Como estruturar o comitê que recebe as denúncias
Um canal de denúncia funciona por um motivo simples: quem escreve precisa acreditar que o relato chega a quem pode agir e não chega a quem está sendo denunciado. Essa crença não nasce do texto da política interna. Ela nasce do desenho de acesso, de quem consegue abrir a denúncia, de quem não consegue, e do registro do que cada pessoa fez depois de abrir. O que segue é como o comitê está estruturado no produto: os papéis, o alcance de cada um, a exclusão de um membro quando a denúncia é sobre ele, e o que fica registrado.
Papéis separados
A empresa tem cinco papéis: proprietário, administrador, membro do comitê, membro e visualizador. Eles são ordenados, e o membro do comitê fica entre o membro comum e o administrador.
A área de denúncias exige no mínimo o papel de membro do comitê. Membro e visualizador nunca chegam nela, e não porque a tela esteja escondida: o acesso é recusado no servidor. O convite de entrada também não deixa isso implícito. Ele descreve, em uma frase, o que o papel dá acesso, e para membro e para visualizador a frase diz que não há acesso ao conteúdo das denúncias.
A atribuição segue a mesma régua. Uma denúncia só pode ficar sob responsabilidade de proprietário, administrador ou membro do comitê. Uma tentativa de atribuí-la a um membro comum é recusada, ainda que aquele nome apareça em alguma lista.
Separar papéis não é burocracia de permissão. É o que permite convidar alguém para o painel da empresa sem entregar, no mesmo gesto, a caixa de entrada do canal de denúncias.
Quem vê o quê
O membro do comitê lê a denúncia, conversa com o denunciante pelo canal anônimo, muda o status e escreve anotações internas. As anotações internas são do comitê: elas nunca aparecem do lado de quem denunciou. Administrador e proprietário também alcançam as denúncias, além da gestão de membros e das configurações.
A trilha de auditoria fica acima disso. Ela é visível apenas para o proprietário e para administradores, e o membro do comitê é recusado ali. Vale reparar no efeito: quem lê as denúncias no dia a dia não é quem consulta o registro de quem leu o quê.
A trilha que a empresa vê é deliberadamente enxuta. Ela não traz endereço de IP nem identificação de navegador, e não traz campos de texto livre que alguém digitou, como o motivo de arquivamento, porque esse texto pode repetir o conteúdo da denúncia. Os campos exibidos são uma lista fechada de valores estruturados, como status, protocolo e papel. Um campo novo só aparece ali se essa decisão for tomada de propósito. A trilha responde quem fez o quê, não o que a denúncia dizia.
Exclusão de membro, e em que nível ela opera
O formulário público pergunta se a denúncia envolve membros do comitê e aceita nomes. Os nomes indicados valem só para aquela denúncia e, quando o formulário reconhece um membro cadastrado, a exclusão passa a valer para a conta dele, não apenas para o nome escrito.
Para o membro indicado, a denúncia deixa de existir na área de trabalho: sai da lista, sai da contagem do topo, e o acesso direto pelo protocolo responde que não existe. A exclusão vale já na busca da denúncia, e não é a tela que a esconde de uma lista que ainda a contém: aquela denúncia simplesmente não é entregue àquela pessoa, por caminho nenhum.
A exclusão vale para aquela denúncia, não para o comitê inteiro. Os outros membros continuam com acesso, a investigação segue, e o membro indicado continua tratando o resto da fila.
E aqui é preciso ser exato sobre o nível em que o mecanismo opera. O filtro é aplicado quando quem consulta é membro do comitê. Leituras feitas por proprietário ou por administrador não passam por ele. Ou seja: indicar dois nomes retira aquela denúncia do alcance dessas duas pessoas enquanto membros do comitê, e não do alcance de quem administra a conta. Quando a pessoa denunciada é justamente quem administra a conta, esse é o limite do mecanismo, e o que resta é o registro, que é o assunto da seção seguinte.
A trilha de auditoria
A trilha registra as ações do comitê sobre uma denúncia: consulta, mudança de status, definição de responsável, mensagem enviada ao denunciante, anotação interna criada e download de anexo. Registra também a vida da equipe, como convite enviado, papel alterado e membro removido.
O ponto menos óbvio é que a leitura também é registrada. Não apenas o que alguém mudou, mas o fato de ter aberto. E o registro distingue qual trecho foi consultado: a conversa com o denunciante, as anotações internas, ou o download de um anexo específico.
Cada evento responde quatro coisas: quem, quando, sobre qual registro e com quais detalhes. O nome que aparece é sempre de uma conta identificada.
O registro sobrevive à saída da pessoa. Se a conta é excluída, o nome deixa de estar ligado a ela, mas o evento permanece e a sequência do caso continua legível. Na tela, o histórico fica disponível por doze meses.
Por que isso sustenta o canal
Um comitê sem papéis separados é um comitê em que qualquer pessoa com acesso ao painel pode ler um relato de assédio. Um comitê sem registro é um comitê onde ninguém consegue mostrar depois quem abriu o quê, o que transforma a promessa de sigilo em confiança pessoal. Nos dois casos o resultado prático é o mesmo, e ele não aparece em relatório nenhum: as pessoas param de usar o canal, ou passam a usá-lo só para assuntos que não custam nada.
Um canal recebe a denúncia difícil quando o desenho pode ser conferido, e quando os limites desse desenho são ditos em voz alta em vez de arredondados. O diagrama das linhas de acesso do comitê, com os membros que ficam sem acesso a uma denúncia específica, está na página do canal de denúncias.