Ashio whistleblowing software

Sep 30, 2026

Ilmoittajansuojalain määräajat pk-yrityksessä: 7 päivää, 3 kuukautta ja muut kellot

Ilmoittajansuojalain määräajat pk-yrityksessä: 7 päivää, 3 kuukautta ja muut kellot

Ilmoittajansuojalain määräajat eivät jousta — ja pk-yrityksellä ei ole varaa unohtaa yhtäkään niistä. Suomessa ilmoittajansuojalaki (1171/2022) ja sitä täydentävä EU:n ilmoittajansuojeludirektiivi (EU) 2019/1937 asettavat sisäisen ilmoituskanavan pyörittäjälle kolme keskeistä kelloa: seitsemän päivän kuittaus, kolmen kuukauden seuranta-aika ja määräaikainen dokumentointi. Tässä artikkelissa käydään läpi kaikki keskeiset ilmoittajansuojalain määräajat pk-yritykselle, se mitä kukin niistä tarkoittaa käytännössä ja miten ne pysyvät hallussa ilman manuaalista seurantaa.

Sisällysluettelo

Keskeiset havainnot

  • Ilmoittajansuojalain määräajat pk-yritykselle koskevat jokaista vähintään 50 työntekijää työllistävää yksityistä ja julkista työnantajaa.
  • Seitsemän päivän kuittaus ilmoittajalle on lain ehdottomasti säädelty velvoite, joka alkaa ilmoituksen vastaanottamisesta.
  • Kolmen kuukauden seuranta-aika tarkoittaa palautteen antamista ilmoittajalle tutkinnan etenemisestä, ei koko tapauksen loppuun käsittelyä.
  • Päiväkirjamainen, muuttumaton lokitus on ainoa keino todistaa määräaikojen täyttyminen auditoijalle.
  • Siirtymäaika päättyi 17. heinäkuuta 2023, joten kaikkien soveltamisalaan kuuluvien organisaatioiden on nyt toimittava lain mukaan.

Mitä määräaikoja ilmoittajansuojalaki asettaa pk-yritykselle

Ilmoittajansuojalain määräajat pk-yritykselle koostuvat kolmesta lakisääteisestä kellosta, joista jokainen liittyy eri vaiheeseen ilmoituksen elinkaarta. Seitsemän päivän kuittausvelvoite koskee ilmoituksen vastaanottamista, kolmen kuukauden seuranta-aika tutkinnan etenemistä ja seitsemän vuoden säilytysaika puolestaan loki- ja tapaustietojen arkistointia.

Laki ei jätä sijaa joustolle eikä työkuormitukselle: kello käy ilmoituksen saapumishetkestä, eikä sitä voi pysäyttää viikonlopuksi, lomakaudeksi tai kiireeseen. Käytännössä pk-yrityksen on tunnettava kolme erillistä määräaikaa ja pystyttävä todistamaan jokaisen toteutuminen tarkastajalle. Lisäksi määräaikojen rinnalla on huolehdittava ilmoittajan henkilöllisyyden suojaamisesta sekä kostotoimien kieltämisestä, sillä nämä velvoitteet kulkevat käsi kädessä lakisääteisten kellojen kanssa ja vaikuttavat suoraan siihen, miten ilmoituskanava teknisesti ja organisatorisesti rakennetaan.

Mistä lähtien kello käy?

Kello käy ilmoituksen vastaanottamisesta, ei siitä hetkestä, jolloin HR tai compliance-päällikkö sattuu avaamaan sähköpostinsa. Siksi manuaalinen seuranta — jaettu postilaatikko, Excel-taulukko tai pelkkä muistutus kalenterissa — on riskialtis: yksikin viivästys ilmoituksen vastaanottokirjeessä rikkoo lakia. Vastaanottohetki on sidottu siihen järjestelmään, johon ilmoitus teknisesti saapuu, joten kanavan on itse kirjattava aikaleima automaattisesti ilman ihmisen tekemää merkintää.

7 päivän kuittaus: miksi se on kriittisin yksittäinen määräaika

Seitsemän päivän kuittaus ilmoittajalle on lain määräämä vastaanottokuittaus, joka on annettava viimeistään seitsemäntenä päivänä ilmoituksen saapumisesta. Kyseessä ei ole tutkinnan tulos eikä alustava vastaus sisältöön, vaan lyhyt ja yksiselitteinen vahvistus siitä, että ilmoitus on otettu vastaan ja se käsitellään.

Kriittisyys piilee kolmessa seikassa. Ensinnäkin, seitsemän päivän kuittaus on se määräaika, jonka valvontaviranomainen tarkastaa ensimmäisenä. Toiseksi, sen laiminlyönti on helposti osoitettavissa: lokista näkyy, milloin ilmoitus tuli ja milloin kuittaus lähti. Kolmanneksi, se toimii koko ilmoitusprosessin ensimmäisenä luottamussignaalina ilmoittajalle — ilman sitä koko kanava menettää uskottavuutensa.

Miten kuittaus dokumentoidaan oikein?

Kuittauksesta on käytävä ilmi vastaanottopäivä, ilmoituksen yksilöivä tunniste ja taho, jolle asia on siirretty käsiteltäväksi. Suullinen kuittaus ei riitä, vaan sen on oltava jäljitettävissä järjestelmän lokista. Tämä on yksi syy siihen, miksi pelkkä sähköposti ei täytä lain vaatimuksia: viestiketjut katoavat, arkistot hajoavat ja todistusvastuu jää HR:n harteille. Kuittaus on lisäksi lähetettävä sille ilmoittajalle, joka on luonut ilmoituksen, joten kanavan on tuettava myös kaksisuuntaista viestintää ilmoittajan henkilöllisyyttä paljastamatta.

3 kuukauden seuranta-aika ja tutkinnan päättäminen

Kolmen kuukauden seuranta-aika tarkoittaa, että ilmoittajalle on annettava palaute tutkinnan edistymisestä viimeistään kolmen kuukauden kuluttua kuittauksesta. Se ei ole sama kuin tapauksen lopullinen ratkaisu, eikä se velvoita kertomaan yksityiskohtia, jotka vaarantaisivat tutkinnan tai sivullisten oikeudet.

Käytännössä kolmen kuukauden määräaika on se kohta, jossa pk-yritys tyypillisesti kompastuu. Kuittaus on nopea rutiini, mutta tutkinta vaatii usein todistajien haastatteluja, asiakirjojen tarkastelua ja juridista arviointia — työtä, joka venyy helposti yli lain asettaman rajan. Siksi seurantaa ei saa jättää yksittäisen henkilön muistin varaan. Samalla on varmistettava, ettei tutkinta-aikana tapahdu kostotoimia ilmoittajaa kohtaan, sillä kostokiellon rikkominen on oma erillinen velvoitteensa.

Saako seuranta-aikaa pidentää?

Lain mukaan seuranta-aikaa voidaan pidentää perustelluista syistä, mutta pidennyksestä on ilmoitettava ilmoittajalle ja sen kesto on dokumentoitava. Pelkkä "kiire" ei ole hyväksyttävä syy, eikä pidennystä saa käyttää systemaattisesti kiertämään lakia. Tyypillisiä hyväksyttäviä syitä ovat esimerkiksi kansainvälisen tutkinnan koordinointi tai viranomaisen kanssa käynnissä oleva rikostutkinta. Pidennys on aina kirjattava järjestelmän lokiin, jotta tarkastajalle voidaan osoittaa sekä pidennyksen syy että sen kesto.

Miten määräaikojen seuranta hoidetaan käytännössä

Miten määräaikojen seuranta hoidetaan käytännössä Manuaalinen seuranta — Excel-taulukot, kalenterimuistutukset ja sähköpostiketjut — pettää pk-yrityksessä ensimmäisen kiireisen viikon aikana. Tehokas seuranta vaatii järjestelmän, joka kirjaa ilmoituksen vastaanottohetken automaattisesti, lähettää kuittauksen ilman ihmisen väliintuloa ja tuottaa hälytyksen ennen kuin kolmen kuukauden määräaika umpeutuu.

Compliance-ammattilaisille suunnatuista työkaluista keskeistä on roolipohjainen pääsy ja automaattinen aikaleimaus: jokainen tapahtuma tallentuu siihen järjestelmään, jonka lokiin myös tarkastaja tutustuu. HR-päättäjän näkökulmasta tärkeintä on, että ilmoittaja saa kanavan kautta yhtenäisen käyttökokemuksen ja että tapausten tila on nähtävissä ilman erillistä raportointityötä. Järjestelmän on lisäksi tuettava koko ilmoitusketjun elinkaarta vastaanotosta seurantapalauteeseen ja lopulliseen päätökseen asti, jotta mikään vaihe ei jää ilman aikaleimaa.

Ashio ja sisäinen ilmoituskanava käytännössä

Kun pk-yritys päätyy valmiiseen sisäiseen ilmoituskanavaan, tyypillinen valinta on sveitsiläisellä isännöinnillä ja päästä päähän -salauksella varustettu alusta, joka tarjoaa anonyymit ilmoitustyönkulut, määräaikojen seurannan ja auditoitavan tapaustenhallinnan yhdessä paketissa. Ashio on suunniteltu EU:n ilmoittajansuojeludirektiivin ja kansallisen lainsäädännön vaatimuksia varten. Sisäisen ilmoituskanavan voi tarkistaa osoitteesta sisäinen ilmoituskanava.

Mitä järjestelmän lokiin on tallennuttava?

Jokaisesta ilmoituksesta on tallennuttava vähintään vastaanottohetki, kuittauksen lähetyshetki, seurantapalautehetki, käsittelijöiden roolit sekä kaikki tilamuutokset. Loki ei saa olla muokattavissa jälkikäteen, ja sen on säilyttävä muuttumattomana vähintään seitsemän vuoden ajan. Tämä on ainoa keino todistaa auditoijalle, että määräajat ovat toteutuneet.

Mitä dokumentteja auditoijalle on toimitettava

Auditoijalle on toimitettava kaikki ne asiakirjat, joista käy ilmi ilmoituskanavan toimivuus, määräaikojen toteutuminen ja ilmoittajien suojaaminen. Käytännössä tämä tarkoittaa kolmea dokumenttikokonaisuutta: ilmoituslokit, tapausten käsittelyhistoria ja organisaation sisäiset toimintaperiaatteet.

Ilmoitusloki sisältää jokaisen ilmoituksen aikaleimat, käsittelijät ja tilasiirtymät. Tapausten käsittelyhistoria kertoo, miten kukin ilmoitus on tutkittu, mitä toimenpiteitä on tehty ja milloin tapaus on suljettu. Toimintaperiaatteet puolestaan osoittavat, että kanava on olemassa, että siitä on tiedotettu työntekijöille ja että kostotoimet on kielletty.

Miten anonyymiys todistetaan tarkastajalle?

Anonyymin ilmoittamisen tapauksessa on pystyttävä osoittamaan, ettei järjestelmä kerää IP-osoitteita, evästeitä, selaimen sormenjälkeä tai muita tunnisteita. Tämä on yksi niistä kohdista, joissa tekninen toteutus ratkaisee — pelkkä lupaus "emme kerää tietoja" ei riitä, vaan auditoija haluaa nähdä konfiguraation ja lokin tyhjyden. Anonyymi ilmoittaminen vaatii siksi lähtökohtaisesti alustan, jossa anonymiteetti on rakennettu sisään eikä lisäosa.

Usein kysytyt kysymykset

Koskeeko ilmoittajansuojalaki 50 työntekijän pk-yritystä?

Kyllä, ilmoittajansuojalaki koskee lähtökohtaisesti kaikkia vähintään 50 työntekijää työllistäviä yksityisen ja julkisen sektorin työnantajia. Alle 50 hengen yrityksille velvoite ei ole automaattisesti voimassa, mutta tietyillä toimialoilla — kuten rahoitus ja kuluttajansuoja — kynnys on matalampi.

Mitä tapahtuu, jos seitsemän päivän kuittaus myöhästyy?

Myöhästynyt kuittaus on lain rikkomus riippumatta siitä, miten hyvin itse ilmoitus on sen jälkeen käsitelty. Valvontaviranomainen voi antaa huomautuksen tai hallinnollisen seuraamuksen, ja toistuvat laiminlyönnit heikentävät koko ilmoituskanavan uskottavuutta myös työntekijöiden silmissä.

Voiko kolmen kuukauden seuranta-ajan ylittää ilman seuraamuksia?

Pidentäminen on mahdollista vain perustelluista syistä, ja siitä on ilmoitettava kirjallisesti ilmoittajalle. Pelkkä sisäinen kiire tai resurssipula ei ole hyväksyttävä syy, ja pidennys on dokumentoitava järjestelmän lokiin.

Tarvitseeko pk-yritys ulkoisen palveluntarjoajan ilmoituskanavaan?

Laki ei edellytä ulkoista palveluntarjoajaa, mutta sisäinen kanava on rakennettava teknisesti ja organisatorisesti niin, että anonymiteetti, luottamuksellisuus ja määräaikojen seuranta toteutuvat. Käytännössä valmis alusta poistaa suurimman teknisen riskin ja vapauttaa HR:n ja compliance-tiimin keskittymään itse käsittelyyn.

Miten ilmoittajansuojalain siirtymäaika vaikutti olemassa oleviin kanaviin?

Ilmoittajansuojalain siirtymäaika päättyi 17. heinäkuuta 2023, minkä jälkeen kaikkien soveltamisalaan kuuluvien organisaatioiden on täytettävä lain vaatimukset täysimääräisesti. Käytännössä tämä tarkoittaa, että ennen siirtymäaikaa perustetutkin kanavat on tarkastettu ja päivitettävä vastaamaan nykyisiä velvoitteita.

Lähteet