Compliance i praksis
Kanalen er den nemme del. Det afgørende er disciplinen omkring den: hvem der må læse en indberetning, hvor hurtigt du skal svare, hvad du skal gemme, og hvor national lov kræver mere end direktivet.
Senest gennemgået: 1. november 2026
Tjekliste
Sat op én gang ser en revisor, et samarbejdsudvalg eller Arbejdstilsynet en proces, der virker, ikke en formular.
Del indberetningslinket på intranettet, i adfærdskodekset og ved introduktion af nye medarbejdere. Din whistleblowerpolitik bør nævne kanalen, sige hvem der modtager indberetninger, og slå fast, at repressalier er forbudt.
Kontoadministratorer styrer det visuelle udtryk, teamet og faktureringen og kan ikke åbne en indberetning. Sagsbehandlere læser indberetninger og ser aldrig en faktura. Det er adskillelsen, der gør løftet sandt: kun sagsbehandlerne kan læse en indberetning.
Én person er et sårbart punkt: ferie, sygdom og 7-dagesfristen venter ikke. Invitér en kollega mere, en ekstern rådgiver eller begge, og hold rolliste opdateret.
Automatisk bekræftelse kvitterer modtagelsen, i samme øjeblik en indberetning kommer ind. Slår du den fra, bekræft så manuelt samme dag. Uanset hvad står fristen på sagen, og indberetteren har et link til at følge op.
Fristen starter ved bekræftelsen, ikke ved indberetningen. Statusændringer og beskeder på sagen dokumenterer, hvad indberetteren fik at vide, og de følger med i eksporten.
Opbevaring sættes per organisation: et, tre eller fem år. Den står i den privatlivspolitik, indberetteren læser. Vælg den periode, din nationale lov kræver, i stedet for at lade standardværdien stå.
Roller og uafhængighed
Uafhængighed er et lovkrav i de fleste medlemsstater, ikke et spørgsmål om stil. To beslutninger følger af det: hvem der får adgang til indberetninger, og hvem der skal holdes ude af en sag. Begge er lettere at ordne før den første indberetning end efter.
I princippet ja. EU's whistleblowerlovgivning forbyder ikke udtrykkeligt, at en direktør modtager indberetninger og følger op på dem. Det kan være en praktisk løsning, især i mindre organisationer uden en selvstændig compliancefunktion.
Den udpegede indberetningsfunktion skal dog arbejde upartisk og uafhængigt og uden interessekonflikter. EU's whistleblowerdirektiv anerkender, at funktionen i mindre organisationer kan kombineres med en anden rolle i virksomheden, forudsat at disse garantier opretholdes.
En direktør kan derfor håndtere indberetninger om andre forhold, forudsat at vedkommende kan handle upartisk og uafhængigt. Vedkommende bør ikke håndtere indberetninger om egen adfærd eller situationer, hvor personlige interesser eller ansvarsområder skaber en interessekonflikt. I de tilfælde skal indberetningen håndteres af en anden upartisk og kvalificeret person: en anden medarbejder, et medlem af et tilsynsorgan eller en ekstern rådgiver.
Ashio adskiller kontoadministration fra sagsbehandling. Kontoadministratoren styrer abonnement, fakturering, teammedlemmer og platformskonfiguration uden automatisk adgang til fortrolige indberetninger, og sagsrollen giver adgang til indberetninger og sagsbehandling uden at kræve adgang til faktureringsoplysninger. Direktøren kan derfor stå for abonnementet, modtage fakturaerne og styre kontoen og samtidig være sagsbehandler, hvor det er passende.
Vores anbefaling: Selv om direktøren selv behandler indberetningerne, bør der være et alternativ på plads, før den første indberetning kommer, så en anden medarbejder eller en ekstern rådgiver med sagsrollen kan overtage, så snart en interessekonflikt opstår. Det giver mindre organisationer fleksibilitet og hjælper med at bevare upartiskhed og troværdighed i processen.
En person, der selv er direkte involveret i en indberetning, bør ikke vurdere eller følge op på den. Det skaber en interessekonflikt og undergraver sagens upartiskhed.
Har organisationen kun én udpeget sagsbehandler, bør den have et alternativ til disse situationer. Afhængigt af strukturen kan det være en anden kvalificeret medarbejder, et medlem af et tilsynsorgan eller en ekstern rådgiver eller leverandør.
EU-retten tillader, at indberetningsfunktionen understøttes af eksterne tredjeparter, forudsat at de nødvendige garantier for uafhængighed, upartiskhed og fortrolighed opretholdes.
Ashio holder de to roller adskilt, og alternativet skal være på plads i teamlisten: en anden person med sagsrollen, en medarbejder eller en ekstern rådgiver, er der allerede, når indberetningen kommer, og kan overtage, hvis den faste sagsbehandler er involveret. En sagsrolle, der gives bagefter, når ikke en indberetning, der allerede er sendt.
Vores anbefaling: Selv om organisationen kun har én fast sagsbehandler, bør alternativet være på plads, før den første indberetning kommer. Så kan hver indberetning behandles upartisk.
Ikke i Ashio, og det er netop derfor, der er to roller. En kontoadministrator kan ikke give sig selv sagsrollen, så adgang til indberetninger kræver altid en anden person, der bekræfter den.
Hver rolleændring skrives i teamets aktivitetslog med den person, der gjorde det. Spørgsmålet om, hvem der gav hvem adgang til indberetninger, kan besvares måneder senere uden at stole på hukommelsen.
En organisation med én person må invitere en kollega først, fordi ingen kan give sig selv sagsrollen. Føles det som bøvl, er det det samme bøvl som en anden underskrift på en betaling, og det giver det samme: ingen kan lydløst lukke sig selv ind.
Ja. EU-retten tillader udtrykkeligt organisationer at udpege eksterne tredjeparter til at modtage indberetninger og følge op på dem. Betragtning 54 i EU's whistleblowerdirektiv nævner udtrykkeligt eksterne advokater, revisorer og udbydere af eksterne indberetningsplatforme som eksempler.
For mindre organisationer kan det være en praktisk måde at få indberetninger behandlet upartisk uden at oprette en egen compliancefunktion. Den eksterne rådgiver kan få ansvar for at modtage indberetninger, kommunikere med indberettere og koordinere opfølgningen.
Den eksterne udbyder skal give passende garantier for uafhængighed, fortrolighed, databeskyttelse og tavshedspligt.
Ashio gør ekstern sagsbehandling enkel. Inviter din eksterne advokat eller rådgiver som teammedlem med sagsrollen. Vedkommende når de relevante indberetninger, fristerne og revisionshistorikken via sin egen konto, og hver handling tilskrives vedkommende.
To ting går let galt. Rådgiveren skal have et mandat: Ashio leverer indberetningskanalen og sagsbehandlingen, men undersøger ikke selv og optræder ikke som din juridiske repræsentant, så organisationen skal aftale omfanget med rådgiveren. Og adgangen er pr. organisation: en rådgiver, der arbejder for flere juridiske enheder, skal inviteres separat til hver.
Så kan en organisation bruge ekstern ekspertise og alligevel have et klart ansvar for sin whistleblowerordning.
Direktivet tillader udtrykkeligt eksterne advokater og rådgivere, men den nationale lov, der gennemfører det, kan stille yderligere betingelser, og at udpege en rådgiver flytter ikke organisationens juridiske ansvar over på vedkommende.
Krav pr. land
Det er nogle af de nationale forskelle, der kan påvirke, hvordan du opsætter og driver din indberetningskanal.
Den interne indberetningsenhed skal arbejde uafhængigt og uden interessekonflikter. Sagsbehandlere må have andre opgaver, hvis de ikke skaber konflikter, og skal have den nødvendige sagkundskab.
Alle indberetninger skal dokumenteres, og oplysningerne slettes som udgangspunkt tre år efter sagens afslutning, medmindre længere opbevaring er nødvendig og proportional efter gældende ret.
Findes der et samarbejdsudvalg, skal dets medbestemmelsesret vurderes, især hvis softwaren udgør et teknisk system beregnet til at overvåge medarbejderes adfærd eller præstationer.
Organisationer, der er omfattet af kravene til den interne indberetningsprocedure, skal have en procedure for at modtage og følge op på indberetninger. Proceduren skal udpege den person, afdeling eller eksterne tredjemand, der er ansvarlig for at håndtere indberetningerne.
CNIL kræver, at organisationer fastsætter passende opbevaringsfrister ud fra behandlingens formål og GDPR's principper. Der findes ikke én fast frist, der gælder for alle whistleblowersager.
Loi Waserman udvidede beskyttelsen af whistleblowere og reviderede den franske ramme, så den ligger tættere på EU-direktivet.
Organisationen skal udpege en Responsable del Sistema, den person der er ansvarlig for det interne informationssystem. Vedkommende udpeges af ledelsesorganet og skal udføre opgaven uafhængigt og selvstændigt uden at modtage instrukser i den rolle.
Organisationen skal bekræfte modtagelsen inden for 7 kalenderdage og give svar inden for 3 måneder efter modtagelsen. I særligt komplekse sager kan fristen forlænges med op til yderligere 3 måneder.
Udpegningen og afsættelsen af den ansvarlige person skal også meddeles den kompetente myndighed inden for 10 arbejdsdage.
Den interne indberetningskanal skal betros en selvstændig person eller afdeling med særligt uddannet personale. Afhængigt af organisationen kan funktionen varetages internt eller eksternt.
Indberetninger skal som udgangspunkt bekræftes inden for 7 dage og følges op inden for 3 måneder. ANAC, den nationale antikorruptionsmyndighed, er ansvarlig for den eksterne indberetningskanal og har tilsyns- og håndhævelsesbeføjelser, herunder mulighed for at pålægge sanktioner.
Arbejdsgivere, der er omfattet af kravene til den interne indberetningsprocedure, skal udpege uafhængige personer til at modtage indberetninger og sikre en omhyggelig opfølgning.
Proceduren skal fastsætte bekræftelse inden for 7 dage og tilbagemelding inden for højst 3 måneder efter bekræftelsen.
Loven giver også mindre private arbejdsgivere med 50 til 249 ansatte mulighed for at dele ressourcer til at modtage og undersøge indberetninger på de gældende betingelser.
Den interne indberetningsprocedure skal udpege den person eller organisatoriske enhed, der er bemyndiget til at modtage indberetninger, og en upartisk intern person eller enhed, der er ansvarlig for opfølgningen.
Indberetninger skal som udgangspunkt bekræftes inden for 7 dage og besvares inden for højst 3 måneder på de lovbestemte betingelser.
Inden den interne indberetningsprocedure etableres, skal organisationen høre den relevante fagforening eller, hvis der ikke er nogen, medarbejderrepræsentanterne. Høringen skal vare mellem 5 og 10 dage.
Juridisk information bør kontrolleres mod gældende national lovgivning inden implementering. Denne oversigt dækker udvalgte EU-medlemsstater, ikke alle 27. Nationale krav kan ændre sig og afhænge af organisationens størrelse, sektor og struktur.
Denne side er operationel vejledning, ikke juridisk rådgivning. Loven, de faglige organisationer og dine jurister afgør, hvad der gælder for dig. Hver landside angiver datoen for seneste gennemgang.
Start kanalen, invitér en anden sagsbehandler, og lad fristerne passe sig selv. 14 dage gratis, intet kort.