Ashio whistleblowing software

Oct 9, 2026

Manglende whistleblowerordning: hvad sker der så?

Manglende whistleblowerordning: hvad sker der så?

Stine fra en dansk produktionsvirksomhed fik en mail fra en medarbejder kl. 22 en fredag aften. Der var ingen whistleblowerordning. Hun var bange for, at indberetningen var ubeskyttet, og at hun havde begået en fejl. Sådan ser virkeligheden ud for hundredvis af danske SMV'er hver eneste måned. Spørgsmålet "hvad sker der med en whistleblower hvis ordningen ikke virker?" bliver hurtigt presserende, når en henvendelse lander, før kanalen er på plads — og svaret afhænger mindre af kanalen og mere af, hvordan virksomheden håndterer den konkrete sag fra første minut.

For danske arbejdsgivere med mindst 50 ansatte følger pligten til en intern indberetningskanal af EU's whistleblowerdirektiv 2019/1937, som i Danmark er udmøntet gennem lov om beskyttelse af whistleblowere. Manglende whistleblowerordning som følge af, at kanalen endnu ikke er etableret, udløser ikke et frifindende tomrum: indberetningen er stadig omfattet af reglerne, og arbejdsgiveren har stadig pligter over for den person, der henvender sig.

Indholdsfortegnelse

De vigtigste pointer

  • En whistleblower beholder sit beskyttelsesskjold, også selvom virksomheden ikke har en etableret kanal — forbud mod repressalier gælder fra det øjeblik, indberetningen er omfattet af loven.
  • Arbejdsgiveren skal svare inden 7 dage med en kvittering og give feedback inden 3 måneder, uanset om kanalen er fuldt udrullet eller ej.
  • Manglende whistleblowerordning medfører administrativt ansvar og bøder; for danske SMV'er med 50–249 ansatte kan konsekvensen også blive erstatningsansvar, hvis en medarbejder lider skade.
  • Whistleblowere kan vælge eksterne kanaler som Datatilsynet eller en kompetent myndighed, hvis den interne kanal ikke findes eller ikke fungerer.
  • En compliant, anonym indberetningskanal kan etableres hurtigt med en løsning, der leverer 7-dages-kvittering og 3-måneders-feedback klar ud af boksen — typisk kan man teste kanalen i en 14-dages gratis prøveperiode, før man forpligter sig.

Hvad sker der med whistleblowerbeskyttelsen, hvis virksomheden ikke har en ordning?

Beskyttelsen afhænger ikke af, om virksomheden har en formel kanal — den afhænger af, om indberetningen er omfattet af lov om beskyttelse af whistleblowere. En medarbejder, der indberetter et reelt forhold som økonomisk kriminalitet, bestikkelse, brud på persondataforordningen eller alvorlig risiko for sundhed og sikkerhed, er omfattet fra første henvendelse, uanset om modtageren er HR-chefen, en bestyrelsesformand eller en tilfældig e-mail.

I praksis betyder det, at virksomheden ikke kan afvise indberetningen med, at "vi ikke har en ordning endnu". Den, der modtager henvendelsen, bliver reelt indgang til ordningen og skal opfylde de samme krav om fortrolighed, svarfrist og feedback som en etableret kanal ville have gjort. Når kanalen mangler, er det selve modtagelsen — den mail, den samtale, den skriftlige note — der udløser forpligtelsen til at kvittere, undersøge og videreformidle sagen til den person, der reelt kan handle. Derfor er spørgsmålet "hvad sker der med en whistleblower hvis ordningen ikke virker?" i høj grad et spørgsmål om, hvordan virksomheden reagerer i det øjeblik, en indberetning lander. Læs mere om de danske forpligtelser i denne oversigt over whistleblowerordning i Danmark.

Hvornår opstår der et reelt beskyttelsesbehov uden kanal?

Behovet opstår i det øjeblik, en henvendelse modtages, eller en medarbejder overvejer at indberette. Allerede den overvejelse er beskyttet mod repressalier som fyring, degradering, ændring af arbejdsopgaver og chikane, jf. direktiv (EU) 2019/1937.

Kan en medarbejder stadig være beskyttet uden en etableret kanal?

Ja. Beskyttelsen følger af loven, ikke af den virksomhedsinterne infrastruktur. En indberetning til en leder, en HR-chef eller direkte til ejeren tæller som en indberetning i lovens forstand, så snart den vedrører et af de listede forhold. Forbuddet mod repressalier gælder, og arbejdsgiveren har pligt til at håndtere sagen fortroligt, uanset at kanalen ikke er formaliseret.

Arbejdsgiveren må ikke afsløre identiteten på indberetteren til andre end de personer, der har et sagligt behov. Brud på fortroligheden er i sig selv en overtrædelse af loven, og indberetteren kan klage til Datatilsynet eller søge erstatning ved domstolene. Whistleblowere uden formel kanal har desuden ret til at gå direkte til en ekstern myndighed, hvis den interne adgang reelt er blokeret.

Hvilke krav har whistlebloweren på svar og feedback?

Arbejdsgiveren skal bekræfte modtagelsen af indberetningen inden 7 dage og give feedback på det videre forløb inden 3 måneder. Begge frister løber fra det øjeblik, henvendelsen er modtaget, og de gælder også, når kanalen er uformel eller ikke teknisk understøttet.

Kvitteringen skal bekræfte, at indberetningen er modtaget, og give indberetteren et kontaktpunkt. Feedback efter 3 måneder skal som minimum oplyse, om sagen er under behandling, om den er afsluttet, og hvilke tiltag der er sat i værk. Manglende svar er en selvstændig overtrædelse, uanset om ordningen i øvrigt er på plads.

Hvad må du ikke gøre som arbejdsgiver, når henvendelsen er uformel?

Du må ikke ignorere fristen, ikke videregive identiteten uden sagligt behov og ikke afslutte sagen uden skriftlig feedback. Sletning af mailen, manglende logning og tavshed over for indberetteren er typisk det, der senere fører til erstatningssager.

Hvad er konsekvensen for arbejdsgiveren ved en manglende ordning?

Manglende whistleblowerordning som følge af, at kanalen ikke er etableret, er en overtrædelse af EU-direktiv 2019/1937 og dansk implementering. Sanktionerne spænder fra administrativt ansvar og påbud fra myndighederne til bøder og erstatningsansvar, hvis en medarbejder lider skade som følge af repressalier.

For danske SMV'er i intervallet 50–249 ansatte er det administrative pres ofte det, der mærkes først: Arbejdstilsynet og Datatilsynet kan kræve dokumentation for, at en kanal findes, at procedurer er kendt af medarbejderne, og at fristerne overholdes. Hvis en whistleblower lider repressalier — fyring, degradering, fjernelse af ansvarsområder — og virksomheden ikke kan fremvise en fungerende kanal, stiger erstatningsrisikoen markant, fordi bevisbyrden i praksis vendes.

Hvor stor er risikoen for SMV'er med under 250 ansatte?

Private virksomheder med 50–249 ansatte har siden december 2023 skullet have en intern kanal, og manglende etablering kan udløse bøder samt krav om øjeblikkelig lovliggørelse. Kombineret med persondataforordningen og regler om ansvarlig databehandling er det en risiko, der rammer direkte på bestyrelsens bord.

Sådan opretter du en godkendt whistleblowerordning på under 14 dage

Sådan opretter du en godkendt whistleblowerordning på under 14 dage En compliant kanal behøver ikke være et halvtårsprojekt. Når først beslutningen er truffet, kan selve indretningen klares på under to uger, hvis man undgår de tre typiske faldgruber: hjemmebyggede e-mail-indbakker, regneark som sagslog og "uformelle" kanaler uden dokumenteret friststyring.

En praktisk vej ser sådan ud:

  • Beslut og forankr. Bestyrelse eller direktion vedtager politik for whistleblowerordning og udpeger en ansvarlig (ofte compliance- eller HR-chefen) med klart mandat.
  • Vælg kanal. Vælg en anonym, krypteret indberetningskanal, der understøtter tovejskommunikation uden at logge IP-adresser, og som gør det muligt at overholde 7-dages- og 3-måneders-fristerne.
  • Kortlæg processer. Definér modtagelse, kvittering, sagsoprettelse, sagsbehandlerroller, feedback-skabeloner og eskalering.
  • Kommunikér internt. Alle medarbejdere skal vide, at kanalen findes, hvad den bruges til, og at indberetninger er fortrolige.
  • Test og gå live. Kør en prøvesag fra modtagelse til feedback for at validere, at fristerne kan overholdes i praksis.

Den faktiske tyngde ligger i at vælge en løsning, der kan levere 7-dages-kvittering og 3-måneders-feedback som en integreret del af systemet, frem for noget, der kræver manuel kalenderstyring. En lille produktionsvirksomhed, en regional revisionsklinik og en mellemstor rådgivningsvirksomhed har meget forskellige behov, men fælles for dem alle er, at ordningen skal kunne dokumenteres over for en revisor eller myndighed.

Når beslutningen er truffet, er det de færreste teams, der selv bør bygge kanalen i Excel eller dele en fælles indbakke. En dedikeret whistleblower-software, som ashio, kan varetage indberetningsflowet, anonym tovejskommunikation, automatisk friststyring og uforanderlig aktivitetslog. Det er ikke en løsning for meget små virksomheder uden persondataansvar eller for organisationer, der har behov for et fuldt internt system med eget datacenter. Hvis I vil i gang, kan I oprette en konto og teste kanalen i en prøveperiode uden at binde jer til en større implementering.

Hvordan sikrer du, at indberetteren forbliver anonym fra første klik?

Vælg en løsning, der ikke sætter cookies, ikke logger IP-adresser og giver mulighed for tovejskommunikation via et personligt link frem for e-mail. Hvis indberetteren skal oplyse navn eller arbejdsmail, er anonymiteten brudt, før sagen overhovedet er oprettet.

Ofte stillede spørgsmål

Kan en medarbejder indberette direkte til en myndighed uden at bruge en intern kanal?

Ja. Whistleblowere kan gå direkte til en ekstern myndighed som Datatilsynet, hvis den interne kanal ikke findes, eller hvis der er grund til at tro, at den ikke vil håndtere sagen upartisk. Beskyttelsen mod repressalier gælder også ved eksterne indberetninger.

Hvad sker der, hvis en indberetning aldrig bliver besvaret?

Manglende svar inden 7-dages-fristen for kvittering og 3-måneders-fristen for feedback er i sig selv en overtrædelse af loven. Indberetteren kan klage til myndighederne, og kombineret med efterfølgende repressalier giver det grundlag for både bøder og erstatning.

Gælder reglerne også for små virksomheder under 50 ansatte?

EU-direktivet gælder fuldt ud for private arbejdsgivere med 50 eller flere ansatte, men persondataforordningen og dansk straffelov beskytter allerede indberetteren i mange tilfælde. Små virksomheder er ikke forpligtede til en intern kanal, men frivillig etablering beskytter både virksomheden og den enkelte medarbejder.

Kan en whistleblower blive opsagt, mens sagen undersøges?

Nej. Forbuddet mod repressalier gælder fra indberetningstidspunktet og under hele sagens behandling. En opsigelse kort efter en indberetning udløser en formodning for repressalie, som arbejdsgiveren skal modbevise.

Kilder