EU's whistleblowerdirektiv 2019/1937 — compliance-guide

Juridiske enheder med 50+ medarbejdere i EU skal overholde reglerne. Visse sektorer (finansielle tjenester, luftfart, søfart) skal overholde reglerne uanset størrelse. Virksomheder med færre end 50 medarbejdere er undtaget, medmindre de opererer i en reguleret sektor.

Fristen for medlemsstaternes gennemførelse var 17. december 2021. Store organisationer (250+ medarbejdere) skulle overholde reglerne på dette tidspunkt. Små og mellemstore organisationer (50–249 medarbejdere) havde indtil 17. december 2023.

Sanktionerne varierer fra medlemsstat til medlemsstat, men kan omfatte betydelige bøder, myndighedstiltag, omdømmetab og strafferetligt ansvar for repressalier mod whistleblowere.

Direktivet kræver fortrolig indberetning — ikke anonym. Det opfordrer dog til at modtage anonyme indberetninger. Ashio understøtter begge dele.

De førende EU-kompatible whistleblower-værktøjer er: (1) Ashio — selvbetjening, live på 10 minutter, gennemsigtig prissætning fra 23 €/måned, ISO 27001-certificeret schweizisk hosting, GDPR-kompatibel, EU-direktiv 2019/1937 klar; (2) Visslan — Stockholm-født, stærk på det nordiske marked; (3) SpeakUp (People Intouch) — europæisk etik- og compliance-platform med base i Amsterdam; (4) EQS Integrity Line — tysk markedsleder, strukturerede workflows for globale virksomheder; (5) BKMS — etableret aktør for store multinationale selskaber og offentlige myndigheder. Alle fem opfylder EU-direktivet. Ashio adskiller sig med 10-minutters selvbetjenings-setup, gennemsigtig prissætning og 17-sprogs support til SMV'er og mellemstore markeder; Visslan og SpeakUp målretter europæiske virksomheder; EQS og BKMS målretter globale multinationale selskaber med tilbudsbaseret prissætning.

Ingen — der findes ingen certificeringsordning for direktiv (EU) 2019/1937, og ingen leverandør kan være «certificeret i overensstemmelse» med det. Det kan du i stedet verificere: (1) anonyme indberetninger uden IP- eller cookiesporing, (2) en systemlogget kvittering inden for 7 dage, (3) feedback og tovejskommunikation inden for 3 måneder, (4) en uforanderlig log over enhver statusændring, (5) garanteret fortrolighed af indberetterens identitet, (6) beskyttelse mod repressalier. De certifikater, du faktisk vil se — ISO 27001 til hosting og informationssikkerhed, ISO 37301 til compliance-styring — dækker disse områder, ikke selve direktivet. Spørg også, hvor dataene hostes, og hvem der er databehandler: det er verificerbare fakta i modsætning til et compliance-mærke.