Ashio whistleblowing software

Oct 5, 2026

Visselblåsarpolicy mall: vad den måste innehålla 2026

Visselblåsarpolicy mall: vad den måste innehålla 2026

De flesta SMB-företag skriver en visselblåsarpolicy som bara uppfyller ytan – revisorn hittar snart hålen. Här är den struktur du faktiskt behöver.

EU-direktiv 2019/1937 ställer tydliga krav på vad en intern policy måste reglera: hur rapportören skyddas, hur ärenden hanteras, vilka tidsfrister som gäller och vilken återkoppling den som rapporterar har rätt till. En genomarbetad visselblåsarpolicy är dessutom det dokument en tillsynsmyndighet begär ut först om en anmälan hamnar fel. Den här guiden går igenom de åtta obligatoriska delarna, den stegvisa processen och en redigerbar mall som SMB-företag med 50–500 anställda kan anpassa direkt.

Innehållsförteckning

De viktigaste punkterna

  • En komplett policy består av åtta obligatoriska delar, från syfte och tillämpningsområde till skydd mot repressalier och årlig översyn.
  • EU-direktivet kräver bekräftelse inom sju dagar och återkoppling inom tre månader – båda frister måste dokumenteras i policyn.
  • Anonymitet är en rättslig garanti, inte en teknisk finess: policyn måste beskriva hur rapportörens identitet skyddas i varje steg.
  • Mallar som saknar avsnitt om repressalieskydd, intressekonflikter och dokumentation klarar inte en revision.
  • Uppdatering minst en gång per år, eller direkt efter en lagändring, en incident eller en organisationsförändring.

Vad är en visselblåsarpolicy och varför kräver EU-direktivet en?

En visselblåsarpolicy är det styrdokument som beskriver hur en organisation tar emot, utreder och följer upp rapporter om missförhållanden – och hur den som rapporterar skyddas från repressalier. Enligt EU:s visselblåsardirektiv måste alla juridiska enheter i medlemsstaterna med minst 50 anställda, samt alla offentliga organ, anta en intern policy och driva en rapporteringskanal som uppfyller direktivets krav på anonymitet, bekräftelse och återkoppling.

Direktivet lämnar utrymme för nationell anpassning, men kärnan är densamma i hela EU: organisationen måste själv visa att den har en fungerande, trovärdig och säker process. En policy som bara repeterar lagtexten räcker inte – tillsynsmyndigheter och domstolar förväntar sig att den speglar hur arbetet faktiskt bedrivs i praktiken. För ett svenskt SMB betyder det att policyn bör hänga ihop med den rapporteringskanal som faktiskt används, annars blir dokumentet en pappersprodukt.

Vilka organisationer omfattas av kravet?

Direktivet gäller i första hand juridiska enheter med 50 eller fler anställda samt alla offentliga organ, oavsett storlek. Vissa sektorer har dessutom strängare tröskelvärden – till exempel finansiella tjänster där rapporteringsskyldigheten kan utlösas redan vid färre anställda. För svenska SMB-koncerner är det viktigt att policyn omfattar samtliga bolag i koncernen och inte bara moderbolaget, eftersom en rapport som rör ett dotterbolag annars hamnar i en gråzon.

Vad ska en visselblåsarpolicy innehålla? De 8 obligatoriska delarna

En komplett mall för SMB omfattar åtta avsnitt. Varje avsnitt svarar på en specifik fråga som en tillsynsmyndighet, en revisor eller en rapportör kan ställa. Listan nedan utgör stommen i varje policy.

  1. Syfte, omfattning och rättslig grund.
  2. Definitioner: vad som menas med rapportör, missförhållande, repressalier och rapporteringskanal.
  3. Vilka som omfattas – anställda, konsulter, praktikanter, leverantörer och tidigare anställda.
  4. Hur rapportering går till: kanal, språk, format och vem som tar emot ärendet.
  5. Handläggning: bekräftelse, utredning, beslut och återkoppling inom direktivets tidsfrister.
  6. Anonymitet, konfidentialitet och dataskydd enligt GDPR.
  7. Skydd mot repressalier och stödåtgärder för rapportören.
  8. Uppföljning, dokumentation, arkivering och årlig översyn.

De åtta delarna är inte valfria. Utan definitioner går det inte att avgöra om en rapport över huvud taget omfattas. Utan tydliga tidsfrister bryter organisationen mot direktivet redan första gången en rapportör inte får svar. Utan avsnittet om repressalier saknar policyn det skydd som gör att anställda faktiskt vågar rapportera.

Hur kopplar policyn till gällande dataskydd?

Eftersom en rapport ofta innehåller personuppgifter – både om rapportören och den utpekade personen – måste policyn uttryckligen förhålla sig till GDPR och de nationella komplementen i svensk rätt. Det handlar om laglig grund, lagringstid, informationsskyldighet och rätten till rättelse. En formulering som "personuppgifter behandlas enligt gällande lagstiftning" är för vag: ange konkret att rättslig grund är rättslig förpliktelse för själva rapporteringen och berättigat intresse för den interna uppföljningen, och hänvisa till er behandlingsregister.

Vilka processer måste policyn beskriva steg för steg?

Policyn ska inte bara lista regler – den ska beskriva arbetsflödet från det att en rapport kommer in till dess att ärendet avslutas. Direktivet kräver att organisationen bekräftar mottagandet inom sju dagar och ger återkoppling inom tre månader. Den som läser policyn ska kunna följa hela kedjan utan att behöva gissa.

Ett fungerande flöde består av sex steg:

  • Mottagning och bekräftelse inom sju dagar, även om utredningen inte kan avslutas.
  • Ärendeklassificering: vilken typ av missförhållande det rör, vilken allvarlighetsgrad och vilken avdelning som ansvarar.
  • Utredning och dokumentation: vem som utreder, vilka underlag som samlas in, hur den utpekade personens rätt till yttrande hanteras.
  • **Beslut och åtgärder: vilka disciplinära, organisatoriska eller rättsliga åtgärder som vidtas.
  • **Återkoppling till rapportören inom tre månader, inklusive vilka åtgärder som planeras och varför.
  • **Avslut och arkivering: hur ärendet stängs, vilka uppgifter som sparas och hur länge.

Policyn ska också beskriva vad som händer om rapportören är anonym – något som direktivet uttryckligen tillåter. Då måste organisationen kunna besvara frågor och lämna återkoppling utan att känna till avsändarens identitet, exempelvis genom en anonym rapportering-kanal som tillåter tvåvägskommunikation via en säker länk.

Hur hanteras en konflikt mellan rapportör och utredare?

Om den som tar emot rapporten själv är inblandad – eller står i lojalitetskonflikt till den utpekade – måste policyn ange vem som då är ställföreträdande handläggare. Många organisationer utser därför en oberoende funktion, ofta en extern compliance-konsult eller en person utanför den berörda avdelningen. Avsaknaden av en sådan reservrutin är en av de vanligaste anmärkningarna vid tillsyn.

Hur skyddar du rapportörens anonymitet i policyn?

Anonymitet är en rättslig skyldighet enligt direktivet, inte en valfri teknisk egenskap. Policyn måste därför beskriva hur identiteten skyddas i varje steg: vid mottagning, under utredning, i dokumentationen och i återkopplingen. Enbart en mening om att "rapporter behandlas konfidentiellt" uppfyller inte kraven.

En konkret formulering tar upp fem punkter:

  • **Tekniska skydd: ingen IP-loggning, inga cookies på rapportsidan, ingen analys som kan identifiera avsändaren.
  • **Organisatoriska skydd: begränsad åtkomst till ärenden, loggning av vem som läst vad och tydliga roller.
  • **Kommunikation med rapportören: endast via kanalens säkra meddelandefunktion, aldrig via personlig e-post.
  • **Skydd mot identifiering genom omständigheter: policyn bör nämna att metadata som tidpunkt, språk och formulering kan avslöja en rapportör om den sprids för brett.
  • **Konsekvenser vid brott: tydliga disciplinära åtgärder för den som röjer en rapportörs identitet.

Den sista punkten är ofta undervärderad. Direktivet skyddar nämligen inte bara rapportören utan också den som bistår en rapportör, till exempel en facklig representant eller en kollega som vittnar. Policyn bör därför uttryckligen omfatta även dessa personer.

Visselblåsarpolicy mall: en redigerbar struktur att utgå ifrån

Visselblåsarpolicy mall: en redigerbar struktur att utgå ifrån Nedanstående struktur kan kopieras rakt in i ert dokumenthanteringssystem och anpassas. Den följer samma åtta delar som avsnitt två ovan och är skriven på en språklig nivå som fungerar för både jurister och medarbetare utan juridisk bakgrund. För en compliance-ansvarig är detta en startpunkt; för ett HR-ansvarigt team är det ett underlag att utveckla tillsammans med juridisk rådgivning.

1. Syfte och omfattning

Policyn gäller för [organisationsnamn] och samtliga dotterbolag. Den beskriver hur vi tar emot, utreder och följer upp rapporter om missförhållanden enligt EU-direktiv 2019/1937 och svensk lag. Policyn omfattar alla anställda, konsulter, praktikanter, leverantörer, styrelseledamöter och tidigare anställda som har tillgång till information om missförhållanden i organisationens verksamhet.

2. Definitioner

Missförhållande: en handling eller underlåtenhet som är olaglig, strider mot organisationens etiska riktlinjer eller kan skada allmänintresset. Hit räknas till exempel korruption, bedrägeri, miljöbrott, arbetsmiljörisker, trakasserier och diskriminering. Rapportör: en fysisk person som rapporterar information om missförhållanden i en arbetsrelaterad kontext. Repressalier: varje form av negativ handling, direkt eller indirekt, som svar på en rapport.

3. Rapporteringskanal

Organisationen tillhandahåller en säker rapporteringskanal som tillåter anonym rapportering via webb, e-post eller tal-till-text. Kanalen är tillgänglig dygnet runt och administreras av [funktion/roll]. Kontaktuppgifter och instruktioner finns på intranätet under "Visselblåsning".

4. Handläggning och tidsfrister

Mottagande funktion bekräftar rapporten inom sju dagar. Rapportören får återkoppling inom tre månader. Återkopplingen ska innehålla information om utredningens status, planerade åtgärder och skälen för eventuella dröjsmål. Om utredningen förlängs meddelas detta skriftligen och en ny tidsangivelse lämnas.

5. Anonymitet och dataskydd

Rapportörens identitet och alla uppgifter som kan identifiera personen skyddas genom tekniska och organisatoriska åtgärder. Ingen IP-loggning sker, rapportsidor använder inga cookies och åtkomsten till ärenden är begränsad till utsedda handläggare. Personuppgifter behandlas enligt GDPR. Rättslig grund är rättslig förpliktelse för rapporteringen och berättigat intresse för uppföljningen.

6. Skydd mot repressalier

Organisationen tolererar inga repressalier mot rapportörer eller personer som bistår en rapportör. En rapport som görs i god tro leder inte till negativa konsekvenser, även om den visar sig vara obefogad. Den som utsätts för repressalier ska omedelbart rapportera detta via samma kanal, och ärendet hanteras skyndsamt av en oberoende funktion.

7. Dokumentation och arkivering

Varje ärende dokumenteras i en ärendeakt som innehåller rapport, handläggningsanteckningar, beslut och återkoppling. Uppgifterna sparas i [antal] år från ärendets avslutande, i enlighet med gällande dataskyddsregler. Efter arkiveringstidens utgång raderas uppgifterna, om inte myndighet beslutat annat.

8. Uppföljning och översyn

Policyn ses över minst en gång per år av [roll/funktion] och vid varje lagändring, organisationsförändring eller allvarlig incident. Resultatet av översynen rapporteras till ledningsgruppen och, i förekommande fall, till styrelsen.

Hur gör du policyn levande i organisationen?

En policy som bara publiceras på intranätet läses av en handfull personer. För att den ska få genomslag krävs tre åtgärder: en kort utbildning för alla chefer, en årlig påminnelse till medarbetarna och en tydlig kontaktväg för frågor. Det är också där verktyget kommer in i bilden – den faktiska rapporteringskanalen är lika viktig som policyns ordalydelse. Ett exempel är ashio, en anonym rapporteringskanal hostad i ISO 27001-certifierade schweiziska datacenter, byggd för SMB som vill uppfylla direktivet utan att bygga en egen teknisk lösning. Notera dock att verktygets lämplighet beror på organisationens specifika krav – utvärdera alltid mot era egna behov.

Vanliga misstag SMB gör i sin första policy

De flesta första versioner av en policy missar samma saker. Genom att gå igenom listan nedan innan policyn antas slipper ni de vanligaste anmärkningarna.

  • Avsaknad av anonymitetsskydd: policyn säger att rapporter behandlas konfidentiellt, men beskriver inte hur detta tekniskt och organisatoriskt säkerställs.
  • Inga tidsfrister: utan konkreta dagar för bekräftelse och återkoppling bryter organisationen mot direktivet redan vid första ärendet.
  • Bristfällig repressalieklausul: formuleringar som "vi tolererar inte repressalier" utan konkreta konsekvenser för den som bryter mot regeln.
  • Avsaknad av reservrutin: ingen utsedd ställföreträdare om den ordinarie handläggaren är jävig.
  • Otydlig tillämpning: policyn täcker bara anställda, inte konsulter, praktikanter eller leverantörer, trots att direktivet omfattar dem.
  • Ingen koppling till dataskydd: GDPR nämns inte alls, eller bara i förbigående.
  • Ingen översynscykel: policyn saknar datum för nästa revidering.

Sju av tio revisorer brukar notera minst tre av dessa punkter. Att åtgärda dem i efterhand är möjligt, men det är både billigare och enklare att göra rätt från början.

Hur ofta ska visselblåsarpolicyn uppdateras?

En policy är inte ett engångsdokument. Den ska ses över minst en gång per år, men det finns situationer som kräver en omedelbar revidering. Tre sådana triggers är särskilt viktiga.

Den första är lagändringar. När EU:s medlemsstater justerar sin nationella lagstiftning – eller när EU-kommissionen uppdaterar vägledningen till direktivet – måste policyn spegla den nya rättsliga verkligheten. Den andra är allvarliga incidenter. Om en rapport visar att processen inte fungerade som tänkt, ska policyn uppdateras så att samma fel inte upprepas. Den tredje är organisationsförändringar: fusioner, nya dotterbolag, byte av compliance-ansvarig eller förändrad kanalplattform.

En enkel modell är att kombinera en årlig planerad översyn med ad hoc-revideringar. Den årliga översynen dokumenteras i en kort rapport till ledningsgruppen; ad hoc-revideringar loggförs med datum, orsak och beslut. På så sätt finns det alltid en aktuell bild av policyns status – något som är ovärderligt vid en tillsyn eller vid en framtida rättsprocess.

Hur vet du att policyn fungerar i praktiken?

En indikator är antalet rapporter som kommer in via kanalen. Ett plötsligt fall kan vara tecken på att förtroendet har minskat, ett plötsligt fall till noll att kanalen inte är känd. En annan indikator är hur många ärenden som håller tidsfristerna – om andelen sjunker under 90 procent är det ett tecken på att handläggningen behöver mer resurser. Slutligen är det värt att mäta repressalieanmälningar separat: varje sådan anmälan är en varningssignal som kräver omedelbar granskning.

Vanliga frågor

Vad är skillnaden mellan en visselblåsarpolicy och en visselblåsarkanal?

En visselblåsarpolicy är det styrdokument som beskriver regler, roller och processer, medan visselblåsarkanalen är det tekniska och organisatoriska system där rapporter tas emot och hanteras. Policyn är dokumentet en tillsynsmyndighet läser, kanalen är verktyget en rapportör använder. Båda krävs enligt direktivet, och de måste vara konsekventa med varandra.

Måste en SMB med 50 anställda verkligen ha en policy?

Ja. Direktivets tröskelvärde är 50 anställda för juridiska enheter i den privata sektorn, och från 17 personer gäller kravet i vissa medlemsstater, till exempel för organisationer som omfattas av särskilda EU-regleringar. För ett svenskt aktiebolag med 50 anställda är alltså policyn obligatorisk, oavsett bransch, och avsaknaden av en policy kan i sig utgöra en lagöverträdelse.

Hur länge ska ärenden sparas?

EU-direktivet anger ingen exakt lagringstid, utan överlåter åt medlemsstaterna att fastställa den. I praktiken brukar 2–5 år från ärendets avslutande vara en vanlig utgångspunkt, förutsatt att personuppgifterna inte längre behövs för rättsliga förfaranden. Tidsgränsen måste dokumenteras i policyn och i organisationens behandlingsregister enligt GDPR.

Kan rapportören vara anonym hela processen?

Ja, direktivet tillåter uttryckligen anonym rapportering. Organisationen måste då kunna besvara frågor och lämna återkoppling utan att känna till avsändarens identitet, vanligtvis genom en säker tvåvägskommunikation inom rapporteringskanalen. Policyn bör beskriva hur denna funktion upprätthålls och vilka tekniska skydd som förhindrar identifiering.

Vad kostar det att inte ha en policy?

Konsekvenserna varierar mellan medlemsstaterna, men direktivet ger utrymme för böter som kan överstiga 1 miljon euro för allvarliga överträdelser. Utöver det ekonomiska finns risken för anseendeskada, svårigheter att rekrytera och att samarbetspartners ställer krav på en fungerande kanal. För ett SMB är den samlade risken ofta betydligt högre än kostnaden för att anta en policy.

Källor