업인 NAVEX는 EU의 내부고발자 보호 지침에서 요구하는 최소 의무사항을 바탕으로 기업이 해당 사항에 대한 준수 여부를 점검할 수 있는 체크리스트를 제시한다. 국내 기업들도 다음의 체크리스트를 이용하여 사내 내부고발자 보호 제도가 제대로 마련되어 있는지, 원활하게 운영되고 있는지 여부를 점검할 수 있다.

<EU 내부고발자 보호 지침의 의무 체크리스트>

[출처: WhistleB, A checklist(2019)]

신원보호

신원보호의 대상자는 넓게는 내부고발채널을 통해 보고한 당사자 뿐만 아니라 업무활동 중 획득한 위법사실 등의 정보를 보고한 모든 사람까지 포함할 수 있다.

• 기밀유지: 보고받은 담당자나 후속조치 관리자, 기업은 기밀유지의무를 준수해야 한다. 보고를 받거나 후속조치 실행 권한이 있는 자 외에는 내부고발자의 명시적 동의 없이 내부고발자의 신원을 직간접적으로 추론할 수 있는 정보가 공개되어서는 안된다. 기업은 내부고발자와 보고서에 언급된 제3자의 신원 또한 기밀로 유지하고 해당 정보에 권한이 없는 사람의 엑세스를 제한해야 한다. 내부고발자의 신원은 법적으로 의무가 있는 경우만 공개 가능하며, 잠재적 내부고발자에게 예외에 대해 명확한 정보를 제공해야 한다.
• 익명신고: 기업은 익명 신고를 허용하고 익명의 내부고발자를 보호해야 한다. 익명 신고가 가능한 내부고발 채널이 하나 이상은 구축되어야 하며, 온라인 플랫폼 등 안전한 채널을 통해 익명의 내부고발자와 담당자 간 상호 소통이 가능해야 한다. 만약 기업의 규모가 매우 작거나 담당자가 익명의 보호대상자를 알 수 없는 경우, 미리 잠재적 내부고발자에게 익명성이나 보호를 보장할 수 없음을 알려야 한다. 보고된 사실과 정보는 후속조치 여부와는 상관없이 내·외부에 비공개로 유지하여 익명의 내부고발자를 보호해야 한다

응답시간

EU 의 지침에 따르면 신고가 접수된 후 7일 이내에 내부고발자에게 보고사항을 수신했음을 알려야 한다. 이는 내부고발자에 대한 존중을 나타내는 지표로도 여겨진다.

후속조치 / 커뮤니케이션 / 제3자 관리 / 보고서 기록보관

EU의 지침과 NAVEX의 보고서는 담당자, 담당부서는 제보에 대한 후속조치를 3개월 이내에 진행하고 조사 및 처리 절차, 의사결정 절차 등의 정보를 내부고발자에게 피드백형식으로 전달할 것을 권장한다. 또한 내부고발자 보호제도에 대한 정보 및 관련하여 위반사항을 신고할 수 있는 기관과 조건, 절차에 대한 정보, 내부고발자 보호제도 위반사항인 ‘보복’등의 행위에 대한 정보가 직원과 제3자에게 제공되어야 한다. 또한 접수된 모든 보고서들은 감사를 위해 기밀을 유지하여 보관되어야 하는데 이때 필요 이상으로 긴 기간 저장해서는 안된다

국제투명성기구의 보고서에 따르면 기업은 내부고발자와 보호받는 제3자에 대한 작위 또는 부작위를 비롯하여 모든 형태의 보복행위와 내부고발 방해 행위를 금지해야 하며, 행동강령 및 윤리강령으로 명확히 금지할 수 있다. 보복행위의 정의는 다음과 같이 광범위하게 규정하고 예시를 제공해야 한다.

<보복 행위의 정의 예시>

[출처: TI, Internal Whistleblowing Systems(2022)]

보복 방지

기업 및 담당자는 보복을 방지하고 관련자들이 보복행위를 자제하도록 다음과 같은 조치를 취할 수 있다.

<보복행위 방지 조치>

[출처: TI, Internal Whistleblowing Systems(2022)]

보복 행위, 내부고발 방해 및 기밀유지 위반 해결

보복행위나 내부고발방해 행위 또는 기밀유지 위반이 접수되면 기업 및 담당자는 그에 대한 (1)후속조치, (2)가해자 제재, (3)가해행위의 영향을 받는 내부고발자 및 기타 보호대상자에 대한 보상 절차를 통해 문제를 해결해야 한다. 보복행위 등 문제 행위들의 제보자가 피해입은 사실이 확인되면 입증책임은 가해자로 의심되는 사람에게 있다. 후속조치로는 가해행위 중지, 피해자 보호, 손실 구제가 이루어져야 하며 이때 손실 구제는 모든 손실(간접 손실, 미래 손실, 재정적, 비재무적 손실 포함)에 대하여 피해자가 피해를 당하기 전의 상태로 회복할 수 있도록 한다. 그 예로는 블랙리스트 및 관련 모든 기록 삭제, 금전적 보상, 복직, 계약 복원, 사과 등이 있다.

위반자 등 처벌

보복행위, 내부고발방해 행위, 기밀유지 위반 행위가 확인되면 해당 행위를 한 자에게 효과적이고 비례적이며 억제력 있는 처벌을 내려야 한다. 위반행위를 한 자를 문책할 때에는 해당 행위를 한 자의 신분, 행위의 수준 등을 고려해야 한다. 처벌은 잠재적 위반행위를 방지할 수 있도록 일관적, 공개적으로 적용되어야 한다.

<위반자 등 처벌 시 고려사항>

[출처: TI, Internal Whistleblowing Systems(2022)]

• 데이터에 대한 데이터. 동영상, 소리, 문서 등과 같이 실제로 존재하거나 사용할 수 있는 데이터는 아니지만 실제 데이터와 직접적 또는 간접적으로 연관된 정보를 제공해 다른 데이터에 대해 설명해 주는 데이터를 말한다.
• GDPR(General Data Protection Regulation): 2018년 5월 25일부터 시행된 EU(유럽연합)의 개인정보보호 법령으로 EU내 사업장이 없어도 EU를 대상으로 사업을 하는 경우 적용대상이 될 수 있다.