Ashio whistleblowing software

Oct 6, 2026

Visselblåsardirektivets 7-dagars- och 3-månadersfrist: så klarar du båda

Visselblåsardirektivets 7-dagars- och 3-månadersfrist: så klarar du båda

Mellan dagen du tar emot en rapport och dagen revisorn tittar över ditt ärende finns två hårda tidsfönster som avgör om du är compliant – eller inte. Visselblåsardirektivets 7-dagars bekräftelse och tremånadersfönstret för återkoppling regleras i EU-direktiv 2019/1937 och gäller alla juridiska enheter i Sverige med minst 50 anställda. Den här guiden visar exakt hur du räknar fristen, vad som räknas som bekräftelse, vilka konsekvenser ett missat fönster får och hur du bygger en process som håller varje gång.

Innehållsförteckning

De viktigaste punkterna

  • Bekräftelsetiden på sju dagar räknas från den dag rapporten kom in, inte från ärendeöppning eller avläsning.
  • Tremånadersfönstret för återkoppling kan bara förlängas till sex månader i väldokumenterade undantagsfall, aldrig som standardrutin.
  • En bekräftelse måste gå via rapportörens egen kanal, inte via e-post – annars bryter du anonymitetsskyddet.
  • I Sverige finns sanktioner för organisationer som inte hanterar rapporter enligt lagen (2021:890) om skydd för personer som rapporterar om missförhållanden, inklusive potentiellt betydande böter.
  • En dedikerad kanal med automatiska tidsfristvakter minskar risken att ett ärende tappas bort mellan inkommande datum och bekräftelsetidpunkten.

Vad direktivet 2019/1937 egentligen kräver — bekräftelse och uppföljning

EU-direktiv 2019/1937, som i Sverige infördes genom lagen om skydd för personer som rapporterar om missförhållanden, ställer två tydliga krav på alla juridiska enheter med 50 eller fler anställda: en bekräftelse till rapportören inom sju dagar och en återkoppling om uppföljningen inom tre månader. Båda tidsfristerna gäller från det att rapporten når organisationen, oavsett om den lämnas via en digital kanal, via post eller muntligt.

Direktivet lämnar utrymme för hur kanalen är uppbyggd, men inte för om tidsfristerna följs. Den som ansvarar för kanalen – ofta en compliance officer, HR-chef eller särskild visselblåsarfunktion – måste kunna visa att båda momenten faktiskt genomförts, och vid vilken exakt tidpunkt de skedde. Det är kombinationen av spårbarhet, anonymitet och tidsfrist som skiljer en godkänd kanal från en halvmesyr.

När startar klockan för 7-dagarsfristen?

När startar klockan för 7-dagarsfristen? Sjudagarsfristen börjar löpa samma kalenderdag som rapporten tas emot av organisationen, inte när någon öppnar mejlflödet eller loggar in i systemet. Det innebär att om en rapport kommer in klockan 23.45 en torsdag, har organisationen till och med följande torsdag klockan 23.45 att skicka en bekräftelse. Det är just därför som en automatisk bekräftelse direkt vid mottagandet är det enda säkra sättet att garantera att inget ärende missar fristen på grund av handläggarens frånvaro, semester eller en överfull inkorg. Många organisationer som Ashio, som erbjuder en dedikerad kanal för svenska compliance-ansvariga, bygger därför in en automatisk bekräftelse som skickas via rapportörens unika ärendelänk – utan att handläggaren först behöver öppna ärendet.

Räknas helger och röda dagar in i sju dagar?

Ja, alla kalenderdagar räknas in i fristen, inklusive helger och helgdagar. EU-direktivet utgår från kalenderdagar, inte arbetsdagar, och svensk rätt följer samma princip. Det enda praktiska undantaget är om force majeure gör det omöjligt att svara – något som måste dokumenteras skriftligt för att hålla i en rättslig prövning.

Kan fristen pausas om rapporten är ofullständig?

Nej. Så snart rapporten är mottagen av organisationen löper klockan, även om uppgifterna är knapphändiga eller anonyma. Att be om kompletteringar är tillåtet, men det sker inom sju-dagarsfönstret, inte istället för bekräftelsen. En effektiv kanal bör därför kunna skicka en första bekräftelse automatiskt direkt vid mottagandet, oavsett om ärendet sedan behöver kompletteras.

Vad får räknas som 'bekräftelse' — och vad räcker inte?

En giltig bekräftelse är ett svar till rapportören som bekräftar att rapporten tagits emot, att den kommer att handläggas och som erbjuder en fortsatt kontaktväg. Svaret måste gå genom samma säkra kanal som rapporten kom in, så att anonymiteten bevaras och rapportören inte tvingas uppge sin identitet för att få svar.

Räcker ett automatiskt mejl som bekräftelse?

Ett generellt autosvar från en vanlig e-postadress räcker inte. Det bryter mot kravet på säker tvåvägskommunikation och riskerar att avslöja rapportörens identitet. Däremot får en automatisk bekräftelse skickas via en anonym intagslänk eller ett ärende-ID – det är det enda sättet som uppfyller både tidskrav och anonymitetskrav enligt EU:s visselblåsardirektiv.

Vad ska en korrekt bekräftelse innehålla?

Tre saker: en kort kvittens på att rapporten kommit in, en uppskattning av nästa steg och en uppmaning att rapportören kan följa ärendet via sin unika länk. En bra bekräftelse innehåller också information om hur rapportören kan kontakta en oberoende funktion om ärendet inte hanteras, enligt kommissionens vägledning till direktivet.

Hur räknas tremånadersfönstret för återkoppling?

Tremånadersfristen räknas från samma startdag som sjudagarsfristen – dagen rapporten togs emot – och löper i tre kalendermånader framåt. En rapport som kommer in den 15 mars ska alltså ha en uppföljning senast den 15 juni, oavsett om det är en helgdag. Uppföljningen ska innehålla information om vilka åtgärder som vidtagits, planerade åtgärder eller skälet till att ärendet avslutats utan åtgärd.

Kan tremånadersfristen förlängas?

Ja, men bara i undantagsfall och högst till sex månader från mottagandet. Förlängningen måste motiveras skriftligt i ärendehandlingen och meddelas rapportören innan tremånadersfristen löper ut. Att regelmässigt förlänga till sex månader utan sakliga skäl ses som bristande efterlevnad vid tillsyn. Den som ansvarar för kanalen bör därför ha en tydlig policy för när förlängning är tillåten och en mall för hur den dokumenteras.

Vad menas med "återkoppling" enligt direktivet?

Begreppet är bredare än "beslut". Återkoppling omfattar information om utredningens status, preliminära slutsatser, planerade åtgärder eller varför ärendet avslutas. Det behöver inte vara ett slutgiltigt svar, men det får inte heller vara en tom fras som "vi utreder". En rapportör ska kunna förstå vad som hänt i ärendet och varför, utan att organisationen avslöjar information som skadar berörda personers rättigheter.

Vad händer om du missar en tidsfrist — konsekvenser i Sverige

I Sverige regleras sanktionerna i 7 kap. lagen (2021:890) om skydd för personer som rapporterar om missförhållanden. En organisation som inte har en fungerande kanal, inte bekräftar i tid eller inte ger återkoppling riskerar sanktioner enligt lagen, inklusive betydande böter. För finansiella institut och vissa reglerade verksamheter finns dessutom sektorsspecifika krav med egna sanktionssystem, exempelvis genom sektorsspecifik tillsyn från Finansinspektionen.(https://www.fi.se/sv/publicerat/foreskrifter/fffs-2014-1/).

Utöver det rättsliga riskerar organisationen anseendeskada om en rapportör går till media och berättar att kanalen inte svarat på tre månader. Tillsynsmyndigheter som Justitiekanslern, Datainspektionen och i vissa fall Finansinspektionen kan öppna ärenden oavsett om någon enskild klagar eller inte, exempelvis efter en stickprovsgranskning.

Så automatiserar du båda tidsfristerna i en modern kanal

En manuell process – inkorg, e-post och Excel-ark – klarar sällan både sjudagars- och tremånadersfristen utan undantag. Det räcker med en semester, en sjukfrånvaro eller en kort arbetsvecka för att en rapport ska falla mellan stolarna. En modern kanal behöver därför minst fem funktioner: anonymt intag utan cookies eller IP-loggning, automatisk bekräftelse direkt vid mottagandet, en tidsfristvakt som visar dagar kvar för varje ärende, en oföränderlig aktivitetslogg och export i ett standardformat som revisorer kan läsa.

Vilken typ av kanal passar en svensk medelstor organisation?

Många organisationer försöker bygga kanalen med standardverktyg som SharePoint, formulär eller e-postlistor. Det fungerar för enstaka rapporter men faller snabbt på anonymitet, spårbarhet och tidsbevakning. En dedikerad visselblåsarkanal – särskilt en med automatisk schablonmässig bekräftelse och visuell deadline – avlastar compliance-ansvariga och ger revisorn den dokumentation som krävs enligt ISO 37002:2021. För den som vill se hur en sådan kanal kan se ut i praktiken finns funktioner för compliance-ansvariga samlade på en sida.

Checklista: 7 kontroller innan du stänger ett ärende

Innan du markerar ett visselblåsarärende som avslutat bör du gå igenom dessa sju punkter:

  1. Bekräftelsetidpunkten finns dokumenterad – datum och klockslag för bekräftelsen ska finnas i ärendeakten.
  2. Bekräftelsen gick via samma säkra kanal som rapporten kom in – aldrig via öppen e-post.
  3. Tremånadersfristen hölls, eller förlängdes dokumenterat – om förlängning använts ska skälet vara motiverat.
  4. Återkopplingen var meningsfull – rapportören fick information om status, åtgärd eller avslut.
  5. Identitetsskyddet bevarades genom hela ärendet – ingen obehörig har kunnat se rapportörens uppgifter.
  6. Aktivitetsloggen är oföränderlig – ingen har kunnat radera eller ändra händelser i efterhand.
  7. Exporten kan läsas av revisor – ärendet kan exporteras i ett öppet format och öppnas utan specialverktyg.

Den sista punkten är ofta underskattad. En revisor som inte kan öppna en export, eller som möter en PDF med skärmdumpar, kommer att ifrågasätta både integriteten och beviskraften i hela ärendehanteringen.

Vanliga frågor

Hur räknar jag sju dagar om rapporten kommer in mitt i natten?

Sjudagarsfristen räknas i kalenderdagar från och med den dag rapporten togs emot, oavsett klockslag. En rapport som kommer in klockan 02.00 ger alltså samma sista svarsdag som en rapport som kommer in klockan 14.00 samma dag.

Måste jag alltid ge en utförlig återkoppling efter tre månader?

Nej, återkopplingen ska vara tillräckligt informativ för att rapportören ska förstå vad som hänt, men den behöver inte avslöja detaljer som skyddar berörda personer. Det viktiga är att rapportören inte möts av tystnad utan av ett reellt besked om status eller åtgärd.

Vad gör jag om rapportören inte svarar på min bekräftelse?

Då har du ändå uppfyllt bekräftelsekravet så länge bekräftelsen skickats via rätt kanal inom sju dagar. Det är rapportörens val att inte svara, och det påverkar inte din dokumenterade skyldighet. Spara kvittensen i ärendeakten.

Kan jag förlänga tremånadersfristen försvarslöst?

Nej, en förlängning kräver sakliga skäl som dokumenteras i ärendehandlingen och meddelas rapportören innan tremånadersfristen löper ut. Att regelmässigt använda sex månader utan motivering ses som bristande efterlevnad.

Vilken lag gäller om mitt företag har färre än 50 anställda?

För privata organisationer med färre än 50 anställda är EU-direktivets krav på intern kanal inte obligatoriskt enligt direktivet, men nationella regler och sektorsspecifik lagstiftning kan ändå gälla. Dessutom gäller skyddet mot repressalier för rapportören även vid frivilliga kanaler, och många upphandlingskrav förutsätter en fungerande kanal oavsett storlek.

Visselblåsardirektivet 7 dagars bekräftelse — sammanfattning

Den gemensamma nämnaren för alla krav i EU-direktiv 2019/1937 är enkel: varje rapportör ska veta att ärendet tagits emot, och varje organisation ska kunna bevisa det. En automatisk bekräftelse via en säker anonym kanal inom sju dagar, följt av en meningsfull återkoppling inom tre månader, är vad som krävs. Resten – policy, handläggarroll, loggning – finns för att göra det möjligt att visa att det faktiskt har skett. Den som bygger sin kanal med det som utgör grunden – anonymitet, tidsfristvakter och en oföränderlig logg – har redan lagt de flesta pusselbitarna på rätt plats.

Källor