Ashio whistleblowing software

Oct 12, 2026

Whistleblowing-ilmoituksen käsittely: työnkulku pk-yrityksessä

Whistleblowing-ilmoituksen käsittely: työnkulku pk-yrityksessä

Ensimmäinen whistleblowing-ilmoitus voi yllättää pk-yrityksen tilanteeseen, jossa prosessi on vielä hahmottumaton. Oikea whistleblowing ilmoituksen käsittely -työnkulku estää virheet, jotka näkyvät myöhemmin auditoinnissa ja saattavat vaarantaa ilmoittajan suojan. Tässä oppaassa käydään läpi konkreettinen askelmalli: ensitoimet 24 tunnin sisällä, roolijako, todistusketju, viestintä ilmoittajalle sekä loppu­dokumentaatio.

Sisällysluettelo

Keskeiset havainnot

  • Ensimmäinen toimenpide on kuittaus ilmoittajalle seitsemän vuorokauden kuluessa, sillä EU:n ilmoittajansuojeludirektiivi 2019/1937 asettaa tämän määräajan.
  • Tutkinnan aloittaminen edellyttää nimettyä käsittelijää ja varahenkilöä, jotta päätöksenteko ei jää yhden ihmisen vastuulle.
  • Kaikki toimenpiteet on kirjattava aikaleimalla varustettuun lokiin, jotta todistusketju säilyy eheänä.
  • Ilmoittajalle annetaan palaute kolmen kuukauden kuluessa, ja viestintä kulkee ainoastaan anonyymin kanavan kautta.
  • Auditointivalmiit dokumentit ovat välttämättömiä: ilmoitusloki, käsittelymuistiot, todisteet määräajoista ja loppuraportti.

Miten whistleblowing-ilmoituksen käsittely kannattaa aloittaa ensimmäisten 24 tunnin aikana?

Ensimmäinen whistleblowing-ilmoituksen käsittely alkaa ilmoituksen vastaanottamisesta, sen aitouden varmistamisesta ja ilmoittajalle annettavasta kuittauksesta seitsemän vuorokauden määräajassa. Pk-yrityksessä tämä tarkoittaa käytännössä kolmea konkreettista askelta: kirjaa ilmoitus ylös, vahvista vastaanotto kanavan kautta ja nimeä käsittelijä.

Kun ilmoitus saapuu, kirjaa se välittömästi tapausnumeroon, johon liitetään vastaanottoaika, kanava ja ilmoituksen tiivistelmä. Älä muokkaa tekstiä tai poista alkuperäistä versiota: eheys on todistusketjun perusta. Tämän jälkeen lähetetään automaattinen kuittaus ilmoittajalle, jotta direktiivin määräaika alkaa juosta dokumentoidusti. Käytännön esimerkki löytyy kootusti whistleblowing-ilmoituksen käsittelyaikataulujen ja määräaikojen yhteenvedosta, jossa käydään läpi sekä seitsemän päivän kuittaus että kolmen kuukauden palautemääräaika.

Seuraavaksi nimetään käsittelijä ja varahenkilö, jotta ilmoitus ei jää odottamaan yksittäisen henkilön kiireitä. Pk-yrityksessä tämä on yleensä compliance- tai HR-vastaava, mutta tarvittaessa mukana on tekninen tai juridinen tuki. Samalla arvioidaan alustavasti, onko kyseessä työsuojeluun, talouteen, tietoturvaan vai muuhun riskikategoriaan liittyvä tapaus, ja tehdään päätös siitä, tarvitaanko ulkopuolista selvitystä.

Mitkä ovat ensimmäiset kirjaukset, jotka on tehtävä välittömästi?

Kirjaa ylös ilmoituksen vastaanottoaika, kanava, tiivistelmä sisällöstä sekä nimetty käsittelijä ja varahenkilö. Lisäksi merkitään, onko ilmoittaja tunnistautunut vai anonyymi, ja varmistetaan, ettei IP-osoitteita tai evästetietoja tallennu. Tämä joukko tietoja muodostaa tutkinnan perustan.

Miksi roolijako ja päätöksentekokaavio ovat käsittelyn kriittisin vaihe?

Whistleblowing-roolijako estää sen, että yksi henkilö päättää sekä tutkinnasta että lopputuloksesta, mikä on ilmoittajan suojan ja objektiivisuuden kannalta välttämätöntä. Selkeä päätöksentekokaavio takaa, että whistleblowing-ilmoituksen tutkinta etenee suunnitelmallisesti ja että jokaiselle toimenpiteelle on nimetty vastuuhenkilö.

Tyypillinen pk-yrityksen rakenne on kolmitasoinen. Ensinnäkin käsittelijä vastaa käytännön tutkinnasta: haastattelut, aineiston keruu ja kirjaukset. Toiseksi arviointiryhmä, johon kuuluu käsittelijän lisäksi HR- tai compliance-päällikkö, tekee päätöksen jatkotoimista, kuten esitutkinnan laajentamisesta tai ulkopuolisen asiantuntijan kutsumisesta. Kolmanneksi ylin päätöksentekijä, usein toimitusjohtaja tai hallituksen jäsen, hyväksyy lopulliset toimenpiteet silloin, kun kyse on kurinpidollisista tai oikeudellisista seuraamuksista.

Tämä jako on tärkeä myös siksi, että se tukee whistleblowing ilmoittajan suojaa: ilmoittajan henkilöllisyys ei saa paljastua kenellekään, jolla ei ole asiassa käsittelyroolia. Roolit on dokumentoitava kirjallisesti, ja kaikki sivullisiksi jäävät henkilöt on rajattava tietovirran ulkopuolelle. Samalla on huomioitava, että pienessä organisaatiossa roolien päällekkäisyys on väistämätöntä, jolloin eturistiriita on kirjattava avoimesti ja tarvittaessa haettava ulkopuolinen taho käsittelyyn.

Kuka vastaa tutkinnasta, jos sopivaa henkilöä ei löydy talon sisältä?

Tällöin käytetään ulkopuolista selvityshenkilöä, esimerkiksi asianajajaa tai tilintarkastajaa, jolla on salassapitovelvollisuus. Samalla varmistetaan, että ulkopuolinen saa käyttöönsä vain ne tiedot, jotka ovat tutkinnan kannalta välttämättömiä, eikä ilmoittajan henkilöllisyys paljastu.

Kun työ jakautuu selkeästi, myös whistleblowing-työnkulun hallinta pysyy hallinnassa eikä kukaan työskentele umpimähkään. Ashio on tähän tarkoitukseen rakennettu whistleblowing-ohjelmisto, joka tarjoaa anonyymin ilmoituskanavan ja jäsennellyn tapaustenhallinnan yhdessä paikassa, ja se soveltuu erityisesti pk-yrityksille, joilla ei ole omaa compliance-tiimiä. Voit tutustua ohjelmistoon aloittamalla ilmaisen 14 päivän kokeilun.

Millä tavalla todistusketju suojataan läpi tutkinnan?

Whistleblowing-todistusketju tarkoittaa, että jokainen ilmoitukseen liittyvä toimenpide kirjataan muuttumattomasti siten, että alkuperäistä tietoa ei voi myöhemmin muokata tai poistaa. EHE todistusketju suojaa sekä ilmoittajaa että organisaatiota, jos tapaus etenee viranomaiselle tai tuomioistuimeen.

Ketjun suojaaminen alkaa siitä, että alkuperäinen ilmoitus säilytetään koskemattomana. Kaikki versiot, liitteet ja viestit tallentuvat aikaleimalla, ja muutokset näkyvät erillisinä merkintöinä, ei korvauksina. Tämä vastaa ISO 37002:2021 -standardin periaatetta, jossa korostetaan dokumentoitua ja jäljitettävää käsittelyä. Tekninen toteutus vaihtelee: osa organisaatioista käyttää salattuja tallennusjärjestelmiä, osa erillistä whistleblowing-ohjelmistoa, jossa loki on automaattisesti muuttumaton.

Seuraavaksi varmistetaan, että haastattelut ja todistajalausunnot kirjataan heti, kun ne on annettu. Tähän kuuluu haastateltavan rooli, haastatteluaika, paikka ja keskeiset lausumat sanatarkasti tai tiivistetysti. Kaikki todisteet, kuten sähköpostit, lokitiedostot ja asiakirjat, merkitään tunnisteella, joka yhdistää ne tapaukseen. Tämä vaihe on whistleblowing-dokumentoinnin ydin, sillä ilman jäljitettävyyttä tapauksen uskottavuus heikkenee.

Lopuksi varmistetaan, ettei todistusaineisto joudu sivullisten käsiin. Pääsyoikeudet rajataan vain käsittelijöille, ja tieto siirretään vain salattuja yhteyksiä pitkin. Samalla on huomioitava, että tietoturva ei ole vain tekninen kysymys, vaan osa koko prosessin luotettavuutta, ja siksi siihen kannattaa tutustua tarkemmin whistleblowing-kanavan tietoturvaa käsittelevässä artikkelissa.

Miten alkuperäisen ilmoituksen eheys varmistetaan käytännössä?

Käytännössä tämä tarkoittaa sitä, että ilmoituksen vastaanottanut järjestelmä laskee tiivisteen eli hash-arvon, joka tallentuu ilmoitukseen ja jota voidaan myöhemmin verrata alkuperäiseen. Jos tiiviste muuttuu, tiedetään, että aineistoa on muokattu. Tämä yksinkertainen tekniikka on whistleblowing-todistusketjun kulmakivi.

Miten ilmoittajalle viestitään käsittelyn etenemisestä ilman paljastamista?

Miten ilmoittajalle viestitään käsittelyn etenemisestä ilman paljastamista? Ilmoittajalle viestitään ainoastaan anonyymin kanavan kautta, jotta henkilöllisyys ei paljastu missään vaiheessa, ja viestit kirjataan osaksi todistusketjua. Viestinnän on oltava säännöllistä mutta tiivistä, jotta ilmoittaja tietää käsittelyn etenevän ilman, että hän joutuu paljastamaan itseään enempää.

Direktiivin mukaan ilmoittajalle on annettava palaute kolmen kuukauden kuluessa ilmoituksesta. Käytännössä tämä ei ole kertaluonteinen toimenpide, vaan ketju lyhyempiä tilannepäivityksiä. Ensimmäinen viesti tulee heti kuittauksen yhteydessä: ilmoitus on vastaanotettu, sitä käsitellään ja sen käsittelijä on nimetty. Tämän jälkeen lähetetään päivitys, kun esitutkinta on valmis, ja lopullinen palaute, kun päätös on tehty.

Viestinnän on oltava neutraalia ja ammatillista. Ilmoittajalle ei kerrota yksityiskohtia, jotka voivat paljastaa tutkinnan kohteena olevan henkilön, eikä kurinpidollisia päätöksiä jaeta ennenaikaisesti. Samalla on tärkeää, ettei viestejä lähetetä ilmoittajan omaan sähköpostiin, työpuhelimeen tai muuhun kanavaan, joka voi paljastaa hänet. Tämä on yksi keskeisistä syistä, miksi anonyymi ilmoituskanava on direktiivin hengen mukainen ratkaisu.

Viestinnän dokumentointi on yhtä tärkeää kuin itse tutkinta. Jokainen lähetetty viesti, sen ajankohta ja sisältö kirjautuvat osaksi tapauslokkia, jotta auditoija voi myöhemmin todentaa, että ilmoittajaa on tiedotettu asianmukaisesti. Tämä tukee myös ilmoittajan luottamusta järjestelmään: kun viestit kulkevat aina samaa reittiä, ilmoittaja tietää, ettei kukaan ulkopuolinen pääse niihin käsiksi.

Mitä tietoa ilmoittajalle saa antaa kesken tutkinnan?

Ilmoittajalle saa kertoa, että ilmoitus on vastaanotettu, että sitä käsitellään ja että palaute annetaan kolmen kuukauden kuluessa. Mitään yksityiskohtia epäillyistä, todisteista tai kurinpidollisista toimista ei jaeta ennen lopullista päätöstä, jotta sekä tutkinnan luotettavuus että ilmoittajan suoja säilyvät.

Millaiset lokit ja dokumentit auditoija odottaa käsittelyn päätteeksi?

Auditoija odottaa löytävänsä eheän tapauslokin, käsittelymuistiot, todisteet määräaikojen noudattamisesta sekä loppuraportin, jossa päätös ja sen perustelut on dokumentoitu avoimesti. Whistleblowing-dokumentaatio on se näyttö, jolla organisaatio osoittaa direktiivin ja kansallisen lainsäädännön noudattamisen.

Käytännössä loki sisältää vähintään seuraavat kohdat: ilmoituksen vastaanottoaika, kanava, tiivistelmä, käsittelijän ja varahenkilön nimet, kaikki tutkintatoimenpiteet aikaleimoineen, ilmoittajalle lähetetyt viestit, todisteet haastatteluista ja aineistosta sekä lopullinen päätös perusteluineen. Jokainen kohta on päivättävä ja allekirjoitettava, jotta dokumentaatio täyttää todistusvoiman vaatimukset.

Erityisen tärkeitä ovat todisteet direktiivin määräaikojen noudattamisesta. Seitsemän päivän kuittaus ja kolmen kuukauden palautemääräaika on pystyttävä todentamaan jälkikäteen esimerkiksi lokimerkinnöistä tai automaattisista aikaleimoista. Jos organisaatio ei pysty osoittamaan, että määräajat ovat toteutuneet, koko käsittelyn uskottavuus murenee, vaikka itse päätös olisi oikea. Tähän liittyvää käytäntöä avataan tarkemmin ilmoittajansuojalain dokumentaatiota pk-yrityksessä käsittelevässä oppaassa.

Loppuraportti on tiivistelmä, joka annetaan tarvittaessa hallitukselle, tilintarkastajalle tai viranomaiselle. Siinä kerrotaan, mitä ilmoitettiin, miten tutkinta tehtiin, mitä todisteita kerättiin ja mihin johtopäätökseen päädyttiin. Raportin ei tarvitse paljastaa ilmoittajan henkilöllisyyttä, mutta sen on oltava riittävän yksityiskohtainen, jotta ulkopuolinen auditoija ymmärtää prosessin kulun. Samalla kannattaa huomioida, että auditoinnin kannalta kriittinen vaihe on usein juuri loppuraportin selkeys, ja siihen liittyvästä auditoinnin käsittelytavasta on oma artikkelinsa, joka täydentää tätä kokonaisuutta.

Kuinka kauan käsittelydokumentteja on säilytettävä?

Säilytysaika vaihtelee kansallisen lainsäädännön mukaan, mutta yleinen suositus on vähintään kaksi vuotta ilmoituksen käsittelyn päättymisestä. Joillain toimialoilla, kuten rahoitus- ja terveydenhuoltosektoreilla, säilytysaika voi olla pidempi, joten omaa toimialaa koskevat erityissäännöt on aina tarkistettava erikseen.

Usein kysytyt kysymykset

Kuka saa käsitellä whistleblowing-ilmoitusta pk-yrityksessä?

Ilmoitusta saavat käsitellä vain ennalta nimetyt henkilöt, joilla on selkeä rooli tutkinnassa, kuten compliance-vastaava, HR-päällikkö tai ulkopuolinen selvityshenkilö. Kaikkien muiden on pysyttävä tietovirran ulkopuolella, jotta ilmoittajan anonymiteetti ja tutkinnan objektiivisuus säilyvät.

Miten ilmoittajan henkilöllisyys suojataan käytännössä?

Henkilöllisyys suojataan käyttämällä anonyymia ilmoituskanavaa, jossa ei tallenneta IP-osoitteita eikä evästetietoja, ja rajaamalla pääsy ilmoitukseen vain nimetyille käsittelijöille. Kaikki viestit kulkevat saman suojatun kanavan kautta, jolloin kukaan ulkopuolinen ei voi yhdistää viestejä tiettyyn henkilöön.

Mitä eroa on kuittauksella ja palautteella?

Kuittaus on lyhyt vastaanottovahvistus, joka on annettava seitsemän vuorokauden kuluessa ilmoituksesta. Palaute on laajempi päivitys tutkinnan tilasta ja lopputuloksesta, ja se on annettava kolmen kuukauden kuluessa, ellei tapauksen vaatima lisäselvitys edellytä pidennystä.

Tarvitseeko pk-yritys ulkopuolista selvityshenkilöä?

Ulkopuolista selvityshenkilöä tarvitaan silloin, kun sisäiset resurssit eivät riitä, kun eturistiriita on ilmeinen tai kun tapaus koskee johtoa. Muussa tapauksessa pienikin organisaatio voi hoitaa tutkinnan itse, kunhan roolijako ja dokumentaatio ovat kunnossa.

Miten toimitaan, jos ilmoitus koskee toimitusjohtajaa?

Tällöin käsittely siirretään suoraan hallitukselle tai ulkopuoliselle selvityshenkilölle, jotta eturistiriita ei vaaranna tutkintaa. Samalla varmistetaan, että toimitusjohtaja ei saa tietoa ilmoituksesta ennen kuin riippumaton taho on arvioinut sen.

Lähteet