Ashio whistleblowing software

Oct 6, 2026

Whistleblowerordning i Danmark: hvad siger loven egentlig — og hvem er forpligtet i 2026?

Whistleblowerordning i Danmark: hvad siger loven egentlig — og hvem er forpligtet i 2026?

Mange danske virksomheder tror, de er dækket af en formular på intranettet. Men den danske lov om beskyttelse af whistleblowere — og EU-direktiv 2019/1937 bag den — stiller konkrete krav til dokumentation, frister og anonymitet, som de fleste ordninger ikke lever op til. Her er, hvad du faktisk skal have på plads i 2026, hvem reglerne gælder for, og hvor de typiske fælder sidder, når en whistleblowerordning i praksis skal bestå en audit.

Indholdsfortegnelse

De vigtigste pointer

  • Den danske whistleblowerordning bygger på en kombination af lov om beskyttelse af whistleblowere og EU's whistleblowerdirektiv 2019/1937, der skulle være gennemført i national ret senest den 17. december 2021.
  • Alle private virksomheder med 50 eller flere ansatte og alle offentlige myndigheder er forpligtet til at have en intern indberetningskanal — uanset om de har haft en sag eller ej.
  • En compliant ordning kræver mindst syv tekniske og proceduremæssige elementer, herunder anonym tovejskommunikation, friststyring og et uforanderligt aktivitetsspor.
  • Fristerne på 7 dage for kvittering og 3 måneder for feedback er ufravigelige og gælder fra det øjeblik, en indberetning er modtaget.
  • En typisk dansk SMV kan nå fuld compliance på 90 dage ved at opdele arbejdet i tre faser: kortlægning, valg af kanal og løbende dokumentation.

Hvad siger den danske whistleblowerlov i 2026 — og hvordan spiller den sammen med EU-direktiv 2019/1937?

Den danske whistleblowerordning er i 2026 reguleret af to lag, der supplerer hinanden: den nationale lov om beskyttelse af whistleblowere, som Folketinget vedtog for at gennemføre eu whistleblowing directive, og selve direktiv 2019/1937, der sætter minimumsstandarderne. Loven forpligter arbejdsgivere til at oprette fortrolige kanaler, beskytte indberettere mod repressalier og føre tilsyn med ordningens drift, mens direktivet definerer en række minimumsrettigheder, som national lovgivning mindst skal leve op til.

I praksis betyder det, at en dansk virksomhed ikke bare kan nøjes med at "følge loven". Hvis den danske lov på et punkt er mindre streng end direktivet, kan en domstol eller tilsynsmyndighed lægge direktivets standard til grund. Det gælder især spørgsmål om anonymitet, bevisbyrde og frister. Den danske lovgiver har gennemført direktivet relativt tæt på ordlyden, men med en række danske tilpasninger, som det er værd at kende.

For det første gælder loven både private og offentlige arbejdsgivere, men tærsklen for, hvornår private virksomheder er forpligtede, er anderledes end for myndigheder. For det andet har Danmark valgt at udpege eksterne whistleblowerordninger, som mindre virksomheder kan tilslutte sig som alternativ til en intern kanal — en løsning der gør det muligt for de mindste arbejdsgivere at opfylde forpligtelsen uden at bygge en hel organisation op fra bunden. For det tredje indeholder loven detaljerede regler om, hvilke oplysninger arbejdsgiveren skal give indberetteren, og hvornår — og det er her, de fleste ordninger kommer til kort.

EU-direktivets rolle i 2026 er primært at sætte det beskyttelsesgulv, som den danske ordning hviler på. Når direktivet omtaler anonymous reporting, Intern whistleblowerkanal og feedback inden 3 måneder, er det ikke en anbefaling — det er en rettighed for indberetteren og en pligt for arbejdsgiveren. Hvis en dansk virksomhed undlader at leve op til disse krav, risikerer den både erstatningsansvar over for den indberettende medarbejder og bøder fra tilsynsmyndigheden, som i Danmark varetages af Datatilsynet, hvor reglerne grænser op til GDPR.

Det er derfor afgørende at forstå, at whistleblowerordning i dansk lov ikke er en isoleret HR-procedure. Den er en del af virksomhedens samlede compliance-arkitektur med bindinger til persondata-, arbejdsmiljø- og selskabsret. Hvis du isolerer ordningen fra resten af compliance-arbejdet, vil den typisk fejle, lige så snart en sag faktisk opstår.

Hvem er faktisk forpligtet til at have en whistleblowerordning i Danmark?

Alle arbejdsgivere i den offentlige sektor er forpligtet uanset størrelse, mens private arbejdsgivere med 50 eller flere ansatte skal have en intern indberetningskanal. Derudover er en række særligt regulerede virksomheder omfattet af lavere tærskler, fordi de er underlagt anden EU-lovgivning — typisk finansiel lovgivning som hvidvaskregler, markedsmisbrugsforordningen eller DORA-forordningen.

Hvad gælder for SMV'er under 50 ansatte?

Små og mellemstore virksomheder med færre end 50 ansatte er som udgangspunkt ikke forpligtet til at etablere en intern kanal, men de har stadig pligt til at behandle indberetninger, hvis en medarbejder henvender sig. For SMV'er under tærsklen er en ekstern whistleblowerordning, der fungerer som et kollektivt alternativ til en intern kanal, en anerkendt model i dansk praksis. Denne model findes i flere brancheforeninger og rådgivningshuse og er et fuldt acceptabelt supplement til en intern kanal — også for SMV'er over 50, der ikke selv ønsker at drive ordningen.

Gælder der særlige regler for den finansielle sektor?

Banker, forsikringsselskaber, investeringsforvaltere og visse fintech-virksomheder er underlagt skærpede krav uanset medarbejderantal, fordi de er underlagt EU's hvidvaskdirektiv, MiCA-forordningen og DORA. For disse virksomheder er en compliant whistleblowerordning ikke bare en HR-øvelse — den er en forudsætning for at opretholde tilladelse og en integreret del af den operationelle risikostyring.

Hvad med offentlige myndigheder og kommunale arbejdsgivere?

Alle offentlige arbejdsgivere — fra ministerier og styrelser til kommuner og regioner — skal have en intern kanal. Mange har valgt at etablere en fælles kommunal løsning eller at udnytte en central statslig ordning. For en kommune med få tusinde ansatte er det typisk den mest omkostningseffektive model, men den kræver stadig lokal forankring af procedurer, uddannelse af sagsbehandlere og klare eskaleringsveje op til direktionen.

Hvad sker der, hvis en virksomhed ignorerer forpligtelsen?

Hvis en virksomhed undlader at etablere en ordning, kan det få konsekvenser i form af tilsynsreaktioner fra Datatilsynet, og medarbejdere, der lider skade som følge af manglende beskyttelse, kan have krav på erstatning. Derudover kan manglende whistleblowerordning føre til, at virksomheden ikke kan deltage i visse offentlige udbud, der stiller krav om compliance-programmer — et forhold der isæ rammer leverandører til stat, regioner og kommuner.

Hvad skal en compliant ordning indeholde — de 7 krav du ikke må overse?

En compliant whistleblowerordning i dansk lov skal leve op til syv konkrete krav, der tilsammen udgør en uadskillelig helhed. Hvis bare ét af dem mangler, kan ordningen ikke bestå en audit. Kravene følger direkte af lov om beskyttelse af whistleblowere og af EU-direktivets artikel 7 og 9.

Skriftlige procedurer og politik

Ordningen skal være forankret i en skriftlig politik, som medarbejderne kan tilgå, og som beskriver, hvad der kan indberettes, hvordan, hvem der modtager indberetninger, og hvad der sker, når en sag åbnes. Politikken skal opdateres mindst én gang årligt og skal være tilgængelig på de sprog, medarbejderne taler. For danske virksomheder betyder det som minimum dansk og engelsk, hvis der er ansatte uden danskkundskaber.

Fortrolig indberetningskanal

Kanalen skal være designet til at modtage indberetninger skriftligt eller mundtligt, og den skal beskytte indberetterens identitet samt identiteten på de personer, der omtales i indberetningen. Adgangen til sagerne skal være begrænset til et klart defineret hold af sagsbehandlere, og alle henvendelser til kanalen skal logges med henblik på revisionsspor. Kanalen skal være tilgængelig for alle ansatte, men også for eksterne med en berettiget interesse — eksempelvis leverandører, kunder og samarbejdspartnere.

Anonym tovejskommunikation

Indberetteren skal kunne kommunikere med sagsbehandleren uden at afsløre sin identitet, og sagsbehandleren skal kunne stille opfølgende spørgsmål og give feedback — alt sammen uden at identiteten kompromitteres. Dette er et af de krav, hvor de fleste danske ordninger halter: en indbakke på intranettet kan modtage anonyme henvendelser, men den kan ikke føre en fortrolig dialog uden at identificere afsenderen.

Friststyring

Loven og direktivet fastsætter to ufravigelige frister: 7 dage til at kvittere for modtagelsen af indberetningen og 3 måneder til at give feedback på det videre forløb. Disse frister løber fra det øjeblik, indberetningen er modtaget, og de gælder uanset ferie, helligdage og sygdom. Friststyring er derfor ikke noget, der kan løses med en kalenderpåmindelse — det kræver et system, der automatisk overvåger og eskalerer, hvis en frist nærmer sig.

Uforanderligt aktivitetsspor

Alle handlinger i en sag — modtagelse, tildeling, ændring af status, sletning, eksport — skal logges i et manipulationssikkert spor, som kan fremvises for en revisor eller tilsynsmyndighed. Et aktivitetsspor, der kan redigeres, opfylder ikke kravet. Det samme gælder, hvis loggen kun opbevares i en e-mailindbakke, der kan slettes.

Beskyttelse mod repressalier

Arbejdsgiveren skal aktivt beskytte indberetteren mod afskedigelse, degradering, forflyttelse og andre former for repressalier. Det betyder, at whistleblowerens identitet kun må videregives til dem med et sagligt behov, og at arbejdsgiveren skal kunne dokumentere, at der ikke er sket repressalier, hvis en indberetter hævder det modsatte.

Dokumentation og rapportering

Ordningen skal kunne dokumentere, hvor mange indberetninger der er modtaget, hvilke typer sager de vedrører, og hvordan de er håndteret. Dokumentationen skal opbevares sikkert og kun i det omfang, det er nødvendigt for at opfylde lovens formål. Mange virksomheder rapporterer årligt til bestyrelsen om ordningens drift, og denne rapportering bør indgå i virksomhedens samlede compliance-rapportering.

Hvorfor 'en formular på intranettet' ikke er nok: dokumentation, frister og anonymitet i praksis

Mange danske virksomheder har en formular på intranettet, et link i personalehåndbogen og et par e-mailadresser, der hører til "compliance@". Det ser umiddelbart fornuftigt ud, men når man måler det mod de syv krav, falder det meste fra. En formular kan ikke garantere anonymitet, en e-mail kan ikke føre en fortrolig dialog, og en kalenderpåmindelse kan ikke overvåge en 7-dages frist, når sagsbehandleren er på ferie.

Hvad sker der, når en indberetning reelt modtages?

Forestil dig, at en medarbejder i økonomiafdelingen opdager, at en leverandør bliver favoriseret ved indkøb. Hun udfylder en formular på intranettet, men taster en forkert e-mail som kontaktpunkt. Tre dage senere har hun ikke hørt noget. Hun ved ikke, om indberetningen overhovedet er modtaget, om nogen har læst den, eller om den er gået tabt. Efter to uger sender hun en ny indberetning til en personlig mail, fordi hun er usikker på, om systemet virker. Det er her, anonymiteten reelt forsvinder: en e-mailserver logger både afsender og modtager.

Hvorfor er fristerne så svære at overholde manuelt?

7-dages kvitteringsfristen og 3-måneders feedbackfristen lyder overkommelige, men de kræver, at der altid er en person, der ved, at fristen nærmer sig. I praksis er sagsbehandlere ofte på ferie, på kursus eller skiftet til andre opgaver. Uden et system, der automatisk eskalerer sagen til en backup-sagsbehandler, risikerer man at overskride fristen — og så er der allerede sket et brud på loven, uanset om indberetteren har lidt skade.

Hvad kræver det at beskytte indberetteren forsvarligt?

Beskyttelse mod repressalier kræver, at arbejdsgiveren kan bevise, at der ikke er sket negative handlinger mod indberetteren efter indberetningen. Det betyder konkret, at HR-systemet, kalenderen og ledelsens beslutninger skal kunne spores i forhold til indberetningen — ellers er det ord mod ord, og bevisbyrden ligger hos arbejdsgiveren.

Hvorfor er dokumentation så vigtig for en audit?

Når en revisor eller tilsynsmyndighed beder om dokumentation, vil de først og fremmest se på, om ordningen faktisk modtager indberetninger, og om de er håndteret korrekt. En ordning, der "har fungeret i to år uden sager", er i sig selv et rødt flag — enten er kanalen ukendt blandt medarbejderne, eller også er den så dårligt designet, at indberetninger aldrig når frem. En compliant ordning producerer derimod et lille, men konsistent flow af indberetninger, der viser, at kanalen er kendt, tilgængelig og betroet.

For de fleste danske SMV'er er det manuelle setup ikke et spørgsmål om vilje, men om tid og specialisering. Derfor vælger mange at overlade den tekniske drift af kanalen til en ekstern platform, der opfylder de tekniske krav, og lade den interne complianceansvarlige koncentrere sig om sagsbehandling, politik og opfølgning. Det er i dette snit mellem drift og governance, at en specialbygget løsning for compliance officers giver mening — også selvom virksomheden i øvrigt er lille.

Sådan kommer du fra nullinje til fuld compliance på 90 dage — uden at brænde budgettet

Sådan kommer du fra nullinje til fuld compliance på 90 dage — uden at brænde budgettet De fleste compliance-programmer fejler, fordi de prøver at gøre alt på én gang. Erfaringen viser, at en faseopdelt tilgang på 90 dage giver en langt bedre balance mellem hastighed, kvalitet og pris. Nedenstående plan kan gennemføres af en complianceansvarlig på fuld tid med støtte fra HR og IT.

Dag 1–30: kortlægning og politik

Første fase handler om at forstå, hvad ordningen skal kunne, og hvem der skal drive den. Kortlæg forpligtelserne ud fra virksomhedens størrelse, sektor og geografi. Identificér de medarbejdere, der skal være sagsbehandlere, og beskriv deres rolle i politikken. Udarbejd en whistleblowerpolitik, der dækker formål, anvendelsesområde, procedurer og fortrolighed. Politikken bør godkendes af direktionen og bestyrelsen, og den skal kommunikeres ud til alle medarbejdere, så snart den er vedtaget.

Dag 31–60: valg af kanal og system

Anden fase handler om at vælge den tekniske kanal, som indberetninger skal komme ind ad. Her har virksomheden fire reelle valg: en internt udviklet løsning, en generisk platform som et ticketsystem, en specialbygget whistleblowerplatform eller en ekstern delt ordning via en brancheforening. Hvert valg har fordele og ulemper, men de afgørende kriterier er anonymitet, tovejskommunikation, friststyring og revisionsspor. En internt udviklet løsning kræver typisk 3–6 måneders udvikling og løbende vedligehold, mens en specialbygget platform kan være operationel på få dage. For SMV'er med begrænsede IT-ressourcer er det sjældent en god forretning at bygge selv.

Hvordan vælger du den rigtige løsning til din organisation?

Det rigtige valg afhænger af tre faktorer: volumen, kompleksitet og eksisterende IT. Hvis du forventer under 20 indberetninger om året og har en enkel organisation, er en ekstern delt ordning ofte tilstrækkelig. Hvis du forventer 20–100 indberetninger, har en kompleks organisation med flere selskaber eller er underlagt skærpet regulering, er en specialbygget platform det mest forudsigelige valg. Hvis du forventer over 100 indberetninger årligt og har en stor complianceafdeling, kan en intern løsning med specialudviklede moduler give mening — men kun hvis I har de nødvendige ressourcer til at vedligeholde den.

Dag 61–90: uddannelse, test og lancering

Tredje fase handler om at uddanne sagsbehandlere, teste kanalen og kommunikere lanceringen. Sagsbehandlerne skal kende proceduren for modtagelse, kvittering, eskalering og feedback. Test kanalen internt med en simuleret indberetning, og justér procedurerne, inden den går i luften. Endelig skal lanceringen kommunikeres klart og tydeligt: medarbejderne skal vide, hvad ordningen dækker, hvordan de bruger den, og hvad de kan forvente, når de indberetter.

Hvordan holder du ordningen kørende uden at brænde budgettet?

Den største budgetfælde er at lade ordningen stå alene. En compliant whistleblowerordning kræver løbende vedligehold: politikken skal opdateres, sagsbehandlerne skal have genopfrisket deres uddannelse, og kanalen skal testes mindst én gang årligt. Sæt det i kalenderen som en fast del af compliance-programmet, og allokér timer i budgettet. Det er markant billigere end at rette op på en sag, der er gået galt, fordi procedurerne var udaterede. Vil du se, hvordan en compliant platform fungerer i praksis, kan du sign up og afprøve løsningen med en simuleret sag.

Tjekliste: er din whistleblowerordning klar til audit i 2026?

Før en audit eller et tilsynsbesøg kan du med fordel gennemgå nedenstående tjekliste. Hvis du kan svare ja til alle punkter, er din ordning med høj sandsynlighed compliant. Hvis du svarer nej til ét eller flere, er det et konkret forbedringspunkt, der bør handles på inden audit.

  • Politik og forankring: Er whistleblowerpolitikken skrevet, godkendt af direktionen og kommunikeret til alle medarbejdere?
  • Kanal og adgang: Har du en kanal, der er tilgængelig for både ansatte og eksterne, og som er designet til at beskytte identiteten?
  • Anonym tovejskommunikation: Kan indberetteren kommunikere med sagsbehandleren uden at afsløre sin identitet, og kan sagsbehandleren stille opfølgende spørgsmål?
  • Friststyring: Overvåger systemet automatisk 7-dages kvitteringsfristen og 3-måneders feedbackfristen, og eskalerer det, hvis en sagsbehandler ikke svarer?
  • Uforanderligt aktivitetsspor: Logger systemet alle handlinger i en sag på en måde, der ikke kan ændres eller slettes?
  • Sagsbehandlere og uddannelse: Er der udpegede sagsbehandlere, og har de modtaget uddannelse i procedurer, fortrolighed og GDPR?
  • Repressaliebeskyttelse: Kan du dokumentere, at indberetteren er beskyttet mod negative handlinger, og at identiteten kun er videregivet til dem med et sagligt behov?
  • Dokumentation og rapportering: Rapporterer du årligt til bestyrelsen om antal sager, typer og håndtering, og opbevarer du dokumentationen sikkert?
  • Databeskyttelse og Sikkerhed & GDPR-compliance: Er kanalen hostet og driftet i overensstemmelse med GDPR, herunder kryptering, datalokation og adgangsstyring?

Hvis du svarer nej til mere end to af punkterne, er det et signal om, at ordningen med al sandsynlighed ikke vil bestå en grundig audit. Den gode nyhed er, at de fleste af punkterne kan udbedres på under 30 dage, hvis du har den rette platform og de rette procedurer på plads. Start med de punkter, der kræver teknisk understøttelse — kanal, anonym kommunikation og friststyring — og arbejd derefter med politik, uddannelse og dokumentation.

Ofte stillede spørgsmål

Hvad koster det at etablere en whistleblowerordning i Danmark?

Prisen afhænger af virksomhedens størrelse, kompleksiteten i ordningen og om du bygger selv eller bruger en ekstern platform. For danske SMV'er ligger det typiske budget for en specialbygget platform i et fast månedligt beløb pr. organisation, hvilket gør prisen forudsigelig, uanset hvor mange indberetninger I modtager. Hvis du bygger selv, skal du regne med udvikling, hosting, vedligehold og intern tidsforbrug, og den samlede pris over tre år ender typisk højere end en standardplatform.

Hvem har ansvaret for whistleblowerordningen i en virksomhed?

Ansvaret ligger formelt hos den øverste ledelse, men den daglige drift varetages typisk af en complianceansvarlig, en HR-chef eller en særligt udpeget whistleblower-ansvarlig. Bestyrelsen har et tilsyns- og rapporteringsansvar og bør modtage en årlig rapport om ordningens drift. Det er vigtigt, at ansvaret er entydigt placeret, så der ikke opstår tvivl om, hvem der handler, når en indberetning modtages.

Kan en whistleblower indberette anonymt — og er det lovligt at ignorere anonyme indberetninger?

Ja, anonym indberetning er en rettighed i både den danske lov og EU-direktivet, og arbejdsgiveren er forpligtet til at behandle anonyme indberetninger på lige fod med navngivne. At ignorere en anonym indberetning er et klart brud på loven, fordi du ikke på forhånd kan vide, om indberetteren senere vælger at stå frem. Den bedste praksis er at designe kanalen, så anonymitet er standard, og identitet kun registreres, hvis indberetteren selv ønsker det.

Hvad er forskellen på en intern og en ekstern whistleblowerordning?

En intern ordning drives af virksomheden selv — enten med eget system eller via en specialbygget platform. En ekstern ordning drives af en tredjepart, typisk en brancheforening, et rådgivningshus eller en offentlig myndighed. Begge er acceptable, men de adskiller sig på tre punkter: kontrol over sagsbehandlingen, grad af fortrolighed og hvor hurtigt virksomheden kan handle på en indberetning. For de fleste danske SMV'er med 50–500 ansatte er en intern ordning via en specialbygget platform den mest balancerede løsning.

Hvor længe må en indberetning opbevares?

Indberetninger og tilhørende dokumentation må kun opbevares så længe, det er nødvendigt for at opfylde formålet med ordningen. Hvis en indberetning fører til en disciplinær sag eller en retssag, kan dokumentationen opbevares, indtil sagen er afsluttet. Hvis en indberetning ikke fører til noget, bør den slettes eller anonymiseres inden for en rimelig frist — typisk 2–3 år efter sagens afslutning, medmindre andet følger af anden lovgivning.

Kilder