Ashio whistleblowing software

Oct 15, 2026

Whistleblowing-kanava ja hallituksen valvontavastuu

Whistleblowing-kanava ja hallituksen valvontavastuu

Hallituksen puheenjohtajalle whistleblowing-kanava ei ole pelkkä lakisääteinen velvoite — se on työkalu, jonka toimivuudesta hän vastaa henkilökohtaisesti. Kun ilmoittajansuojalain velvoitteet astuivat voimaan, hallituksen jäsenet eivät ole enää vain taustatukijoita vaan valvojia, joiden on ymmärrettävä, miten kanava toimii, mitä tietoa heidän pitää nähdä ja miten raportointi heille rakennetaan. Tässä oppaassa käydään läpi keskeiset kysymykset, joita pk-yrityksen hallitus kohtaa, kun se ottaa käyttöön oman whistleblowing-kanavan.

Sisällysluettelo

Keskeiset havainnot

  • Hallituksen jäsenellä on henkilökohtainen valvontavastuu siitä, että ilmoituskanava toimii lain edellyttämällä tavalla — riittämätön valvonta voi johtaa vahingonkorvausvastuuseen.
  • Laki määrää ilmoituksen käsittelylle seitsemän päivän kuittausajan ja kolmen kuukauden palautteen määräajan — nämä ovat hallituksen seurannan ydinmittarit.
  • Raportoinnin tulee sisältää vain koosteita ja tilastoja, ei ilmoittajan tunnistetietoja tai viestien sisältöä.
  • Anonymiteetti ei ole lisäominaisuus vaan lain henki: ilmoittajan henkilöllisyyttä ei saa paljastaa ilman suostumusta.
  • Ennen kanavan avaamista hallituksen on hyväksyttävä kirjallinen menettelytapa, nimetty vastuuhenkilö ja selkeät raportointikäytännöt.

Miksi hallituksen on ymmärrettävä whistleblowing-kanava?

Hallituksen on ymmärrettävä whistleblowing-kanava, koska ilmoittajansuojalaki siirtää kanavan toimivuuden valvonnan nimenomaan ylimmälle johdolle. Hallituksen jäsen ei ole pelkkä nimi paperilla — hän on se henkilö, jonka on voitava todistaa viranomaiselle, että kanava on otettu käyttöön, sitä ylläpidetään aktiivisesti ja siihen kertyneet ilmoitukset käsitellään määräajassa. Käytännössä tämä tarkoittaa kolmea asiaa.

Ensinnäkin hallituksen on tunnettava kanavan tekninen toiminta: miten ilmoitus syntyy, miten se tallentuu ja miten siihen vastataan. Jos hallitus ei ymmärrä järjestelmää, se ei myöskään pysty valvomaan sen luotettavuutta. Toiseksi hallituksen on ymmärrettävä anonymiteetin suojaaminen — mikä se käytännössä tarkoittaa ja missä se voi vaarantua. Kolmanneksi hallituksen on hahmotettava oma roolinsa raportointiketjussa: mitä tietoa hän saa, kuinka usein ja millä tavalla.

Ilmoittajansuojalain taustalla on Euroopan unionin direktiivi 2019/1937, joka asettaa vähimmäisvaatimukset yli 50 hengen organisaatioille. Suomessa laki on tuonut nämä vaatimukset osaksi kansallista sääntelyä, ja sen noudattamista valvovat työsuojeluviranomaiset. Hallituksen on tunnistettava, että valvontavastuu ei lopu siihen, että kanava on hankittu — se jatkuu koko sen elinkaaren ajan.

Hallituksen valvontavastuu ilmoittajansuojalaissa

Hallituksen valvontavastuu whistleblowing-järjestelmässä tarkoittaa, että hallituksen jäsen on henkilökohtaisessa vastuussa siitä, että ilmoituskanava täyttää lain vaatimukset ja että ilmoituksia käsitellään määräajassa. Valvontavastuu ei ole symbolinen: riittämätön valvonta voi johtaa korvausvelvollisuuteen, jos ilmoittajan oikeuksia loukataan tai ilmoitusta ei käsitellä asianmukaisesti.

Hallituksen valvontavastuun ytimessä on kolme konkreettista velvoitetta. Hallituksen on varmistettava, että ilmoittajalle annetaan kuittaus ilmoituksen vastaanottamisesta seitsemän päivän kuluessa. Hallituksen on myös varmistettava, että ilmoittajalle toimitetaan palaute ilmoituksen käsittelystä kolmen kuukauden kuluessa. Kolmanneksi hallituksen on huolehdittava siitä, että ilmoittajan henkilöllisyys pysyy suojattuna — anonymiteetin vaarantuminen on yksi lain vakavimmista rikkomuksista.

Käytännössä valvonta tarkoittaa sitä, että hallitus saa säännöllisesti koosteen ilmoitusten määrästä, käsittelyvaiheesta ja mahdollisista trendeistä, mutta se ei osallistu yksittäisen ilmoituksen sisällölliseen käsittelyyn. Tämä jako on tärkeä: operatiivinen vastuu on nimetyllä käsittelijällä, hallituksen vastuu on varmistaa, että järjestelmä toimii.

Miten valvontavastuu eroaa operatiivisesta vastuusta?

Hallituksen valvontavastuu whistleblowing-järjestelmässä eroaa operatiivisesta vastuusta siten, että hallitus valvoo järjestelmän toimintaa ylätasolla, kun taas nimetty käsittelijä hoitaa yksittäisten ilmoitusten käsittelyn. Hallitus ei siis lue ilmoittajien viestejä, ellei tapaus sitä erityisesti edellytä — esimerkiksi vakavissa väärinkäytösepäilyissä, joissa hallituksen on itse päätettävä jatkotoimista. Tämä jako suojaa sekä ilmoittajaa että hallitusta: anonymiteetti säilyy, ja hallituksen rooli pysyy selkeänä.

Miten raportointi hallitukselle tulisi rakentaa?

Raportointi hallitukselle tulisi rakentaa siten, että hallitus saa riittävästi tietoa valvonnan tueksi, mutta ilmoittajan anonymiteetti ja viestien luottamuksellisuus säilyvät. Hyvä raportointikäytäntö on asiakirjoitettu, säännöllinen ja sisällöltään rajattu.

Raportointitiheys on tyypillisesti kerran kuukaudessa tai neljännesvuosittain — riippuen organisaation koosta ja ilmoitusten määrästä. Pk-yrityksessä neljännesvuosittainen raportti on usein riittävä, kunhan järjestelmä on muuten aktiivisesti valvottu. Raportin tulee sisältää vähintään seuraavat tiedot.

  • Vastaanotettujen ilmoitusten kokonaismäärä
  • Käsittelyssä olevien ilmoitusten lukumäärä
  • Ratkaistujen ilmoitusten lukumäärä ja ratkaisuaika
  • Mahdolliset trendit tai toistuvat teemat
  • Järjestelmän tekninen tila ja mahdolliset häiriöt

Hallitukselle ei sen sijaan raportoida ilmoittajan henkilöllisyyttä, ilmoituksen yksityiskohtaista sisältöä tai viestien sanamuotoa. Poikkeuksena ovat tilanteet, joissa hallitus joutuu itse päättämään jatkotoimista — esimerkiksi jos ilmoitus koskee toimivaa johtoa itseään. Tällöin hallitus saa tarvittavat tiedot suljetussa käsittelyssä.

Mitä tietoa hallitus tarvitsee — ja mitä ei saa nähdä?

Hallitus tarvitsee tietoa ilmoitusten määrästä, käsittelyn tilasta ja järjestelmän toimivuudesta, mutta sen ei pidä nähdä ilmoittajan tunnistetietoja tai viestien sisältöä ilman perusteltua syytä. Tämä raja on yksi ilmoittajansuojalain keskeisimmistä periaatteista.

Hallituksen on saatava tietoa siitä, miten kauan ilmoitusten käsittely kestää, mitkää tapaukset ovat vanhentumassa ja onko järjestelmässä teknisiä ongelmia. Nämä tiedot mahdollistavat valvonnan. Hallituksen ei kuitenkaan pidä nähdä sitä, kuka ilmoituksen on tehnyt, mitä ilmoittaja on kirjoittanut tai mitä käsittelijä on vastannut. Tätä on merkitty lain suojaamaksi alueeksi.

Anonymiteetin suojaaminen ei ole vain tekninen yksityiskohta — se on lain ydin. Jos ilmoittaja epäilee, että hänen henkilöllisyytensä voi paljastua, hän jättää ilmoituksen tekemättä. Siksi hallituksen on varmistettava, että järjestelmä on rakennettu niin, ettei edes järjestelmän ylläpitäjä voi lukea viestien sisältöä. Tämä tarkoittaa päästä päähän -salausta ja selkeitä käyttöoikeuksia.

Jos haluat syventää ilmoittajansuojalain velvoitteita työnantajalle, tutustu ilmoittajansuojalain työnantajan velvoitteisiin.

Tarkistuslista hallituksen jäsenelle ennen kanavan käyttöönottoa

Tarkistuslista hallituksen jäsenelle ennen kanavan käyttöönottoa Hallituksen jäsenen tulee käydä läpi seuraava tarkistuslista ennen kuin whistleblowing-kanava otetaan käyttöön, jotta valvontavastuu on selkeästi dokumentoitavissa. Lista auttaa varmistamaan, ettei keskeisiä kohtia unohdu kiireen keskellä.

  1. Menettelytapa on dokumentoitu. Hallitus on hyväksynyt kirjallisen ohjeen siitä, miten ilmoitukset vastaanotetaan, käsitellään ja arkistoidaan.
  2. Käsittelijä on nimetty. Yksi tai useampi henkilö on nimetty hoitamaan ilmoituksia, ja heidän roolinsa on kirjattu.
  3. Määräajat on asetettu. Seitsemän päivän kuittausaika ja kolmen kuukauden palautteen aika on sisäänrakennettu järjestelmään.
  4. Anonymiteetti on varmistettu. Järjestelmä ei kerää IP-osoitteita, evästeitä tai muita tunnisteita ilmoittajasta.
  5. Raportointikäytäntö on sovittu. Hallitus tietää, kuinka usein ja millä tavalla se saa tiedot ilmoituksista.
  6. Tietosuoja on käsitelty. GDPR-vaatimukset on huomioitu, ja tietojen säilytysaika on määritelty.
  7. Tiedotus ilmoittajille on valmis. Työntekijöille on kerrottu kanavan olemassaolosta ja sen käytöstä.

Kun kanava on päätetty hankkia, on järkevää vertailla eri toteutustapoja: rakentaako järjestelmän itse, palkkaako konsultin vai hankkiiko valmiin ohjelmiston. Itse rakennettu järjestelmä vaatii erillisen tietoturva- ja salausarkkitehtuurin, mikä on pk-yritykselle harvoin järkevää. Konsultti voi auttaa määrittelyssä, mutta tarvitsee rinnalleen työkalun. Valmis ohjelmisto voi tarjota pk-yritykselle sopivan, GDPR- ja ISO 27001 -yhteensopivan kokonaisuuden, jossa anonymiteetti, määräaikojen seuranta ja raportointi ovat sisäänrakennettuna — sopivuus kannattaa arvioida suhteessa oman organisaation kokoon ja integraatiotarpeisiin. Halutessasi voit avata ilmaisen 14 päivän kokeilun ja tutustua järjestelmään käytännössä.

Usein kysytyt kysymykset

Kuka vastaa whistleblowing-kanavasta pk-yrityksessä?

Pk-yrityksessä whistleblowing-kanavasta vastaa hallitus, vaikka operatiivinen käsittely olisi delegoitu nimetylle henkilölle. Hallitus valvoo, että kanava täyttää lain vaatimukset, että määräajat pitävät ja että ilmoittajien anonymiteetti säilyy. Käytännön käsittelyn hoitaa yleensä compliance- tai HR-vastaava.

Mitä hallituksen on raportoitava ilmoittajansuojaviranomaisille?

Hallituksen ei tarvitse raportoida yksittäisiä ilmoituksia viranomaisille, mutta sen on voitava todistaa, että järjestelmä on toiminnassa ja että sitä ylläpidetään lain mukaisesti. Jos viranomainen pyytää selvitystä, hallituksen on esitettävä kanavan käyttöönottoasiakirjat, käsittelyohjeet ja koosteet käsittelyajoista. Varsinaiset ilmoitusten sisällöt eivät kuulu viranomaiselle ilman erillistä perustetta.

Voiko hallituksen jäsen lukea yksittäisen ilmoituksen sisällön?

Hallituksen jäsen voi lukea yksittäisen ilmoituksen sisällön vain, jos se on välttämätöntä jatkotoimien kannalta, esimerkiksi jos ilmoitus koskee toimivaa johtoa. Muussa tapauksessa hallituksen on pysyttävä kooste- ja tilastotasolla, jotta anonymiteetti ei vaarannu. Tämä jako on dokumentoitava selkeästi menettelytapaohjeessa.

Kuinka usein hallituksen tulisi saada raportti ilmoituksista?

Hallituksen tulisi saada raportti ilmoituksista vähintään neljännesvuosittain, ja pk-yrityksessä neljännesvuosittainen tiheys on usein riittävä. Jos ilmoituksia on paljon tai tilanne sitä vaatii, raportointi voi olla kuukausittaista. Tärkeintä on, että raportointitiheys on sovittu etukäteen ja että hallitus reagoi poikkeamiin määräajoissa.

Mitä riskejä hallitukselle aiheutuu, jos kanavaa ei valvota?

Jos hallitus ei valvo whistleblowing-kanavaa, riskinä on, että ilmoituksia ei käsitellä määräajassa tai että anonymiteetti vaarantuu. Tämä voi johtaa ilmoittajansuojalain mukaisiin seuraamuksiin ja hallituksen jäsenen henkilökohtaiseen korvausvastuuseen. Lisäksi puutteellisesti hoidettu kanava heikentää työntekijöiden luottamusta järjestelmään, mikä vähentää ilmoitusten määrää.

Lähteet