Ashio whistleblowing software

Kuntasektorin ilmoituskanava: käytännön opas ja pilviratkaisu 7 vrk/3 kk

Kädet asettavat turva-avainta postiluukkuun

Kyllä, kunnan ja kuntayhtymän on yleensä järjestettävä sisäinen ilmoituskanava, jos organisaatiossa on säännöllisesti vähintään 50 työntekijää. Kanavan pitää olla turvallinen, ja ilmoitusten käsittelylle on lakisääteinen aikataulu: vastaanotto kuitataan viikon kuluessa, palaute annetaan viimeistään kolmen kuukauden kuluessa. Ensimmäinen toimi on tehdä päätös kanavasta, nimetä riippumaton käsittelijä ja kertoa henkilöstölle, miten ja mistä asioista voi ilmoittaa.

Lyhyesti:

  • Kunnan ja kuntayhtymän on yleensä järjestettävä sisäinen ilmoituskanava, jos henkilöstöä on säännöllisesti vähintään 50 työntekijää, ja sen on täytettävä turvallisuus- ja seurattavuusvaatimukset.
  • Ilmoittajansuojelulaki koskee vakavampien väärinkäytösten raportointia ja edellyttää, että ilmoitukset käsitellään kolmessa vaiheessa: sisäisesti, keskitetysti ulkoisesti ja tarvittaessa viranomaisille.
  • Kanavan teknisen toteutuksen tulee sisältää luottamuksellisuuden, turvallisen vastaanoton ja seurannan, ja tietojen on oltava GDPR-yhteensopivia ja jäljitettävissä.
  • Ilmoitusten käsittelyaikojen on pysyttävä lain asettamissa rajoissa, ja niiden seuraaminen on tärkeää luottamuksen ylläpitämiseksi ja mahdollisten ongelmien tunnistamiseksi.
  • Yhteistyö ulkoisten palveluntarjoajien, kuten Ashionin, kanssa voi helpottaa vaatimusten täyttämistä, varsinkin pienemmillä kunnilla, ja tarjoaa turvallisen, EU:n ja GDPR:n vaatimukset täyttävän ratkaisun.

Sisällysluettelo

Kenelle velvoite kuuluu ja mitä ilmoittajansuojelulaki edellyttää

Ilmoittajansuojelulaki koskee henkilöitä, jotka havaitsevat työnsä yhteydessä yleisen edun vastaisen epäkohdan tai rikkomuksen. Ilmoittaja voi olla työntekijä, viranhaltija, luottamushenkilö tai jopa alihankkijan edustaja. Laki ei ole yleinen palautekanava vaan on tarkoitettu vakavampien väärinkäytösten, kuten julkisten hankintojen, ympäristönsuojelun tai talousrikosten, raportointiin.

Velvoite sisäisen kanavan perustamiseen koskee organisaatioita, joissa on säännöllisesti suuri määrä työntekijöitä. Kuntaliiton mukaan raja lasketaan koko organisaation henkilöstömäärästä, ei yksittäisestä toimialasta tai yksiköstä. Pienemmätkin kunnat kohtaavat rajan usein, kun mukaan lasketaan koko kuntakonserni tai kuntayhtymä.

Menettely etenee kolmiportaisesti:

  • Ensin ilmoitus tehdään organisaation omaan sisäiseen kanavaan.
  • Jos sisäistä kanavaa ei ole tai käsittely ei etene, ilmoittaja voi käyttää keskitettyä ulkoista kanavaa.
  • Viimeisenä vaiheena on ilmoittaminen suoraan toimivaltaiselle viranomaiselle, jos asia sitä edellyttää.

Tämä porrastus ei ole byrokraattinen koriste, vaan sen tarkoitus on ohjata epäkohdat ratkaistavaksi lähimmällä mahdollisella tasolla, ennen kuin asia päätyy viranomaiskäsittelyyn.

Sisäisen ilmoituskanavan tekniset ja prosessuaaliset vaatimukset

Kanavan tekninen toteutus ratkaisee, täyttääkö kunta lain vaatimukset käytännössä eikä vain paperilla. Kolme perusvaatimusta ovat luottamuksellisuus, turvallinen vastaanotto ja mahdollisuus seurata ilmoituksen etenemistä.

  1. Vastaanottotapa. Verkkolomake on käytännössä toimivin ratkaisu, koska se mahdollistaa tiedon jäsennellyn keräämisen ja tallentamisen automaattisesti. Puhelin ja postitus täyttävät lain vähimmäisvaatimukset, mutta niiden käsittely vaatii enemmän manuaalista työtä ja kasvattaa inhimillisen virheen riskiä. Suullinen vastaanotto, esimerkiksi henkilökohtainen tapaaminen, on lain mukaan tarjottava pyynnöstä kohtuullisessa ajassa.
  2. Anonymiteetti ja seuranta. Laki mahdollistaa nimettömän ilmoittamisen, mutta ilmoittajan on käytännössä usein hyödyllistä saada seurantakoodi tai vastaava tunniste, jonka avulla hän voi täydentää ilmoitusta menettämättä anonymiteettiään. Tämä on tekninen ratkaisu, jota moni kunta ei ole aiemmin tarvinnut muissa järjestelmissään.
  3. Pääsynhallinta ja audit trail. Ilmoitustietoihin pääsy on rajattava nimetyille käsittelijöille, ja järjestelmän on tuotettava jäljitettävä loki kaikesta käsittelystä. Tämä on erityisen tärkeää, koska ilmoittajansuojelulaki ja Whistleblower-direktiivi edellyttävät, että käsittelyprosessi kestää tarkastelun jälkikäteen.
  4. GDPR-yhteensopivuus. Henkilötietojen käsittely ilmoituskanavassa on aina henkilötietolainsäädännön piirissä, joten tietojen sijainti, säilytysaika ja käyttöoikeudet on määriteltävä etukäteen.

Moni kunta harkitsee ulkoistamista tai yhteistä kanavaa naapurikuntien kanssa. Kuntaliitto toteaa, että kanava voidaan hoitaa sisäisesti tai ulkoistaa, ja kunnilla voi olla myös yhteisiä kanavia. Sopimuksessa kannattaa varmistaa, että ulkoinen toimija ei ole riippuvuussuhteessa niihin tahoihin, joita ilmoitukset voivat koskea.

Ammattilaisen vinkki: Jos harkitset yhteistä kanavaa toisen kunnan kanssa, sovi kirjallisesti etukäteen, kuka vastaa käsittelyajoista silloin kun ilmoitus koskee toista osapuolta. Epäselvä vastuunjako on yleisin syy, että 7 päivän kuittausraja jää täyttymättä.

Ilmoitusten käsittely askel askeleelta

Vaihde vaiheelta -ilmiantoprosessin kaavio

Kun ilmoitus saapuu, kello alkaa käydä. Ensimmäinen pakollinen toimi on lähettää ilmoittajalle vastaanottoilmoitus seitsemän päivän kuluessa. Tämän jälkeen käsittelijän on annettava palautetta jatkotoimista viimeistään kolmen kuukauden kuluessa vastaanottoilmoituksesta, kuten Kuntaliiton yleiskirje täsmentää.

Käsittelyprosessi etenee tyypillisesti näin:

  • Ilmoitus kirjataan ja luokitellaan sen mukaan, kuuluuko se lain soveltamisalaan.
  • Nimetty, riippumaton käsittelijä arvioi, tarvitaanko tarkempaa tutkintaa tai ulkopuolista asiantuntemusta.
  • Tutkinnan tulokset ja päätökset dokumentoidaan siten, että prosessi on jälkikäteen todennettavissa.
  • Ilmoitustiedot säilytetään enintään viisi vuotta, ellei laissa säädetty oikeus tai oikeudellinen vaade edellytä pidempää säilytystä.

Käytännössä pieni kunta ja suuri kuntayhtymä kohtaavat samat aikarajat mutta eri resurssein. Pikkukunnassa käsittelijä on usein hallintojohtaja tai henkilöstöpäällikkö oman toimensa ohella, jolloin kolmen kuukauden aikaraja voi tuntua tiukalta yhdenkin monimutkaisen tapauksen kohdalla. Suuressa kuntayhtymässä käsittely voidaan jakaa erilliselle compliance-tiimille, jolla on valmiiksi sovitut roolit tutkinnalle, oikeudelliselle arvioinnille ja viestinnälle. Riippumatta koosta, käsittelijän riippumattomuus on lain kannalta ehdoton: käsittelijä ei voi olla sama henkilö, jota ilmoitus mahdollisesti koskee.

Ulkoinen keskitetty ilmoituskanava: milloin ja miten sitä käytetään

Oikeuskanslerinvirasto toimii Suomessa keskitettynä ulkoisena ilmoituskanavana. Sen rooli aktivoituu tietyissä tarkkaan rajatuissa tilanteissa, ei aina kun ilmoittaja on tyytymätön sisäisen käsittelyn tulokseen.

Ulkoinen kanava on oikea reitti, kun:

  • Organisaatiolla ei ole lainkaan sisäistä ilmoituskanavaa.
  • Sisäinen kanava on olemassa, mutta ilmoitukseen ei ole ryhdytty tarvittaviin toimiin kohtuullisessa ajassa.
  • Ilmoittaja perustellusti pelkää vastatoimia, jos ilmoitus käsitellään omassa organisaatiossa.

Oikeuskanslerinviraston kautta tehty ilmoitus siirretään toimivaltaiselle viranomaiselle tai ministeriölle, joka vastaa asiaan liittyvästä valvonnasta. Siirto ei tarkoita, että kunnan sisäinen prosessi jäisi kokonaan sivuun, sillä viranomainen voi edelleen edellyttää kunnalta selvitystä tai toimenpiteitä.

Ennen ulkoiseen kanavaan siirtymistä ilmoittajan kannattaa varmistaa, että asia todella kuuluu lain soveltamisalaan ja että sisäinen reitti on aidosti kokeiltu tai perustellusti mahdoton. Ulkoinen kanava ei korvaa sisäistä käsittelyä normaalitilanteissa, vaan toimii varmistuksena silloin, kun ensimmäinen porras ei toimi.

Käytännön suositukset kunnille: vaiheistus, viestintä ja mittarit

Kanavan käyttöönotto onnistuu parhaiten, kun se etenee järjestyksessä eikä yhtä aikaa moneen suuntaan.

  1. Tee muodollinen päätös kanavan perustamisesta ja kirjaa vastuutahot.
  2. Valitse tekninen ratkaisu, joka täyttää turvallisuuden, anonymiteetin ja audit trailin vaatimukset.
  3. Nimeä riippumaton käsittelijä tai käsittelytiimi ja varmista heidän osaamisensa.
  4. Tiedota koko henkilöstölle, mistä asioista voi ilmoittaa ja miten kanavaa käytetään.

Ilmoituslomakkeessa kannattaa olla kentät tapahtuman kuvaukselle, ajankohdalle, osapuolille ja mahdollisille todisteille, sekä valinnainen yhteystieto niille, jotka haluavat ilmoittaa nimellä. Vaikka laki mahdollistaa nimettömän ilmoittamisen, monet kunnat ohjeistavat myös nimellä ilmoittamista, koska se helpottaa tutkintaa ja suojaa myös ilmoituksen kohteen oikeusturvaa.

Tärkeä huomio: vastaanottoilmoituksen 7 päivän ja palautteen 3 kuukauden aikarajat ovat lakisääteinen vähimmäisvaatimus, ei suositus. Kunnan kannattaa seurata näitä lukuja säännöllisesti, sillä toistuvat myöhästymiset heikentävät luottamusta kanavaan ja voivat johtaa valvontaviranomaisen huomioon.

Seurannassa kannattaa mitata ainakin ilmoitusten määrää, käsittelyaikoja suhteessa lakisääteisiin rajoihin ja sitä, käytetäänkö kanavaa aidosti anonyymisti. Yhteistyö naapurikuntien kanssa yhteisen kanavan tai ulkoistetun palvelun muodossa voi olla järkevää, kunhan sopimuksessa on selkeät vastuut ja riippumattomuus turvattu.

Ilmoituskanavan yhteyshenkilöt ja vastuutahot kunnissa

Kunnan on nimettävä selkeä vastuutaho ilmoitusten käsittelyyn, eikä tämä voi olla kuka tahansa organisaatiossa. Käsittelijän riippumattomuus tarkoittaa käytännössä sitä, että hän ei raportoi suoraan johdolle, jota ilmoitus voi koskea, ja ettei hänellä ole eturistiriitaa käsiteltävän asian kanssa.

Useissa kunnissa vastuu on jaettu hallintojohtajan, henkilöstöjohtajan tai sisäisen tarkastuksen kesken. Suuremmissa kaupungeissa ja kuntayhtymissä on tavallista perustaa erillinen käsittelyryhmä, jossa on mukana lakimies, HR-edustaja ja tarvittaessa ulkopuolinen asiantuntija. Pienemmissä kunnissa käsittelijä voi olla yksittäinen viranhaltija, jolle on annettu selkeä valtuutus ja koulutus tehtävään.

Vastuutahon nimi ja yhteystiedot kannattaa olla helposti löydettävissä kunnan verkkosivuilla ja intranetissä, sillä epäselvyys siitä, kuka ilmoitusta käsittelee, heikentää luottamusta kanavaan. Samalla kannattaa nimetä varahenkilö tilanteisiin, joissa varsinainen käsittelijä on itse osapuolena ilmoituksessa tai poissa pidempään. Tämä ei ole muodollisuus, vaan käytännön edellytys sille, että 7 päivän kuittausraja pitää myös lomakausina tai sairaustapauksissa.

Ilmoituskanavan käytön koulutus ja tiedottaminen henkilöstölle

Kanava, jota henkilöstö ei tunne, ei täytä tarkoitustaan. Tiedottamisen pitää olla jatkuvaa, ei kertaluonteinen sähköposti käyttöönoton yhteydessä.

Koulutuksen kannalta olennaisinta on selittää kolme asiaa: mistä asioista voi ilmoittaa, miten ilmoitus tehdään ja mitä ilmoittajalle tapahtuu sen jälkeen. Moni työntekijä jättää ilmoittamatta, koska ei tiedä, kuuluuko havaittu epäkohta lain soveltamisalaan vai onko kyse tavallisesta työpaikan erimielisyydestä. Selkeät esimerkit, esimerkiksi hankintaan liittyvä epäasiallinen menettely tai talousrikoksen epäily, auttavat rajaamaan kanavan käyttötarkoitusta.

Perehdytys uusille työntekijöille kannattaa sisällyttää osaksi normaalia perehdytysprosessia, ja koko henkilöstölle suunnattu kertaus on hyvä toistaa vähintään vuosittain. Esimiehille tarvitaan oma koulutuksensa, koska he ovat usein ensimmäinen kontakti, jolle työntekijä puhuu epäkohdasta ennen varsinaista ilmoitusta. Esimiehen on osattava ohjata asia oikeaan kanavaan sen sijaan, että hän yrittää ratkaista sen itse.

Viestinnässä kannattaa korostaa myös sitä, että ilmoittajan suoja koskee myös vilpittömässä mielessä tehtyjä, virheellisiksi osoittautuvia ilmoituksia. Tämä pelko on yksi yleisimmistä syistä, joiden takia kanavaa käytetään vähemmän kuin sen tarve edellyttäisi.

Ilmoituskanavan tehokkuuden seuranta ja raportointi kunnissa

Kanavan olemassaolo ei riitä, jos kukaan ei seuraa, toimiiko se. Seurannan pitää kattaa vähintään kolme asiaa: ilmoitusmäärät, käsittelyaikojen toteutuminen suhteessa lakisääteisiin rajoihin ja se, kokevatko ilmoittajat kanavan turvalliseksi.

Käsittelyajat kannattaa raportoida säännöllisesti johdolle, esimerkiksi puolivuosittain, jotta poikkeamat 7 päivän kuittausrajaan tai 3 kuukauden palautteeseen huomataan ajoissa. Jos ilmoituksia ei tule lainkaan pitkään aikaan, se ei automaattisesti tarkoita, että kaikki on kunnossa. Yleisempi selitys on, että henkilöstö ei tunne kanavaa tai ei luota sen luottamuksellisuuteen.

Raportoinnissa on tasapainoiltava avoimuuden ja anonymiteetin välillä. Yksityiskohtainen julkinen raportointi yksittäisistä tapauksista voisi paljastaa ilmoittajan tai kohteen henkilöllisyyden pienessä organisaatiossa, joten seuranta kannattaa pitää tilastotasolla: kuinka monta ilmoitusta, mihin kategorioihin ne jakautuvat ja kuinka moni käsiteltiin määräajassa.

Osa kunnista on ottanut käyttöön vuosittaisen sisäisen katsauksen, jossa käsittelijä esittää luottamuksellisen yhteenvedon johtoryhmälle tai tarkastuslautakunnalle. Tämä ei ainoastaan täytä valvontavelvoitetta, vaan antaa myös tietoa siitä, tarvitseeko prosessia, koulutusta tai teknistä ratkaisua kehittää.

Ilmoituskanavaan liittyvät hyvät käytännöt ja tavalliset haasteet kuntasektorilla

Yleisin haaste ei ole lainsäädännön tulkinta vaan käytännön toteutus pienellä resurssilla. Moni kunta perustaa kanavan lain vähimmäisvaatimusten mukaan, mutta unohtaa ylläpitää sitä: käsittelijä vaihtuu ilman uutta nimeämistä, tai lomake jää löytymättä uudistetuilta verkkosivuilta.

Toinen tyypillinen ongelma on käsittelijän riippumattomuuden vaarantuminen käytännössä, vaikka se olisi paperilla kunnossa. Pienessä kunnassa käsittelijä tuntee usein kaikki osapuolet henkilökohtaisesti, mikä voi heikentää luottamusta kanavaan, vaikka muodollinen riippumattomuus täyttyisi.

Hyviä käytäntöjä ovat selkeä kirjallinen prosessikuvaus, joka on saatavilla myös henkilöstölle, säännöllinen koulutus ja se, että kanava testataan säännöllisesti teknisesti toimivaksi. Moni kunta on myös ottanut käyttöön varahenkilöjärjestelyn, jotta käsittely ei pysähdy yhden henkilön poissaolon takia.

Kolmas haaste liittyy määräaikoihin: seitsemän päivän kuittausraja ja kolmen kuukauden palauteraja unohtuvat helposti, jos kanavaa ei ole kytketty muistutusjärjestelmään. Tässä tekninen ratkaisu, joka seuraa määräaikoja automaattisesti, poistaa inhimillisen unohduksen riskin kokonaan. Neljäs, harvemmin puhuttu haaste on ilmoitusten vähäinen määrä tietyillä toimialoilla, mikä ei kerro ongelmien puutteesta vaan usein siitä, että henkilöstö ei vielä luota kanavan toimivuuteen.

Ilmoituskanavaan liittyvät hyvät käytännöt ja tavalliset haasteet kuntasektorilla — overview diagram

Asiantuntijan näkemys ja teknologian rooli

Lain kirjain ei ratkaise, käyttääkö henkilöstö kanavaa oikeasti. Ratkaisevaa on, tuntuuko kanava turvalliselta ja toimivalta, kun ilmoitus todella tehdään. Tässä audit trail ja anonymisointi eivät ole teknisiä yksityiskohtia, vaan ne ratkaisevat, uskaltaako ilmoittaja täydentää tietojaan jälkikäteen menettämättä anonymiteettiään. Seurantalinkki, joka sallii lisätiedon toimittamisen nimettömänä, on käytännössä usein se tekijä, joka ratkaisee saadaanko tutkintaan riittävästi tietoa kolmen kuukauden palauterajan sisällä.

Hosting-valinnalla on merkitystä myös luottamuksen kannalta: kun järjestelmä on GDPR-yhteensopiva ja riippumaton siitä organisaatiosta, jota ilmoitukset voivat koskea, ilmoittaja voi luottaa siihen, ettei tietoja käsitellä samassa hallinnollisessa rakenteessa kuin epäilty rikkomus. Ashion kuvaus omasta ratkaisustaan osoittaa, että tämä on ratkaistavissa teknisesti, ei vain menettelyohjeilla.

— Author

Miten Ashio auttaa kuntia täyttämään ilmoituskanavan vaatimukset

Ashio on vaihtoehto sille, että kunta rakentaa ilmoituskanavan itse hajanaisista osista, sähköpostilaatikosta, lomakepohjasta ja erillisestä Excel-seurannasta. Palvelu täyttää direktiivin ja ISO 37002:2021 -standardin vaatimukset valmiiksi: anonymisointi ilman IP- tai evästeseurantaa, auditointikelpoinen lokikirja ja reaaliaikainen tapausten seuranta samassa hallintapaneelissa. Ilmoittaja saa seurantalinkin, jolla hän voi täydentää tietojaan menettämättä nimettömyyttään, ja käsittelijä näkee määräaikojen valvonnan automaattisesti sen sijaan, että 7 päivän ja 3 kuukauden rajoja seurattaisiin muistin varassa.

Palvelu on rakennettu monikieliseksi ja GDPR-yhteensopivaksi, ja se soveltuu HR-, compliance- ja lakiasiaintiimien yhteistyöhön riippumatta kunnan koosta. Jos kunta harkitsee, ottaako se käyttöön oman kanavan vai etsii valmiin ratkaisun, kannattaa tutustua Ashion ilmoittajansuojelulakia käsittelevään sivuun ja varata demo, jossa käydään läpi juuri kunnan omaan organisaatiokokoon sopiva toteutus.

Lähteet

Suositukset