Ashio whistleblowing software

Oct 14, 2026

Intern vs ekstern varslingskanal: hva lønner seg for SMB?

Intern vs ekstern varslingskanal: hva lønner seg for SMB?

Valget mellom intern og ekstern varslingskanal påvirker hvem som har ansvaret for habilitet, anonymisering og dokumentasjon. For små og mellomstore bedrifter med 20–60 ansatte handler det ikke om hva som er «best i teorien», men om hvem som faktisk skal sitte med meldingene, og om organisasjonen har den kompetansen som kreves for å gjøre det forsvarlig. Her er et rammeverk for å vurdere om en SMB bør bygge mottaket internt med egen mottaker – og hvordan man i praksis har man det når man ikke har det.

Innholdsfortegnelse

De viktigste punktene

  • En intern varslingskanal holder data i eget hus, men krever at mottaker er habil, uavhengig og kompetent – ellers blir personvernrisikoen større enn ved en ekstern løsning.
  • En ekstern varslingskanal flytter ansvaret for habilitet, anonymisering og dokumentasjon til leverandøren, men krever en databehandleravtale og tydelig formål.
  • For de fleste SMB med under 100 ansatte er den totale treårskostnaden lavere med en ekstern leverandør når arbeidstid og risiko vektlegges, selv om fakturert pris kan være høyere.
  • GDPR-pliktene endres ikke av valget: det er rollen som behandlingsansvarlig versus databehandler som flyttes, ikke kravene i artikkel 5 og 32.
  • Velg internt når dere har en uavhengig og habil mottaker i egen organisasjon; velg eksternt når dere ikke har det, eller når sakene er komplekse og krever ekstern juridisk kompetanse.

Hva er forskjellen på intern og ekstern varslingskanal?

En intern varslingskanal driftes av mottakere i egen organisasjon, typisk HR-ansvarlig, daglig leder eller en compliance-rolle, mens en ekstern varslingskanal driftes av en tredjepart som mottar meldinger og videreformidler dem til virksomheten. I begge tilfeller er virksomheten behandlingsansvarlig for personopplysningene i meldingene, men ved en ekstern kanal er leverandøren databehandler etter GDPR.

Forskjellen som betyr mest i praksis, er hvem som faktisk sitter med meldingen første tretti dager. Ved en intern kanal kjenner mottakeren kulturen, organisasjonen og gjerne personene som omtales – en styrke ved enkle saker, men en ulempe når en melding berører personer i egen ledergruppe. Ved en ekstern kanal er førstelinjen en nøytral aktør som verken har interessekonflikter eller står i avhengighetsforhold til den som blir varslet om.

Arbeidsmiljøloven § 2 A-2 og den tilhørende forskriften stiller ikke krav til om kanalen er intern eller ekstern – begge er lovlige – men de stiller krav til at varslingen reelt sett er tilgjengelig, at den som mottar er uavhengig, og at det føres et visst minimum av dokumentasjon. Det er disse tre kravene som avgjør om en intern løsning er tilstrekkelig, eller om en ekstern er nødvendig.

Når er en intern varslingskanal tilstrekkelig for SMB?

En intern varslingskanal er tilstrekkelig når virksomheten har minst én person som er uavhengig nok til å motta meldinger om forhold som kan berøre egen ledelse, habil nok til å vurdere alvorlighetsgrad, og kompetent nok til å håndtere taushetsplikt og dokumentasjon etter GDPR. I en SMB med 20–60 ansatte er det i praksis svært få som fyller alle tre rollene samtidig – og det er dette som gjør vurderingen vanskelig.

Hva kreves for at en intern løsning skal holde mål?

Tre konkrete forutsetninger må være på plass: en utpekt mottaker som ikke er underlagt den som kan bli varslet om, en tydelig prosess for videreformidling når mottaker selv er inhabile, og et system – eller i det minste en papirbasert protokoll – som sikrer sporbare frister for tilbakemelding.

I små organisasjoner utpekes ofte HR-ansvarlig som mottaker. Det fungerer godt når sakene gjelder yngre medarbeidere, men blir problematisk så snart en sak involverer daglig leder, en avdelingsleder eller styreleder – altså personer HR-ansvarlig er underordnet. Da må virksomheten ha en reserveløsning, typisk at ekstern styreleder eller ekstern advokat trer inn. Hvis denne reserveløsningen ikke er avtalt på forhånd, er den interne løsningen i praksis ikke dekkende.

Dersom virksomheten har en egnet mottaker og en avtalt reserve, er den interne løsningen fullt ut lovlig og kan være det mest hensiktsmessige valget. Det gjelder særlig der det allerede er etablert en tillitsbasert kultur der ansatte faktisk ville henvende seg direkte. For en oversikt over hva norsk lovlov faktisk krever av en SMB på dette området, se varslingskanal plikt smb 2026.

Når bør SMB velge en ekstern varslingskanal?

Når bør SMB velge en ekstern varslingskanal? En SMB bør velge en ekstern varslingskanal når egen organisasjon ikke har en uavhengig, habil og kompetent mottaker, når virksomheten ønsker å skille selve varslingsmottaket fra den daglige ledelsen, eller når forventet saksvolum gjør det urimelig å binde opp intern tid. Eksterne kanaler brukes også aktivt av små selskaper som vil signalisere uavhengighet til omverdenen – leverandører, kunder og samarbeidspartnere.

I praksis er det tre tydelige triggere. Den første er mangel på habilitet: i en SMB med flat struktur kjenner alle alle, og enhver mottaker har en eller annen relasjon til den som kan bli omtalt. Den andre er personvernrisikoen: en intern mottaker blir selv en forvalter av sensitive opplysninger i flere måneder, og jo lenger meldinger ligger hos en enkeltperson, desto større er risikoen for lekkasje – bevisst eller ubevisst. Den tredje er dokumentasjonsplikten: en ekstern leverandør med revisjonssikker logg løfter en byrde som SMB ofte undervurderer før første revisjon eller tilsyn.

For virksomheter som vurderer å gå fra en intern løsning til en ekstern leverandør, finnes det ferdige løsninger på markedet. Før man velger, bør man kartlegge om leverandøren faktisk støtter den organisasjonsformen dere har, og om løsningen passer for en SMB som ikke har en egen habil mottaker. Før man velger, bør man kartlegge om leverandøren faktisk støtter norsk språk, norsk personvernregelverk og den organisasjonsformen dere har – og om løsningen passer for en SMB som ikke har en egen habil mottaker. Kontakt leverandøren direkte for å avklare dette før avtaleinngåelse. For virksomheter som ønsker pseudonymitet fremfor anonymitet, eller som må avklare forskjellen på GDPR artikkel 5 og 32 i praksis, er pseudonym vs anonym varsling gdpr et nyttig utgangspunkt.

Hvordan påvirker GDPR valget av kanal?

GDPR påvirker valget av kanal ved å fordele roller og krav, ikke ved å stille nye tekniske krav. Virksomheten er alltid behandlingsansvarlig for opplysningene i en varsling, uavhengig av om mottaket skjer internt eller hos en tredjepart. Det som endres, er om det må inngås en databehandleravtale etter artikkel 28 – noe som kreves for en ekstern leverandør, men ikke for en intern mottakerrolle.

Det betyr at en intern løsning i utgangspunktet er enklere å drifte rent juridisk: ingen avtale med tredjepart, ingen vurdering av underleverandørkjede, ingen spørsmål om datalokasjon. Samtidig ligger alt ansvaret for vern av opplysningene på virksomheten selv, inkludert krav til tilgangsstyring, lagringsbegrensning og eventuell sletting ved avsluttet sak. I en SMB der én person håndterer alt, er dette en konsentrert risiko som kan være vanskelig å forsvare overfor Datatilsynet.

Ved en ekstern leverandør må virksomheten etablere databehandleravtale og sikre at leverandøren oppfyller artikkel 32 (sikkerhet) og 5 (formålsbegrensning og lagringsminimering). Til gjengjeld får man dokumentasjon og prosesser som ofte er på et høyere nivå enn det en SMB klarer å bygge opp internt – særlig når det gjelder revisjonsspor. For en god innføring i hvordan de to tilnærmingene faktisk skiller seg fra hverandre på personvernsiden, kan pseudonym vs anonym varsling gdpr supplere bildet.

Hva koster de to modellene over tre år?

Over tre år er totalkostnaden for en intern løsning ofte lavere målt i kontantutlegg, men høyere målt i intern arbeidstid – og vanskelig å sammenligne direkte med en fakturert pris fra en leverandør. Det som teller, er summen av abonnement, oppsett, intern tidsbruk, opplæring og – ikke minst – forventet kostnad ved en feilhåndtering.

En tommelfingerregel for SMB-segmentet: en intern løsning legger typisk beslag på 5–15 prosent av en stilling i mottakerrollen det første driftsåret – tid som sjelden synliggjøres for i budsjettet. En ekstern løsning krever mindre intern tid fordi selve mottaket og saksbehandlingen ligger hos leverandøren. Når arbeidstid kronefestes og legges til fakturert pris, jevner bildet seg ut – og i mange tilfeller blir den eksterne løsningen rimeligere når man også vektlegger dokumentasjon og personvernrisiko.

For å holde regnestykket riktig bør man legge inn fire kostnadskomponenter: (1) abonnement eller lisens, (2) intern tidsbruk til mottak, oppfølging og arkivering, (3) opplæring og vedlikehold av rutiner, og (4) forventet kostnad ved en eventuell feilsak. Den fjerde komponenten er den vanskeligste å tallfeste, men den veier tungt: én feilhåndtering kan i verste fall medføre tilsynssak, erstatning eller omdømmetap.

Når valget faller på en ekstern leverandør, er neste steg å vurdere konkret løsning. sign up hos leverandøren er et naturlig neste steg for å teste løsningen i praksis før man forplikter organisasjonen.

Ofte stilte spørsmål

Må SMB faktisk ha en varslingskanal?

Ja, dersom virksomheten har 50 eller flere ansatte er det etter arbeidsmiljøloven ikke bare en mulighet, men en plikt å ha et reelt varslingssystem. Under 50 ansatte er det ingen absolutt plikt, men mange bransjer – finans, helse, offentlig sektor – har tilsvarende krav gjennom særlovgivning.

Hva er den viktigste forskjellen på intern og ekstern kanal rent juridisk?

Den viktigste forskjellen er at en ekstern leverandør er databehandler etter GDPR, og krever databehandleravtale etter artikkel 28, mens en intern mottaker er en del av behandlingsansvarlig og ikke utløser samme avtaleplikt. De øvrige GDPR-kravene – formålsbegrensning, lagringsminimering, taushetsplikt – er de samme.

Kan vi starte internt og bytte etter hvert?

Ja, det er fullt mulig, og det er en vanlig vei for SMB som vokser. Det som må være på plass før byttet, er enighet om hvordan eksisterende saker overføres, hvem som har tilgang til, og hvordan logger arkiveres – i tråd med artikkel 5 om lagringsminimering.

Hvor mye kostnad påløper ved å bytte fra intern til ekstern kanal?

Kostnaden varierer med funksiometsnivå og bruksvolum, men for SMB i segmentet 20–60 ansatte ligger den typiske totalkostnaden over tre år på et nivået det er relevant å sammenligne med ett årsverk til en saksbehandler – en vurdering det kan være nyttig å gjøre sammen med leverandøren.

Kilder