Whistleblowing-kanava on tärkeä työkalu, joka mahdollistaa työntekijöille ja muille sidosryhmille ilmoittamisen epäillystä lainvastaisesta tai muusta epäeettisestä toiminnasta organisaatiossa turvallisesti niin, että ilmoittajan henkilöllisyys on suojattu.
Tässä blogikirjoituksessa kerromme, millaisia velvoitteita ilmoittajansuojelulaki organisaatioille asettaa ja mitä suomalaisten yritysten tulee ottaa huomioon sisäistä ilmoituskanavaa perustaessaan.
Whistleblowing-direktiiviin perustuva 1.1.2023 voimaan astunut ilmoittajansuojelulaki velvoittaa vähintään 50 henkilöä työllistävät organisaatiot perustamaan whistleblowing-kanavan, jonka kautta on mahdollista ilmoittaa epäilemistään väärinkäytöksistä organisaation toiminnassa ilman pelkoa vastatoimista.
Organisaatioissa, joissa on 50–149 työntekijää, whistleblowing-kanava on tullut ottaa käyttöön viimeistään 17.12.2023. Konserni voi järjestää ilmoituskanavan myös konsernitasolla, kunhan kanava on kaikkien yksittäisten konserniyhtiöiden sidosryhmien käytettävissä.
Alle 50 henkilöä työllistäville organisaatioille whistleblowing-kanavan perustaminen on vapaaehtoista. Jos vapaaehtoinen ilmoituskanava perustetaan, sen täytyy noudattaa samoja ilmoittajansuojelulain määräämiä vaatimuksia kuin pakollisetkin kanavat.
Millaisista väärinkäytöksistä whistleblowing-ilmoituksen voi tehdä?
Whistleblowing-kanava on tarkoitettu sellaisten vakavien rikkomusten ilmoittamiseen, joissa ilmoittaja epäilee lainvastaista toimintaa tai jotka voivat muulla tavoin vakavasti vaarantaa yleisen edun toteutumista. Ilmoittajansuojelulain soveltamisala rajoittuu ehkä hieman yllättäenkin tiettyihin aloihin, kuten finanssipalveluihin, ympäristönsuojeluun, kuluttajansuojaan, tietosuojaan ja kyberturvallisuuteen, kilpailulainsäädäntöön ja verotukseen. Työsuhdeasiat, työterveys- ja työturvallisuusasiat sekä henkilökohtaiset epäkohdat työpaikalla on rajattu lain soveltamisalan ulkopuolelle. Ne on lähtökohtaisesti käsiteltävä muissa yrityksen sisäisissä ja/tai viranomaisprosesseissa.
Edellä mainituista rajoituksista huolimatta organisaatio voi kuitenkin kannustaa ilmoittamaan kanavassa myös muun tyyppisistä väärinkäytöksistä, kuten yrityksen toimintaperiaatteiden rikkomuksista tai syrjivistä käytännöistä työpaikalla. Näin yhtiö voi maksimoida ilmoituskanavan hyödyt.
Kuka voi tehdä whistleblowing-ilmoituksen?
Ilmoittajansuojelulain mukaan organisaation on annettava mahdollisuus tehdä ilmoitus whistleblowing-kanavan kautta kaikille työntekijöilleen, mutta se voi avata kanavan myös muille henkilöryhmille. Lainmukainen suoja annetaan jokaiselle, joka ilmoittaa työnsä yhteydessä havaitusta väärinkäytöksestä ollessaan joko nykyinen tai entinen työntekijä, itsenäinen ammatinharjoittaja, osakkeenomistaja, yhteisön tai säätiön hallituksen tai hallintoneuvoston jäsen tai toimitusjohtaja, vapaaehtoistyöntekijä tai harjoittelija.
Loppujen lopuksi jokainen organisaatio päättää itse, kenelle whistleblowing-kanava avataan. Jos tietyille henkilöryhmille ei ole annettu mahdollisuutta käyttää sisäistä ilmoituskanavaa, he voivat ilmoittaa väärinkäytöksistä suoraan viranomaisille. Jotta voidaan varmistua siitä, että organisaatio saa ensimmäisenä ilmoituksen mahdollisesta väärinkäytöksestä, yritykselle voi olla hyödyllisempää saattaa kanava laajemmin eri sidosryhmien kuten asiakkaiden ja yhteistyökumppaneiden saataville.
Ilmoittajansuojelulaki suojaa vain henkilöitä, jotka ilmoittavat rikkomuksista vilpittömässä mielessä, eli henkilöitä, joilla on perusteltu syy uskoa, että heidän ilmoittamansa asiat pitävät paikkansa.
Mitä whistleblowing-kanavan käyttöönotossa kannattaa ottaa huomioon?
Whistleblowing-kanavan toteuttamiseksi on useita tapoja. Organisaatioiden tulisi valita tapa, joka parhaiten sopii niiden omaan sääntely-ympäristöön ja resursseihin. Seuraavassa on listattu asioita, jotka kannattaa ottaa huomioon ilmoituskanavaa perustettaessa.
1. Valitse sopiva whistleblowing-kanava. Ilmoittajansuojelulaissa ei täsmennetä käytettäviä ilmoitustapoja. Tavallisin tapa lienee ulkopuolisten palveluntarjoajien tarjoamat digitaaliset ratkaisut, mutta fyysinen (lukittu) postilaatikko, suojattu sähköposti tai puhelinpalvelu on yhtä pätevä tapa toteuttaa ilmoituskanava. Kustannusten lisäksi kannattaa ottaa huomioon raportoinnin turvallisuus ja luottamuksellisuus. Tärkeä näkökulma on myös viesti, jonka organisaatio haluaa välittää työntekijöilleen ja muille sidosryhmilleen – helposti saatavilla oleva ja huolellisesti suunniteltu ilmoituskanava herättää luottamusta ja lisää raportoinnin uskottavuutta.
2. Määritä, kuka voi ilmoittaa ja miten. Ilmoittajansuojelulaki edellyttää, että whistleblowing-kanava tarjotaan ainakin omille työntekijöille. Pääsy kanavaan tai ilmoitusten vastaanottamisesta vastaavan henkilön yhteystiedot voidaan hyvin asettaa saataville esimerkiksi organisaation intranetissä tai vastaavalla alustalla, joka on koko henkilöstön käytettävissä. Monet organisaatiot ovat päättäneet tuoda kanavan julkisille verkkosivuilleen, jolloin myös muilla sidosryhmillä, kuten entisillä työntekijöillä, asiakkailla tai yhteistyökumppaneilla, on mahdollisuus ilmoittaa mahdollisista epäillyistä rikkomuksista. Mitä ilmoittamistapaan tulee, organisaation täytyy myös päättää, voidaanko ilmoitukset tehdä kirjallisesti tai suullisesti, ja voidaanko ne tehdä nimettömästi.
3. Täytä whistleblowing-kanavaa koskevat vähimmäisvaatimukset. Ilmoituskanavan täytyy täyttää tietyt vähimmäisvaatimukset, joita ilmoittajansuojelulaki edellyttää. Ensinnäkin organisaation tulee antaa vastaanottokuittaus ilmoittajalle seitsemän päivän kuluessa ilmoituksen vastaanottamisesta. Toiseksi ilmoittajan henkilöllisyyden luottamuksellisuus on taattava koko prosessin ajan laissa säädettyjen suojatoimenpiteiden avulla. Lisäksi organisaation tulee toteuttaa tarpeelliset toimenpiteet ilmoituksen käsittelemiseksi ja palata ilmoittajalle kolmen kuukauden kuluessa ilmoituksen vastaanottamisesta. Tämä aikaraja takaa, että ilmoitus käsitellään asianmukaisesti ja ilmoittaja pysyy tietoisena prosessin etenemisestä.
4. Suunnittele prosessit whistleblowing-kanavan ympärille. Organisaation on suunniteltava ja toteutettava prosessit ilmoituskanavan ylläpitoon sekä ilmoitusten luottamukselliseen, mutta tehokkaaseen käsittelyyn. Vastuunjako on varmistettava ja ilmoitusten käsittelystä vastaavat henkilöt nimettävä. Kuka vastaanottaa ilmoitukset? Miten ilmoittaja voi seurata ilmoituksensa etenemistä? Miten mahdollinen ilmoituksen edellyttämä tutkinta toteutetaan ja dokumentoidaan, ja milloin asia ratkaistaan?
5. Tee tietosuojaa koskeva vaikutustenarviointi (DPIA). Tietosuojavaltuutetun päätöksen mukaan tietosuojaa koskeva vaikutustenarviointi (DPIA) on tehtävä ennen whistleblowing-kanavan käyttöönottoa, sillä ilmoituskanavan katsotaan “sisältävän korkean riskin luonnollisten henkilöiden oikeuksille ja vapauksille” (GDPR art. 35). Tietosuojaa koskevassa vaikutustenarvioinnissa tunnistetaan ja hallitaan järjestelmällisesti tietosuojariskejä. Arvioinnissa olisi otettava huomioon ilmoittajiin ja epäiltyjen rikkomusten kohteena oleviin henkilöihin kohdistuvat riskit sekä riskit, jotka kohdistuvat kolmansiin henkilöihin kuten ilmoituksen kohteena olevien henkilöiden perheenjäseniin.
6. Tiedota ja kouluta henkilöstöä. Organisaation on tiedotettava whistleblowing-kanavasta, ilmoittamiseen liittyvistä menettelyistä ja ilmoittajansuojelun edellytyksistä. Tiedot on esitettävä selkeässä muodossa ja siten, että ne ovat helposti ilmoittajien saatavilla (esimerkiksi julkaisemalla ns. whistleblowing policy organisaation verkkosivuilla tai intranetissä). Lisäksi ilmoituskanavan onnistunut käyttöönotto edellyttää, että henkilöstöä koulutetaan asianmukaisesti ja heidän mahdollisiin huolenaiheisiinsa reagoidaan. Kaiken kaikkiaan ilmoittajansuojelulaki edellyttää yrityskulttuurin kehittämistä kohti läpinäkyvyyttä ja avoimuutta.
Jos haluat keskustella näistä aiheista lisää tai tarvitset apua ilmoituskanavan käyttöönotossa, älä epäröi ottaa meihin yhteyttä.
