Ashio whistleblowing software

Oct 17, 2026

Whistleblowing-ilmoitus talousrikoksesta ja AML-velvoitteet

Whistleblowing-ilmoitus talousrikoksesta ja AML-velvoitteet

Kun ilmoituskanavaan tulee vihje talousrikoksesta, compliance-päällikön on tunnistettava nopeasti, milloin kyse on pelkästään ilmoittajansuojalain piiriin kuuluvasta asiasta ja milloin rahanpesun estämistä koskevat velvoitteet astuvat rinnalle. Whistleblowing talousrikos -tilanteessa kaksi sääntelykehystä kulkee usein rinnakkain, ja niiden välinen käsittelypolku on syytä hallita ennen kuin kanava otetaan tuotantokäyttöön. Suomessa nämä kehykset ovat ilmoittajansuojalaki 1171/2022 ja rahanpesulaki 444/2017, ja käytännön työssä ne limittyvät yllättävän usein.

Sisällysluettelo

Keskeiset havainnot

  • Talousrikosepäily voi syntyä työpaikan sisäisen ilmoituksen kautta, ja sama ilmoitus voi käynnistää sekä ilmoittajansuojalain että rahanpesulain mukaiset toimet.
  • Ilmoittajansuojalaki suojaa ilmoittajaa vastatoimilta; rahanpesulaki puolestaan velvoittaa ilmoittamaan epäilyttävistä liiketoimista keskusrikospoliisille.
  • Ilmoituksen käsittelyssä on erotettava selkeästi toisistaan sisäinen käsittely, ulkoinen viranomaisilmoitus ja tietosuojaa koskevat rajoitteet.
  • Dokumentaation on oltava audit-kelpoista: muuttumaton toimintaloki, aikaleimat ja käsittelijöiden tunnisteet ovat välttämättömiä.
  • Tallennusaika ja tiedon jakaminen eteenpäin riippuvat siitä, sovelletaanko ilmoitukseen ilmoittajansuojalakia, rahanpesulakia vai molempia.

Mitä rikoslaissa tarkoitetaan talousrikoksella — ja miksi se näkyy ilmoituskanavassa?

Talousrikoksella tarkoitetaan rikoslain 30 luvun mukaisia rikoksia, joilla tavoitellaan taloudellista hyötyä: petoksia, kavalluksia, lahjuksia, kirjanpitorikoksia ja veropetoksia. Poliisin määritelmän mukaan talousrikokset ovat yritysten tai yhteisöjen toiminnassa tapahtuvia rikoksia, joilla tavoitellaan taloudellista hyötyä.

Käytännössä tämä tarkoittaa, että työntekijä, joka huomaa epäilyttäviä laskuja, puuttuvia varoja tai ohjattuja maksuja, on oikeutettu tekemään ilmoituksen ilmoituskanavan kautta. Ilmoituskanavaan päätyvä talousrikosepäily eroaa muista ilmoituksista siinä, että se voi rinnastua myös rahanpesun esiasteeseen.

Jos ilmoitus sisältää viitteitä järjestelmällisistä maksuliikenteen poikkeamista, se voi täyttää rahanpesulain 444/2017 mukaisen ilmoitusvelvollisuuden tunnusmerkit. Tämä tekee talousrikosepäilystä erityisen merkityksellisen: ilmoittajansuojalaki suojaa ilmoittajaa, mutta rahanpesulaki velvoittaa käsittelijää eteenpäin. Molemmat velvoitteet on tunnistettava jo ilmoituksen ensiarvioinnissa.

Ilmoittajansuojalaki vs. AML-velvoite: kumpi ohjaa käsittelyä?

Ilmoittajansuojalaki 1171/2022 ohjaa sitä, miten ilmoitus otetaan vastaan, miten ilmoittajaa suojataan ja miten ilmoitus käsitellään organisaation sisällä. Rahanpesulaki 444/2017 puolestaan asettaa velvollisuuden ilmoittaa epäilyttävistä liiketoimista keskusrikospoliisille ilman viivytystä. Kumpikaan ei sulje toista pois: sama ilmoitus voi kuulua molempien soveltamisalaan, ja tällöin molempia lakeja on noudatettava rinnakkain.

Käytännön ero näkyy kolmessa kohdassa:

  • Ilmoittajansuojalaki suojaa ilmoittajaa vastatoimilta ja takaa luottamuksellisuuden, kun taas rahanpesulaki edellyttää tietojen luovuttamista viranomaiselle.
  • Ilmoittajansuojalain mukainen käsittelyaika on enintään kolme kuukautta palautteen antamiseen, kun taas rahanpesuilmoitus on tehtävä viipymättä.
  • Ilmoittajansuojalain piirissä ilmoittajan henkilöllisyys on suojattava, mutta rahanpesuilmoituksessa tiedot luovutetaan keskusrikospoliisille, jolloin tietosuojaa on arvioitava erikseen.

Näitä eroja on syytä kerrata sisäisessä koulutuksessa, jotta käsittelijä tunnistaa kummankin lain rajat ennen kuin ilmoitus etenee.

Miten tunnistat talousrikosepäilyn ilmoituksesta?

Tunnusmerkit, jotka erottavat talousrikosepäilyn muista ilmoituksista, liittyvät tyypillisesti taloudelliseen hyötyyn, toistuvuuteen ja asiakirjojen epäjohdonmukaisuuteen. Seuraavat merkit ovat tyypillisiä:

  • Epäselvät tai puuttuvat laskut, toistuvat pienet summat tai maksut epätavallisille tileille.
  • Kirjanpidossa havaitut epäjohdonmukaisuudet, kohdentamattomat varat tai keinotekoiset tapahtumat.
  • Viittaukset lahjontaan, eturistiriitoihin tai toimittajasuhteisiin, joissa hyötyjä ei voida perustella.
  • Epäily varojen alkuperästä, erityisesti jos liiketoimet eivät vastaa asiakkaan normaalia toimintaa.

Kun ilmoitus sisältää yhden tai useamman näistä piirteistä, käsittelijän on arvioitava, onko kyseessä rikoslain 30 luvun mukainen rikos ja/tai rahanpesulain tarkoittama epäilyttävä liiketoimi. Arvio tehdään sisäisesti ennen kuin ilmoitusta käsitellään eteenpäin. Apuna voi käyttää esimerkiksi Finlexin ajantasaista säädöstekstiä, josta ilmoittajansuojalain 1171/2022 ja rahanpesulain 444/2017 yksityiskohtaiset velvoitteet löytyvät.

Käsittelypolku: mitä tietoa saa jakaa eteenpäin?

Käsittelypolku jakautuu kolmeen vaiheeseen: sisäinen käsittely, ulkoinen ilmoitus ja tietosuojan varmistaminen. Sisäisessä käsittelyssä ilmoitus ohjataan riippumattomalle käsittelijälle, joka arvioi sen luonteen ja kirjaa toimenpiteet. Jos ilmoitus täyttää rahanpesulain tunnusmerkit, käsittelijän on tehtävä ilmoitus keskusrikospoliisille ilman viivytystä.

Tietojen jakamisessa on noudatettava molempia lakeja. Ilmoittajansuojalain mukaan ilmoittajan henkilöllisyys on suojattava, eikä sitä saa paljastaa ilman suostumusta. Rahanpesulain mukaan ilmoitus keskusrikospoliisille sisältää kuitenkin tapahtuman kuvauksen ja siihen liittyvät tosiseikat. Tietosuoja-asetuksen mukainen oikeusperusta on käsittely lakisääteisen velvoitteen perusteella, mutta käytännössä tiedon luovuttaminen on rajattava siihen, mikä on välttämätöntä epäilyn selvittämiseksi.

Kun ilmoitus etenee viranomaiselle, organisaation on dokumentoitava, mitä tietoja on luovutettu, milloin ja kenelle. Tämä dokumentaatio on osa audit-kelpoista lokia, joka osoittaa sekä ilmoittajansuojalain että rahanpesulain noudattamisen. Sisäisen käsittelyn ja ulkoisen ilmoituksen välinen kynnys on syytä määritellä ennalta, jotta käsittelijä tietää, milloin siirtyä vaiheesta toiseen.

Dokumentaatio ja säilytysaika talousrikosilmoituksissa

Dokumentaatio ja säilytysaika talousrikosilmoituksissa Dokumentaation on täytettävä kolme vaatimusta: muuttumattomuus, jäljitettävyys ja riittävä säilytysaika. Muuttumattomuus tarkoittaa, että toimintaloki ei ole muokattavissa jälkikäteen. Jäljitettävyys tarkoittaa, että jokainen käsittelyvaihe on yhdistettävissä aikaleimaan ja käsittelijän tunnisteeseen. Säilytysaika vaihtelee sen mukaan, sovelletaanko ilmoitukseen ilmoittajansuojalakia, rahanpesulakia vai molempia.

Rahanpesulain mukaisia ilmoituksia ja niihin liittyviä asiakirjoja säilytetään viisi vuotta ilmoituksen tekemisestä. Ilmoittajansuojalain mukaiset tiedot säilytetään niin kauan kuin on tarpeen ilmoituksen käsittelyn ja mahdollisen seurannan kannalta, kuitenkin enintään lain edellyttämä enimmäisaika. Kun molempia lakeja sovelletaan, pidempi säilytysaika voittaa, mutta käytännössä viiden vuoden rahanpesulain mukainen säilytys kattaa yleensä myös ilmoittajansuojalain tarpeet.

Dokumentaatioon kirjataan vähintään ilmoituksen vastaanottoaika, käsittelijän tunniste, käsittelyvaiheet, päätökset ja mahdolliset viranomaisilmoitukset. Tämä aineisto on esitettävä pyydettäessä tilintarkastajalle tai viranomaiselle, ja sen on oltava selkeästi erotettavissa organisaation muusta kirjanpidosta. Käytännössä lokituksen avulla kukin tapaus voidaan jäljittää alusta loppuun, mikä tukee auditointia ja vaatimustenmukaisuustarkastuksia.

Miten ilmoittajan anonymiteetti säilytetään, kun ilmoitus etenee rahanpesuviranomaiselle?

Ilmoittajan anonymiteetti säilytetään rajaamalla rahanpesuilmoitus koskemaan vain tapahtuman tosiseikkoja ja liiketoimia, ei ilmoittajan henkilöllisyyttä. Keskusrikospoliisille ilmoitetaan epäilyttävä liiketoimi ja siihen liittyvät asiakirjat, mutta ilmoittajan nimi tai yhteystiedot eivät sisälly ilmoitukseen, ellei ilmoittaja anna suostumustaan. Ilmoittajansuojalaki suojaa ilmoittajaa vastatoimilta, ja tämä suoja ulottuu myös rahanpesuilmoituksen käsittelyyn.

Kauanko talousrikosepäilyn käsittely saa kestää?

Ilmoittajansuojalain mukaan ilmoittajalle on annettava kuittaus seitsemän päivän kuluessa ja palaute kolmen kuukauden kuluessa ilmoituksen vastaanottamisesta. Rahanpesulain mukainen ilmoitus keskusrikospoliisille on tehtävä ilman viivytystä, käytännössä muutamassa arkipäivässä epäilyn syntymisestä. Sisäisen käsittelyn enimmäisaika määräytyy ilmoittajansuojalain mukaan, mutta rahanpesuilmoituksen osalta käsittely voi jatkua viranomaisen päätöksellä ilmoittajansuojalain kolmen kuukauden määräajasta riippumatta.

Usein kysytyt kysymykset

Voiko sama ilmoitus kuulua sekä ilmoittajansuojalain että rahanpesulain piiriin?

Kyllä, sama ilmoitus voi kuulua molempien lakien soveltamisalaan, jos se sisältää viitteitä rahanpesulain tarkoittamasta epäilyttävästä liiketoimesta. Tällöin ilmoittajansuojalaki suojaa ilmoittajaa ja rahanpesulaki velvoittaa ilmoittamaan epäilystä keskusrikospoliisille.

Pitääkö rahanpesuilmoitus tehdä aina, kun talousrikosepäily tulee ilmoituskanavaan?

Rahanpesuilmoitus tehdään, kun epäily täyttää rahanpesulain tunnusmerkit eli kun liiketoimi tai tapahtuma herättää perustellun epäilyn varojen alkuperästä tai käyttötarkoituksesta. Pelkkä talousrikosepäily, kuten kavallus tai petos, ei automaattisesti täytä rahanpesuilmoituksen kriteerejä, mutta järjestelmälliset maksuliikenteen poikkeamat voivat täyttää ne.

Saako ilmoittajan henkilöllisyyden paljastaa rahanpesuilmoituksen yhteydessä?

Ilmoittajan henkilöllisyyttä ei saa paljastaa ilman suostumusta, ja rahanpesuilmoitus rajataan tapahtuman tosiseikkoihin. Keskusrikospoliisille ilmoitetaan epäilyttävä liiketoimi ja siihen liittyvät asiakirjat, mutta ilmoittajan tunnistetiedot eivät sisälly ilmoitukseen, ellei ilmoittaja anna nimenomaista suostumustaan.

Kauanko talousrikosilmoitukseen liittyviä tietoja säilytetään?

Rahanpesulain mukaisia ilmoituksia ja niihin liittyviä asiakirjoja säilytetään viisi vuotta ilmoituksen tekemisestä. Ilmoittajansuojalain mukaiset tiedot säilytetään käsittelyn ja mahdollisen seurannan ajan, kuitenkin enintään lain enimmäisajan. Kun molempia lakeja sovelletaan, noudatetaan pidempiä säilytysaikoja.

Tarvitseeko pk-yrityksen perustaa oma ilmoituskanava, vaikka sillä on alle 50 työntekijää?

Ilmoittajansuojalaki velvoittaa perustamaan ilmoituskanavan, jos organisaatiossa on vähintään 50 työntekijää tai se toimii tietyillä toimialoilla. Alle 50 työntekijän yritys ei ole lähtökohtaisesti velvollinen perustamaan omaa kanavaa, mutta rahanpesulain mukaiset velvoitteet koskevat ilmoitusvelvollisia yrityksiä toimialasta ja koosta riippumatta. Käytännössä ilmoituskanava tukee molempia velvoitteita ja parantaa organisation riskienhallintaa.

Lähteet