规制告发行为的立法之目标在于将不法、失当行为纳入组织内的调查程序，通过监督、矫正不法、失当行为的手段来维护组织体最佳利益。那么，经由告发者内部告发即应有适格的受理机关予以积极调查或移送调查的义务方面的规定，并且，该机关随后产生的调查结果以及调查过程当有必要以适当的方式通知、传达给告发者。这样，既让告发者生发出在体制上受到尊重的现实感受，促使其保持持续监督、告发的激励，又能在一定程度上督促受理机关勤勉履职，力争把不法、失当行为所引发的风险最大限度地降低。于此，澳大利亚的维多利亚州制定的《告发者保护法》[Whistleblowers Protection Act 2001 (Vic)]在第5条至第8条详细规定了从受理机关的调查到调查进度、结果反馈给告发者等内容，新西兰2009年修订其《披露保护法》的一个重点也在于有针对性地专门强化告发的受理机关在指引、审查、调查层面的功能。
1．内部告发
从理论上说，一套有效的内部告发机制可以发挥如下功用：有助于组织进行风险管理；有助于对想从事不法情事的员工产生抑制作用；提供组织适当、有效处理严重不法情事的方法及其可能性；如果组织对不法情事有所知悉，可以采取必要的控制行为，即便是不法情事后被公开，组织也将处于较佳的位置面对不利情况。{63}与此同时，明确、公开的内部告发机制一经作为公司内部的一种常态工作机制，那么员工对于通过内部告发机制进行告发而不会因之受到损害便抱有信心，客观上就可以增进公司内部的上、下级之间的信赖感与和谐度。在实然面上，各国制定公益告发制度的缘起都与一系列内部告发案件带来的正面效果密不可分，以日本为例，2000年以来，三菱汽车隐瞒客户陈情、雪印食品公司及日本火腿公司的虚伪标识等违法、不当行为都经由内部告发而陆续被揭露与调查，内部告发遂逐渐被视为强化公司管制实效性不可或缺的方法。{64}
既然内部告发具有如此的优势，那么，公司应当考虑制定一套严密而行之有据的内部告发机制。其中的关键是确定公司中何者为有权机关来负责此事。Melvin A. Eisenberg教授基于信息不对称问题和管理层机会主义的问题的考虑，认为应由董事会在制定与执行公司的内部控制结构过程中起到重要作用。{65}鉴于内部告发机制附属于公司防弊性质的一种内部控制，理应同样交由董事会来主持建构与施行。不过，从具体实务而言，区分内部控制与具体控制也是非常重要的，不能期待董事会去设计与管理具体的控制，这也超出了董事会的能力和所得掌控的资源的范围。{66}这就意味着，公益告发机制的基本结构由董事会负责，而其中的具体细节则有必要交由处于公司管理实务前沿的经营管理者来完备起来。“高阶经营者的管理哲学和经营风格以及企业的组织文化，应是影响企业内部控制执行成效的重要因素”，{67}实证资料确实也显示，较之公司里的中层（middle-level manager）、低层管理者（first-level manager），高层管理者（upper - level manager）更有能力和意愿去积极告发各类不法行为，就有必要在公司内部发展并传递出清晰而又有针对性的政策与标准，并应考虑到关于向哪里告发信息的层级差异以及公司内部不同层级之间在告发的组织激励和对报复的保护方面的差异。{68}这实际上对公司如何结合组织结构、内部控制来建构一套功能健全、运转良好的内部告发系统提出了高层次、精细化的要求，从而尽可能在最大程度上发挥各类潜在的告发者的积极性，力争实现内部告发机制的应有机能。例如，由作为公司高层管理者的董事会中的审计委员会来落实公益告发机制的具体细节，既属于审计委员会本身的职责范围，又符合他们作为高层管理者所具备的告发心理和告发倾向，未尝不是可供选择的方案之一。
在内部告发机制的设置过程中，首当其冲面临的就是由谁来受理员工的内部告发的问题。美国《萨班斯法》第301条第4款即要求公众公司的审计委员会设置内部沟通机制以妥当、机密地将员工告发的不法、失当事项予以处理。鉴于内部告发的目的在于公司自净，依日本《公益告发者保护法》，应向公司负有防止告发事实发生或被害者进行告发，如接受劳务的公司代表人、对所告发的行为有事实上管理权限之人及对告发员工于业务上具有指挥监督权之人；另外，也包含由公司内部设立专司告发事务的法务部门、业务监督部门{69}—内部告发机制在设计时应能做到防范原管理系统的干预、打压，在原有一般管理体制外，通过专门的部门负责受理、调查告发事实。{70}英国《公益披露法》则要求在一般的管理架构之外建立内部告发机制，{71}并确保员工有两个以上的告发渠道。该法第43 C条第1款第1项以及该条第2款规定了受理告发的主体，即雇主、因雇主授权而具有管理权责的资深员工、员工向雇主预先指定的单位。同法第43 C条第1款第b项规定，当员工合理相信不法情事完全或主要是由第三人所致或者第三人对不法情事负有法律义务时，就应当向第三人告发。此外，该法第43 D条、第43 E条、第43 F条分别是法律顾问、政府首长{72}、国务大臣所指定的机关{73}等作为员工告发的受理机关之规定。
前文曾言及，与外部告发相比，内部告发意味着做出告发行为的员工受到法律保护的门槛偏低，亦即法律保护的要件相对宽松，这就是说，内部告发的界限采取的是法律标准，其与受理告发的部门或单位是否属于公司的组成部分并无必然联系。举例来说，上述这些受理的机关并非均为公司内部组织，甚至是对公司拥有管理权的上级单位，为什么要把员工向这些单位的告发归人内部告发的范畴呢？
在公司具备内部告发机制的情形下，员工依公司内部告发程序向雇主以外的内部人员进行告发时，视为对雇主的揭露，比如工会只有被公司明白列入内部告发的“窗口”时，员工向工会告发公司的不法、失当行为方能受到法律的保护。公司外部的其他组织、单位也不例外，如果公司的内部告发机制对此作出了独具匠心的安排，那无疑就意味着公司对员工的告发行为将因势利导，且就可能会带来的风险制定了严密的应对策略甚或进行了充分的事前管控。这样，公司之外的机关、单位作为受理公司员工告发的窗口与公司本身的组成部门作为受理窗口在风险控制方面并没有什么根本上的不同。另外一个优势可由日本学者对《公益告发者保护法》的解说来分析，该法规定的内部告发的受理单位除了“劳务提供对象”之外，还包括了由公司自行决定是否设立的“劳务提供对象所预定之受理者”，而此一渠道的告发相较于前者来说，应能使员工在告发时更加安心，且由公司所预定的受理者来进行调查与改正措施，二者间具有信赖关系，如母公司、法律顾问与公司关系良好的工会等。{74}综上，这是立足公司内部告发系统从宏观上能够得到的认识，在此之外，权且抛开公司构筑的内部告发机制这一背景，仍然存在一些细微入理的正当性根据—这从员工、受理机构等视角出发即可得说明。
虽然员工向公司或公司授权、指定的人、部门进行告发时，只要是基于善意且合理相信有不法、失当的事实就会受到法律保护，但是却仍然不免会因告发行为而使当事人之间的互信基础发生动摇；以政府首长、国务大臣所指定的机关作为受理单位为例，使员工能够向政府机关告发，则其较无需担心会有不良后果，也鼓励员工可以因未直接造成劳资关系的紧张而勇于告发不法。{75}况且，公司员工向监督机关为告发一般在动机上都比较单纯、简单，即便是不能完全排除告发者的私心、私欲，却至少可以肯定他们不会因之而获得财产上的积极利益，从而基于公共利益进行告发的几率会更大，即使事后证实员工告发的内容确非真实，但这一失真的告发并无合法渠道被散布到社会上，从而免除了公司商誉、业绩受损的顾虑—这自然也在很大程度上体现、回应了法律对告发者在主观上须为“善意”的要求。再者，政府机构与员工所在的公司不存在竞争关系，而且其就员工所举发的事实因负有保密义务，通常不会因知悉员工所告发的事实而将其利用来获取利益，故基于维护公共利益鼓励员工勇于告发不法以保障生命财产的安全为必要，不宜在法律保护要件上作太多限制。此外，主管机关对于公司的经营管理拥有监督、调查的权力，惟仍须仰赖社会大众提供有益信息才有办法履行其职务，{76}防范事故于未然，政府部门也更能够就告发内容所涉之事务有针对性地予以防治、查处，甚至采取补救或矫正措施；而由于监督机关对于所取得的信息负有保密义务，所以无论其对于员工告发的事实的调查结果如何，被告发的公司都不会因此而无辜遭受损失。{77}就此以言，虽然员工向公司之外的行政组织、机关为告发并不发生对公司告发的法律效果，但是这对于公司的正当经营与正常营运并不存在实质的威胁，反倒是一条带有自我纠正、改进希望的路径，那么，于此给予员工寻求法律保护的门槛不宜过高，借此使员工与公司之间形成良性且广泛的交流、沟通纽带。
2．外部告发
相对于内部告发，“外部告发并非是一个完全不同的行为，而是一个持有异议的过程之延续。”{78}无论是从设定告发体系的倾向性而言，还是从员工可得法律保护的门槛着眼，{79}进行内部告发无疑居于首选地位。只有当内部告发“失灵”，比如公司没有内部告发机制、没有将内部告发的办法以可得为一般员工通常情况下能够了解的方式公开、告发者遭遇阻力、告发者所在的公司试图掩盖不法行为或者消极对待甚或听之任之，告发者有合理理由认为内部告发的途径确不可行，{80}等等，{81}从而有可能继续探寻“匡扶正义”的路径，才公平合理地转至外部通告，问题是出现哪些情形就能够认定内部告发“失灵”了呢？欧洲议会在2009年建议：应该立法保护基于善意并利用内部途径的告发者免于任何形式的报复；即使内部渠道不存在、无法正常运作或无法预期能正常运作，外部告发（包括透过媒体）也应该被保护。{82}但是，由于外部告发已经处于公司可得控制的风险之外的区域，比如，在日本，外部告发的受理者“通常是指大众传播媒介、消费者保护团体、工会或是在地居民（或其组织）等”，{83}这些机构或人员一旦经由员工外部告发获知相关信息即可迅速生成极大的负面轰动效应—接收到员工告发信息的第三人并不负有“保密义务”，这对于公司利益可能会造成的损害就不可小觑。从而必须在立法上严格限定其可得适用的范围，厘定适用要件等内容，提高告发者因其外部告发行为而能够受到法律保护的门槛，如此以最终确立外部告发行为的合法性。
当然，作为告发的前提，仍然要求告发者在主观上善意地合理相信其所告发的内容大体上属实，在此基础上方可衡诸客观情况确定诉诸外部告发的必要性。然而，究竟何种具体客观情况可以归入外部告发的范围即是一个棘手的问题，而立法者通过法律规定来划定这个范围时，其出发点肯定在于内部告发渠道受阻以致告发者无从期待内部告发行为的实质意义，甚或循内部告发的程序所产生的后果将超出告发者可能承受的压力。承此逻辑，例如英国《公益披露法》第43G条第2款随之规定了三种情形，且唯有符合其中之一，员工才能合法地为外部告发：外部告发时，员工合理地相信为内部告发将可能遭受到雇主的迫害；就特定不法、失当行为，如不存在指定的监督机关，而员工合理相信采取内部告发则其所传递的资料、证据将会被隐瞒或销毁；员工此前已经就相同内容为内部告发却并未产生积极效果。由三种法定情形不难理解，雇主方面的原因所导致的内部告发渠道不畅通是构成告发者转而进行外部告发行为的正当性之根源。
