1
Publicera kanalen och namnge den i policyn
Dela rapporteringslänken på intranätet, i uppförandekoden och vid introduktionen. Din visselblåsarpolicy ska namnge kanalen, säga vem som tar emot rapporter och slå fast att repressalier är förbjudna.
Compliance i praktiken
Vad du ska göra i Ashio för att hålla dig compliant.
Kanalen är det enkla. Det som avgör är disciplinen runt den: vem som får läsa en rapport, hur snabbt du måste svara, vad du måste spara och var nationell lag kräver mer än direktivet.
Senast granskat: 1 november 2026
Checklista
Sex punkter som gör kanalen försvarbar.
Gjorda en gång ser en revisor, de fackliga organisationerna eller Arbetsmiljöverket en process som fungerar, inte ett formulär.
2
Håll de två rollerna åtskilda
Kontoadministratörer sköter varumärke, team och fakturering och kan inte öppna en rapport. Ärendehandläggare läser rapporter och ser aldrig en faktura. Det är separationen som gör löftet sant: bara ärendeteamet kan läsa en rapport.
3
Ha minst två ärendehandläggare
En person är en enda sårbar punkt: semester, sjukdom och 7-dagarsfristen väntar inte. Bjud in en kollega till, en extern rådgivare eller båda, och håll rollistan uppdaterad.
4
Bekräfta inom 7 dagar
Automatisk bekräftelse kvitterar mottagandet i samma stund som en rapport kommer in. Stäng av den och bekräfta för hand samma dag. Oavsett vilket står fristen på ärendet och rapportören har en länk för att följa det.
5
Ge återkoppling inom 3 månader
Fristen börjar vid bekräftelsen, inte vid rapporten. Statusbyten och meddelanden på ärendet dokumenterar vad rapportören fick veta, och följer med i exporten.
6
Ställ in gallring och radera i tid
Gallring ställs in per organisation: ett, tre eller fem år. Den trycks i integritetspolicyn som rapportören läser. Välj den period din nationella lag kräver i stället för att lämna standardvärdet.
Roller och oberoende
Vem som får läsa en rapport, och vem som inte får.
Oberoende är ett lagkrav i de flesta medlemsstater, inte en stilfråga. Två beslut följer av det: vem som får åtkomst till rapporter och vem som måste hållas utanför ett ärende. Båda är lättare att ordna före den första rapporten än efter.
Kan en vd hantera rapporter?
I princip ja. EU:s whistleblowerlagstiftning förbjuder inte uttryckligen att en vd tar emot rapporter och följer upp dem. Det kan vara en praktisk lösning, särskilt i mindre organisationer utan egen compliancefunktion.
Den utsedda rapporteringsfunktionen måste dock arbeta opartiskt och oberoende och utan intressekonflikter. EU:s visselblåsardirektiv erkänner att funktionen i mindre organisationer kan kombineras med en annan roll i företaget, förutsatt att dessa skyddsåtgärder upprätthålls.
En vd kan alltså hantera rapporter som gäller andra frågor, förutsatt att hen kan agera opartiskt och oberoende. Hen bör inte hantera rapporter om sitt eget agerande, eller situationer där hens personliga intressen eller ansvar skapar en intressekonflikt. I sådana fall måste rapporten hanteras av någon annan som är opartisk och lämpligt kvalificerad: en annan anställd, en ledamot i ett tillsynsorgan eller en extern rådgivare.
Ashio skiljer kontoadministration från ärendehantering. Kontoansvarig hanterar abonnemang, fakturering, teammedlemmar och plattformskonfiguration utan att automatiskt ha åtkomst till konfidentiella rapporter, och ärenderollen ger åtkomst till rapporter och ärendehantering utan att kräva åtkomst till faktureringsuppgifter. Vd:n kan därför stå för abonnemanget, ta emot fakturorna och sköta kontot och samtidigt agera ärendehandläggare när det passar.
Vår rekommendation: även om vd:n hanterar rapporterna själv, ordna ett alternativ innan den första rapporten kommer, så att en annan anställd eller en extern rådgivare med ärenderollen kan ta över så snart en intressekonflikt uppstår. Det ger mindre organisationer flexibilitet och hjälper till att bevara opartiskhet och trovärdighet i processen.
Vad händer om den enda handläggaren namnges i rapporten?
Den som själv är direkt inblandad i en rapport bör inte ansvara för att bedöma eller följa upp den. Det skapar en intressekonflikt och undergräver processens opartiskhet.
Har organisationen bara en utsedd handläggare bör den ordna ett alternativ för dessa situationer. Beroende på struktur kan det vara en annan lämpligt kvalificerad anställd, en ledamot i ett tillsynsorgan eller en extern rådgivare eller tjänsteleverantör.
EU-rätten tillåter att rapporteringsfunktionen stöds av externa tredje parter, förutsatt att nödvändiga skyddsåtgärder för oberoende, opartiskhet och konfidentialitet upprätthålls.
Ashio håller de två rollerna åtskilda, och alternativet ordnas i teamlistan: en andra person med ärenderollen, en anställd eller en extern rådgivare, finns redan när rapporten kommer in och kan ta över om den ordinarie handläggaren är inblandad. En ärenderoll som ges i efterhand når inte en rapport som redan lämnats.
Vår rekommendation: även om organisationen bara har en ordinarie handläggare, ordna alternativet innan den första rapporten kommer. Det gör att varje rapport kan hanteras opartiskt.
Kan någon ge sig själv åtkomst?
Inte i Ashio, och det är precis därför det finns två roller. En kontoadministratör kan inte ge sig själv ärenderollen, så åtkomst till rapporter kräver alltid en andra person som bekräftar den.
Varje rolländring skrivs till teamets aktivitetslogg med den som gjorde den. Frågan om vem som gav vem åtkomst till rapporter kan besvaras månader senare utan att förlita sig på minnet.
En organisation med en enda person måste bjuda in en kollega först, eftersom ingen kan ge sig själv ärenderollen. Om det känns som en tröghet är det samma tröghet som en andra signatur på en betalning, och den ger samma sak: ingen kan tyst släppa in sig själv.
Kan en extern advokat eller rådgivare hantera ärenden?
Ja. EU-rätten tillåter uttryckligen organisationer att utse externa tredje parter att ta emot rapporter och följa upp dem. Skäl 54 i EU:s visselblåsardirektiv nämner uttryckligen externa advokater, revisorer och leverantörer av externa rapporteringsplattformar som exempel.
För mindre organisationer kan det vara ett praktiskt sätt att få rapporter hanterade opartiskt utan att inrätta en egen compliancefunktion. Den externa rådgivaren kan få ansvar för att ta emot rapporter, kommunicera med visselblåsare och samordna uppföljningen.
Den externa leverantören måste erbjuda lämpliga garantier för oberoende, konfidentialitet, dataskydd och tystnadsplikt.
Ashio gör extern ärendehantering enkel. Bjud in din externa advokat eller rådgivare som teammedlem med ärenderollen. Hen når de berörda rapporterna, tidsfristerna och granskningshistoriken via sitt eget konto, och varje åtgärd tillskrivs hen.
Två saker går lätt fel. Rådgivaren behöver ett uppdrag: Ashio tillhandahåller rapporteringskanalen och ärendehanteringen men utreder inte själv och företräder dig inte juridiskt, så organisationen kommer överens om omfattningen med rådgivaren. Och åtkomsten gäller per organisation: en rådgivare som arbetar för flera juridiska personer måste bjudas in separat i varje.
Det gör att en organisation kan använda extern expertis och ändå ha ett tydligt ansvar för sitt visselblåsarsystem.
Direktivet tillåter uttryckligen externa advokater och rådgivare, men den nationella lag som genomför det kan ställa ytterligare villkor, och att utse en rådgivare flyttar inte organisationens juridiska ansvar dit.
Krav per land
Där nationell lag går längre än direktivet.
Det här är några av de nationella skillnader som kan påverka hur du ställer in och driver din rapporteringskanal.
Tyskland: HinSchG
Den interna rapporteringsfunktionen måste arbeta oberoende och utan intressekonflikter. Handläggare får ha andra uppgifter, förutsatt att de inte skapar konflikter, och måste ha nödvändig sakkunskap.
Alla rapporter måste dokumenteras och uppgifterna raderas normalt tre år efter att ärendet avslutats, om inte längre lagring är nödvändig och proportionerlig enligt tillämplig lag.
Finns ett företagsråd ska dess medbestämmanderätt bedömas, särskilt om programvaran utgör ett tekniskt system för att övervaka anställdas beteende eller prestation.
Frankrike: loi Sapin II och loi Waserman
Organisationer som omfattas av kraven på intern rapporteringsrutin måste ha en rutin för att ta emot och följa upp rapporter. Rutinen måste ange vilken person, avdelning eller extern tredje part som ansvarar för att hantera rapporterna.
CNIL kräver att organisationer fastställer lämpliga lagringstider utifrån ändamålet med behandlingen och GDPR:s principer. Det finns ingen enda fast lagringstid som gäller för alla visselblåsarärenden.
Loi Waserman utökade skyddet för visselblåsare och reviderade det franska regelverket för att närma det till EU-direktivet.
Spanien: Ley 2/2023
Organisationen måste utse en Responsable del Sistema, den person som ansvarar för det interna informationssystemet. Personen utses av styrelsen och ska utföra sina uppgifter oberoende och självständigt, utan att ta emot instruktioner i den rollen.
Organisationen måste bekräfta mottagandet inom 7 kalenderdagar och lämna svar inom 3 månader från att rapporten togs emot. I särskilt komplexa fall får perioden förlängas med upp till ytterligare 3 månader.
Utseendet och entledigandet av den ansvariga personen ska också anmälas till den behöriga myndigheten inom 10 arbetsdagar.
Italien: Decreto Legislativo 24/2023
Den interna rapporteringskanalen ska anförtros en självständig person eller avdelning med särskilt utbildad personal. Beroende på organisation kan funktionen utföras internt eller externt.
Rapporter ska normalt bekräftas inom 7 dagar och följas upp inom 3 månader. ANAC, den nationella anticorruptionsmyndigheten, ansvarar för den externa rapporteringskanalen och har tillsyns- och verkställighetsbefogenheter, inklusive rätt att besluta om sanktioner.
Nederländerna: Wet bescherming klokkenluiders
Arbetsgivare som omfattas av kraven på intern rapporteringsrutin måste utse oberoende befattningshavare som tar emot rapporter och se till att de följs upp noggrant.
Rutinen ska föreskriva bekräftelse inom 7 dagar och återkoppling inom högst 3 månader efter bekräftelsen.
Lagen tillåter också mindre privata arbetsgivare med 50 till 249 anställda att dela resurser för att ta emot och utreda rapporter, enligt de villkor som gäller.
Polen: Ustawa o ochronie sygnalistów
Den interna rapporteringsrutinen måste ange vilken person eller organisatorisk enhet som får ta emot rapporter och en opartisk intern person eller enhet som ansvarar för uppföljningen.
Rapporter ska normalt bekräftas inom 7 dagar och besvaras inom högst 3 månader, enligt de lagstadgade villkoren.
Innan den interna rapporteringsrutinen införs måste organisationen samråda med den berörda fackliga organisationen eller, om ingen finns, med de anställdas representanter. Samrådet ska pågå i 5 till 10 dagar.
Juridisk information bör kontrolleras mot gällande nationell lagstiftning före införandet. Den här översikten omfattar ett urval av EU:s medlemsstater, inte alla 27. Nationella krav kan ändras och bero på organisationens storlek, sektor och struktur.
Den här sidan är operativ vägledning, inte juridisk rådgivning. Lagen, de fackliga organisationerna och dina jurister avgör vad som gäller för dig. Varje landsida anger datumet för senaste granskning.
Gör det rätt från dag ett.
Starta kanalen, bjud in en andra handläggare och låt fristerna hålla sig själva. 14 dagar gratis, inget kort.