Whistleblower-direktiivi: Koskeeko ilmoituskanava yritystänne?

Velvollisuus perustaa sisäinen ilmoituskanava koskee kaikkia yrityksiä ja organisaatioita, joilla on säännöllisesti vähintään 50 työntekijää. Tietyillä toimialoilla, kuten rahoituspalveluissa, velvoite on voimassa yrityksen koosta riippumatta. Tämä ei ole suositus, vaan EU:n direktiiviin perustuva lakisääteinen vaatimus, joka on toimeenpantu Suomessa ilmoittajansuojelulailla.

Ilmoituskanavan, eli niin sanotun whistleblower-järjestelmän, tarkoitus on tarjota turvallinen ja luottamuksellinen väylä ilmoittaa työn yhteydessä havaituista väärinkäytöksistä. Kyseessä on organisaation riskienhallinnan työkalu ja samalla mekanismi, joka suojaa ilmoittajaa mahdollisilta kostotoimilta.

Mikä on ilmoituskanava ja mitä laki siltä vaatii?

Ilmoituskanava on menettely, jonka kautta työntekijät ja muut sidosryhmät voivat ilmoittaa epäilemistään lainvastaisuuksista. Pelkkä sähköpostiosoite tai postilaatikko ei riitä, vaan prosessin on täytettävä tiukat laatuvaatimukset. Lain mukaan kanavan on oltava tietoturvallinen ja sen on taattava ilmoittajan henkilöllisyyden luottamuksellisuus.

Laki asettaa prosessille selkeät määräajat ja velvoitteet:

Vastaanottokuittaus: Ilmoittajalle on toimitettava vahvistus ilmoituksen vastaanottamisesta seitsemän päivän kuluessa.
Luottamuksellisuus: Vain nimetyillä, puolueettomilla henkilöillä saa olla pääsy ilmoituksiin. Ilmoittajan henkilöllisyys on pidettävä salassa, ja sen saa paljastaa vain ilmoittajan nimenomaisella suostumuksella, ellei laki muuta vaadi.
Toiminta ja palaute: Yrityksen on ryhdyttävä tarvittaviin toimiin ilmoituksen selvittämiseksi. Ilmoittajalle on annettava palaute tehdyistä toimenpiteistä ja niiden perusteista viimeistään kolmen kuukauden kuluessa vastaanottokuittauksesta.

Ilmoitukset tulee käsitellä organisaatiossa puolueettomasti. Käsittelijäksi ei voi nimetä henkilöä, jota ilmoitus saattaa koskea.

Ketkä voivat ilmoittaa ja mistä asioista?

Ilmoittajien piiri on huomattavasti laajempi kuin vain nykyiset työntekijät. Ilmoituksen voi tehdä kuka tahansa, joka on saanut tiedon väärinkäytöksestä työssään. Tähän ryhmään kuuluvat:

Nykyiset ja entiset työntekijät
Työnhakijat ja harjoittelijat
Itsenäiset ammatinharjoittajat
Osakkeenomistajat ja hallituksen jäsenet
Alihankkijoiden, toimittajien ja urakoitsijoiden henkilöstö

Ilmoituskanava ei ole tarkoitettu yleiseksi palautekanavaksi tai työpaikkakiistojen ratkaisuun. Sen kautta voi ilmoittaa ainoastaan laissa määriteltyjen EU-oikeuden tai kansallisen lainsäädännön rikkomuksista. Näitä ovat esimerkiksi:

Julkiset hankinnat
Rahoituspalvelut ja rahanpesun estäminen
Tuote- ja liikenneturvallisuus
Ympäristönsuojelu
Kansanterveys ja elintarvikkeiden turvallisuus
Yksityisyyden suoja ja henkilötietojen käsittely (GDPR)
Veropetokset

Ilmoittajan suoja on velvoitteen ytimessä

Koko ilmoittajansuojelulain keskeisin tavoite on suojata vilpittömässä mielessä toimivaa ilmoittajaa. Laki kieltää yksiselitteisesti kaikki vastatoimet ilmoituksen tehnyttä henkilöä kohtaan. Kiellettyjä vastatoimia ovat esimerkiksi:

Irtisanominen, lomauttaminen tai tehtävien muuttaminen
Ylennyksen tai palkankorotuksen epääminen
Koulutukseen pääsyn estäminen
Negatiivinen suoritusarviointi tai työtodistus
Häirintä, syrjintä tai muu epäasiallinen kohtelu

Olennaista on käännetty todistustaakka. Jos ilmoittaja kokee joutuneensa kielteisen kohtelun kohteeksi ilmoituksen tekemisen jälkeen, työnantajan on pystyttävä osoittamaan, että toimenpide johtui täysin muista, hyväksyttävistä syistä kuin tehdystä ilmoituksesta. Tämä antaa ilmoittajalle erittäin vahvan oikeudellisen suojan.

Sisäinen vai ulkoinen kanava – kumpi on pakollinen?

Lainsäädäntö rakentuu kaksitasoiselle järjestelmälle. Organisaatioiden on ensisijaisesti tarjottava oma, sisäinen ilmoituskanava. Tavoitteena on, että epäkohdat voidaan korjata nopeasti ja tehokkaasti organisaation sisällä.

Sisäisen kanavan rinnalla toimii keskitetty ulkoinen ilmoituskanava, jota Suomessa ylläpitää Oikeuskanslerinvirasto. Ilmoittaja voi halutessaan käyttää myös ulkoista kanavaa. Erityisesti näin voi toimia, jos hänellä on perusteltu syy uskoa, ettei sisäinen kanava toimi tehokkaasti tai jos hän pelkää joutuvansa vastatoimien kohteeksi.

Yrityksen velvollisuus on perustaa ja ylläpitää toimiva sisäinen kanava. Sen laiminlyönti ei ainoastaan riko lakia, vaan myös ohjaa ilmoitukset suoraan viranomaisille, jolloin yritys menettää mahdollisuuden korjata tilanne itse.

Miten whistleblower-järjestelmä rakennetaan käytännössä?

Toimivan whistleblower-järjestelmän perustamiseen on useita vaihtoehtoja, joilla kaikilla on omat vahvuutensa ja heikkoutensa.

Täysin sisäinen prosessi: Tehtävä annetaan esimerkiksi lakiosastolle tai sisäiselle tarkastukselle. Haasteena on resurssien sitominen, puolueettomuuden varmistaminen ja erityisesti teknisen tietoturvan ja luottamuksellisuuden aukoton toteuttaminen.
Ulkoistettu palvelu: Käsittelyn voi ulkoistaa esimerkiksi asianajotoimistolle. Tämä takaa riippumattomuuden, mutta voi olla kallis ja etäinen organisaation muista prosesseista.
Digitaalinen alusta: Tarkoitukseen suunniteltu ohjelmisto voi varmistaa salatun viestinnän, hallita määräaikoja automaattisesti ja luoda auditoitavan dokumentaation koko prosessista. Se auttaa täyttämään lakisääteiset vaatimukset järjestelmällisesti.

Ilmoituskanava on osa laajempaa riskienhallintaa

Whistleblower-kanavaa ei pidä nähdä ainoastaan pakollisena kulueränä. Se on strateginen työkalu, joka tarjoaa johdolle suoran näkymän organisaation piileviin riskeihin. Kanavan kautta tuleva ilmoitus voi olla ensimmäinen signaali vakavasta tietoturva-aukosta, taloudellisesta väärinkäytöksestä tai tuoteturvallisuutta vaarantavasta puutteesta.

Kun ilmoitusprosessi integroidaan osaksi organisaation yleistä compliance- ja riskienhallintaa, sen arvo moninkertaistuu. Esimerkiksi ilmoitus henkilötietojen väärinkäytöstä liittyy suoraan GDPR-prosesseihin, ja havainto kyberturvallisuuden laiminlyönnistä on kriittinen NIS 2 -direktiivin velvoitteiden kannalta. Moderni compliance-alusta yhdistää nämä osa-alueet, jolloin yksittäisestä ilmoituksesta syntyvät toimenpiteet voidaan hallita ja dokumentoida keskitetysti.

Toimiva ja luotettu ilmoituskanava viestii henkilöstölle ja sidosryhmille, että organisaatio on sitoutunut eettiseen toimintaan ja avoimuuteen. Se on investointi luottamukseen ja kestävään liiketoimintaan.

Usein kysytyt kysymykset

Pitääkö meidän hyväksyä nimettömiä ilmoituksia?

Suomen laki ei velvoita yrityksiä tutkimaan nimettömiä ilmoituksia, mutta se on vahvasti suositeltavaa. Anonymiteetin mahdollistaminen madaltaa kynnystä ilmoittaa ja auttaa saamaan kriittistä tietoa, joka muuten jäisi piiloon. Monet valmiit whistleblower-järjestelmät tarjoavat anonyymin viestinnän teknisesti turvallisella tavalla.

Voiko työntekijä joutua vastuuseen, jos ilmoitus osoittautuu vääräksi?

Ei, kunhan ilmoittajalla oli perusteltu syy uskoa tiedon paikkansapitävyyteen ilmoitushetkellä. Suoja ei päde, jos henkilö tekee ilmoituksen tietoisesti perättömistä tiedoista. Tällöin kyseessä voi olla vahingonteko tai kunnianloukkaus, ja ilmoittaja voi joutua oikeudelliseen vastuuseen.

Riittääkö pelkkä sähköpostiosoite ilmoituskanavaksi?

Tekninen ratkaisu on vapaa, mutta pelkkä sähköposti harvoin täyttää lain vaatimuksia. On vaikea taata ilmoituksen käsittelijöiden rajattua pääsyä, luottamuksellisuutta ja ilmoittajan henkilöllisyyden suojaa. Erillinen, salattu järjestelmä on lähes aina tietoturvallisempi ja luotettavampi vaihtoehto.

Mitä tapahtuu, jos yrityksellä ei ole vaadittua kanavaa?

Laiminlyönnistä voi seurata oikeuskanslerin huomautus tai uhkasakko. Merkittävämpi riski on kuitenkin se, että väärinkäytökset jäävät havaitsematta tai ne ilmoitetaan suoraan viranomaisille tai julkisuuteen, mikä aiheuttaa huomattavaa mainehaittaa ja voi johtaa suuriin sakkoihin itse väärinkäytöksestä.