Ashio whistleblowing software

Compliance-ohjelmiston vaatimukset: mitä laki ja käytäntö edellyttävät

Säädösten noudattamisen analyytikko vie auditointilokin ulos

Compliance-ohjelmiston on tuotettava auditoitavaa, muuttumattomaksi merkittyä näyttöä kaikesta toiminnasta, ei vain tallennettava tapauksia. Sen on hallittava vastuita, työnkulkuja ja määräaikoja niin, että tietosuoja ja ilmoittajansuoja säilyvät jokaisessa vaiheessa. Loput artikkelista käy läpi, mitä lainsäädäntö, tekniset ominaisuudet, valintaprosessi ja käyttöönotto tältä vaativat käytännössä.

Lyhyesti:

  • Compliance-ohjelmiston on tuotettava muuttumaton, auditoitava loki kaikesta toiminnasta, ei vain tallennettava tapauksia.
  • Ohjelmiston tulee tukea GDPR:n, ilmoittajansuojadirektiivin ja kansainvälisten standardien vaatimuksia käytännössä, ei vain teoreettisesti.
  • Hyvä compliance-ohjelmisto sisältää muuttumattoman audit trailin, roolipohjaisen pääsynhallinnan ja valmiudet dokumentaation tuotantoon viranomaisille.
  • Valinta kannattaa aloittaa kartoituksesta, ei tuotevertailusta, ja testata toimittajan kyky tuottaa lopullinen auditointidokumentaatio helposti.
  • Järkevä käyttöönottostrategia on vaiheittainen, aloittaen yhdestä lakisääteisestä käyttötapauksesta ja laajentaen organisaation tarpeiden mukaan.
Ashio
Hallitse ilmoitukset turvallisesti
Ashio tarjoaa yrityksille turvallisen ja anonyymin kanavan väärinkäytösepäilyjen ilmoittamiseen sekä ilmoitusten seurantaan ja hallintaan.
Tutustu Ashioon

Sisällysluettelo

Mitkä lait ja standardit ohjaavat compliance-ohjelmiston vaatimuksia?

Ohjelmiston vaatimukset eivät syntyneet tyhjästä. Ne juontuvat kolmesta lähteestä: tietosuojalainsäädännöstä, ilmoittajansuojasääntelystä ja kansainvälisistä johtamisstandardeista. Kun ymmärtää, mitä kukin näistä edellyttää, ymmärtää myös miksi tietyt ominaisuudet ovat pakollisia eivätkä vain mukavia lisiä.

GDPR asettaa selkeät reunaehdot henkilötietojen käsittelylle vaatimustenmukaisuusprosesseissa. Käsittelyn on perustuttava laillisuusperusteeseen, tietoja saa säilyttää vain niin pitkään kuin käsittelyn tarkoitus edellyttää, ja rekisteröidyllä on oikeus saada tietonsa, oikaista niitä tai vaatia poistoa tietyin poikkeuksin. Compliance-ohjelmiston on tuettava näitä oikeuksia teknisesti, ei vain sopimustekstissä. Viqtorin kokoamat kriteerit GDPR-yhteensopivan ohjelmiston valintaan nostavat esiin nimenomaan käytettävyyden ja tietoturvan yhdistelmän: järjestelmä, joka on tekninen mestariteos mutta jota kukaan ei osaa käyttää oikein, ei täytä tarkoitustaan.

Toinen keskeinen säädös on EU:n ilmoittajansuojadirektiivi (2019/1937). Se ei ole vapaaehtoinen suositus, vaan sen kansalliset täytäntöönpanolait velvoittavat yli 50 työntekijän organisaatiot perustamaan sisäisen ilmoituskanavan. Kanavalta vaaditaan kolme asiaa, joita mikä tahansa sähköpostilaatikko ei täytä:

  • ilmoittajan identiteetin suojaaminen niin, että sitä ei paljasteta ilman nimenomaista suostumusta
  • kuittaus ilmoituksen vastaanottamisesta seitsemän päivän kuluessa ja palaute kolmen kuukauden sisällä
  • dokumentoitu käsittelyprosessi, joka osoittaa kuka käsitteli ilmoituksen, milloin ja millä perusteella

Näiden vaatimusten yksityiskohdat organisaation omalta kannalta kannattaa tarkistaa ilmoittajansuojelulakia käsittelevästä oppaasta, sillä kansallinen täytäntöönpano vaihtelee jäsenvaltioittain.

Standardien puolella ISO 27001 määrittää tietoturvan hallintajärjestelmän vaatimukset, ja ISO 37002:2021 antaa kehyksen nimenomaan whistleblowing-järjestelmien rakentamiseen: riskiperusteisuus, luottamuksellisuus ja jatkuva parantaminen. Toimialakohtainen sääntely tiukentaa vaatimuksia entisestään. Kyberturvallisuusasetus CRA edellyttää, että ohjelmistotuotteiden vaatimukset ovat jäljitettävissä testaukseen ja komponenttiluetteloihin (SBOM), ja Visure Solutionsin kuvaus CRA-vaatimustenmukaisuudesta osoittaa, miten tämä jäljitettävyysvaatimus valuu suoraan vaatimustenhallintatyökalujen ominaisuuslistalle. Samaan aikaan uudet EU-säädökset kuten EUDR, PPWR, CSRD ja CSDDD laajentavat vaatimuksia tiedon alkuperän ja vastuuketjujen näkyvyyteen. Lanttu huomauttaa, että näiden säädösten yhteinen nimittäjä on automaation tarve: manuaalisesti ylläpidetty Excel-taulukko ei enää riitä, kun jäljitettävyysvaatimukset koskevat kokonaisia toimitusketjuja.

Viranomaisohjeet menevät yhtä pitkälle myös todistusaineiston osalta. Yhdysvaltain oikeusministeriön ohjeistus yritysten compliance-ohjelmien arvioinnista painottaa, että ohjelman tehokkuutta arvioidaan sen tuottaman dokumentaation perusteella, ei sen periaatteiden kauneuden perusteella. Samaa linjaa noudattaa Ison-Britannian oikeusministeriön ohjeistus Bribery Act -lain soveltamisesta, joka edellyttää suhteutettua mutta dokumentoitua kontrollirakennetta. Suomalaiselle organisaatiolle viesti on selvä: säilytysajat ja lokitietojen eheys eivät ole tekninen yksityiskohta, vaan se, mihin koko auditoinnin läpäisy nojaa.

Mitä teknisiä ominaisuuksia hyvä compliance-ohjelmisto tarjoaa?

Lainsäädäntö kertoo, mitä on saavutettava. Ohjelmiston ominaisuudet kertovat, miten se käytännössä tehdään. Kun näitä kahta ei yhdistä oikein, syntyy tilanne, jossa yritys uskoo olevansa vaatimustenmukainen, mutta ei pysty todistamaan sitä auditoinnissa.

Audit trail on ehkä koko ohjelmiston kriittisin ominaisuus. Kunnollinen lokitus tallentaa jokaisen tapahtuman: kuka avasi ilmoituksen, milloin status muuttui, kuka lisäsi kommentin ja mitä liitteitä lisättiin. Lokien on oltava muuttumattomia, aikaleimattuja ja vietävissä ulos raporttimuodossa auditointia varten. Jos lokia voi muokata jälkikäteen ilman merkintää muutoksesta, se ei ole audit trail vaan tavallinen tietokanta.

Ominaisuuksia kannattaa arvioida seuraavassa järjestyksessä, koska ne rakentuvat toistensa päälle:

  1. Roolipohjainen pääsynhallinta rajaa, kuka näkee mitä tietoa. HR ei tarvitse näkyvyyttä kaikkiin talousrikosepäilyihin, ja päinvastoin.
  2. Hyväksyntätyönkulut ja versiohistoria varmistavat, että jokainen päätös on jäljitettävissä tekijäänsä ja perusteluunsa.
  3. Compliance-kalenteri ja määräaikavalvonta hälyttävät ennen kuin lakisääteinen määräaika (esimerkiksi seitsemän päivän kuittausvelvollisuus) umpeutuu.
  4. Anonyymi ilmoituskanava poistaa IP-osoitteiden, evästeiden ja fingerprint-tunnisteiden keräämisen, jotta ilmoittajan identiteettiä ei voi jäljittää teknisesti.
  5. Seurantalinkki ilmoittajalle antaa mahdollisuuden tarkistaa käsittelyn tila reaaliajassa ilman, että kanava paljastaa kuka hän on.
  6. Integraatiot HR-järjestelmiin, sähköpostiin tai dokumentaationhallintaan vähentävät manuaalista kopiointia, joka on yleisin virhelähde auditointidatassa.

Raportointiominaisuudet ansaitsevat oman huomionsa. Hyvä järjestelmä tuottaa valmiin yhteenvedon ilmoitusten määrästä, käsittelyajoista ja kategorioista, koska johto ja hallitus kysyvät näitä lukuja säännöllisesti, eikä vastausta pitäisi joutua kokoamaan käsin joka kerta.

Ammattilaisen vinkki: Kun testaat ohjelmistoa, pyydä toimittajaa viemään ulos yhden kuvitteellisen tapauksen koko audit trail PDF-muodossa. Jos tämä vie enemmän kuin muutaman minuutin tai vaatii tukipyynnön, järjestelmä ei ole aidosti auditointivalmis.

Tietoturva on viimeinen, mutta ei vähäisin vaatimuskategoria. Salauksen on katettava data lepotilassa ja siirron aikana. Hostingympäristön sijainnilla on väliä: EU:n tai ETA-alueen sisäinen hosting yksinkertaistaa GDPR-vastuita huomattavasti verrattuna kolmansiin maihin, ja sveitsiläinen hosting täyttää tässä usein tiukemmatkin tietosuojaodotukset. Säännölliset ulkopuoliset tietoturva-auditoinnit ja ISO 27001 mukainen hallintajärjestelmä ovat vähimmäisvaatimus, ei kilpailuetu. Saksankielisen alan markkinakatsauksen mukaan juuri integraatiokyky ja paikallisen tuen saatavuus erottavat toisistaan ohjelmistot, jotka jäävät teoriaan, ja ohjelmistot, joita organisaatio tosiasiassa käyttää arjessa.

Miten valita organisaatiolle sopiva compliance-ohjelmisto?

Valinta kannattaa aloittaa kartoituksesta, ei tuotevertailusta. Listaa ensin, mitkä säädökset koskevat organisaatiota: ilmoittajansuojalaki, GDPR, toimialakohtainen sääntely kuten CRA, tai kaikki yhdessä. Priorisoi sen jälkeen, mitkä riskit ovat suurimmat, esimerkiksi jos organisaatio toimii useissa maissa ja tarvitsee monikielisen ilmoituskanavan. Vasta tämän jälkeen kannattaa pyytää toimittajilta pilotti tai koekäyttöjakso, jossa testataan oikeaa käyttötapausta, ei demoympäristön esimerkkidataa.

Toimittajalle kannattaa esittää suoria kysymyksiä, joiden vastaukset paljastavat enemmän kuin myyntimateriaali:

  • Miten audit trail toimii teknisesti, ja voiko sitä muokata jälkikäteen millään käyttäjätasolla?
  • Kuka omistaa datan sopimuksen päättyessä, ja missä muodossa se voidaan siirtää pois?
  • Mitä valmiita integraatioita on olemassa HR- ja dokumentaationhallintajärjestelmiin?
  • Missä data isännöidään, ja mikä on päivitysten ja tietoturvakorjausten julkaisurytmi?
  • Millaista näyttöä järjestelmä tuottaa, jos viranomainen pyytää dokumentaatiota kolmen vuoden takaa?

Hinnoittelumallit vaihtelevat käyttäjämäärään, tapausmäärään tai ominaisuuspaketteihin perustuvista tilausmalleista. ROI:ta kannattaa arvioida suhteessa nykyiseen manuaalityöhön: Digian compliance-materiaali mainitsee, että prosessien yhdistäminen yhteen järjestelmään voi vähentää manuaalista työaikaa 30–60 %, kun tapausten käsittely, muistutukset ja raportointi eivät enää vaadi erillisiä työkaluja ja kopiointia niiden välillä.

Auditointia varten ohjelmiston on pystyttävä tuottamaan kolme asiaa pyydettäessä: täydellinen tapahtumaloki yksittäisestä tapauksesta, yhteenvetoraportti kaikista tapauksista määrätyltä ajanjaksolta, ja todiste siitä, että määräajat (kuittaukset, palautteet) on noudatettu. Jos toimittaja ei pysty näyttämään tätä demossa, se ei pysty tuottamaan sitä tuotannossakaan.

Muutama varoitusmerkki kannattaa tunnistaa etukäteen. Jos toimittaja ei pysty selittämään selkeästi, missä data sijaitsee, tai jos anonymiteetin suoja perustuu vain lupaukseen eikä tekniseen toteutukseen (esimerkiksi IP-osoitteiden keräämiseen taustalla), kannattaa jatkaa etsintää muualle. Sama koskee järjestelmiä, joissa audit trail on erillinen lisäominaisuus eikä sisäänrakennettu perusta.

Käyttöönotto ja jatkuva ylläpito: vaiheittainen etenemistapa

Käyttöönotto epäonnistuu useimmiten siitä, että organisaatio yrittää ottaa kaiken käyttöön yhtä aikaa. Toimivampi tapa on vaiheistaa se selkeiksi askeliksi.

  1. Aloita yhdellä käyttötapauksella. Ilmoituskanava riittää usein hyväksi pilotiksi, koska se on lakisääteinen vaatimus ja tulos on helppo mitata: saapuiko ilmoituksia, käsiteltiinkö ne määräajassa.
  2. Kartoita nykyiset tiedot ja migroi ne huolellisesti. Vanhat tapaukset, sähköpostiketjut ja Excel-taulukot on siirrettävä uuteen järjestelmään niin, että historiatieto pysyy jäljitettävänä, ei vain kopioituna.
  3. Nimeä vastuuhenkilöt roolikohtaisesti. Kuka käsittelee ilmoituksia ensimmäisenä, kuka eskaloi vakavat tapaukset, ja kuka vastaa raportoinnista johdolle. Epäselvä vastuunjako on yleisin syy siihen, että määräajat lipsuvat.
  4. Kouluta käyttäjät oikeaan käyttötapaukseen, ei yleisesti. HR-tiimi tarvitsee eri koulutuksen kuin juridiikka, koska heidän näkymänsä ja toimintavaltuutensa järjestelmässä eroavat.
  5. Ota käyttöön mittarit ennen kuin niitä tarvitaan kriisissä. Käsittelyaika, määräaikojen noudattaminen ja ilmoitusmäärät kategorioittain antavat pohjan, jota vasten seuraavan vuoden kehitystä voi verrata.

Laajentaminen kannattaa tehdä vasta, kun ensimmäinen käyttötapaus toimii luotettavasti. Sen jälkeen mukaan voi tuoda muita compliance-prosesseja, kuten sopimusten hallinnan tai riskiarviointien dokumentoinnin, samaan alustaan.

Miten Ashio vastaa näihin vaatimuksiin käytännössä?

Ashio on rakennettu suoraan EU:n ilmoittajansuojadirektiivin (2019/1937) ja ISO 37002:2021 kehyksen ympärille, ei jälkikäteen sovitettuna. Tämä näkyy siinä, mitä ominaisuuksia alustassa pidetään perustana eikä lisäpalveluna.

  • Raportointisivu ei kerää IP-osoitteita, evästeitä eikä fingerprint-tunnisteita, jolloin ilmoittajan identiteetti pysyy suojattuna teknisellä tasolla, ei vain käytännesäännöissä.
  • Ilmoittaja saa anonyymin seurantalinkin, jolla hän voi tarkistaa tapauksensa käsittelyn tilan reaaliajassa paljastamatta henkilöllisyyttään.
  • Auditointikelpoinen lokikirja tallentaa koko käsittelyketjun, ja deadline-valvonta muistuttaa vastuuhenkilöitä ennen kuin lakisääteiset määräajat umpeutuvat.
  • Data isännöidään Sveitsissä, ja alusta on rakennettu GDPR-yhteensopivaksi lähtökohdasta alkaen.
  • Räätälöidyt raportointilomakkeet ja monikielisyys tukevat organisaatioita, joilla on useita toimipaikkoja tai kansainvälistä henkilöstöä.

Alusta sopii erityisen hyvin organisaatioille, joilla ilmoittajansuojalain velvoite on juuri tullut voimaan eikä sisäistä prosessia ole ollut aiemmin, sekä kunta- ja julkishallinnon toimijoille, joilla auditoitavuus on erityisen tarkkaan valvottua. Alusta tuottaa auditointia varten viedyn lokin jokaisesta tapauksesta ja yhteenvedon koko ilmoitusmäärästä valitulta ajanjaksolta. Tämä vastaa suoraan sitä, mitä viranomaisohjeet edellyttävät dokumentaatiolta. Tarkemmat yksityiskohdat lakisääteisistä velvoitteista löytyvät ilmoittajansuojelulakia käsittelevästä artikkelista.

Compliance-tiimin näkökulma: priorisointi ja käytännön odotukset

Käytännössä compliance-tiimi ei voi hoitaa kaikkea kerralla, eikä sen pitäisi yrittääkään. Järkevin lähtökohta on priorisoida korkean riskin prosessit, kuten ilmoituskanava ja talousrikosepäilyt, ja jättää matalamman riskin dokumentaatio myöhemmäksi.

Compliance-tiimin näkökulma: priorisointi ja käytännön odotukset — overview diagram

Yhteistyö IT:n, juridiikan ja HR:n kanssa ei ole muodollisuus, vaan käytännön pakko. IT vastaa tietoturvasta ja integraatioista, juridiikka tulkitsee, mitä laki vaatii kussakin tilanteessa, ja HR tuntee organisaation ihmiset ja heidän huolensa parhaiten. Kun näitä kolmea ei istuteta samaan pöytään käyttöönoton alussa, seurauksena on järjestelmä, joka täyttää yhden tiimin tarpeet mutta ei muiden.

Aikataulun hallinnassa realistisin tavoite on neljästä kahdeksaan viikkoa ensimmäisen käyttötapauksen käyttöönottoon, ei päivissä. KPI:na kannattaa seurata käsittelyaikaa määräaikoihin nähden ja ilmoitusmäärän kehitystä, koska nouseva määrä usein kertoo luottamuksen kasvusta kanavaan, ei ongelmien lisääntymisestä.

Miten aloitat compliance-raportoinnin käyttöönoton Ashion kanssa

Kun tiedät, mitä vaatimuksia ohjelmiston on täytettävä, seuraava askel on käytännön kokeilu, ei lisää vertailua paperilla. Ashio on rakennettu juuri niitä vaatimuksia varten, jotka tässä artikkelissa käytiin läpi: auditoitava lokikirja, anonyymi ja seurattava ilmoituskanava, GDPR-yhteensopiva sveitsiläinen hosting sekä valmiit työkalut määräaikavalvontaan.

Ennen yhteydenottoa kannattaa hahmotella kolme asiaa: mikä on organisaation ensisijainen käyttötapaus (esimerkiksi lakisääteinen ilmoituskanava), arvioitu käyttäjä- ja tapausmäärä, ja mihin järjestelmiin integraatio olisi hyödyllisin. Näiden pohjalta demo tai 14 päivän kokeilu on nopeampi ja osuvampi.

Tutustu tarkempiin vaatimuksiin ja aloita kokeilu Ashion ilmoittajansuojelulakia käsittelevältä sivulta, jossa näet myös, miten alusta vastaa kansalliseen täytäntöönpanoon.

Lähteet

Usein kysytyt kysymykset

Mitä compliance-riski tarkoittaa?

Compliance-riski on todennäköisyys, että organisaatio rikkoo lakia, standardia tai sisäistä käytäntöä, ja siitä seuraa sanktio, taloudellinen tappio tai maineen menetys. Ohjelmiston tehtävä on tunnistaa tällaiset riskit ajoissa ja dokumentoida, miten niihin on reagoitu.

Mitä compliance-toiminta tarkoittaa?

Compliance-toiminta on organisaation järjestelmällistä työtä, jolla varmistetaan lakien, standardien ja sisäisten sääntöjen noudattaminen. Käytännössä se sisältää riskinarviointia, ohjeistusta, valvontaa ja poikkeamien dokumentoitua käsittelyä.

Mikä on ”compliance officer” suomeksi?

Suomessa käytetään usein termiä vaatimustenmukaisuuspäällikkö tai compliance-vastaava. Tehtävä kattaa riskienhallinnan koordinoinnin, ilmoituskanavan valvonnan ja raportoinnin johdolle ja hallitukselle.

Onko compliance-ohjelmisto pakollinen kaikille yrityksille?

Ilmoittajansuojalain velvoite koskee suoraan yli 50 työntekijän organisaatioita, mutta pienemmätkin yritykset hyötyvät järjestelmästä, jos ne käsittelevät henkilötietoja tai toimivat säännellyllä toimialalla. Ohjelmisto itsessään ei ole lakisääteinen pakko, mutta sen tuottama todistusaineisto usein on käytännössä välttämätön.

Miten valita compliance-ohjelmisto, jos organisaatiolla ei ole aiempaa kokemusta?

Aloita kartoittamalla, mitkä säädökset koskevat organisaatiota, ja pyydä toimittajalta pilottijakso oikealla käyttötapauksella ennen sitoutumista. Kysy erityisesti audit trailin toiminnasta ja datan omistajuudesta sopimuksen päättyessä.

Suositukset

Compliance-ohjelmiston vaatimukset: mitä laki ja käytäntö edellyttävät | Ashio