Ashio whistleblowing software

Sep 30, 2026

Whistleblowing-ohjelmiston valinta: 5 keskeistä eroa ratkaisujen välillä

Whistleblowing-ohjelmiston valinta: 5 keskeistä eroa ratkaisujen välillä

Kaikki whistleblowing-ohjelmistot lupaavat anonymiteettiä ja vaatimustenmukaisuutta – mutta toteutukset vaihtelevat merkittävästi. Whistleblowing-ohjelmisto vertailu kannattaa aloittaa viidestä konkreettisesta kriteeristä, jotka erottavat markkinointipuheet teknisestä toteutuksesta. Tässä artikkelissa käydään läpi anonymiteetin toteutus, lokituksen laatu, hinnoittelumallit, kielituki ja hosting – eli ne tekijät, joilla todella vältät kalliit virhevalinnat.

Sisällysluettelo

Keskeiset havainnot

  • Aito anonymiteetti tarkoittaa, ettei palvelin kerää IP-osoitteita, evästeitä eikä selaimen sormenjälkeä – pelkkä "nimetön kanava" -lupaus ei riitä.
  • Kiinteä kuukausihinta koko organisaatiolle on pk-yritykselle ennustettavampi kuin käyttäjäkohtainen veloitus, joka kasvaa tiimin mukana.
  • Lokijärjestelmän täytyy olla muuttumaton ja vientikelpoinen, jotta se kestää sekä 7 päivän kuittaus- että 3 kuukauden seurantavelvoitteen todistamisen.
  • Hosting Sveitsin ISO 27001 -sertifioiduissa datakeskuksissa pitää tiedot Euroopassa ja tukee GDPR:n "privacy by design" -periaatetta.
  • Monikielinen käyttöliittymä (vähintään 17 kieltä) on välttämätön, jos organisaatiossa on muun kielisiä työntekijöitä tai sidosryhmiä.

Mitä whistleblowing-ohjelmistolta todella tarvitaan?

Hyvä whistleblowing-ohjelmisto ei ole pelkkä lomake – se on ilmoituskanava, käsittelyjärjestelmä ja lokikirja samassa paketissa. EU:n ilmoittajansuojadirektiivi (Direktiivi (EU) 2019/1937) asettaa kolme konkreettista velvoitetta: ilmoitus on kuittaus 7 päivän kuluessa, annettava palautetta 3 kuukauden kuluessa ja käsiteltävä luottamuksellisesti. Ohjelmiston on pakko tukea näitä määräaikoja automaattisesti – manuaaliset muistutukset sähköpostissa pettävät, kun käsittelijä on lomalla tai ilmoituksia tulee viikonloppuna.

Toinen keskeinen vaatimus on anonymiteetin ja luottamuksellisuuden erottaminen. Anonyymi ilmoitus ei sisällä mitään tunnistetietoa, luottamuksellinen ilmoitus taas sisältää ilmoittajan yhteystiedot, joita käsitellään tietosuojasääntöjen mukaan. Useimmat pk-yritykset tarvitsevat molempia, ja sisäinen ilmoituskanava on suunniteltava niin, että ilmoittaja voi valita kummasta on kyse.

Kolmas vaatimus on lokien koskemattomuus. Viranomainen voi pyytää todisteita käsittelyn etenemisestä, ja silloin lokin on oltava muuttumaton, aikaleimattu ja vientikelpoinen vakiomuotoon. Ilman tätä auditointivalmiutta joudut rakentamaan todisteet käsin jälkikäteen – tilanne, joka ei kestä tarkastusta.

Miten anonymiteetti on toteutettu – vai onko se vain markkinointia?

Miten anonymiteetti on toteutettu – vai onko se vain markkinointia? Anonyymi ilmoittaminen ei ole sama asia kuin "lomake, jossa ei kysytä nimeä". Kun ilmoittaja avaa selaimessa lomakkeen, palvelin näkee oletuksena IP-osoitteen, asettaa evästeen ja voi ottaa selaimen sormenjäljen – eli tunnisteen, joka yhdistää laitteen ja selaimen yksilöllisesti. Nämä tiedot eivät näy lomakkeella, mutta ne tallentuvat lokiin ja paljastavat ilmoittajan, jos viranomainen tai kolmas osapuoli saa ne käsiinsä.

Aito anonymiteetti vaatii neljä teknistä päätöstä: ei IP-keräystä, ei evästeitä, ei selaimen sormenjälkeä eikä sähköpostin pakollisuutta. Tämän lisäksi ilmoituksen sisältö on salattava päästä päähän ilmoittajan selaimessa ennen kuin se lähtee verkon yli – jotta edes palveluntarjoaja ei voi lukea sitä. Todella anonyymi ilmoitusohjelmisto toteuttaa tämän käyttämällä AES-256-GCM-salausta, joka luodaan jokaiselle raportille erikseen ja kääritään kullekin vastaanottajalle P-256 ECDH -avaimella.

Mistä tiedän, onko kanava oikeasti anonyymi?

Tarkista neljä asiaa ennen päätöstä: kirjataanko IP-osoitteita, asetetaanko evästeitä, otetaanko selaimen sormenjälki ja vaaditaanko sähköpostia. Jos yksikin näistä on kyllä, kanava ei ole teknisesti anonyymi – vaikka markkinointi väittäisi muuta. Pyydä toimittajalta selvitys lokikäytännöistä kirjallisena.

Toinen testi on riippumattomuus: anonymiteetti säilyy vain, jos kanavaa ylläpitää taho, joka ei ole ilmoittajan tai kohteen omistuksessa tai ohjauksessa. Tämä on yksi syy siihen, miksi ISO 37002:2021 -standardi korostaa kanavan riippumattomuutta – se suojaa sekä ilmoittajaa että organisaatiota eturistiriidoilta.

Lokitus ja auditoitavuus: miksi kiinteä lokijärjestelmä on kriittinen

Muuttumaton lokijärjestelmä on whistleblowing-ohjelmiston tärkein yksittäinen ominaisuus, jos organisaatiota auditoidaan. Direktiivin mukaan ilmoituksen käsittelystä on säilytettävä todiste vähintään sen ajan, joka tarvitaan kansallisen lainsäädännön mukaisesti – Suomessa työnantajalla on velvollisuus säilyttää käsittelytiedot, ja käytännössä useat vuodet ovat tyypillisiä. Lokin on sisällettävä aika, jolloin ilmoitus saapui, milloin se kuitattiin, kenelle se ohjautui ja mitkä toimenpiteet kirjattiin.

Kriittinen yksityiskohta on lokin vienti vakiomuotoihin, kuten CSV- tai PDF-raportiksi. Jos loki on lukittu ohjelmiston omaan tietokantaan etkä saa sitä ulos, olet riippuvainen toimittajasta siinäkin vaiheessa, kun tarkastaja pyytää todisteita. Toimittajan tulisikin tarjota lokista vienti vakiomuotoihin ilman lisämaksua.

Lisäksi tarvitaan automaattinen todiste määräajoista – erityisesti 7 päivän kuittaus ja 3 kuukauden seuranta. Jos lokiin tallentuvat ainoastaan ilmoituksen tiedot mutta ei näitä määräaikaleimoja, joudut todistamaan noudattamisen käsin, mikä ei kestä tarkastusta. Käytännössä toimiva järjestelmä näyttää käsittelijälle reaaliaikaisesti, kuinka paljon aikaa kuittaukseen on jäljellä.

Hinnoittelumallit: per käyttäjä vai kiinteä hinta?

Whistleblowing-järjestelmä hinta vaihtelee toimittajittain enemmän kuin mikään muu kriteeri, ja juuri hinnoittelumalli paljastaa, onko ohjelmisto suunniteltu pk-yritykselle vai suuryritykselle. Käyttäjäkohtainen veloitus tarkoittaa, että maksat jokaisesta tiimin jäsenestä, joka kirjautuu käsittelijäksi – ja kun tiimi kasvaa, lasku kasvaa samassa suhteessa. Tämä malli sopii organisaatioille, joissa käsittelijöitä on rajattu joukko ja pysyy vakaana.

Kiinteä kuukausihinta koko organisaatiolle on pk-yritykselle ennustettavampi. Riippumatta siitä, onko käsittelijöitä kolme vai kolmekymmentä, hinta pysyy samana. Tämä poistaa sisäisen poliittisen kitkan, joka syntyy, kun joudut miettimään, kuka "laitetaan järjestelmään" ja kuka jätetään ulkopuolelle. Samalla se tukee direktiivin henkeä, jonka mukaan ilmoituksen vastaanottajien on oltava aidosti riippumattomia.

Huomioi myös piilokustannukset: perustamismaksut, ilmoituskohtaiset maksut, lisäkielten veloitukset ja lokiviennin rajoitukset. Nämä nostavat todellista kokonaiskustannusta helposti 30–50 prosenttia alkuperäisestä hintalupauksesta. Pyydä aina kirjallinen erittely ennen päätöstä.

Kielituki ja lokalisointi – tärkeä yksityiskohta pk-yritykselle

Jos organisaatiossa on ruotsinkielisiä työntekijöitä Suomessa tai englanninkielisiä kansainvälisiä työntekijöitä, yksikielinen käyttöliittymä on ongelma. Ilmoittajalle suunnattu lomake on oltava hänen äidinkielellään – muuten raportointikynnys nousee ja direktiivin tarkoitus, matala kynnys ilmoittaa, vesittyy. Käsittelijän puolella monikielinen käyttöliittymä taas nopeuttaa tapauksen käsittelyä, kun kukin tiimin jäsen työskentelee omalla kielellään.

Miksi kielituki ei ole pelkkä käännöskysymys?

Lokalisointi kattaa myös päivämäärämuodot, aikavyöhykkeet ja oikeudelliset termit. Esimerkiksi "whistleblower" ei käänny suoraan millekään kielelle – Suomessa käytetään termiä "ilmoittaja" tai "sisäinen ilmoittaja". Huonosti lokalisoitu järjestelmä voi aiheuttaa väärinkäsityksiä siitä, mitä tietoja ilmoittajalta kerätään.

Käytännössä monikielinen järjestelmä, joka kattaa vähintään 17 kieltä, riittää kattamaan kaikki EU:n jäsenvaltiot sekä suurimmat kansainväliset toimialat. Tämä on erityisen tärkeää, jos organisaatiolla on sivuliikkeitä tai urakoitsijoita eri maissa.

Miten arvioit toimittajan tietoturvaa ja hostingia?

Tietoturva ei ole yksittäinen ominaisuus vaan kerrospino, jossa jokaisen tason on pidettävä. Aloita kysymällä, missä tiedot fyysisesti sijaitsevat – EU:n sisällä vai sen ulkopuolella. GDPR:n mukaan henkilötietojen siirto ETA-alueen ulkopuolelle vaatii erityiset suojatoimet, ja sveitsiläinen hosting ETA-maana tarjoaa selvän oikeusperustan. ISO 27001 -sertifioitu datakeskus kertoo, että palveluntarjoaja auditoi fyysisen ja organisatorisen turvallisuuden säännöllisesti.

Toinen kerros on salausarkkitehtuuri. Päästä päähän -salaus ilmoittajan selaimessa tarkoittaa, että palvelin säilyttää vain salattua tekstiä – edes toimittaja ei voi lukea raporttien sisältöä. Tämä toteutetaan tyypillisesti niin, että avain syntyy ilmoittajan laitteella ja kulkee URL-osoitteessa, jota kukaan muu ei näe. Zero-access-arkkitehtuuri on vahva suoja, jos toimittajan järjestelmään murtaudutaan – varastetut tiedot ovat hyödyttömiä ilman avaimia.

Kolmas kerros on lokitus ja todisteiden eheys. Muuttumaton toimintaloki sekä täydellinen käsittelyhistoria varmistavat, että kukaan – ei edes järjestelmän pääkäyttäjä – voi muokata tapahtumia jälkikäteen. Tämä on kriittistä silloin, kun tarkastaja epäilee, että lokia on peukaloitu. Ashio-palvelun tietoturva-arkkitehtuuri on rakennettu näiden kolmen kerroksen varaan.

Mitä kysyä toimittajalta ennen sopimusta?

Kysy konkreettisesti kolme asiaa: missä datakeskuksessa tiedot sijaitsevat, onko salaus päästä päähän vai vain siirron aikana, ja onko loki muuttumaton. Jos toimittaja ei vastaa suoraan näihin, pidä se varoitusmerkkinä.

Päätöspuu: milloin ilmainen kanava riittää, milloin tarvitaan ohjelmisto?

Ilmainen sähköpostilaatikko tai yksinkertainen lomake riittää, jos organisaatiosi on alle 10 henkeä, ilmoituksia tulee harvoin eikä käsittelyyn ole sääntelyvelvoitetta. Tässäkin tapauksessa on kuitenkin huolehdittava ilmoittajan anonymiteetistä – yhteinen sähköpostilaatikko paljastaa helposti, kuka on lähettänyt viestin.

Kun organisaatio ylittää 50 henkeä tai toimii säännellyllä toimialalla, ilmainen kanava ei enää riitä. Tarvitaan automaattinen määräaikaseuranta, lokien vienti, roolipohjainen pääsy ja riippumaton hosting. Tässä kohtaa siirrytään kaupalliseen whistleblowing-työkaluun, joka on suunniteltu kestämään tarkastuksen.

Kiinteähintainen ohjelmisto, jossa on anonyymi ilmoituskanava, automaattinen määräaikaseuranta ja auditointivalmis lokitus, sopii pk-yritykselle parhaiten. Se poistaa hintayllätykset, tukee direktiivin vaatimuksia ja antaa ilmoittajalle aidosti turvallisen kanavan – ilman, että organisaation tarvitsee rakentaa järjestelmää itse tai palkata erillistä konsulttia.

Usein kysytyt kysymykset

Paljonko whistleblowing-ohjelmisto maksaa pk-yritykselle?

Kiinteä kuukausihinta koko organisaatiolle on tyypillisesti noin 20–30 euroa kuukaudessa, ja vuosimaksulla säästää noin 23 prosenttia. Käyttäjäkohtaiset mallit voivat nousta nopeasti kalliimmiksi, jos käsittelijöitä on useita. Lisäkustannuksia tulee vain räätälöidystä käyttöönotosta tai laajennetusta tuesta.

Onko anonyymi ilmoituskanava todella anonyymi?

Se on anonyymi vain, jos järjestelmä ei kerää IP-osoitteita, evästeitä, selaimen sormenjälkeä eikä vaadi sähköpostia. Lisäksi ilmoituksen sisällön on oltava salattu päästä päähän ilmoittajan selaimessa, jotta edes palveluntarjoaja ei voi lukea sitä. Pelkkä "nimetön lomake" -lupaus ilman näitä teknisiä yksityiskohtia ei takaa anonymiteettiä.

Tarvitseeko alle 50 hengen yritys whistleblowing-järjestelmän?

Kyllä, jos se toimii säännellyllä toimialalla tai sillä on yli 50 työntekijää, EU:n direktiivi ja kansallinen lainsäädäntö edellyttävät sisäistä ilmoituskanavaa. Käytännössä järjestelmä kannattaa ottaa käyttöön jo ennen rajan ylittymistä, sillä määräaikojen noudattaminen ja lokien ylläpito vaativat totuttelua.

Miten kauan ilmoitusta on säilytettävä?

EU:n direktiivi ei aseta tarkkaa säilytysaikaa, mutta kansallinen lainsäädäntö ja tietosuojasäännöt edellyttävät, että lokit säilyvät niin kauan kuin ne ovat tarpeen oikeudellisen suojan kannalta – käytännössä useita vuosia. Muuttumaton ja vientikelpoinen lokijärjestelmä helpottaa tätä huomattavasti, koska todisteet ovat saatavilla ilman manuaalista kokoamista.

Voiko ilmoittajan tunnistaa, vaikka kanava on anonyymi?

Teknisesti oikein toteutettuna ei – jos IP-osoitteita, evästeitä ja selaimen sormenjälkeä ei kerätä. Käytännössä ilmoittaja voi silti paljastaa itsensä sisällön perusteella, esimerkiksi kertomalla yksityiskohtia, jotka vain tietty henkilö tietää. Tämä on kuitenkin ilmoittajan oma valinta, ei järjestelmän tekninen rajoitus.

Lähteet