Sep 14, 2026
Sisäisen ilmoituskanavan vaatimukset johtajille ja compliance-vastaaville
Organisaation on tarjottava lainmukainen sisäinen ilmoituskanava, joka täyttää anonymiteetin, seitsemän päivän kuittausvaatimuksen ja kolmen kuukauden palauterajan. Velvoite koskee soveltuvin osin organisaatioita, joissa on työntekijöitä vähintään 50. Käytännössä ensimmäiset askeleet ovat kolme: nimeä vastuuhenkilö, tarkista että tekninen kanava täyttää lain vähimmäisvaatimukset ja laadi viestintäsuunnitelma henkilöstölle.
Lyhyesti:
- Vähimmäisvaatimukset koskevat organisaatioita, joissa on vähintään 50 työntekijää, ja kattavat nykyiset sekä entiset työntekijät, alihankkijat, osakkeenomistajat ja työnhakijat.
- Ilmoituskanavan tulee mahdollistaa sekä kirjallinen että suullinen ilmoitus, sisältäen anonymisoinnin ja saavutettavuuden kaikille työntekijöille.
- Kuittaustai pelkästään kolme kuukauden palautetta ei riitä, vaan ilmoitus tulee käsitellä ja dokumentoida aikataulujen puitteissa, ja kuittaus on tehtävä seitsemän päivää sisään.
- Ilmoitustietojen säilytys on rajattava tarpeen mukaan, yleensä muutamaan vuoteen, ja tiedot on poistettava säilytysajan päätyttyä, mikä edellyttää hyvää tietosuojakäytäntöä.
- Käsittely voi olla sisäistä tai ulkoistettua, mutta riippumattomuuden ja prosessien jatkuvuuden varmistaminen on tärkeää auditointien ja vaatimusten täyttämiseksi.
Sisällysluettelo
- Lakikehys ja soveltamisala: kenelle velvoitteet kohdistuvat
- Ilmoituskanavan tekniset ja saavutettavuusvaatimukset
- Prosessivaatimukset: vastaanotto, käsittely ja aikataulut
- Tietosuoja, DPIA ja säilytyskäytännöt
- Hallinto, nimitykset ja käsittelyn riippumattomuus
- Käyttöönoton tarkistuslista: mitä tehdä ensin
- Ashion näkökulma: miten järjestelmä tukee vaatimustenmukaisuutta
- Toimituksen näkemys: lainmukaisuus ja käytettävyys ratkaisevat yhdessä
- Miten Ashio auttaa täyttämään ilmoituskanavan vaatimukset
- Lähteet
- Usein kysytyt kysymykset
Lakikehys ja soveltamisala: kenelle velvoitteet kohdistuvat
EU:n whistleblower-direktiivi asettaa rungon, jonka Suomi on sovittanut kansalliseen lainsäädäntöön. Laki 1171/2022 määrittää sisäisen ilmoituskanavan vähimmäisvaatimukset, ja niiden noudattaminen on pakollista, ei suositus.
Soveltamisala jakautuu kokoluokkiin. Yli 250 työntekijän organisaatioilla velvoite on ollut voimassa aiemmin, ja alle tämän kokoisilla organisaatioilla on ollut siirtymäaikaa. Kauppakamarin selvitys kuvaa, miten direktiivi laajentaa myös ilmoittajien piiriä huomattavasti perinteistä työntekijä-käsitettä laajemmaksi. Kanavaa voivat käyttää:
- nykyiset työntekijät kaikissa asemissa
- entiset työntekijät, joiden työsuhde on päättynyt
- alihankkijoiden ja toimittajien työntekijät
- osakkeenomistajat ja hallituksen jäsenet
- työnhakijat, jotka ovat havainneet epäkohtia rekrytointiprosessissa
Julkinen sektori kuuluu soveltamisalaan omin ehdoin. Kunnilla on erityissääntelyä ja omia siirtymäaikoja, kuten Kuntaliitto on ohjeistanut jäsenkunnilleen.
Ilmoituskanavan tekniset ja saavutettavuusvaatimukset
Laki edellyttää, että ilmoittaja voi tehdä ilmoituksen kirjallisesti tai suullisesti oman valintansa mukaan. Suullinen kanava voi tarkoittaa puhelinlinjaa tai tapaamista pyynnöstä. Käytännössä tämä tarkoittaa, että pelkkä sähköpostiosoite ei riitä täyttämään vaatimusta.
Toimiva kanava täyttää ainakin nämä kohdat:
- kirjallinen ja suullinen ilmoitusmahdollisuus samassa järjestelmässä
- tekninen anonymisointi niin, että IP-osoitteet tai muut tunnistetiedot eivät jää talteen
- saavutettavuus koko henkilöstölle riippumatta työtehtävästä tai sijainnista
- kieliversiot, jos organisaatiossa työskentelee muunkielisiä työntekijöitä
Ammattilaisen vinkki: Testaa kanava itse ennen julkaisua: kirjaudu ulkopuolisena käyttäjänä ja katso, jääkö selaimeen evästeitä tai muita tunnisteita. Moni “anonyymi” lomake vuotaa tietoa taustajärjestelmän lokeihin.
Käytettävyys ratkaisee, käytetäänkö kanavaa ylipäätään. Monimutkainen kirjautuminen tai epäselvä lomake karkottaa ilmoittajat takaisin puskaradion pariin.
Prosessivaatimukset: vastaanotto, käsittely ja aikataulut
Lain aikarajat ovat tarkat, ja niiden ylittäminen on vaatimustenvastaisuutta ilman perusteltua syytä. Wiidaren käytännön ohje tiivistää prosessin näin:
- Kuittaa ilmoituksen vastaanotto seitsemän päivän kuluessa. Kuittaus ei vielä ota kantaa asiaan, vaan vahvistaa, että ilmoitus on käsittelyssä.
- Anna ilmoittajalle palaute kolmen kuukauden kuluessa. Perustellusta syystä, esimerkiksi tutkinnan laajuuden takia, aikaa voi pidentää, mutta perustelu on kirjattava.
- Kirjaa jokainen ilmoitus ja käsittelyvaihe audit-trailiin, joka kestää jälkikäteisen tarkastelun.
- Varmista käsittelijän puolueettomuus. Jos sisäinen käsittelijä on esteellinen, tutkinta on siirrettävä ulkopuoliselle taholle.
- Jos asia kuuluu viranomaisen toimivaltaan, ohjaa ilmoittaja tai ilmoitus keskitettyyn kanavaan viivyttelemättä.
Dokumentaatio on puolustus jälkikäteen. Jos ilmoittaja väittää, ettei häntä kuultu, kirjattu aikajana ratkaisee kiistan.
Tietosuoja, DPIA ja säilytyskäytännöt
Ilmoituskanava käsittelee arkaluonteisia henkilötietoja, joten tietosuoja-arviointi (DPIA) on käytännössä välttämätön ennen käyttöönottoa. Arvioinnissa punnitaan, kenellä on pääsy tietoihin, miten pitkään niitä säilytetään ja miten kolmansien osapuolten, esimerkiksi ilmoituksessa mainittujen henkilöiden, oikeudet turvataan.
Keskeiset käytännöt:
- säilytysaika rajataan tarpeeseen, tyypillisesti muutamaan vuoteen ilmoituksen käsittelyn päättymisestä, ja tiedot poistetaan sen jälkeen poikkeuksia lukuun ottamatta
- tiedot minimoidaan: kerää vain se, mikä on tutkinnan kannalta olennaista
- salaus ja pääsynhallinta rajaavat käsittelijöiden joukon nimettyihin henkilöihin
- anonymisointi estää tunnistetietojen kertymisen lokeihin ja varmuuskopioihin
Ilmoittajan henkilöllisyyden suoja ei ole vain eettinen periaate, se on lakisääteinen velvoite, jonka rikkominen voi tehdä koko kanavasta hyödyttömän.
Hallinto, nimitykset ja käsittelyn riippumattomuus
Käsittelyn voi hoitaa sisäinen nimetty henkilö, esimerkiksi compliance-vastaava tai lakiasiainjohtaja, tai ulkoistettu taho. Molemmat tavat ovat lain mukaan hyväksyttäviä, kunhan riippumattomuus toteutuu.
- käsittelijällä ei saa olla intressiristiriitaa käsiteltävän asian kanssa
- resurssit on mitoitettava niin, että käsittely ei viivästy muun työkuorman takia
- ulkopuolista asiantuntemusta kannattaa käyttää monimutkaisissa tai johtoon liittyvissä tapauksissa
- johdon tehtävä on seurata kanavan toimivuutta, ei osallistua yksittäisten tapausten käsittelyyn
Riippumattomuus on se yksityiskohta, joka kaatuu useimmin auditoinnissa. Toimitusjohtaja ei voi olla oma valvojansa.
Käyttöönoton tarkistuslista: mitä tehdä ensin
Käyttöönotto onnistuu, kun tekninen ratkaisu, prosessi ja viestintä rakennetaan yhtä aikaa, ei peräkkäin.
- Nimeä vastuuhenkilö ja varahenkilö, jotta käsittely ei pysähdy loma-aikaan.
- Valitse tekninen kanava, joka tukee kirjallista ja suullista ilmoitusta sekä anonymiteettia.
- Laadi kirjallinen ilmoituskanavan käytäntö (policy) ja tutkintamanuaali käsittelijöille.
- Viesti kanavasta koko henkilöstölle ja tarvittaessa laajemmalle sidosryhmäjoukolle.
- Järjestä koulutus käsittelijöille ja testaa kanava oikealla, harmittomalla testi-ilmoituksella.
- Seuraa mittareita: vastausajat, käsiteltyjen tapausten määrä ja toimenpiteet, ja raportoi näistä johdolle säännöllisesti.
Ammattilaisen vinkki: Aseta sisäinen tavoiteaika kuittaukselle selvästi alle lain seitsemän päivän, esimerkiksi kolmeen päivään. Puskuri estää yksittäisen sairauspoissaolon aiheuttamaa lakisääteistä laiminlyöntiä.
Ashion näkökulma: miten järjestelmä tukee vaatimustenmukaisuutta
Audit-trail ja reaaliaikainen tapausseuranta helpottavat molempien lakisääteisten aikarajojen hallintaa: kuittaus näkyy järjestelmässä automaattisesti, ja määräajat eivät hukku sähköpostiketjuihin. Ashion ilmoittajansuojelulakia käsittelevä sivu kuvaa, miten anonyymi seurantalinkki antaa ilmoittajalle mahdollisuuden tarkistaa käsittelyn tilan ilman, että hänen tarvitsee paljastaa henkilöllisyyttään uudelleen yhteydenotossa.
Valmiiksi rakennettu järjestelmä myös vähentää DPIA:n taakkaa, kun anonymisointi ja pääsynhallinta on ratkaistu jo alustan tasolla, ei rakennettava tapauskohtaisesti.
Toimituksen näkemys: lainmukaisuus ja käytettävyys ratkaisevat yhdessä
Moni organisaatio hoitaa teknisen kanavan kuntoon ja unohtaa, että laki vaatii yhtä lailla toimivaa prosessia ja aitoa viestintää. Kolmikko, tekninen ratkaisu, selkeä käsittelypolku ja henkilöstön luottamus, ratkaisee, käytetäänkö kanavaa oikeasti. Aloita nimeämällä vastuuhenkilö ja kirjaamalla palauteprosessi paperille ennen kuin valitset ohjelmistoa.
Miten Ashio auttaa täyttämään ilmoituskanavan vaatimukset
Ashio on käytännön vaihtoehto oman järjestelmän rakentamiselle silloin, kun haluat lain vaatimusten täyttyvän suoraan alustan ominaisuuksien kautta, ei erillisillä lisätyökaluilla. Anonyymi seurantalinkki antaa ilmoittajalle mahdollisuuden nähdä käsittelyn etenemisen reaaliajassa, ja audit-trail tallentaa jokaisen vaiheen todisteeksi, jos kuittaus- tai palauteaikataulua kysytään jälkikäteen. Käsittely on suunniteltu tukemaan sekä 50 että 250 työntekijän kokoluokkia, monikielisenä ja ilman IP- tai evästeseurantaa raportointisivulla. Tutustu Ashion ilmoittajansuojelulain vaatimuksiin ja varaa 14 päivän kokeilujakso nähdäksesi, sopiiko järjestelmä juuri sinun organisaatiosi käsittelyprosessiin.
Lähteet
Lain tekstiin kannattaa palata suoraan, ei vain toisen käden tiivistelmiin. 1171/2022 Suomen säädöskokoelmassa on ensisijainen lähde vähimmäisvaatimuksille. Kauppakamarin selvitys avaa soveltamisalan ja siirtymäajat käytännönläheisesti, ja Kuntaliiton ohjeistus täsmentää julkisen sektorin erityispiirteet. KPMG:n palvelukuvaus taas asettaa kanavan osaksi laajempaa riskienhallintaa.
This article is general information, not a substitute for advice from a qualified lawyer. Consult a qualified legal professional about your own circumstances before acting on anything here.
- 1171/2022 | Suomen säädöskokoelma
- Vasikointia vai välittämistä (Kauppakamari)
- Whistleblowing-kanavan perustaminen – mitä yritysten tulee ottaa huomioon? - Wiidare
Usein kysytyt kysymykset
Ketkä velvoite koskee kokoluokan mukaan?
Velvoite koskee soveltuvin osin organisaatioita, joissa on vähintään 50 työntekijää, ja tietyt erityisalat, kuten rahoitusala, voivat kuulua sääntelyn piiriin kokoluokasta riippumatta.
Kuinka nopeasti ilmoitus on kuitattava?
Ilmoituksen vastaanotto on kuitattava seitsemän päivän kuluessa, ja lopullinen palaute on annettava kolmen kuukauden sisällä, ellei pidempään aikaan ole perusteltua syytä.
Tarvitaanko DPIA aina ennen kanavan käyttöönottoa?
DPIA on käytännössä välttämätön aina, koska kanava käsittelee arkaluonteisia henkilötietoja ja tunnistamisriski on korkea.
Voiko ilmoituskanavan ulkoistaa?
Kyllä, käsittelyn voi hoitaa sisäisesti nimetty henkilö tai ulkoistettu palvelu, kunhan riippumattomuus ja aikataulut toteutuvat. Tähän tarkoitukseen on saatavilla valmiita, anonymiteetin suojaavia alustoja.
Kuinka kauan ilmoitustiedot saa säilyttää?
Tiedot on poistettava, kun käsittely on päättynyt ja säilytystarve lakkaa, poikkeuksia lukuun ottamatta, ja säilytysaika on rajattava etukäteen määriteltyyn periaatteeseen.