Ashio whistleblowing software

Sisäinen ja ulkoinen ilmoituskanava: milloin kumpaa käytetään

Kädet lukitsemassa turvallista sisäistä postilokeroa

Ilmoita ensisijaisesti organisaation sisäiseen ilmoituskanavaan. Ulkoinen keskitetty kanava, jota Suomessa hoitaa Oikeuskanslerinvirasto, on vaihtoehto vain silloin, kun sisäinen kanava ei ole käytettävissä, se ei toimi tehokkaasti tai ilmoittaja pelkää vastatoimia. Tämä hierarkia perustuu ilmoittajansuojelulakiin (1171/2022) ja siihen pohjautuvaan EU:n whistleblowing-direktiiviin (2019/1937).

Lyhyesti:

  • Sisäisen ilmoituskanavan tulee olla helposti saavutettavissa ja sitä on ylläpidettävä luottamuksen varmistamiseksi rajoittamalla tietoihin pääsy vain nimetyille käsittelijöille.
  • Ulkoinen kanava toimii viranomaisen ylläpitämänä ja on käytettävissä, jos organisaation sisäinen kanava ei ole käytettävissä tai ei toimi tehokkaasti.
  • Ilmoittajansuojelulaki ei pakota ensisijaisesti käyttämään ulkoista kanavaa, mutta antaa oikeuden valita sen, jos sisäinen reitti ei täytä vaatimuksia tai ei ole käytettävissä.
  • Organisaation on nimettävä puolueeton käsittelijä, varmistettava henkilötietojen salassapito ja vastattava ilmoituksiin nopeasti, yleensä seitsemän päivän sisällä.
  • Ashio tarjoaa valmiin, lainmukaisen ilmoituskanavan, joka on teknisesti turvallinen, monikielinen ja sisältää reaaliaikaisen seurantalinkin, mikä lisää yrityksen vastuullisuutta.

Sisällysluettelo

Sisäinen ja ulkoinen ilmoituskanava: keskeiset erot

Sisäinen ilmoituskanava on organisaation itse ylläpitämä väylä, jonka kautta työntekijä ilmoittaa epäillystä väärinkäytöksestä suoraan nimetylle käsittelijälle. Korruptiontorjunta pääsy ilmoitusten tietoihin on rajattava vain erikseen nimetylle käsittelytiimille, ei koko henkilöstölle. Tämä rajaus on koko järjestelmän luottamuksen perusta: jos kuka tahansa esihenkilö voi lukea ilmoituksia, harva uskaltaa käyttää kanavaa.

Ulkoinen kanava toimii viranomaisen ylläpitämänä, organisaatiosta riippumattomana väylänä. Se ei korvaa sisäistä kanavaa, vaan täydentää sitä tilanteissa, joissa sisäinen reitti ei riitä.

Molemmissa kanavissa lainsäädäntö edellyttää mahdollisuutta anonyymiin ilmoitukseen, mutta käytännön toteutus vaihtelee paljon organisaatioittain.

  • Vastaanotto: sisäisessä kanavassa vastaanottajana toimii nimetty henkilö tai tiimi, ulkoisessa Oikeuskanslerinviraston asiantuntijat.
  • Anonymiteetti: sisäinen kanava voi olla anonyymi vain, jos tekninen alusta on suunniteltu siihen alusta asti; ulkoisessa kanavassa anonymiteetti on lähtökohta.
  • Nopeus: sisäinen käsittely on usein nopeampaa, koska käsittelijä tuntee organisaation kontekstin.
  • Riippumattomuus: ulkoinen kanava sopii, jos ilmoittaja epäilee sisäisen käsittelyn puolueellisuutta.

Rajoituksena sisäisessä kanavassa on riski, että käsittelijä on liian lähellä ilmoituksen kohdetta. Ulkoisen kanavan rajoitus on hidastavampi prosessi ja se, että viranomainen käsittelee vain oman toimivaltansa piiriin kuuluvia asioita.

Milloin ilmoittaa sisäisesti, milloin ulkoisesti

Lähtökohta on yksinkertainen: sisäinen kanava ensin, poikkeukset perustellusti. Ilmoittajansuojelulaki ei pakota käyttämään ulkoista kanavaa ensin missään tilanteessa, mutta se antaa ilmoittajalle oikeuden valita ulkoinen reitti, jos edellytykset täyttyvät.

  1. Ilmoita sisäisesti, kun organisaatiolla on toimiva kanava ja ilmoittaja luottaa käsittelyn puolueettomuuteen.
  2. Siirry ulkoiseen kanavaan, jos sisäistä kanavaa ei ole, se ei ole käytettävissä tai epäillyn väärinkäytöksen tekijä on osa käsittelyprosessia.
  3. Käytä ulkoista kanavaa myös, jos sisäinen ilmoitus on jo tehty, mutta organisaatio ei ole reagoinut kohtuullisessa ajassa tai vastatoimien uhka on todellinen.

Jos organisaation vaste jää riittämättömäksi, ilmoittajaa suojaa laki myös silloin, kun hän vie asian suoraan viranomaiselle. Tätä oikeutta ei tarvitse perustella etukäteen organisaatiolle.

Ilmoittajansuojelulaki, EU-direktiivi ja työntekijämääräraja

Ilmoittajansuojelulaki (1171/2022) panee kansallisesti täytäntöön EU:n whistleblowing-direktiivin (2019/1937). Laki velvoittaa organisaatiot, joilla on työntekijöitä vähintään keskisuuri organisaatiokoko, perustamaan sisäisen ilmoituskanavan ja määrittämään sille vastuulliset käsittelijät. Keskuskauppakamarin tiedotteen mukaan rahoitussektorilla on omia erityissäännöksiä, jotka voivat koskea myös pienempiä toimijoita niiden toiminnan luonteen vuoksi.

Statistiikka lyhyesti: Oikeuskanslerinviraston keskitetty ulkoinen ilmoituskanava avautui 1.1.2023, ja se toimii koko maan kattavana vaihtoehtona, kun sisäinen kanava ei ole käytettävissä tai ei toimi.

Lain keskeiset velvoitteet organisaatiolle:

  • nimetä puolueeton käsittelijä tai käsittelytiimi
  • varmistaa ilmoittajan henkilöllisyyden salassapito
  • vahvistaa ilmoituksen vastaanotto seitsemän päivän kuluessa
  • antaa palaute käsittelyn etenemisestä kolmen kuukauden kuluessa

Siirtymäajat porrastettiin organisaation koon mukaan: suuremmat toimijat velvoitettiin liikkeelle ensin, pienemmät myöhemmin. Käytännön suositus on rakentaa kanava valmiiksi hyvissä ajoin ennen oman kokoluokan määräaikaa, ei viime hetkellä. EU-direktiivin kansallinen soveltaminen vaihtelee jäsenvaltioittain, mutta suomalainen laki on yhdenmukainen direktiivin vähimmäisvaatimusten kanssa.

Miten rakennat toimivan sisäisen ilmoituskanavan

Toimiva kanava ei synny lomakkeesta yksin. Se vaatii selkeät roolit, dokumentoidun prosessin ja teknisen ratkaisun, joka pitää ilmoittajan tunnistamattomana koko käsittelyn ajan.

  1. Nimeä vastuulliset käsittelijät. Valitse henkilöt, jotka ovat riippumattomia tutkittavista asioista, ja rajaa pääsy tietoihin heihin.
  2. Rakenna vastaanottoprosessi. Määrittele, miten ilmoitus kirjataan, kuka sen näkee ja missä ajassa ilmoittaja saa vahvistuksen.
  3. Tutki ja päätä. Kirjaa tutkinnan vaiheet, johtopäätökset ja toimenpiteet auditointikelpoiseen lokiin.
  4. Anna palaute ilmoittajalle. Kerro, mihin asia on johtanut, kunnioittaen samalla muiden osapuolten oikeuksia.

Tietosuoja on koko prosessin selkäranka. Cookiedatabase kuvaamat seurantatekniikat, kuten evästeet ja IP-pohjainen jäljitys, voivat paljastaa ilmoittajan henkilöllisyyden vahingossa, joten raportointisivun kannattaa olla vapaa tällaisesta seurannasta. Monet organisaatiot, esimerkiksi Jyväskylän yliopisto, ovat julkaisseet omat ohjeensa kirjaamisesta ja salassapidosta esimerkiksi muille toimijoille.

Ammattilaisen vinkki: Testaa raportointilomake itse ennen julkaisua. Jos pystyt jäljittämään testi-ilmoituksen lähettäjän selaimen historian tai IP-osoitteen perusteella, järjestelmä ei täytä anonymiteetin vaatimusta.

Kädet testaamassa nimettömän ilmoituslomakkeen toimintaa älypuhelimella

Ulkoinen kanava käytännössä: näin Oikeuskanslerinvirasto toimii

Oikeuskanslerinviraston keskitetty ulkoinen ilmoituskanava toimii koko maan tasolla ja ottaa vastaan ilmoituksia, joita sisäinen kanava ei ole käsitellyt tehokkaasti. Ilmoituksen tekeminen tapahtuu viraston omalla sähköisellä lomakkeella, ja viranomainen arvioi, kuuluuko asia sen omaan toimivaltaan tai onko se siirrettävä toiselle viranomaiselle.

  • Ilmoitus voidaan tehdä suoraan ulkoiseen kanavaan, jos sisäistä kanavaa ei ole tai sen käyttö vaarantaisi ilmoittajan turvallisuuden.
  • Viranomainen siirtää asian eteenpäin, jos toimivalta kuuluu esimerkiksi Finanssivalvonnalle tai muulle sektorikohtaiselle valvojalle.
  • Ilmoittajan suojatoimet, kuten vastatoimien kielto, säilyvät voimassa myös ulkoisessa käsittelyssä.

Käsittelyajat vaihtelevat asian laajuuden mukaan, mutta laki edellyttää säännöllistä yhteydenpitoa ilmoittajaan.

Ashio vastaa lain vaatimuksiin käytännössä

Ashio rakentaa organisaatioille sisäisen ilmoituskanavan, joka täyttää ilmoittajansuojelulain ja ISO 37002:2021 -standardin vaatimukset. Raportointisivu on kokonaan vapaa IP-, eväste- ja fingerprinting-seurannasta, joten ilmoittajan henkilöllisyys ei paljastu teknisten jälkien kautta. Ilmoittaja saa anonyymin seurantalinkin, jolla hän voi tarkistaa tapauksen tilan reaaliaikaisesti ilman, että hänen tarvitsee paljastaa itseään.

Käsittelijätiimille Ashio tarjoaa auditointikelpoisen lokikirjan, määräaikojen valvonnan ja räätälöidyt lomakkeet eri osastoille. Data isännöidään Sveitsissä, ja palvelu tukee useita kieliä, mikä helpottaa monikansallisten organisaatioiden compliance-tiimien työtä.

Miksi ilmoituskanava on vastuullisuusvalinta, ei pelkkä velvoite

Moni organisaatio lähestyy ilmoituskanavaa pakkopullana, joka pitää saada valmiiksi määräaikaan mennessä. Se on virheellinen kehys. Toimiva kanava tuo esiin ongelmat ennen kuin ne kasvavat oikeusjutuiksi tai mediakohuksi, ja Keskuskauppakamari on todennut kanavan olevan oleellinen osa organisaation vastuullisuutta, ei irrallinen lakipykälä.

Kannattavin ajoitus on rakentaa kanava kuntoon hyvissä ajoin ennen oman kokoluokan siirtymäajan päättymistä, ei viimeisenä viikkona. Maineen ja riskienhallinnan kannalta etulyöntiasema on aina halvempi kuin jälkikäteinen korjaus.

— Author

Aloita Ashion sisäinen ilmoituskanava tänään

Ashio on valmis vaihtoehto rakentaa itse tai ostaa hajanaisia osia eri toimittajilta. Se antaa organisaatiolle käyttövalmiin, lain vaatimukset täyttävän kanavan ilman kuukausien kehitystyötä: anonyymi raportointisivu, auditointikelpoinen loki, määräaikojen valvonta ja monikielinen käyttöliittymä ovat käytössä yhden käyttöönoton jälkeen. HR-, compliance- ja lakitiimit voivat jakaa käsittelyvastuun samassa työkalussa sen sijaan, että tieto pirstaloituu sähköposteihin ja taulukkoihin.

Aloita Ashion sisäinen ilmoituskanava tänään — overview diagram

Käyttöönotto alkaa 14 päivän kokeilujaksolla, jonka aikana näet, miten ilmoitukset kulkevat vastaanotosta päätökseen. Tutustu tarkemmin siihen, miten ilmoittajansuojelulain vaatimukset täyttyvät käytännössä, ja pyydä organisaatiollesi demo, jotta näet lokikirjan ja seurantalinkin toiminnassa oman tapauksesi kautta.

Lähteet

Suositus