Ashio whistleblowing software

Oct 12, 2026

Whistleblowerordning: 10 spørgsmål du skal stille leverandøren

Whistleblowerordning: 10 spørgsmål du skal stille leverandøren

De fleste whistleblowerordninger ser ens ud på papiret, men det er svarene på de rigtige spørgsmål, der afslører om leverandøren faktisk kan løfte opgaven i din virksomhed. Hvis du er indkøbsansvarlig eller compliance-chef i en dansk SMV og står over for at skulle vælge en whistleblowerordning, handler det ikke om brochurer og featureslister. Det handler om at stille de spørgsmål, der skiller en compliance-venlig løsning fra en dyr ticketkø. Artiklen giver dig de ti spørgsmål, du bør have svar på, før du skriver under på kontrakten.

Indholdsfortegnelse

De vigtigste pointer

  • En seriøs leverandør af en whistleblowerordning kan dokumentere overholdelse af EU-direktiv 2019/1937 og dansk lov med konkrete frister på 7 dage til kvittering og 3 måneder til opfølgning.
  • Anonymitet er teknisk, ikke kun organisatorisk: spørg efter krypteringsarkitektur, dataplacering og hvem der har adgang til nøgler.
  • Support, SLA og pris hænger sammen — en lav pris kan gemme på skjulte brugergrænser, integrationsgebyrer eller manglende opdateringer.
  • Et klart "nej" fra leverandøren på ét af de ti spørgsmål er et advarselstegn, der bør udløse en ny dialog eller et andet tilbud.

Hvilke spørgsmål afslører en seriøs whistleblowerordning-leverandør?

En seriøs leverandør af en whistleblowerordning kan svare klart og konkret på ti udvalgte spørgsmål om compliance, anonymitet, support og kontrakt. De ti spørgsmål er delt op i fire temaer, der tilsammen afdækker, om løsningen holder både juridisk og i praksis.

De fire temaer dækker: lovgivning og compliance, anonymitet og datahåndtering, support og pris samt kontrakt og exit. Nedenfor gennemgår vi hvert tema med de konkrete spørgsmål, du bør have svar på, før du underskriver en kontrakt.

Hvordan undersøger du, om leverandøren overholder dansk lovgivning?

En whistleblowerordning-leverandør til det danske marked skal kunne vise, at løsningen opfylder EU's whistleblowerdirektiv 2019/1937 og den danske lov, der udspringer af direktivet. Stil derfor disse spørgsmål:

Hvilken lovgivning understøtter løsningen helt præcist?

Bed om en skriftlig erklæring, der navner direktiv 2019/1937, dansk lov om whistleblowerordninger og eventuelt ISO 37002:2021 som frivillig standard. Hvis leverandøren kun taler om "GDPR-compliance", er svaret for snævert — GDPR er en del af billedet, men whistleblowerreglerne stiller ekstra krav til tovejskommunikation, frister og dokumentation.

Hvordan understøtter systemet fristerne på 7 dage og 3 måneder?

EU-direktivet kræver, at indberetteren modtager en kvittering inden 7 dage og en feedback inden 3 måneder. Spørg, om systemet automatisk overvåger fristerne, og om I får en synlig advarsel, før de overskrides. En løsning, der kun tilbyder en indbakken og et sagsnummer, lever ikke op til kravet om dokumenteret opfølgning.

Kan I dokumentere ordningen over for Datatilsynet og en revisor?

Bed om at se den compliance-dokumentation, leverandøren tilbyder — typisk en aktivitetslog og en erklæring, som revisoren kan lægge i sin rapportering. En leverandør, der ikke kan levere det, tvinger jer til at opfinde dokumentationen selv — og det er en risiko, når tjeklisten over, hvad en whistleblowerordning skal indeholde bruges som auditgrundlag.

Hvilke spørgsmål om anonymitet og datahåndtering bør du stille?

Anonymitet i en whistleblowerordning er ikke et markedsprolog, det er en teknisk arkitektur. Stil derfor spørgsmål, der afdækker, hvordan data beskyttes fra indberetteren skriver, til sagen er lukket.

Hvor hostes data, og hvem har adgang til nøglerne?

Spørg om hostingland, Spørg om hostingland og hvilke certificeringer datacenter og løsning har — for eksempel ISO 27001 for informationssikkerhed.. Data, der ligger i EU eller Schweiz, er underlagt stærkere databeskyttelse end data i USA. Spørg også, om leverandøren selv kan læse indberetninger, eller om systemet er bygget med såkaldt zero-access-arkitektur, hvor kun jeres udpegede sagsbehandlere har nøglerne.

Krypteres data, før de når leverandørens servere?

Spørg, om indberetninger krypteres i indberetterens browser (såkaldt end-to-end-kryptering), og om nøglen kun ligger hos hver enkelt modtager. En løsning, der kun krypterer "i transit" og "at rest", men hvor leverandøren kan læse med, giver ikke den anonymitet, som direktivet kræver.

Logger I IP-adresser, cookies eller analyse på indberetningssiden?

Det lyder teknisk, men det er afgørende. Hvis indberetningssiden sætter cookies eller kører analyse, kan en teknisk kyndig indberetter spores — og det undergraver hele formålet med en anonym kanal. Bed om en kort teknisk beskrivelse af, hvad der sker, når en medarbejder åbner indberetningssiden.

Hvad skal du spørge om support, SLA og prisstruktur?

Prisen på en whistleblowerordning i Danmark kan se lav over blandt ud, men kan skjule begrænsninger, der først viser sig, når I er i drift. Stil derfor spørgsmål om hele struktur, for her menes hele strukturen af omkostninger.

Hvad er inkluderet i prisen — og hvad koster ekstra?

Bed om en prismodel, der er delt op, men her menes opdelt i hvad der er inkluderet — for eksempel antal brugere, adgang til compliance-dokumentation og eventuelle integrationer.. Hvis hver ekstra bruger koster ekstra, kan en lille organisation hurtigt få en regning, der ikke fordobles, men tidobles. Et overblik over hvad whistleblower-software koster i Danmark kan hjælpe dig med at stille de rigtige kontrolspørgsmål.

Hvilken support og svartid får I, og på hvilket sprog?

En dansk SMV har brug for support på dansk, ikke på en automatisk oversætter. Spørg, om I kan få support på dansk, og hvad svartiden er ved kritiske hændelser., hvad svartiden er ved kritiske hændelser, og om support er inkluderet i prisen eller koster ekstra.

Hvordan ser en kontrakt ud, hvis vi vil stoppe?

Exit er det mest oversete punkt. Spørg, om I kan få jeres data ud i et åbent, standardformat, når kontrakten udløber., når kontrakten udløber. Spørg også, om leverandøren sletter data inden for en defineret frist, og om I får en erklæring på, at sletningen er gennemført. En leverandør, der låser data i et proprietært format, gør det dyrt at skifte.

Hvilke svar bør få dig til at sige nej tak?

Hvilke svar bør få dig til at sige nej tak? En whistleblowerordning-leverandør, der ikke kan svare klart på et af de ti spørgsmål, er en leverandør, der ikke er klar til dansk compliance. Vær især opmærksom, hvis du hører et af disse svar:

  • "Vi overholder alle regler" uden at kunne fremvise en erklæring — det er et markedsprolog, ikke en dokumentation.
  • "Anonymiteten afhænger af, hvordan I konfigurerer det" — hvis anonymiteten kræver forkert konfiguration, er den ikke en del af produkt.
  • "Kryptering kan tilkøbes" — kryptering er ikke en feature, det er en forudsætning for at overholde direktivet.
  • "Prisen afhænger af, hvor mange sager I forventer" — Spørg, hvad der sker med prisen, hvis antallet af sager stiger uventet — og om I risikerer at blive afregnet per indberetning..
  • "Vi har ikke en dansk supportfunktion" — en whistleblowerordning er et følsomt system, og I skal kunne tale med et menneske på jeres eget sprog.

Når en leverandør giver et af disse svar, bør du enten bede om en uddybning eller indhente et alternativt tilbud. For SMV'er med 50+ ansatte, der er underlagt whistleblowerordningens danske lov i 2026, er et utydeligt svar ikke bare et dårligt tegn — det er en compliance-risiko.

Et sidste perspektiv: blandt de løsninger, der findes på det danske marked, er der både manuelle ordninger, generiske ticket-systemer og dedikerede platforme som ashio, der er bygget specifikt til anonyme indberetninger, europæisk compliance og en fast lav pris. Det gør det muligt for en SMV at komme i drift uden at ansætte en compliance-chef, men det erstatter ikke jeres eget ansvar for politik, opfølgning og dokumentation. Til gengæld slipper I for at bygge kryptering, fristovervågning og sagsstyring fra bunden.

Ofte stillede spørgsmål

Hvad koster en whistleblowerordning for en SMV i Danmark?

Prisen ligger typisk som et fast månedligt abonnement, der dækker ubegrænset antal sagsbehandlere, anonym indberetning og de lovpligtige frister. For SMV'er er det væsentligt at få en prismodel, der ikke stiger per kategori eller per indberetning, da antallet af sager er uforudsigeligt.

Kan vi selv bygge en whistleblowerordning i stedet for at købe en?

Ja, men en hjemmelavet løsning kræver op som i kræver, her menes kræver, at I selv bygger kryptering, styring af 7-dages-fristen og en uforanderlig log. De fleste SMV'er vælger en dedikeret platform for at undgå den tekniske og juridiske risiko, da direktivet stadig gælder uanset om løfningen er hjemmelavet.

Hvornår skal en whistleblowerordning være på plads?

Hvis din organisation har 50+ ansatte, er du forpligtet til at have en intern whistleblowerordning efter dansk lov.: Hvis din organisation har 50+ ansatte, er du forpligtet til at have en intern whistleblowerordning efter dansk lov, der udspringer af EU-direktiv 2019/1937. Fristen for at etablere ordninger for juridiske enheder med 50+ ansatte var 17. december 2023, og kravet gælder fortsat.

Hvad er den største fejl, danske SMV'er begår ved valg af leverandør?

Den største fejl er at vælge på pris alene uden at undersøge anonymitet, dataplacering og dokumentation. En whistleblowerordning er et compliance-instrument, ikke en feature i en HR-pakke, og et billigt tilbud uden de rette certificeringer og krypteringsløsninger kan ende som en dyr lærestreg ved første revision., kan ende som en dyr lærestreg ved første revision.

Hvordan sikrer vi, at indberetteren reelt er anonym?

Anonymitet kræver en løsning, der ikke logger IP-adresser, ikke sætter cookies på indberetningssiden og krypterer indholdet, før det når leverandørens servere. Spørg leverandøren om en teknisk beskrivelse af, hvad der sker, når en medarbejder åbner indberetningssiden, og bed om en uafhængig sikkerhedsgennemgang.

Kilder