Ashio whistleblowing software

Oct 4, 2026

Näin todistat ilmoittajansuojalain noudattamisen pk-yrityksessä – dokumentaatio auditoijalle

Näin todistat ilmoittajansuojalain noudattamisen pk-yrityksessä – dokumentaatio auditoijalle

Valvoja ei kysy "onko sinulla kanava", vaan "näytä loki". Jos 40 hengen suomalaisessa pk-yrityksessä ilmoittajansuojalain dokumentaatio pk-yrityksessä on vielä hajallaan sähköposteissa, taulukoissa ja Slack-ketjuissa, tilanne on korjattava ennen tarkastusta — ei sen aikana. Tässä artikkelissa käydään läpi konkreettinen dokumentaatiopohja: mitä todisteita auditoija odottaa, miten seitsemän päivän kuittaus ja kolmen kuukauden seuranta todistetaan jälkikäteen, ja millainen loki kestää tarkastuksen.

Sisällysluettelo

Keskeiset havainnot

  • Ilmoittajansuojalain ydinvelvoitteet ovat seitsemän päivän kuittaus ja kolmen kuukauden seuranta — molemmat on kyettävä todistamaan kirjallisella, aikaleimatulla jäljellä.
  • Pelkkä sähköpostiarkisto ei täytä muuttumattoman toimintalokin vaatimusta: lokin on oltava järjestelmä, johon merkinnät eivät jälkikäteen muutu.
  • Anonymiteetti säilyy vain, jos lokiin ei kirjoiteta ilmoittajan tunnistetietoja, IP-osoitteita tai evästetunnisteita — muuten "anonyymi" kanava paljastaa käyttäjänsä.
  • Auditoija kysyy tyypillisesti kolme asiaa: määräaikojen pitävyys, käsittelyketjun eheys ja kostotoimien puuttuminen — varaudu vastaamaan jokaiseen erikseen.
  • Dokumentaatiopaketin vähimmäisosat ovat kanavan kuvaus, käsittelysäännöt, aikaleimattu toimintaloki, koulutustodistukset ja tietosuojaseloste.

Mitä dokumentaatiota ilmoittajansuojalaki oikeasti vaatii pk-yritykseltä

Ilmoittajansuojalaki velvoittaa työnantajia, joilla on vähintään 50 työntekijää, ottamaan käyttöön sisäisen ilmoituskanavan sekä säilyttämään siitä dokumentaation, josta selviävät ilmoituksen vastaanotto, käsittely ja lopputulos. Dokumentaation on oltava todennettavissa myös jälkikäteen: auditoija tai tietosuojavaltuutettu voi pyytää nähtäväksi, miten yksittäinen ilmoitus on kulkenut organisaation läpi.

Pk-yritykseltä ei vaadita lakimiehen rakentamaa järjestelmää, mutta vaatimukset ovat samat kuin suuremmilla organisaatioilla. Käytännössä dokumentaatio rakentuu viidestä palasesta: kanavasta ja sen käyttöönottopäivämäärästä, kirjallisesta käsittelysäännöstä, aikaleimatusta toimintalokista, koulutustodistuksista sekä selosteesta siitä, miten ilmoittajan henkilötietoja suojataan. ja niiden soveltamista pk-yrityksissä käsitellään tarkemmin sivulla eu whistleblowing directive.

Mitä lokimerkintöjen on sisällettävä?

Jokaisesta ilmoituksesta on synnyttävä vähintään seuraavat tiedot: vastaanottohetki aikavyöhykkeineen, kanava jonka kautta ilmoitus tuli, käsittelijä tai käsittelijäryhmä, kuittausajankohta ilmoittajalle, käsittelyn keskeiset vaiheet sekä ilmoituksen lopputulos. Tietosuojalainsäädäntö asettaa näiden rinnalle omat vaatimuksensa; anonymiteetin ja tietosuojan yhtymäkohtia käsitellään sivulla GDPR ja ilmiantaminen.

7 päivän kuittaus ja 3 kuukauden seuranta: miten todistat ne jälkikäteen

Seitsemän päivän kuittaus tarkoittaa, että ilmoittajalle on lähetettävä vastaanottokuittaus seitsemän kalenteripäivän kuluessa ilmoituksen saapumisesta. Kolmen kuukauden seuranta tarkoittaa, että ilmoittajalle annetaan palaute toimenpiteistä viimeistään kolmen kuukauden kuluttua kuittauksesta. Nämä ovat ilmoittajansuojalain todisteet auditoijalle -keskustelun kaksi yleisintä kompastuskiveä.

Todistaminen tapahtuu aikaleimalla. Jokaisesta kuittauksesta on jäätävä järjestelmään merkintä, jossa näkyvät sekä lähetyshetki että vastaanottajan tunniste. Kolmen kuukauden seurantapalaute dokumentoidaan samalla tavalla: aikaleima, kanava, sisällön tiivistelmä ja se, onko ilmoittajalle ilmoitettu asian siirtämisestä viranomaiselle. Jos jokin ilmoitus jää ilman kuittausta tai palaute viivästyy, syy on kirjattava lokiin — muuten auditoija tulkitsee velvoitteen laiminlyödyksi.

Miten varmistat, ettei yksikään ilmoitus jää kuittaamatta?

Käytännössä ainoa varma keino on automaattinen määräaikaseuranta: järjestelmä lähettää käsittelijälle hälytyksen ennen määräajan umpeutumista ja tukee kuittauksen kirjaamista osaksi käsittelyprosessia. Compliance-ammattilaisille suunnatussa ohjelmistossa määräaikaseuranta on sisäänrakennettuna, ja sen toimintaperiaatteita voi tarkastella sivulla Compliance-ammattilaisille suunnatussa kokonaisuudessa määräaikaseuranta on sisäänrakennettuna, ja sitä voi tarkastella sivulla for compliance officers..

Muuttumaton toimintaloki – miksi pelkkä sähköpostiarkisto ei riitä

Muuttumattomalla toimintalokilla tarkoitetaan sellaista lokia, johon tehdyt merkinnät eivät jälkikäteen muutu, poistu tai järjesty uudelleen ilman että muutos jää näkyväksi. Sähköpostiarkisto ei täytä tätä vaatimusta, koska viestejä voi muokata, siirtää ja poistaa, eikä järjestelmä jää jälkeä kuka muutoksen teki ja milloin.

Whistleblowing lokitus vaatimukset täyttävä loki sisältää seuraavat ominaisuudet: merkinnät ovat vain-lisättäviä, jokaisella merkinnällä on aikaleima, käsittelijän tunniste ja toimenpiteen tyyppi; lokista voidaan tuottaa vienti vakiomuotoihin (kuten CSV tai PDF) tarkastusta varten; ja loki on erillään ilmoitusten varsinaisesta sisällöstä, jotta loki itsessään ei paljasta luottamuksellisia tietoja.

Miten loki erotetaan ilmoitusten sisällöstä?

Lokiin kirjataan tapahtumat, ei sisältöä. Esimerkiksi "vastaanotettu ilmoitus #2026-014, käsittelijä A" on lokimerkintä, mutta itse ilmoituksen teksti pysyy erillisessä, salattujen oikeuksien takana olevassa tietovarastossa. Näin tarkastaja näkee prosessin, mutta ei pääse käsiksi ilmoittajan kertomukseen ilman erillistä käsittelyperustetta.

Miten anonymiteetti säilyy lokissa ilman ilmoittajan paljastumista

Anonymiteetti ei ole sama asia kuin luottamuksellisuus: anonyymissä ilmoittamisessa ilmoittajan henkilöllisyys ei ole organisaation tiedossa alun perinkään, kun taas luottamuksellisessa ilmoittamisessa henkilöllisyys tunnetaan mutta sitä suojataan. Lokia kirjoitettaessa tällä erolla on suora vaikutus siihen, mitä tietoja voidaan tallentaa.

Anonyymin ilmoituksen lokiin ei kirjoiteta IP-osoitetta, evästetunnistetta, selaimen sormenjälkeä eikä mitään muuta teknistä tunnistetta, joka voitaisiin yhdistää yksittäiseen laitteeseen. Lokimerkintä sisältää vain tapahtuman, aikaleiman ja käsittelijän toimen. Aito anonymiteetti vaatii, että myös ilmoituslomake on rakennettu siten, ettei se kerää näitä tietoja — ja juuri tähän on perehdytty syvällisesti sivulla Todella anonyymi ilmoitusohjelmisto.

Voiko loki silti todistaa kostotoimien puuttumisen?

Kyllä, mutta vain jos loki on riittävän yksityiskohtainen. Kostotoimien puuttuminen todistetaan sillä, että ilmoittajan kohtelusta on kirjaa: ylennykset, lomautukset, työtehtävien muutokset ja kurinpitotoimet dokumentoidaan muista järjestelmistä, ja niitä verrataan ilmoituksen käsittelyajankohtaan. Jos lokiin on merkitty kaikki käsittelyvaiheet ja niiden kesto, auditoija näkee, ettei ilmoittajaan ole kohdistettu vastatoimia.

Mitä auditoija tyypillisesti kysyy ja miten vastaat

Auditoijan tyyppikysymykset jakautuvat neljään kategoriaan. Ensimmäinen on kanavan olemassaolo: "Onko teillä kirjallinen kuvaus ilmoituskanavasta ja sen käyttöönottopäivämäärästä?" Vastaus on kanavadokumentti, josta käy ilmi tekninen toteutus, kielet ja yhteydenottotapa. Toinen on määräaikojen pitävyys: "Näyttäkää viimeisen kuuden kuukauden ilmoitukset ja niiden kuittausajat." Vastaus on loki, josta aikaleimat näkyvät.

Kolmas kysymys koskee käsittelyketjun eheyttä: "Kuka käsitteli ilmoituksen, millä perusteella ja miten päätös tehtiin?" Vastaus on käsittelijäluettelo rooleineen sekä päätösdokumentaatio. Neljäs on tietosuoja: "Miten ilmoittajan henkilötietoja suojataan ja kuinka kauan niitä säilytetään?" Vastaus on tietosuojaseloste, jossa on nimetty käsittelyperuste, säilytysaika ja suojatoimet.

Miten vastaat, jos yksikin määräaika on ylittynyt?

Rehellisesti ja dokumentoidusti. Yksittäinen lipsahdus ei kaada koko järjestelmää, jos siitä on tehty merkintä, syy on analysoitu ja korjaava toimenpide on kirjattu. Auditoija arvioi kokonaisuutta: onko järjestelmä rakennettu lain tarkoittamalla tavalla ja onko poikkeamiin reagoitu.

Tarkistuslista: dokumentaatiopaketti ennen tarkastusta

Tarkistuslista: dokumentaatiopaketti ennen tarkastusta Kokonaisuuden hahmottamista helpottaa tarkistuslista, jonka avulla dokumentaation kattavuuden voi käydä läpi järjestelmällisesti ennen tarkastusta. Seuraavat kohdat muodostavat vähimmäispaketin:

  • Kanavadokumentti: kirjallinen kuvaus ilmoituskanavasta, käyttöönottopäivämäärä, tekniset ominaisuudet, tuetut kielet.
  • Käsittelysääntö: ohjeet ilmoituksen vastaanotosta, käsittelystä, ilmoittajalle annettavista palautteista ja tietojen säilyttämisestä.
  • Aikaleimattu toimintaloki: jokaisen ilmoituksen vastaanotto, kuittaus, käsittelyvaiheet ja lopputulos aikaleimoineen.
  • Koulutustodistukset: näyttö siitä, että käsittelijät ja esihenkilöt ovat saaneet koulutuksen ilmoittajansuojasta ja tietosuojasta.
  • Tietosuojaseloste: käsittelyperuste, säilytysaika, suojatoimet ja ilmoittajan oikeudet.
  • Pääsynhallinta: luettelo henkilöistä, joilla on oikeus käsitellä ilmoituksia, sekä heidän roolinsa.
  • Kostotoimien ehkäisy: kirjallinen sitoumus siitä, ettei ilmoittajaan kohdisteta vastatoimia, ja menettely epäiltyjen kostotoimien tutkimiseksi.
  • Vienti ja arkistointi: mahdollisuus tuottaa lokista tarkastuskelpoinen raportti vakiomuodossa.

Kun pk-yritys käy tämän listan läpi järjestelmällisesti, dokumentaatio on valmiina tarkastukseen eikä viime hetken etsintää tarvita. Tekniseen anonymiteettiin ja muuttumattomaan lokitukseen perustuva alusta, kuten ashio, hoitaa lokituksen ja määräaikaseurannan sekä tarjoaa tarkastuskelpoisen lokin — ja sen tietoturva-arkkitehtuuria voi tarkastella sivulla Tietoturva & GDPR-yhteensopivuus. Tämä sopii organisaatioille, jotka haluavat viedä dokumentaation auditoijalle ilman manuaalista kokoamistyötä; hyvin pienille, alle kymmenen hengen tiimeille kevyempi sisäinen menettely saattaa riittää.

Usein kysytyt kysymykset

Kuinka kauan ilmoittajansuojalain mukaisia tietoja on säilytettävä?

Ilmoituksen käsittelyyn liittyvät tiedot säilytetään vain niin kauan kuin on tarpeen ilmoituksen käsittelemiseksi ja mahdollisen seurannan mahdollistamiseksi, kuitenkin enintään kaksi vuotta ilmoituksen käsittelyn päättymisestä, ellei lainsäädäntö edellytä pidempää säilytystä. Tietosuojaselosteessa on määriteltävä säilytysaika ja käsittelyperuste erikseen ilmoitusten sisällölle ja niihin liittyvälle toimintalokille.

Mitä tapahtuu, jos ilmoittaja paljastaa henkilöllisyytensä itse?

Jos ilmoittaja antaa yhteystietonsa vapaaehtoisesti, ilmoitus muuttuu luottamukselliseksi ja henkilötietojen käsittelyyn sovelletaan normaalia GDPR-sääntelyä. Anonyymiin ilmoitukseen verrattuna tämä laajentaa käsittelyperusteita ja voi helpottaa lisäkysymysten esittämistä, mutta lisää myös vastuuta tietojen suojaamisesta. Käsittelijän on dokumentoitava, milloin ja miten yhteystiedot saatiin.

Voiko pk-yritys käyttää ulkoista ilmoituskanavaa?

Kyllä, ilmoittajansuojalaki sallii ulkoisen kanavan käytön, kunhan se täyttää samat tekniset ja menettelylliset vaatimukset kuin sisäinen kanava. Ulkoisen palveluntarjoajan kanssa on sovittava kirjallisesti tietojen käsittelystä, säilytyksestä ja pääsynhallinnasta. Tietosuojalainsäädäntö edellyttää sopimusta, jossa määritellään käsittelijän rooli ja vastuut.

Pitääkö kaikkien työntekijöiden saada koulutus ilmoittajansuojasta?

Laki ei määrittele koulutuksen laajuutta yksityiskohtaisesti, mutta käytännössä koulutusta on annettava kaikille käsittelijöille sekä esihenkilöille, jotka voivat vastaanottaa ilmoituksia suullisesti. Koulutuksen sisällöstä, osallistujista ja ajankohdasta on jäätävä dokumentaatio, jotta auditoija voi todentaa sen.

Lähteet