Hvilke virksomheder skal have en whistleblowerordning?

Hvad whistleblowerloven kræver

Lov om beskyttelse af whistleblowere, i daglig tale whistleblowerloven, trådte i kraft den 17. december 2021 og gennemfører EU's whistleblowerdirektiv i dansk ret. Loven forpligter en bred kreds af organisationer til at etablere en sikker intern whistleblowerordning, så medarbejdere og andre kan foretage intern indberetning om ulovligheder og alvorlige forhold uden frygt for repressalier. Datatilsynet fører tilsyn med, at reglerne overholdes.

Hvilke virksomheder er omfattet

Pligten til at oprette en intern whistleblowerordning gælder for:

• Private virksomheder med 50 eller flere ansatte. Under denne tærskel er de fleste private arbejdsgivere ikke forpligtet til at oprette en ordning, men kan vælge at gøre det frivilligt.
• Offentlige myndigheder og arbejdspladser, som er omfattet uanset antallet af ansatte.
• Virksomheder i visse regulerede sektorer, eksempelvis finansielle virksomheder, der kan være omfattet af særlige krav uanset 50-grænsen.

Sådan tælles medarbejdertærsklen

De 50 ansatte vurderes som udgangspunkt pr. juridisk enhed. I koncerner bør hvert selskab vurderes for sig, da pligten kan udløses på datterselskabsniveau. Virksomheder, der svinger omkring tærsklen, bør følge antallet af ansatte løbende fremfor at læne sig op ad et enkelt øjebliksbillede, da overskridelsen af 50 ansatte udløser forpligtelsen.

Hvad ordningen skal kunne

En intern whistleblowerordning er ikke blot en postkasse. Den skal være indrettet, så medarbejdere kan foretage intern indberetning trygt og sikkert, og så indberetningerne håndteres af en upartisk og uafhængig sagsbehandler. Ordningen skal kunne modtage både skriftlige og mundtlige indberetninger og give mulighed for anonym indberetning, så ingen afholder sig fra at sige fra af frygt for at blive afsløret. Ud over den interne kanal har whistleblowere efter loven også mulighed for at indberette til en ekstern myndighed, men en velfungerende intern ordning er ofte den hurtigste vej til at få rettet op på forholdene internt.

Centrale forpligtelser og frister

Det er ikke nok blot at have en kanal. Når en indberetning er modtaget, skal virksomheden:

1. Bekræfte modtagelsen over for whistlebloweren inden 7 dage.
2. Give feedback om opfølgningen inden 3 måneder.

Hertil kommer pligten til at sikre fortrolighed om whistleblowerens identitet, gøre det muligt at indberette anonymt, beskytte indberetteren mod repressalier og opbevare indberetninger forsvarligt. Fortroligheden gælder også over for kolleger og ledelse, og kun den eller de personer, der er autoriseret til at behandle sagen, må kende whistleblowerens identitet. Beskyttelsen mod repressalier dækker bredt og omfatter blandt andet afskedigelse, degradering, udeblevet forfremmelse og andre former for ufordelagtig behandling, der har baggrund i indberetningen.

Risici og sanktioner ved manglende overholdelse

At undlade at etablere en lovlig ordning er ikke uden konsekvenser. Manglende overholdelse kan medføre bøde efter whistleblowerloven, ansvar for repressalier mod indberetteren samt påbud fra tilsynet. Ud over de formelle sanktioner risikerer virksomheden et betydeligt omdømmetab og juridisk eksponering, hvis kritisable forhold i stedet kommer frem via eksterne kanaler eller pressen, fordi der ikke fandtes en tryg intern vej.

Dedikerede platforme som TrueSpeak hjælper virksomheder med at opfylde kravene gennem sikre arbejdsgange, der holder styr på fristerne. Uanset hvilken løsning man vælger, er budskabet klart: opfylder din virksomhed tærsklen, er en lovlig whistleblowerordning et lovkrav og ikke en valgfri ekstraydelse.