Ashio whistleblowing software

Oct 11, 2026

Roller i whistleblowerordningen: hvem gør hvad — fra bestyrelse til sagsbehandler

Roller i whistleblowerordningen: hvem gør hvad — fra bestyrelse til sagsbehandler

De fleste danske virksomheder ved, at de skal have en whistleblowerordning — men når det kommer til fordelingen af roller og ansvar, bliver det hurtigt uklart. Denne guide giver et konkret overblik over, hvem der gør hvad i en compliant dansk ordning, og hvordan du undgår de typiske ansvarsglidninger, der gør en sag vanskelig at håndtere. Rollerne i en whistleblowerordning skal fordeles, dokumenteres og gentænkes ved hver organisationsændring — ellers risikerer du, at en alvorlig sag ender hos den forkerte person, at frister overskrides, eller at bestyrelsen først hører om sagen, når skaden er sket.

Indholdsfortegnelse

De vigtigste pointer

  • Roller og ansvar i whistleblowerordningen er ikke kun en organisatorisk øvelse — de er et direkte krav i EU-direktiv 2019/1937 og dansk lov, der pålægger virksomheder klare interne ansvarslinjer.
  • Bestyrelsen bærer det ultimative ansvar, men det er complianceansvarlige, HR, DPO og sagsbehandlere, der driver sagen i praksis, og deres samspil afgør kvaliteten.
  • Fristerne på syv dage for kvittering og tre måneder for feedback kræver, at mindst én person altid har ejerskab — uklarhed om roller er den hyppigste årsag til fristbrud.
  • En ekstern, upartsk instans kan være relevant, når sagen involverer topledelsen, eller når den interne kapacitet er for lille til at håndtere sagen upartisk.
  • Dokumentation af roller, ansvar og processer er afgørende for at kunne bevise over for myndigheder, revisorer og datatilsynet, at ordningen fungerer efter hensigten.

Hvorfor roller og ansvar er afgørende for en compliant whistleblowerordning

Roller og ansvar er rygraden i enhver velfungerende whistleblowerordning, fordi de afgør, om en indberetning bliver håndteret korrekt, rettidigt og uden interessekonflikter. Uden klart definerede roller risikerer du, at sager bliver syltet, at fortrolige oplysninger siver, eller at whistlebloweren mister tilliden til kanalen og søger andre veje.

EU-direktiv 2019/1937 og den danske implementering stiller ikke kun krav om, at der findes en indberetningskanal — de kræver også, at organisationen kan dokumentere, hvem der modtager, behandler og følger op på indberetninger. Det er et krav om ledelsesmæssig forankring og operationelt ansvar, ikke kun en teknisk løsning.

En whistleblowerordning er ikke en indbakke, der bare skal tømmes. Den er en proces med modtagelse, triagering, objektiv vurdering, kommunikation med indberetteren, opfølgning og rapportering til ledelsen. Hvert skridt kræver en person med klart mandat, klare beføjelser og klart ansvar — ellers bliver processen en flaskehals.

Hvad siger dansk lov og EU-direktivet 2019/1937 om roller?

EU-direktiv 2019/1937 kræver, at virksomheder med mindst 50 ansatte opretter en intern indberetningskanal og udpeger en ansvarlig person eller afdeling, der modtager indberetninger og følger op på dem. Direktivet stiller krav om upartiskhed, fortrolighed og frister — syv dage til kvittering og tre måneder til feedback — men det er op til den enkelte organisation at definere, hvordan rollerne konkret fordeles.

I Danmark er direktivet implementeret gennem lov om beskyttelse af whistleblowere, der trådte i kraft i 2021. Loven pålægger danske virksomheder at udpege en upartsk person eller enhed, der skal modtage indberetninger, og den understreger, at denne person skal have de nødvendige ressourcer og den nødvendige uafhængighed til at håndtere sagerne korrekt.

EU-direktiv 2019/1937 (EUR-Lex) er det centrale juridiske grundlag for whistleblowerordninger i hele EU, og den danske lov bygger direkte på dets krav om roller, frister og fortrolighed. Hvis du vil forstå samspillet mellem EU-reglerne og dansk implementering, kan du læse mere om EU-direktivets krav til whistleblowerordninger.

Hvilke minimumskrav stiller loven til rollerne?

Loven kræver som minimum, at der udpeges en ansvarlig person eller afdeling, at der etableres en fortrolig kanal, og at der indføres procedurer for kvittering og feedback. Den kræver derimod ikke specifikke stillingsbetegnelser — det er organisationens eget ansvar at definere, hvordan rollerne konkret besættes, så længe ansvaret er klart placeret.

Hvem er juridisk ansvarlig, hvis ordningen svigter?

Det øverste ansvar ligger hos virksomhedens ledelse, men det daglige ansvar kan delegeres. Det ændrer dog ikke ved, at bestyrelsen kan holdes personligt ansvarlig, hvis det viser sig, at der ikke var tilstrækkelig forankring, ressourcer eller uafhængighed i ordningen.

Hvem er typisk involveret — og hvad er deres rolle?

I en dansk whistleblowerordning er der typisk fire til syv roller i spil, afhængigt af organisationens størrelse og kompleksitet. De vigtigste er bestyrelsen, den complianceansvarlige, HR, DPO'en og sagsbehandleren, men i større organisationer kan der også være en separat whistleblower-koordinator, en juridisk rådgiver og en ekstern part.

Det er afgørende, at rollerne er adskilte nok til at sikre upartiskhed, men tæt nok på hinanden til, at sagen kan håndteres effektivt. Hvis complianceansvarlige og HR for eksempel sidder i samme afdeling og refererer til samme direktør, kan det skabe en interessekonflikt, når sagen handler om en kollega i direktionen.

En god tommelfingerregel er, at den person, der modtager indberetningen, ikke bør være den samme som den person, der træffer beslutning i sagen. Det kræver mindst to funktioner — en modtagerfunktion og en beslutningsfunktion — og i praksis ofte en tredje, der sikrer upartiskhed og dokumentation.

Hvor mange roller skal en lille virksomhed have?

En lille virksomhed med 50–100 ansatte kan typisk nøjes med to roller: en complianceansvarlig, der modtager og triagerer sager, og en sagsbehandler, der følger op. Bestyrelsen er fortsat det overordnede ansvar, men det er ikke nødvendigt at oprette en særskilt stilling alene til whistleblowerordningen.

Hvad kræver det at have en upartsk modtagerfunktion?

Upartisk betyder ikke nødvendigvis ekstern — det betyder, at modtageren ikke har en personlig eller organisatorisk interesse i sagens udfald. I praksis kan det være complianceansvarlige, HR-chefer, en juridisk rådgiver eller en ekstern advokat, afhængigt af hvad der er upartisk i den konkrete sag.

Bestyrelse og topledelse: det overordnede ansvar

Bestyrelsen bærer det overordnede ansvar for, at whistleblowerordningen eksisterer, er funktionsdygtig og har de nødvendige ressourcer. Det er ikke bestyrelsens opgave at håndtere enkeltsager — det er deres opgave at sikre, at rammerne er på plads, og at der føres tilsyn med, at ordningen fungerer.

I praksis betyder det, at bestyrelsen skal godkende politikken for whistleblowerordningen, sikre budget til de nødvendige værktøjer og ressourcer, og modtage periodisk rapportering om antallet og typen af indberetninger. Bestyrelsen skal også sikre, at den complianceansvarlige har den nødvendige uafhængighed og rapporteringslinje.

Bestyrelsens rolle er særligt vigtig, når sagen handler om topledelsen selv. I sådanne tilfælde kan bestyrelsen ikke blot overlade sagen til den administrerende direktør — den skal etablere en særskilt håndtering, ofte med ekstern bistand, for at sikre upartiskhed.

Hvordan bør bestyrelsen involveres i konkrete sager?

Bestyrelsen bør som udgangspunkt kun involveres i alvorlige sager eller sager, der involverer direktionen. Den daglige håndtering ligger hos complianceansvarlige og sagsbehandlere, men bestyrelsen skal have en rapporteringslinje, der sikrer, at den kan føre tilsyn uden at blive en del af sagens operative håndtering.

Hvad sker der, hvis bestyrelsen ikke tager ansvar?

Hvis bestyrelsen ikke forankrer whistleblowerordningen tilstrækkeligt, risikerer virksomheden både regulatoriske sanktioner og omdømmeskader. I alvorlige tilfælde kan bestyrelsesmedlemmer holdes personligt ansvarlige, hvis det kan påvises, at de har undladt at handle trods viden om problemer.

Complianceansvarlig: den daglige driver

Complianceansvarlige er det operationelle omdrejningspunkt i whistleblowerordningen og har typisk det daglige ansvar for at modtage, triagere og koordinere indberetninger. De er bindeleddet mellem indberetteren, sagsbehandleren, HR, DPO'en og ledelsen, og de sikrer, at processen følger de fastlagte procedurer.

Complianceansvarlige skal have en dyb forståelse af både whistleblower-direktivet, GDPR og organisationens interne politikker. De skal kunne vurdere, om en indberetning er omfattet af beskyttelse, om der er behov for umiddelbare foranstaltninger, og hvordan sagen bedst håndteres under hensyn til fortrolighed og upartiskhed.

En typisk arbejdsdag for en complianceansvarlig involverer triage af nye indberetninger, korrespondance med whistleblowere via en sikker kanal, koordinering med HR og sagsbehandlere, samt rapportering til ledelsen. Det er en rolle, der kræver både juridisk indsigt, menneskelig dømmekraft og teknisk forståelse.

Hvis du er ansvarlig for compliance i en dansk virksomhed, kan du få et samlet overblik over de opgaver og værktøjer, der hører til rollen, på siden for complianceansvarlige.

Hvordan adskiller complianceansvarliges rolle sig fra DPO'ens?

Complianceansvarlige har fokus på whistleblowerordningen som helhed — processer, frister, politik og rapportering. DPO'en har fokus på databeskyttelse og GDPR-compliance og skal primært sikre, at personoplysninger i indberetninger håndteres korrekt. De to roller overlapper, men de er ikke identiske — en complianceansvarlig kan ikke træde i stedet for en DPO i spørgsmål om databeskyttelse.

Hvad kræver det at være complianceansvarlig for whistleblowerordningen?

Det kræver en kombination af juridisk viden, organisatorisk forståelse og teknisk kunnen. Complianceansvarlige skal kende direktivet, kunne håndtere fortrolige samtaler, forstå GDPR-reglerne og have evnen til at koordinere på tværs af HR, juridisk og ledelse. Det er en rolle, der kræver både substans og autoritet.

HR, DPO og sagsbehandler: samspillet i praksis

HR, DPO og sagsbehandler: samspillet i praksis HR, DPO'en og sagsbehandleren udgør kernen i den daglige håndtering af indberetninger, og deres samspil afgør, om sagen håndteres korrekt. HR bidrager med viden om personalesager og ansættelsesretlige forhold, DPO'en sikrer GDPR-compliance, og sagsbehandleren står for den faktiske opfølgning og konklusion.

Sagsbehandleren kan være en intern medarbejder med særlig kompetence — typisk fra compliance, HR eller juridisk — eller en ekstern rådgiver. Sagsbehandleren har ansvaret for den konkrete undersøgelse, dokumentation og afslutning af sagen, og det er denne rolle, der ofte er mest arbejdstung.

Samspillet mellem de tre roller kræver klare procedurer: Hvem modtager indberetningen? Hvem vurderer, om den er omfattet af whistleblowerbeskyttelse? Hvem håndterer personalespørgsmål? Hvem sikrer, at personoplysninger behandles korrekt? Og hvem følger op over for indberetteren?

Hvis du vil se, hvordan en intern indberetningskanal kan understøtte dette arbejde og sikre, at de nødvendige data er tilgængelige for de rette roller, kan du læse mere om, hvordan strukturen typisk er bygget op.

Hvornår bør HR inddrages i en sag?

HR bør inddrages, så snart sagen involverer personalespørgsmål som kontraktbrud, chikane, sygefravær eller afskedigelse. HR bør dog ikke inddrages i sager, der involverer HR-chefen selv eller HR-afdelingen som helhed — i sådanne tilfælde skal sagen håndteres af en anden upartsk instans.

Hvad er DPO'ens rolle i en konkret sag?

DPO'ens rolle er primært rådgivende og kontrollerende. DPO'en skal sikre, at personoplysninger i indberetningen behandles lovligt, at der er det rette retsgrundlag, og at oplysningerne slettes, når formålet er opfyldt. DPO'en skal ikke nødvendigvis håndtere selve sagen, men skal have indsigt i, hvordan personoplysninger behandles.

Hvordan vælger man den rette sagsbehandler?

Sagsbehandleren skal have upartiskhed, kompetence og tid. Upartiskhed betyder, at sagsbehandleren ikke har en personlig interesse i sagens udfald. Kompetence betyder, at sagsbehandleren har de nødvendige undersøgelses- og dokumentationsfærdigheder. Og tid betyder, at sagsbehandleren reelt har kapacitet til at håndtere sagen inden for de lovfastsatte frister.

Ekstern part som upartsk instans — hvornår giver det mening?

En ekstern part kan være relevant i to situationer: når sagen involverer topledelsen eller personer i ledende stillinger, og når organisationen ikke selv har den nødvendige kapacitet eller upartiskhed til at håndtere sagen. En ekstern advokat, revisor eller compliance-rådgiver kan bringe både upartiskhed og specialiseret viden ind i sagen.

Fordelen ved en ekstern part er, at den har ingen organisatorisk binding til sagen og dermed kan håndtere den uden interessekonflikter. Ulempen er, at den eksterne part ofte har brug for adgang til interne systemer og dokumenter, hvilket kan skabe udfordringer med fortrolighed og GDPR.

I praksis vælger mange danske virksomheder en hybridmodel, hvor en ekstern part fungerer som modtager af indberetninger, mens den interne complianceansvarlig eller sagsbehandler følger op. Det giver en klar adskillelse mellem modtagelse og håndtering, og det sikrer, at indberetteren har tillid til kanalen.

Hvis du vil forstå, hvordan en GDPR-kompatibel løsning fungerer i praksis — herunder hvordan personoplysninger behandles, og hvordan data slettes efter endt sag — kan du læse mere på siden om GDPR og whistleblowerordninger.

Hvornår er en ekstern part et krav?

Der er ingen lov, der direkte kræver en ekstern part, men i praksis er det vanskeligt at håndtere en sag upartisk, hvis den involverer hele direktionen eller bestyrelsen. I sådanne tilfælde er en ekstern part ikke kun en god idé — det er ofte en nødvendighed for at sikre, at sagen kan håndteres uden mistanke om favorisering.

Hvordan vælger man den rette eksterne part?

Det er værter, der kender både whistleblower-direktivet og dansk arbejdsret, og som har erfaring med at håndtere fortrolige sager. Det er en ulempe at vælge en ekstern part, der ikke forstår organisationens kontekst, men det er også en ulempe at vælge en part, der er for tæt på ledelsen til at være upartisk.

Ofte stillede spørgsmål

Hvem har det overordnede ansvar for whistleblowerordningen i en dansk virksomhed?

Bestyrelsen har det overordnede ansvar for, at whistleblowerordningen eksisterer, er funktionsdygtig og har de nødvendige ressourcer. Det daglige ansvar kan delegeres til en complianceansvarlig, men bestyrelsen kan ikke fraskrive sig det overordnede ansvar, og den skal føre tilsyn med, at ordningen fungerer efter hensigten.

Skal vi have en DPO involveret i alle indberetninger?

Nej, DPO'en behøver ikke være involveret i alle indberetninger, men DPO'en skal have indsigt i, hvordan personoplysninger behandles i ordningen. DPO'en bør inddrages, når der er tvivl om GDPR-compliance, når sagen involverer følsomme personoplysninger, eller når der skal træffes beslutning om sletning eller videregivelse af data.

Kan HR og complianceansvarlig være den samme person?

Det kan være en udfordring, fordi det skaber en koncentration af ansvar, der gør det vanskeligt at håndtere sager upartisk — især sager, der involverer HR-chefen selv. I mindre organisationer kan det være en praktisk løsning, men det kræver, at der er klare procedurer for, hvordan sager, der involverer HR, håndteres af en anden instans.

Hvad gør vi, hvis indberetningen handler om en person i complianceafdelingen?

I sådanne tilfælde skal sagen håndteres af en upartsk instans — typisk en ekstern advokat eller en særskilt udpeget person i direktionen eller bestyrelsen. Det er afgørende, at den person, der normalt ville modtage indberetningen, ikke er involveret i sagen, og at der etableres en alternativ rapporteringslinje for netop denne type sager.

Hvor ofte skal rollerne i whistleblowerordningen evalueres?

Rollerne bør evalueres mindst én gang om året og altid ved større organisatoriske ændringer som direktørskift, fusioner eller ændringer i complianceafdelingen. Det er ikke nok at evaluere procedurerne — det er selve rollefordelingen, der skal være opdateret, fordi en uklar rollefordeling er en af de hyppigste årsager til, at sager håndteres forkert.

Kilder