Whistleblowerordning: hvorfor en død postkasse er værre end ingen ordning

Du har en whistleblowerordning. Den står på intranettet, et sted mellem kantinemenuen og retningslinjerne for firmabiler. Der er en e-mailadresse — måske endda en ekstern portal. HR oprettede den i 2023 fordi loven krævede det. Siden da er der kommet nul indberetninger.

Og du tænker: fint. Ingen problemer.

Det er den forkerte konklusion. Nul indberetninger i en virksomhed med halvtreds eller hundrede ansatte over en toårig periode betyder ikke at der ikke er noget at indberette. Det betyder at ingen stoler på ordningen. Eller at ingen kender den. Eller at folk har prøvet at finde den og givet op, fordi portalen kræver tre logins og en skriftlig redegørelse i et format der minder om en politianmeldelse. Resultatet er det samme: de oplysninger der skulle nå frem til ledelsen ad en kontrolleret kanal, finder i stedet vej til fagforeningen, pressen eller Datatilsynet — eller de forbliver hos den medarbejder der til sidst siger op i stilhed.

En whistleblowerordning der ikke fungerer, er ikke bare spild af penge. Den er aktivt skadelig, fordi den giver ledelsen en falsk tryghed om at alt er i orden.

Lovkravet: hvem skal have en ordning, og hvad skal den kunne

Whistleblowerloven trådte i kraft i december 2021 og implementerer et EU-direktiv. Den pålægger arbejdsgivere med femoghalvtreds eller flere ansatte at etablere en intern whistleblowerordning. Grænsen opgøres som et gennemsnit, og den omfatter alle ansatte — også deltid og midlertidigt ansatte.

Driver du en virksomhed under den grænse, er du som udgangspunkt ikke forpligtet. Men også mindre virksomheder i bestemte sektorer — finansiel regulering, hvidvasklovgivning — kan være omfattet af krav om indberetningskanaler i kraft af sektorspecifikke regler. Grænsen på femoghalvtreds er altså en hovedregel, ikke et universelt fritagelseskort.

Loven stiller krav til ordningen på flere niveauer. For det første skal der være en kanal — et konkret system hvor indberetninger kan modtages. For det andet skal der være en procedure for håndtering af indberetningerne: modtagelse, vurdering, undersøgelse, tilbagemelding. For det tredje skal der være en eller flere upartiske personer der er ansvarlige for at behandle indberetningerne. Og for det fjerde skal whistlebloweren beskyttes mod repressalier. Den beskyttelse er ikke blot en hensigtserklæring — den er lovfæstet med omvendt bevisbyrde. Bliver en medarbejder opsagt eller degraderet efter en indberetning, er det arbejdsgiveren der skal bevise at det ikke var repressalier.

Det er den samlede pakke loven kræver. Og det er her de fleste ordninger falder fra hinanden — ikke på kanalen, men på alt det der skal ske bagefter.

Den døde postkasse: anatomi af en ordning der ikke virker

Jeg ser det samme mønster igen og igen. Virksomheden har oprettet en e-mailadresse — typisk noget i retning af whistleblower@virksomheden.dk — eller købt adgang til en ekstern portal. Der er skrevet en politik på tre sider, godkendt af direktionen, lagt på intranettet. Og så er projektet lukket.

Problemet er at ingen af de ting i sig selv udgør en fungerende ordning. En e-mailadresse er en kanal. Den er ikke en procedure. Og forskellen er afgørende.

Hvem læser de mails der kommer ind? Hvad sker der med dem? Inden for hvilken frist får indberetteren svar? Hvem beslutter om sagen skal undersøges, og hvem gennemfører undersøgelsen? Hvad hvis indberetningen handler om den person der er udpeget til at modtage indberetninger? Hvad hvis indberetningen er anonym — kan du overhovedet give tilbagemelding?

En ordning uden svar på de spørgsmål er en kulisse. Den opfylder muligvis lovens bogstav i den forstand at der teknisk set eksisterer en kanal. Men den opfylder ikke lovens krav om en reel behandlingsprocedure. Og vigtigere endnu: den løser ikke det forretningsmæssige problem, som er hele grunden til at ordningen eksisterer.

Det forretningsmæssige problem er informationsasymmetri. Din medarbejder ved noget du ikke ved. Noget om svindel, lovovertrædelser, sikkerhedsbrud, chikane — forhold der kan skade virksomheden alvorligt hvis de ikke håndteres. Whistleblowerordningen er den kanal der skal lukke det informationsgab. En kanal ingen bruger, lukker ingenting.

Hvad ordningen skal kunne i praksis

En funktionsdygtig ordning har fire elementer der alle skal være på plads.

En tilgængelig kanal. Det lyder banalt, men tilgængelighed handler om mere end at linket virker. Kanalen skal kunne bruges af alle ansatte — også dem der ikke sidder ved en computer hele dagen, og også dem der ikke taler flydende dansk. Den skal kunne håndtere anonyme indberetninger, fordi mange potentielle whistleblowere simpelthen ikke indberetter hvis de skal opgive deres navn. Loven kræver ikke at du tilbyder anonym indberetning, men i praksis er det den faktor der afgør om ordningen genererer reelle indberetninger eller samler støv.

Eksterne portaler løser en del af tilgængelighedsproblemet. De er typisk web-baserede, krypterede og tilgængelige fra private enheder. Prismæssigt taler vi om beløb i størrelsesordenen nogle hundrede til nogle tusinde kroner om måneden, afhængigt af leverandør og virksomhedens størrelse. Det er ikke en stor investering sammenlignet med den risiko ordningen skal afdække.

En udpeget og upartisk modtager. Loven kræver at en eller flere upartiske personer er ansvarlige for at modtage og følge op på indberetninger. Det kan være en intern funktion — typisk en compliance-ansvarlig, en jurist eller en HR-chef — eller det kan outsources til en ekstern part.

Den interne løsning er billigere, men den har en strukturel svaghed: upartiskhed er svær at opretholde når modtageren er en del af den organisation indberetningen handler om. Hvis din HR-chef modtager en indberetning om direktørens adfærd, har du et habilitetsproblem der ikke løses af god vilje alene. En ekstern whistleblowerenhed fjerner den udfordring, men koster mere og skaber afstand til den organisation der skal handle på resultaterne.

Mit pragmatiske bud er en kombinationsmodel: en ekstern kanal til modtagelse og indledende vurdering, med eskalering til en intern ansvarlig — eller direkte til bestyrelsen — for undersøgelse og beslutning. Det giver upartiskhed i modtagelsen og handlekraft i opfølgningen.

En dokumenteret procedure. Loven kræver at indberetteren modtager en bekræftelse inden for syv dage og en tilbagemelding om sagens forløb inden for tre måneder. De frister er ikke vejledende. De er lovkrav. Og de kræver at du har en procedure der sikrer at frister overholdes, også når den ansvarlige er på ferie, sygemeldt eller fratrådt.

Proceduren skal desuden adressere: hvornår en indberetning falder inden for ordningens anvendelsesområde, hvornår den falder udenfor, og hvad der sker i begge tilfælde. Ordningen dækker indberetninger om alvorlige overtrædelser af lovgivningen og øvrige alvorlige forhold — den er ikke en klagekanal for utilfredshed med frokosten eller uenighed om ferieplanlægning. Den afgrænsning skal være tydelig i jeres procedure, og den person der foretager vurderingen skal have mandat og kompetence til at trække den grænse.

Reel beskyttelse mod repressalier. Her taler vi om den bestemmelse der har mest bid. Whistleblowerloven forbyder enhver form for repressalier mod en person der har foretaget en indberetning i god tro. Repressalier omfatter ikke kun opsigelse, men også degradering, forskelsbehandling, chikane, nægtelse af forfremmelse og enhver anden negativ behandling der er en reaktion på indberetningen.

Bevisbyrden er omvendt. Bliver en whistleblower behandlet negativt efter en indberetning, er det arbejdsgiveren der skal bevise at behandlingen ikke var en konsekvens af indberetningen. Det er en høj standard. Og den betyder i praksis at du skal dokumentere grundigt, hvis du foretager ledelsesmæssige dispositioner over for en medarbejder der har indberettet.

Repressaliebeskyttelsen er ikke bare et juridisk krav. Den er den tillid ordningen står og falder med. Ét eksempel på repressalier — én kollega der bliver fyret efter at have brugt ordningen — og du kan lukke kanalen. Ingen bruger den igen.

Den risiko ledelsen undervurderer

Der er to risikoscenarier du skal have med i din vurdering.

Det første er tilsynsmæssigt. Datatilsynet er udpeget som tilsynsmyndighed for whistleblowerordningerne. De kan udstede påbud og — i grove tilfælde — bøder. En virksomhed der slet ikke har etableret en ordning trods lovkravet, eller som har en ordning der ikke lever op til lovens krav om procedure og beskyttelse, er eksponeret. Tilsynsaktiviteten har så vidt jeg ved været begrænset i de første år, men den kan intensiveres — og en henvendelse fra en frustreret whistleblower der ikke fik svar, er en oplagt udløser.

Det andet scenarie er det forretningsmæssige. En medarbejder der ikke kan indberette internt, kan indberette eksternt — til den nationale whistleblowerenhed under Datatilsynet, til relevante sektortilsyn, eller til offentligheden. Den eksterne indberetning mister du kontrollen over. Du får ikke mulighed for at undersøge forholdet diskret, afhjælpe problemet eller begrænse skaden. Du læser om det i pressen eller modtager det som et tilsynspåbud. Den forskel — mellem intern håndtering og ekstern eksponering — er hele argumentet for at ordningen skal fungere, ikke bare eksistere.

Den politiske dimension: kommunikation til medarbejderne

Selv den bedst designede ordning er værdiløs hvis medarbejderne ikke kender den, ikke forstår den, eller ikke tror på den. Og det er her de fleste virksomheder taber.

Information om whistleblowerordningen hører hjemme i onboarding-materialet, i personalehåndbogen, og i en årlig påmindelse der ikke bare er en e-mail fra HR med et link. Medarbejderne skal vide tre ting: at ordningen eksisterer, hvad den kan bruges til, og at de er beskyttet mod repressalier hvis de bruger den i god tro.

Den tredje ting er den sværeste at kommunikere troværdigt. Du kan skrive det i politikken. Du kan sige det til et personalemøde. Men tilliden opstår først når organisationen demonstrerer den — ved at tage indberetninger alvorligt, ved at overholde frister, ved at lade være med at straffe budbringeren. Det er kulturarbejde, ikke jura. Men det er det kulturarbejde der afgør om din investering i kanalen giver afkast.

Hvad du konkret skal gøre nu

Har du en ordning, så test den. Send en prøveindberetning igennem kanalen og se hvad der sker. Får du en bekræftelse inden for syv dage? Ved den ansvarlige person hvad næste skridt er? Er der en procedure der beskriver forløbet fra modtagelse til afslutning? Hvis svaret på bare ét af de spørgsmål er nej, har du en kulisse, ikke en ordning.

Har du ikke en ordning, og har du femoghalvtreds ansatte eller derover, er du i gang med at samle en compliance-risiko der vokser for hver måned. Etablering af en basal ordning med ekstern portal, en simpel procedure og udpegning af en ansvarlig er ikke et halvårsprojekt. Det er et par ugers fokuseret arbejde og en løbende driftsomkostning der er beskeden.

Det vigtigste er ikke om du vælger en intern eller ekstern løsning, en dyr portal eller en simpel kanal. Det vigtigste er at den ordning du etablerer, faktisk kan modtage, behandle og beskytte. En ordning der kan det, er et ledelsesværktøj. En ordning der ikke kan det, er et ansvarsproblem med sit eget logo.