Ashio whistleblowing software

Sep 23, 2026

Whistleblowerordning i kommuner: 90-dages plan

Whistleblowerordning i kommuner: 90-dages plan

De fleste danske kommuner har fået whistleblowerordningen op at stå - men alt for få har faktisk kommunikeret den ud til medarbejderne, så den reelt bliver brugt. En velfungerende whistleblowerordning i en kommune handler nemlig ikke kun om en formular på intranettet og en politik i Personalehåndbogen. Det handler om, at en sosu-assistent på et plejecenter, en sagsbehandler i Borgerservice og en læge på regionens hospital reelt ved, hvordan de indberetter - og stoler nok på systemet til at gøre det, når noget er galt.

Denne guide samler de krav, din kommune eller region skal opfylde, og giver dig en konkret 90-dages plan for at etablere en intern whistleblowerordning, der bliver brugt i praksis.

Indholdsfortegnelse

De vigtigste pointer

  • Danske kommuner med 50 eller flere ansatte er forpligtet til at etablere en intern whistleblowerordning efter lov om beskyttelse af whistleblowere, der supplerer EU-direktiv 2019/1937.
  • De tre lovpligtige frister er 7 dage til kvittering, 3 måneder til opfølgning og en løbende pligt til at informere alle ansatte om kanalen.
  • De fleste ordninger fejler ikke på teknik, men på kommunikation: politikken ligger i en PDF, som ingen åbner.
  • Den første sag afgør, om ordningen overlever. Triage, undersøgelse og tilbagemelding skal være øvet, inden sagen lander.
  • 90 dage er nok til at gå fra politikes til levende kanal - hvis du fordeler opgaverne i fire faser: politik og rollefordeling, kanal og test, kommunikation til ansatte, drift af de første sager.

Hvilke krav stiller whistleblowerloven til en kommunal arbejdsgiver?

Kommuner og regioner med mindst 50 ansatte skal stille en intern whistleblowerordning til rådighed, hvor ansatte kan indberette overtrædelser af EU-retten, alvorlige lovbrud og forhold af væsentlig offentlig interesse - og de skal gøre det skriftligt, mundtligt eller ved personligt møde. Det følger af den danske lov om beskyttelse af whistleblowere, der i sin ordlyd svarer til forpligtelserne i EU-direktiv 2019/1937.

Kommunen har tre konkrete tidsfrister, som styrer hele sagsflowet: du skal kvittere over for indberetteren inden 7 dage, give feedback på den videre behandling inden 3 måneder og løbende sikre, at indberetninger håndteres fortroligt af uafhængige personer uden interessekonflikt. Derudover skal ordningen være let tilgængelig, og oplysningerne om den skal være synlige for alle ansatte - ikke kun i en personalepolitik på intranettet.

Hvad dækker ordningen af forhold?

Ordningen skal kunne rumme indberetninger om overtrædelser af EU-retten på en række udpegede områder: offentlige udbud, finansielle tjenesteydelser, produktsikkerhed, transportsikkerhed, miljø, strålebeskyttelse, folkesundhed, forbrugerbeskyttelse, databeskyttelse og net- og informationssikkerhed. Alvorlige lovbrud og forhold af væsentlig offentlig interesse - f.eks. svindel med kommunale midler, chikane eller brud på patientsikkerhed - er også omfattet.

Hvad må en kommunal ansat indberette?

En medarbejder må indberette oplysninger om overtrædelser, som vedkommende er kommet i forbindelse med i arbejdsmæssig sammenhæng, og som har en konkret og reel karakter. Rene formodninger, der ikke kan underbygges, eller oplysninger der allerede er offentligt tilgængelige, er ikke omfattet. Til gengæld er beskyttelsen bred: den gælder ansatte, praktikanter, vikarer, leverandører og tidligere ansatte, og den omfatter også ansøgere til stillinger i kommunen.

Sådan designer du whistleblowerordningen i en kommune: politik, kanal og sagsbehandlerroller

En whistleblowerordning i en kommune skal designes som en lille, veltrænet proces med klare roller - ikke som et projekt, der overtager hele organisationen. Start med tre roller: en complianceansvarlig (typisk juridisk chef eller HR-chef), der ejer ordningen, et sagsbehandlerpanel på to til tre personer fra forskellige forvaltninger, der modtager og triagerer sager, og en ekstern part, som ansatte kan indberette til, hvis de ikke har tillid til den interne kanal.

Politikken skal være kort og operativ - maksimalt to A4-sider - og den skal svare på fire spørgsmål, som enhver ansat stiller sig: Hvad kan jeg indberette? Hvordan gør jeg - og kan det være anonymt? Hvem læser min indberetning? Hvad sker der bagefter, og hvornår hører jeg noget? Politikken skal desuden beskrive forbuddet mod repressalier og den konkrene konsekvens for ansatte, der forsøger at afskrække eller skade en whistleblower.

Hvilke roller skal du have på plads fra dag et?

Du skal som minimum have en uafhængig modtagerfunktion, en sagsbehandler med beslutningskompetence og en complianceansvarlig, der kan eskalere til direktionen. Rollerne skal være adskilt fra personer, der selv kan blive indberettet, og de skal være uddannet i fortrolighed, dokumentation og GDPR, da indberetninger typisk indeholder personoplysninger.

Hvordan kommunikerer du ordningen til alle ansatte i regionen uden at det bliver en pdf, ingen læser?

Kommunikation er der, hvor de fleste kommunale whistleblowerordninger taber. Politikken ligger på intranettet, en e-mail er sendt ud, og 6 procent af medarbejderne ved, at den findes. En brugbar whistleblowerordning til kommunal ansatte kræver, at du gentager budskabet mindst fire gange, i fire kanaler og på fire sprog - bogstaveligt talt: når der er nye ansatte, når politikken opdateres, når en sag er afsluttet uden repressalier, og mindst én gang årligt som del af MED-udvalgets arbejdsplan.

Brug de kanaler, de ansatte faktisk læser: personalesiden i KMD, opslag i personalerum og omklædningsrum, en to-minutters video fra en kendt chef på Intranet, og en fast rubrik i nyhedsbrevet. Oversæt politikken til de sprog, der tales på arbejdspladsen - herunder engelsk, polsk, ukrainsk og arabisk - så ingen ansat er afskåret fra ordningen af sproglige årsager.

Hvad skal du fortælle de ansatte først?

De ansatte skal kende tre ting: at en ordning findes, at den er fortrolig, og at ingen må hævne sig på en whistleblower. Derudover skal de vide, hvem de kan gå til med spørgsmål - ikke kun for at indberette, men for at få rådgivning, inden de beslutter sig.

Hvordan leder du kommunikationen ud i hele organisationen?

Forankringen skal ligge i MED-udvalget eller et tilsvarende organ, så kommunikationen følger de sædvanlige veje ned i driften. En complianceansvarlig alene kan ikke nå ud til en stor kommunes 30.000 ansatte; det kræver lokale ledere, der tager ordningen med ind i introduktionen af nye medarbejdere og i de årlige MUS-samtaler.

For en kommune, der vil samle indberetning, sagsbehandling og dokumentation ét sted - og slippe for en endeløs mailtråd med pdf-bilag - er det oplagt at vælge en dedikeret kanal som fx en intern whistleblower-kanal, der understøtter anonym indberetning, tovejskommunikation og friststyring.

Hvad gør du, når den første sag lander - triage, undersøgelse og tilbagemelding

Den første sag afgør, om ordningen overlever. Hvis den håndteres klart, følger flere sager. Hvis den håndteres klodset, forsvinder tilliden, og indberetterne går til pressen i stedet. Du skal derfor øve processen, inden sagen kommer - helst med en fiktiv case i sagsbehandlerpanelet og en driftsprøve på den tekniske kanal.

Når indberetningen er modtaget, følger du fire faste skridt: triage inden for 7 dage, hvor sagen klassificeres (omfattet/ikke omfattet), undersøgelse, hvor du sikrer dokumentation, vidner og eventuel teknisk bistand, afgørelse, hvor du beslutter om der er grundlag for sag, og tilbagemelding, hvor indberetteren får konkret feedback inden for 3 måneder.

Hvem må læse indberetningen?

Kun det sagsbehandlerpanel, du har udpeget, og kun på et sikkert system med adgangslogning. I en kommunal sagsbehandling betyder det typisk, at indberetningen aldrig må ligge i en delt mailbox, i en Teams-kanal eller på en lokal printer - det er den slags arkivering, der gør whistleblowerens identitet til en lækage, der venter på at ske.

Hvordan kvitterer du over for en anonym indberetter?

Du kvitterer gennem den samme kanal, sagen er indgivet i - en sikker indbakke eller et anonymt svar-ID - og du giver en kort, ikke-indholdsmæssig bekræftelse på, at sagen er modtaget og under behandling. Kvitteringen er ikke et tilsagn om et bestemt resultat, men den er afgørende for, at indberetteren stoler på, at processen kører.

90-dages tjekliste: hvad skal være på plads, før du går live?

90-dages tjekliste: hvad skal være på plads, før du går live? Du kan gå fra beslutning til levende ordning på 90 dage, hvis du arbejder i fire faser: politik og rollefordeling (uge 1-3), kanal og test (uge 4-6), kommunikation og opkvalificering (uge 7-10), drift og evaluering (uge 11-13). Planen forudsætter en tovholder på compliance-området med mandat fra direktionen og adgang til både HR, Jura og IT.

Hvad skal være på plads i politik og rollefordeling (uge 1-3)?

  • Udkast til politik med formål, anvendelsesområde, roller og fortrolighedsregler er godkendt af direktionen.
  • Sagsbehandlerpanel på 2-3 personer er udpeget og har underskrevet tavshedserklæring.
  • Complianceansvarlig og eskalationsvej til kommunaldirektøren er fastlagt.
  • Risikovurdering er gennemført: hvilke typer sager forventes, og hvor i organisationen er de mest sandsynlige.

Hvad skal være på plads i kanal og test (uge 4-6)?

  • Teknisk kanal er idriftsat og understøtter anonym indberetning, tovejskommunikation, dansk og andre relevante sprog.
  • Adgangsstyring, logning og backup er testet - og dokumentationen lever op til GDPR's krav om databeskyttelse.
  • Sagsbehandlerpanelet har gennemført en fiktiv sag fra indberetning til afgørelse på under 90 minutter.
  • Friststyring og påmindelser er konfigureret, så ingen sag overskrider 7-dages- eller 3-måneders-fristen.

Hvad skal være på plads i kommunikation og opkvalificering (uge 7-10)?

  • Introduktion til alle ledere på chefniveau er gennemført med fokus på forbud mod repressalier.
  • Kommunikationspakke er udsendt: intranetartikel, video, plakater i personalerum og nyhedsbrev.
  • Politik og vejledning er oversat til de mest anvendte sprog i organisationen.
  • Lokale HR-partnere er uddannet i at vejlede ansatte, der overvejer at indberette.

Hvad skal være på plads i drift og evaluering (uge 11-13)?

  • Første reelle sager er håndteret, og feedbackløkken til indberettere har løbet hele vejen rundt.
  • Direktionen har fået en anonymiseret statusrapport med antal sager, kategorier og gennemsnitlige sagsbehandlingstid.
  • Evaluering er planlagt efter 6 og 12 måneder med input fra MED-udvalget.
  • Ordningen er synlig på kommunens hjemmeside og i introduktionsmaterialet til nye ansatte.

Ofte stillede spørgsmål

Skal alle danske kommuner have en whistleblowerordning?

Ja, kommuner og regioner med mindst 50 ansatte er forpligtet til at etablere en intern whistleblowerordning efter den danske lov om beskyttelse af whistleblowere, der gennemfører EU-direktiv 2019/1937 i dansk ret.

Hvad er forskellen på en intern og en ekstern whistleblowerordning?

Den interne ordning ejes af arbejdsgiveren og er den primære kanal, mens den eksterne ordning ligger hos en myndighed - i Danmark Datatilsynet for databeskyttelsessager og en række ressortmyndigheder for deres respektive områder. Ansatte må som udgangspunkt bruge den interne ordning først, men de kan gå direkte til den eksterne, hvis de har grund til det.

Hvor hurtigt skal vi svare en whistleblower?

Du skal kvittere for modtagelsen af indberetningen inden 7 dage og give feedback på den videre behandling inden 3 måneder. Fristerne gælder fra det øjeblik, indberetningen er modtaget af en ansvarlig person i ordningen, ikke fra det tidspunkt, hvor whistlebloweren sender den.

Er whistleblowerordningen anonym?

Ja, en kommunal whistleblowerordning skal som udgangspunkt tillade anonym indberetning, og kommunen skal beskytte indberetterens identitet og oplysninger, der kan føre til identifikation. Anonymitet kræver en teknisk kanal, der ikke logger IP-adresser og ikke kræver login.

Må en kommune slette indberetninger?

Nej, indberetninger skal opbevares sikkert og kun så længe det er nødvendigt for at opfylde formålet - typisk indtil sagen er endeligt afsluttet og eventuelle retslige skridt er udtømte. Dokumentation skal ske på en måde, der lever op til GDPR, herunder dataminimering og formålsbegrænsning.

Kilder