Ashio whistleblowing software

Oct 1, 2026

Whistleblowerpolitik: hvad skal den indeholde — og sådan skriver du en der holder

Whistleblowerpolitik: hvad skal den indeholde — og sådan skriver du en der holder

En whistleblowerpolitik er ikke en HR-kliché. Den er det juridiske bevis på, at din organisation aktivt opfordrer til indberetning og beskytter dem, der siger fra — og den er i de fleste danske virksomheder og kommuner obligatorisk efter EU's whistleblowerdirektiv og den danske lov. Denne guide giver dig en whistleblowerordning politik skabelon med den struktur, det sprog og de otte afsnit, din politik skal have, før den holder både over for en medarbejder, en revisor og en tilsynsmyndighed.

Indholdsfortegnelse

De vigtigste pointer

  • En whistleblowerpolitik er et selvstændigt dokument, ikke en HR-procedure — den skal kunne læses af alle medarbejdere uden kendskab til jeres interne systemer.
  • Politikken skal som minimum dække otte kerneafsnit: formål, anvendelsesområde, hvad der kan indberettes, hvordan man indberetter, beskyttelse mod repressalier, fortrolighed, sagsbehandling samt ansvar og revision.
  • Efter EU-direktiv (EU) 2019/1937 skal indberetninger kvitteres inden for 7 dage og følges op inden for 3 måneder — fristerne skal stå eksplicit i politikken.
  • Politikken bør opdateres mindst én gang om året, altid når lovgivningen ændrer sig, og altid når whistleblowerordningens tekniske setup ændres.

Hvad er en whistleblowerpolitik — og hvorfor er den obligatorisk?

En whistleblowerpolitik er det skriftlige, ledelsesgodkendte dokument, der fortæller medarbejdere, ledelse og eksterne samarbejdspartnere, hvordan organisationen håndterer indberetninger om alvorlige lovovertrædelser og ansvarlighedsspørgsmål. Den adskiller sig fra whistleblowerordningen, som er den tekniske kanal og den faktiske sagsbehandling; politikken er den normative ramme, som ordningen opererer inden for.

Den er obligatorisk fordi EU's whistleblowerdirektiv (EU) 2019/1937 kræver, at offentlige organer og virksomheder med mindst 50 ansatte etablerer både en intern indberetningskanal og klare, skriftlige regler for brugen af den. I dansk ret udmøntes direktivet gennem lov om beskyttelse af whistleblowere (lov nr. 1436 af 29. juni 2021). Uden en vedtaget politik kan en organisation ikke dokumentere, at den "aktivt opfordrer til indberetning", og det er præcis det aktivt-opfordrer-kriterium, som tilsynsmyndigheder og domstole lægger vægt på, når de vurderer, om en whistleblower har været tilstrækkeligt beskyttet.

For en dansk SMV eller kommune betyder det i praksis, at politikken er det første dokument, en ekstern revisor, en arbejdsmiljørepræsentant eller en journalist beder om at se, hvis der opstår en sag. Politikken er derfor ikke et internt biprodukt af HR-afdelingens compliancearbejde — den er selve beviset på, at organisationen har taget sit ansvar alvorligt.

Disse 8 afsnit skal din whistleblowerpolitik som minimum indeholde

Disse 8 afsnit skal din whistleblowerpolitik som minimum indeholde En whistleblowerpolitik, der holder i praksis, skal dække otte kerneafsnit. De otte afsnit svarer til de krav, som EU-direktivets artikel 7 og 9 stiller til intern indberetning, og de er den samme struktur, som de fleste danske compliancevejledninger anbefaler. Du kan frit omdøbe overskrifterne, så de passer til jeres tone, men indholdet under hver overskrift skal være dækket ind.

Hvad er formålet med politikken — og hvem henvender den sig til?

Start med at forklare, hvorfor politikken findes. Formålet er todelt: at give medarbejdere og andre en tryg, anonym kanal til at sige fra, og at beskytte dem, der gør det, mod repressalier. Beskriv også målgruppen — typisk ansatte, konsulenter, leverandører, kunder og i offentlige organisationer også borgere.

Hvilke forhold kan der indberettes?

Politikken skal definere, hvilke typer af forhold der er omfattet. Direktivet kræver som minimum brud på EU-retten inden for en række udpegede områder: korruption, svig, hvidvask, databeskyttelsesbrud, miljø, folkesundhed, forbrugerbeskyttelse, transportsikkerhed, nuklear sikkerhed, fødevaresikkerhed og overtrædelser af EU's konkurrenceregler. De fleste danske organisationer vælger at udvide listen til også at omfatte interne forhold som chikane, sexchikane, diskrimination og brud på interne etiske regler.

Hvem kan indberette?

Beskriv kredsen af indberetningsberettigede. Som minimum skal egne ansatte være omfattet, men direktivet giver også beskyttelse til selvstændige, frivillige, aktionærer, bestyrelsesmedlemmer, leverandører og underleverandører. Hvis I vil gå videre end minimumskravet, kan I skrive det ind direkte.

Hvordan indberetter man — og er kanalen anonym?

Beskriv den konkrete indberetningskanal. Henvis til jeres interne indberetningskanal, forklar hvordan man tilgår den, og angiv at indberetninger kan ske skriftligt eller mundtligt. Hvis kanalen understøtter anonym indberetning, skal det fremgå tydeligt — og det skal også fremgå, hvordan indberetteren bevarer anonymiteten, fx via en personlig URL eller sikker tovejskommunikation.

Hvordan beskyttes indberetteren mod repressalier?

Dette afsnit er hjertet i politikken. Skriv sort på hvidt, at repressalier er forbudt, at brud på forbuddet medfører disciplinære konsekvenser, og at indberetteren har ret til at klage til den danske tilsynsmyndighed, hvis de oplever repressalier. Direktivet forbyder repressalier i bred forstand: opsigelse, degradering, chikane, økonomisk skade og enhver form for stigmatisering.

Hvordan håndteres fortrolighed?

Forklar hvem der har adgang til indberetningen, hvordan identiteten på indberetter og eventuelle omtalte personer beskyttes, og hvordan oplysningerne opbevares. Her kan du henvise til organisationens generelle sikkerheds- og GDPR-praksis, men sørg for at politikken selv kan læses uafængigt.

Hvordan behandles sagen — og hvilke frister gælder?

Skriv fristerne ind i selve politikken: 7 dage til kvittering, 3 måneder til feedback med en begrundet status. Beskriv hvem der undersøger sagen, hvordan den dokumenteres, og hvordan indberetteren følger sagen. Understreg at opfølgning gives inden for de 3 måneder — eller, hvis det ikke er muligt, at indberetteren får en begrundelse og en forventet ny dato.

Hvem har ansvaret — og hvornår revideres politikken?

Udpeg en ansvarlig ejer, typisk compliancechefen, HR-chefen eller en whistlebloweransvarlig. Beskriv hvordan politikken kommunikeres til alle ansatte, og fastsæt et revisionsinterval — som udgangspunkt mindst én gang om året. Tilføj at politikken desuden opdateres ved ændringer i lovgivningen, ved væsentlige ændringer i forretningen og efter alvorlige sager.

Eksempel: sådan kan indledningen i en dansk whistleblowerpolitik se ud

Formålet med denne politik er at sikre, at alle medarbejdere og samarbejdspartnere i [Organisation] trygt kan indberette alvorlige forhold uden frygt for repressalier. Politikken er vedtaget af direktionen og bestyrelsen den [dato] og er gældende for alle koncernens selskaber i Danmark.

Den bygger på EU's whistleblowerdirektiv (direktiv (EU) 2019/1937) og den danske lov om beskyttelse af whistleblowere. Politikken gælder for indberetninger om overtrædelser af EU-retten på de områder, direktivet dækker, samt om alvorlige brud på [Organisation]s etiske retningslinjer, herunder chikane, diskrimination, svig og misbrug af fortrolige oplysninger.

Alle indberetninger behandles fortroligt. Indberetterens identitet beskyttes i hele sagsforløbet og videregives ikke uden samtykke, medmindre loven kræver det. Indberetninger kan ske anonymt via [henvisning til jeres indberetningskanal].

Bemærk formuleringen "vedtaget af direktionen og bestyrelsen den [dato]". Den gør tre ting på én gang: den dokumenterer ledelsens forpligtelse, den giver politikken en præcis ikrafttrædelsesdato, og den gør det muligt for en ekstern læser at afgøre, om politikken er gældende på det tidspunkt, sagen opstod. Den sidste funktion er ofte afgørende i en retssag.

Hvordan hænger whistleblowerpolitikken sammen med whistleblowerordningen i praksis?

Politikken er løftet — ordningen er gulvet. Politikken fortæller hvad der skal ske og hvorfor, mens whistleblowerordningen er den tekniske og organisatoriske infrastruktur, der gør det muligt i praksis: indberetningsformularen, sagsstyringen, den krypterede kommunikation, fristovervågningen og den dokumentation, som revisorer og myndigheder skal kunne få udleveret.

I en dansk SMV kan ordningen i princippet være en simpel e-mailadresse, der kun tjekkes af en tillidsperson. Men fra 50 ansatte og op — og for alle offentlige myndigheder uanset størrelse — skal kanalen leve op til direktivets krav om fortrolighed, tovejskommunikation, anonymitet, mundtlig indberetning og dokumenteret sagsbehandling med 7-dages- og 3-måneders-frister. Det er i krydsfeltet mellem disse krav og den daglige drift, at de fleste organisationer løber tør for enten tid, kompetencer eller begge dele. Den praktiske vej videre er typisk en kombination af en tydelig intern ejer — complianceansvarlig, HR-chef eller whistlebloweransvarlig — og en ekstern løsning, der kan håndtere kryptering, fristovervågning og sagsdokumentation, så den interne ejer kan koncentrere sig om undersøgelser og mennesker frem for drift af en indberetningsplatform.

Hvornår skal whistleblowerpolitikken opdateres — og hvem ejer den?

Politikken skal som udgangspunkt opdateres mindst én gang om året, men der er fire situationer, hvor en opdatering ikke kan vente:

  • Lovændringer. Nye EU-regler, ny dansk lovgivning eller nye vejledninger fra tilsynsmyndigheden udløser en revision. Direktivets medlemsstatsfrist var 17. december 2021, men de danske tilpasninger er løbende blevet præciseret.
  • Organisatoriske ændringer. Nyt selskab i koncernen, fusion, salg af en forretningsenhed eller ændring i den daglige ledelse kræver, at politikken afspejler den nye struktur.
  • Væsentlige sager. Hvis organisationen har modtaget en indberetning, der afslørede et hul i politikken — fx en uklar beskrivelse af, hvad der kan indberettes, eller en mangel i opfølgningsrutinen — skal politikken opdateres, og ændringen skal kommunikeres.
  • Tekniske ændringer i whistleblowerordningen. Hvis I skifter indberetningskanal, tilføjer anonymitet eller flytter hosting, skal politikken afspejle den nye virkelighed, så medarbejderne ikke ledes forkerte steder hen.

Hvem ejer politikken? I praksis er det compliancechefen eller HR-chefen, der driver det daglige arbejde, men den formelle ejer er direktionen. Politikken bør være godkendt på det højeste niveau i organisationen, fordi den forpligter hele ledelseskæden. Samtidig bør den praktiske opdateringsret være placeret hos én person, så I undgår den situation, hvor politikken ligger som et gammelt PDF-dokument på intranettet, og ingen tør tage ansvaret for at revidere den.

En god tommelfingerregel: læg en fast årlig revisionsdato i kalenderen — fx hver 1. marts — og kombinér den med en ad hoc-proces, der aktiveres, hver gang der sker en relevant ændring i lovgivning, organisation eller system.

Skabelon: kopier denne struktur ind i jeres egen politik

Nedenstående skabelon samler de otte obligatoriske afsnit i den rækkefølge, som de fleste complianceafdelinger anbefaler. Kopiér strukturen ind i jeres eget dokument, udskift de firkantede parenteser med jeres egne oplysninger, og få politikken godkendt på det rette ledelsesniveau.

  1. Formål og ledelsesforpligtelse — hvorfor politikken findes, hvem der har vedtaget den, og hvornår den trådte i kraft.
  2. Anvendelsesområde — hvilke selskaber, enheder og geografier politikken dækker.
  3. Hvad kan indberettes? — listen af forhold, fra direktivets minimum til jeres eventuelle udvidelser.
  4. Hvem kan indberette? — kredsen af indberetningsberettigede, gerne bredere end lovens minimum.
  5. Hvordan indberetter man? — henvisning til den interne indberetningskanal, beskrivelse af anonymitet, mundtlig indberetning og tovejskommunikation.
  6. Beskyttelse mod repressalier — forbuddet, konsekvenserne ved brud, og indberetterens klagemuligheder.
  7. Sagsbehandling og frister — 7 dages kvittering, 3 måneders opfølgning, dokumentation og fortrolighed.
  8. Ansvar, kommunikation og revision — den formelle ejer, årlig revision og procedurer ved ændringer.

Brug skabelonen som skelet, ikke som færdig tekst. Den sproglige tone skal passe til jeres organisation, og de konkrete eksempler under hvert afsnit skal afspejle jeres forretning, jeres risikoprofil og den måde, I faktisk modtager indberetninger på.

Ofte stillede spørgsmål

Hvad er forskellen på en whistleblowerpolitik og en whistleblowerordning?

En whistleblowerpolitik er det skriftlige regelsæt, der beskriver hvad der må indberettes, hvordan man er beskyttet, og hvad der sker, når man indberetter. En whistleblowerordning er den tekniske kanal og den organisatoriske proces, der gør det muligt at indberette og følge sagen — formularen, sagsstyringen, fristovervågningen og den krypterede kommunikation. Politikken uden ordning er en hensigtserklæring; ordningen uden politik er et værktøj uden legitimitet.

Hvornår skal en dansk virksomhed have en whistleblowerpolitik?

Danske virksomheder med mindst 50 ansatte og alle offentlige myndigheder — uanset størrelse — skal have en whistleblowerpolitik og en intern indberetningskanal efter den danske lov om beskyttelse af whistleblowere, der udmønter EU-direktiv (EU) 2019/1937. Mange mindre virksomheder vælger alligevel at etablere en politik, fordi deres kunder, leverandører eller koncernkrav forventer det.

Hvor ofte skal whistleblowerpolitikken opdateres?

Mindst én gang om året, og altid når der sker ændringer i lovgivningen, i organisationen eller i den tekniske indberetningskanal. En fast årlig dato i kalenderen — fx 1. marts — kombineret med en ad hoc-proces ved større ændringer er den model, de fleste complianceafdelinger bruger i praksis.

Må indberetninger være anonyme — og skal det stå i politikken?

Ja til begge dele. Direktivet giver medlemsstaterne mulighed for at kræve anonym indberetning, og i Danmark er anonymitet en central del af den måde, de fleste ordninger fungerer på. Politikken bør derfor udtrykkeligt beskrive, at indberetninger kan ske anonymt, og hvordan anonymiteten teknisk beskyttes — fx via krypterede kanaler, ingen IP-lagring og ingen cookies.

Hvad sker der, hvis en organisation ikke har en whistleblowerpolitik?

Organisationen bryder sin forpligtelse efter den danske lov og EU-direktivet, og tilsynsmyndigheden kan udstede påbud og bøder. Derudover risikerer organisationen, at en whistleblower, der senere oplever repressalier, ikke er beskyttet på samme måde, fordi der ikke foreligger dokumentation for, at organisationen aktivt opfordrede til indberetning. Det er den dokumentationsmangel, der i praksis gør størst skade, når en sag eskalerer.

Kilder