7 saker att tänka på när du ska välja visselblåsarsystem 

EU:s nya visselblåsardirektiv och Sveriges visselblåsarlag som trädde i kraft samtidigt, den 17 december 2021, kräver att alla organisationer med 50 eller fler anställda ska implementera visselblåsarsystem. Direktivet ställer inga krav på hur visselblåsarfunktionerna ska vara utformade, men man specificerar ett antal krav som ska vara uppfyllda. Ett enkelt sätt att efterleva direktivet är att använda ett visselblåsarsystem från en extern leverantör. Det finns förstås ingen garanti för att alla lösningar lever upp till kraven. Dessutom måste man välja den lösning som passar den egna organisationen bäst. Så vad bör du tänka på för att välja ett bra visselblåsarsystem? 

Vilka krav ställer man i visselblåsarlagen och EU:s visselblåsardirektiv? 

• Visselblåsarfunktionerna ska vara utformade så att visselblåsaren kan lämna in sin rapport både muntligt och skriftligt samt vid ett fysiskt möte om hen önskar det.  
  
• Organisationen måste bekräfta mottagande av rapporten senast inom 7 dagar. Dessutom ska man ge återkoppling i ärendet till visselblåsaren inom tre månader.  
  
• Vidare ska man också utse en oberoende person eller enhet som är ansvarig för visselblåsarfunktionen.  
  
• Det är naturligtvis viktigt att dokumentera alla kanaler, processer och rapporter, samt spara dokumentationen på ett lämpligt sätt.  

• Slutligen kräver lagen att visselblåsarkanalerna är säkra, lättillgängliga, garanterar visselblåsarens anonymitet och uppfyller alla krav i GDPR.  
  

Att välja internt eller externt visselblåsarsystem? 

Det är fullt möjligt att bygga upp visselblåsarprocesser och rapportkanaler som uppfyller lagens krav inom organisationen, men varför lägga resurser på det i onödan? I stället för att binda upp många personer med jobbet kan man välja ett visselblåsarsystem som inte kräver någon IT-expertis.  

Överväg därför att implementera ett SaaS-system, en tjänst som är redo att börja användas så fort du har registrerat dig. Du måste dock fortfarande se till att det system du väljer inte bara uppfyller alla krav i EU-direktivet och visselblåsarlagen, utan också är enkelt att implementera och hantera och hjälper er organisation att nå efterlevnad av direktivet.  

Det är förstås inte bra att välja ett stort visselblåsarsystem med många funktioner som låter bra på pappret, för att sen upptäcka att det inte hjälpte er att uppnå era företagsspecifika mål. Ni behöver en lösning som kan skräddarsys för er egen organisation. Här följer därför några viktiga saker att beakta innan man väljer ett visselblåsarsystem.  

1. Är det visselblåsarsystem ni vill välja också användarvänligt? 

Om målet är att skapa en positiv företagskultur där ni önskar uppmuntra medarbetarna att våga rapportera om missförhållanden, så måste ni skapa en trygg och säker miljö för rapporteringen. Ni vill också att systemet ska vara så enkelt som möjligt att använda, för att medarbetarna ska känna sig trygga med att rapportera internt i första hand och inte vända sig externt till myndigheter eller media. 

Se visselblåsning ur dina medarbetares synvinkel och prioritera en leverantör som kan erbjuda olika alternativ för rapportkanalerna (med både skriftlig och muntlig rapportering). Det är av största vikt att visselblåsaren kan vara anonym genom hela processen. Gör det enkelt att skicka in en rapport med ett enkelt och intuitivt gränssnitt som fungerar på alla enheter, samt guider och infotexter som hjälper och stöder användaren.  

Stöd för flerspråkighet är mycket viktigt för att medarbetarna ska kunna använda det språk som de känner sig mest bekväma med. Att få använda sitt eget språk ökar sannolikheten för att våga rapportera oegentligheter.  

2. Datasäkerhet och integritet 

Det är inte bara visselblåsarrapporterna som ska vara säkra, utan alla data som delas i visselblåsarsystemet. Kontrollera vilka säkerhetsåtgärder man vidtagit, till exempel kryptering av ärendedata, multifaktorverifiering och hur sträng åtkomst- och åtgärdskontrollen är. 

En annan sak att kolla upp är olika certifieringar. Det kan kännas tryggare, men kontrollera också exakt vad som är certifierat (är det företaget, processen eller själva mjukvaran?). Du kan också se om leverantören av systemet är ISO 27001-certifierad. Det betyder att företaget uppfyller den internationella standarden för ledningssystem för informationssäkerhet. 

3. Efterlevnad av GDPR 

Visselblåsarlagen förutsätter att visselblåsarsystemet uppfyller kraven i GDPR, och det omfattar också hantering av persondata och -uppgifter. Kontrollera var tjänsten lagar allt material som visselblåsarrapporterna innehåller. Efter Schrems II-domen är det inte längre möjligt för företag som behandlar europeiska medborgares personuppgifter att använda sig av Privacy Shield-avtalet mellan EU och USA för överföring av personuppgifter. Du slipper enkelt problemet genom att välja ett system med datalagring inom Europa (EU).  

4. Vilka tekniska lösningar innehåller den valda visselblåsarlösningen? 

Tekniken bakom själva rapporteringsprocessen och mjukvaran som hanterar visselblåsningsärenden kommer att skilja sig åt mellan olika leverantörer. Fundera därför över vad som är viktigast för er och försök ta reda på vad de olika tekniska lösningarna kan erbjuda. Finns det tillräckliga säkerhetskontroller? Hur enkelt är systemet att använda för både visselblåsare och den/de person(er) som ska ta emot rapporterna? Erbjuder systemet inbyggda funktioner för att möjliggöra en säker och anonym tvåvägskommunikation mellan visselblåsaren och mottagaren? 

Du får ofta en bättre helhetsbild av systemet om du ber om en gratis demonstration av visselblåsarsystemet.

5. Hur ser rapporteringsprocessen och hanteringen av rapporter ut? 

Försök ta reda på hur leverantören hanterar själva rapporteringsprocessen, för att avgöra om det passar era krav. Granska bland annat:

• Utbudet av tillgängliga rapporteringskanaler
• Hur samlar man in och hanterar rapporterna
• Hur delar man rapporterna med organisationen
• Är det enkelt att vidarebefordra ärenden till rätt person?

Kan man ge begränsad tillgång till specifika användarroller för enskilda ärenden? Kan man själv bjuda in nya användare till systemet? En del leverantörer har större flexibilitet och kan erbjuda skräddarsydda processer för just er organisation.  Se till att systemet är intuitivt och enkelt inte bara för den som rapporterar, utan också för de som ska arbeta med det. Att välja ett visselblåsarsystem som hanterar allt från rapporter till uppföljning och dokumentation på ett och samma ställe underlättar utredningen mycket. Det är också säkrare, eftersom ingen information någonsin behöver lämna systemet. 

6. Vilka övriga tjänster kan leverantörer av visselblåsarsystem erbjuda?  

En del leverantörer av visselblåsarsystem erbjuder också tilläggstjänster. Det kan till exempel handla om extern, oberoende ärendemottagning och möjlighet till rådgivning för varje enskilt visselblåsarfall.  

Det kan vara bra att överväga en mer omfattande lösning om volymerna av visselblåsarrapporter är stora. Detsamma gäller om visselblåsarsystemet är ett första steg för att utveckla ett mera omfattande etik- och complianceprogram.  

7. Till sist: Kontrollera referenserna innan det är dags att välja visselblåsarsystem!  

Kontrollera också vad andra användare tycker om visselblåsarsystemet! Har leverantören många nöjda kunder, inom vilka områden och hur länge har man verkat i branschen?  

Som du ser finns det alltså en hel del att tänka på när man ska välja visselblåsarsystem. På Whistlelink har vi lång erfarenhet av att hantera känslig information på ett säkert sätt. Bekanta dig gärna med vårt lättanvända och användarvänliga system, eller kontakta oss så hjälper vi dig med en lösning för just din organisation!