Miten varautua EU whistleblowing direktiiviin?

Euroopan parlamentti hyväksyi EU:n ilmoittajia suojaavan direktiivin vuonna 2019, jonka tulee olla käyttöönotettuna vuoden 2021 loppun mennessä. Direktiivi vaikuttaa Euroopassa satoihintuhansiin organisaatioihin, koska se koskee kaikkia yrityksia, jotka työllistävät yli 50 henkeä. Jäsenvaltioiden on saatettava direktiivi voimaan kansallisessa sääntelyssä viimeistään 17.12.2021. Yrityksillä, joissa on 50–249 työntekijää on kuitenkin aikaa järjestä ätoimintansa direktiivin mukaiseksi 17.12.2023 saakka.

Tarkoitus ja soveltamisala

Direktiivi pyrkii suojaamaan ilmoittajia, jotka ilmoittavat EU:n lakien rikkomisesta. Tämä aiheuttaa organisaatioille paljon oikeudellisia vaatimuksia, joista yksi on turvallisten ilmoituskanavien käyttöönotto. Direktiivissä määrätään, että tällaisten kanavien tulisi olla ”käyttöön otettu ja toimia turvallisesti siten, että ilmoittavan henkilön ja ilmoituksessa mainittujen kolmansien osapuolten henkilöllisyyden luottamuksellisuus suojataan ja muiden kuin valtuutettujen henkilöstön jäsenten pääsy tietoihin estetään.”

Ilmoituskanavat tulee ottaa käyttöön muun muassa seuraavissa toimijoissa:

• yksityisen sektorin oikeushenkilöt, joissa on vähintään 50 työntekijää
• rahanpesulain soveltamisalaan kuuluvat toimijat koosta riippumatta
• valtionhallinto, alue- ja maakuntahallinto, kunnat ja muut julkisoikeudelliset oikeushenkilöt.

Yksityisen sektorin oikeushenkilöt, joilla on 50–249 työntekijää, voivat jakaa ilmoitusten vastaanottamiseen ja niiden perusteella tehtäviin selvityksiin tarkoitettuja kanavia keskenään. Jäsenvaltiot voivat myös säätää, että kunnat voivat jakaa ilmoituskanavia keskenään tai että yhteiset kunnalliset viranomaiset vastaavat niiden toiminnasta yhdessä.

Direktiivin soveltamisala kattaa esimerkiksi seuraavat toimialat ja sääntelyn:

• finanssialan yritykset ja rahanpesun ja terrorismin rahoittamisen estämisestä annetun lain mukaiset ilmoitusvelvolliset
• julkiset hankinnat
• liikenneturvallisuus
• kuluttajansuoja
• kilpailuoikeus ja valtiontukisääntely
• yhteisöverosääntely ja järjestelyt, joiden tarkoituksena on saada yhteisöverolainsäädännön vastaista veroetua
• potilaan oikeudet ja yksityisyys
• henkilötietojen suoja.

Direktiivin keskeiset velvoitteet

Direktiivin alaisten organisaatioiden on muun muassa

• tiedotettava työntekijöille käytettävissä olevista ilmoituskeinoista
• suojattava ilmoittajia irtisanomiselta, alentamiselta ja muilta kostotoimenpiteiltä
• valittava pätevä ja puolueeton henkilö tai tiimi käsittelemään ilmoitukset
• reagoitava ilmoituksiin kolmen kuukauden sisällä.

Direktiivissä todetaan seuraavasti: ”Ilmoituskanavien kautta on mahdollistettava ilmoittaminen kirjallisesti tai suullisesti taikka molemmin tavoin. Ilmoittavan henkilön pyynnöstä suullisen ilmoittamisen on oltava mahdollista puhelimitse tai muun ääniviestijärjestelmän kautta tai ilmoittavan henkilön pyynnöstä kohtuullisen ajan kuluessa järjestettävässä henkilökohtaisessa tapaamisessa.” Direktiivin sanamuoto ei suoraan ota kantaa tekniseen ratkaisuun, jolloin ilmoituskanavana voisi toimia esimerkiksi sähköpostiosoite tai puhelinnumero, jotka jo ennen direktiiviä ovat olleet monen organisaation käytössä. Harkitsemisen arvoista on kuitenkin ottaa käyttöön sellainen ulkopuolinen palveluntarjoaja, joka täyttää direktiivin vaatimukset turvallisuudesta ja luottamuksellisuudesta.

Direktiivi asettaa seuraavia velvoitteita sen soveltamispiirissä oleville organisaatioille:

• Ilmoitusten käsittely- ja seurantamenettelyihin tulee sisältyä ilmoitusten vastaanottokanavat, jotka on suunniteltu, implementoitu ja ylläpidetty turvallisesti varmistaen ilmoittajan ja ilmoituksessa mahdollisesti mainittujen kolmansien osapuolten henkilöllisyyden pysymisen salassa sekä estäen pääsyn järjestelmään työntekijöiltä, joilla ei ole tähän lupaa.
• Ilmoituksen tekijän tulee saada kuittaus ilmoituksen vastaanottamisesta viimeistään seitsemän päivän kuluttua.
• Ilmoitusten vastaanottajana ja käsittelijänä tulee olla puolueeton henkilö tai tiimi, jolla on pätevyys ilmoitusten seurantaan ja joka pitää yhteyttä ilmoittajan kanssa kysyen tältä tarvittaessa lisätietoja ja antaen tälle palautetta.
• Ilmoitusten käsittely- ja seurantamenettelyihin täytyy kuulua ilmoitusten huolellinen seuranta nimetyn henkilön tai tiimin toimesta.
• Enintään kolme kuukautta ilmoituksen vastaanottoilmoituksen toimittamisesta ilmoittajalle tulee antaa ilmoituksesta palaute.
• Direktiivin mukaisia oikeuksia ei voi rajoittaa sopimuksin esimerkiksi työsopimuksen lojaliteettilausekkeissa.
• Ilmoittajan henkilöllisyyttä ei saa paljastaa ilman henkilön nimenomaista suostumusta muulle kuin ilmoitusten vastaanottamisen tai ilmoitusten perusteella toteutettavien jatkotoimien toteuttamiseen valtuutetuille henkilöstön jäsenille.
• Kaikki vastaanotetut ilmoitukset tulee kirjata salassapitovaatimusten mukaisesti. Henkilötietoja ei tule tallentaa pidemmäksi aikaa kuin on tarpeellista.

Mitä suojelu tarkoittaa?

Väärinkäytöksestä ilmoittavan henkilön on direktiivin mukaan mahdollista saada suojelua, jos hänellä on perusteltu syy uskoa, että ilmoitettu tieto piti paikkansa ilmoittamishetkellä ja että kyseinen tieto kuuluu direktiivin soveltamisalaan. Ehtona suojelulle on myös se, että ilmoittamisessa on käytetty kolmiportaista järjestelmää, jossa ilmoitus tehdään ensisijaisesti työnantajalle sisäisen ilmoituskanavan kautta, toissijaisesti ulkoisen ilmoituskanavan kautta toimivaltaiselle viranomaiselle ja viimesijaisesti tieto saatetaan julkisuuteen. Jos asianmukaisiin toimenpiteisiin ei ole jollakin portaalla kohtuullisessa ajassa ryhdytty, siirrytään portaikon seuraavaan vaiheeseen. Kolmiporrasjärjestelmästä on myös poikkeuksia.

Ilmoittajaa suojellaan suorilta ja epäsuorilta häneen kohdistuvilta vastatoimilta. Vastatoimia voi olla muun muassa irtisanominen, siirtäminen alempiin tehtäviin, palkanalennus ja määräaikaisen työsopimuksen vakinaistamatta jättäminen. Suojelu epäsuorilta vastatoimilta tarkoittaa siten, että suojelu kattaa toimet, jotka kohdistuvat luonnollisen henkilön lisäksi hänen edustamaansa oikeushenkilöön tai hänen sukulaisiinsa, jotka ovat työnsä vuoksi yhteydessä ilmoittajan työnantajaan. Direktiivi suojaa laajempaa piiriä kuin pelkkää organisaation nykyistä henkilöstöä, ja suoja kattaa muun muassa

• nykyiset ja aikaisemmat työntekijät
• työnhakijat
• itsenäiset ammatinharjoittajat
• osakkeenomistajat ja yrityksen hallintoelimeen, myös muuhun kuin liikkeenjohtoon, kuuluvat henkilöt
• vapaaehtoistyöntekijät ja palkattomat harjoittelijat
• henkilöt, jotka työskentelevät toimeksisaajien, alihankkijoiden ja tavarantoimittajien valvonnassa ja johdolla.

Oikeusturvan kannalta on tärkeää huomioida paitsi ilmoittajan myös ilmoituksen kohteen suojelutarpeet. Siksi direktiivissä todetaan selkeästi, että ilkivaltaiset tai perättömät ilmoitukset eivät saa minkäänlaista suojaa. Jäsenvaltioiden on määrättävä tällaisten tahallisten perättömien ilmoitusten osalta seuraamuksista.

Ilmoituskanavan suunnittelussa ja käytössä huomioitavia seikkoja

Eettisen ilmoituskanavan käyttöönoton suunnittelussa on huomioitava lukuisa määrä asioita. Koska kyseessä on asia, joka saattaa herättää organisaatiossa paljon tunteita, on tärkeää, että suunnittelu on tehty huolella ja kaikki tarvittavat näkökulmat on otettu ennalta huomioon. Seuraavassa käydään läpi joitakin seikkoja, joita ainakin kannattaa pohtia jo ennen kanavan käyttöönottoa.

Saatavilla olevat kanavat

Henkilöstöllä tulee olla useampi erillinen kanava ilmoitusten jättämiseen. Yhden kanavista tulee aina olla fyysinen henkilö, kuten esihenkilö, compliance officer tai esihenkilön esihenkilö. Kynnys ilmoituksen jättämiseen saattaa olla matalampi, jos yhteyshenkilö on samassa organisaatiossa tai fyysisesti samassa maassa ja puhuu samaa kieltä. Tästä syystä on tärkeää, että henkilöitä on useampia ympäri organisaatiota. Toisaalta silloin, kun raportoitava asia koskee työntekijän esihenkilöä tai oman yksikön johtoa, on tärkeää että ilmoituksen voi jättää myös riippumattomalle henkilölle, kuten compliance officerille tai eettisen ilmoituskanavan kautta.

Kohderyhmä

Kanavan tulee olla avoinna oman henkilökunnan lisäksi myös ulkoisille tahoille, jotka ovat myös direktiivin suojan piirissä. Kanavan suuntaaminen myös ulkoisille tahoille onkin perusteltua – ACFE:n (2020) mukaan vain puolet ilmoituksista tulee omalta henkilökunnalta, loput asiakkailta, toimittajilta, kilpailijoilta tai anonyymeinä ilmoituksina.

Tekninen toteutus

Ulkoistettu järjestelmä tarjoaa usein laajemmat mahdollisuudet ilmoituksen jättämiselle kuin sisäinen ratkaisu. Selainpohjaisen lomakkeen lisäksi monet palveluntarjoajat ylläpitävät maakohtaisia, 24 tuntia vuorokaudessa auki olevia puhelinlinjoja. Puhelinpalveluun kuuluu tyypillisesti ilmoituksen puhtaaksikirjoitus ja kääntäminen organisaation haluamalle kielelle. Tämä aiheuttaa sen, että raportointi ei ole kovin reaaliaikaista, koska käännös- ja puhtaaksikirjoitustöihin saattaa kulua useampia päiviä.

Mitä suuremmasta ja globaalimmasta organisaatiosta on kyse, sitä vaativampaa on järjestää koko organisaation kattava järjestelmä. Huomioon täytyy ottaa tarvittavat kieliversiot verkkolomakkeisiin ja paikallisten puhelinlinjojen implementointi. Lisäksi paikallinen lainsäädäntö vaihtelee maittain asettaen vaatimuksia ja rajoituksia tietojen keräämiselle, säilyttämiselle ja luovuttamiselle emoyhtiölle.

Käyttäjäkokemus

Vaikeista asioista puhuminen on monesti epämukavaa, joten on tärkeää, että kanavan käyttö olisi ilmoituksen jättäjälle niin mieluisaa kuin mahdollista. Henkilön on koettava kanava luotettavaksi ja turvalliseksi. Lisäksi saatavilla tulee olla eri vaihtoehtoja huolenaiheen ilmoittamiseen – eettisen kanavan rinnalla kannattaa korostaa ensisijaista mahdollisuutta keskustella esihenkilön tai compliance officerin kanssa. Henkilön tulee voida kokea voivansa valita itselleen turvallisimman väylän huolenaiheensa ilmaisemiseen. Jokaisella henkilöllä tulisi olla myös mahdollisuus tehdä ilmoitus itsellensä luontevalla kielellä, mieluiten omalla äidinkielellään.

Oleellista on tehdä ilmoituskanavan käyttäminen mahdollisimman helpoksi. Linkki verkkopohjaiseen kanavaan tai puhelinnumero pitäisi olla selkeästi ja yksiselitteisesti henkilöstön ulottuvilla. Esimerkiksi tehtaalla puhelinnumeron näkyminen taukohuoneen seinällä tai joissain tapauksissa vaikkapa vessan ovessa voi tehdä tehtävänsä. Vastaavasti linkki verkkopohjaiseen lomakkeeseen tulisi olla selkeästi näkyvillä intranetin etusivulla.

Ilmoitusten prosessointi

Yksi globaalin ilmoituskanavan käytössä huomioitava lisähaaste saattaa syntyä ilmoitusten prosessoinnissa. Ostettaessa palvelun toimittajalta, joka kirjoittaa puhtaaksi kaikki puhelimitse tehdyt ilmoitukset ja kääntää kaikki vierailla kielillä tehdyt ilmoitukset organisaation viralliselle kielelle, on huomioitava käännöstyöhön ja kirjaamiseen kuluva aika, joka saattaa olla useampia päiviä, jopa viikko. Viestinnässä kannattaakin tällöin painottaa, että erittäin kiireellistä reagointia vaativat ilmoitukset tulisi raportoida muita väyliä pitkin. Tämä seikka kannattaa myös huomioida selkeästi palvelusopimuksessa ja varmistaa, että palveluntarjoajan ilmoittama ilmoitusten käsittelyaika on kohtuullinen. Lisäksi on pohdittava, kuka organisaatiossa saa tiedon, kun ilmoitus on saapunut järjestelmään. Henkilöitä tulee olla vähintään kaksi, jotta reagointi on riittävän nopeaa myös poissaolojen aikana ja vältytään riskiltä, että henkilö poistaisi itseään koskevan ilmoituksen.  On hyvä huomioida, että EU direktiivin mukaan ilmoituksen jättävän henkilön tulee saada kuittaus ilmoituksen vastaanotosta 7 päivän kuluessa, mieluimmin nopeamminkin.

Ilmoitusten selvitys ja tutkinta

Ilmoituskanava on teknisesti suhteellisen helppo ottaa käyttöön. Se, mikä tulee aiheuttamaan monelle organisaatiolle eniten uuden oppimista, on ilmoitusten selvitystyö. Kanavan kautta tulleet ilmoitukset tulee tutkia riippumattomasti ja ammattitaitoisesti. Jokaisen organisaation tulee ennakkoon määritellä prosessi selvitystyölle ja valjastaa organisaatio toimimaan sen mukaisesti. Prosessi kannattaa kirjata ylös ohjesäännön muotoon, jossa otetaan kantaa myös siihen, milloin on syytä ottaa ulkopuolinen taho auttamaan selvitystyössä.

Paikallisen lainsäädännön huomioiminen

Kanavien välityksellä jätetyt ilmoitukset sisältävät lähes poikkeuksetta henkilötietoja, tyypillisesti organisaation työntekijöiden nimiä. Ilmoituskanavan suunnittelussa tulee varhaisessa vaiheessa huomioida, että se rakennetaan paikallisten lainsäädäntöjen puitteissa, jotka koskevat ilmoituskanavan käyttöä ja tietojen suojaamista. Suomessa esimerkiksi yhteistoiminnassa käsiteltäviin asioihin kuuluvat työntekijöiden yksityisyyden suojaan liittyvät kysymykset.

Kansainvälisessä ympäristössä toimittaessa tulee otaa huomioon jokaisen sellaisen maan paikallinen tietosuojalainsäädäntö ja työlainsäädäntö, johon ilmoituskanavaa ollaan pystyttämässä. Kansalliset velvoitteet vaihtelevat merkittävästikin maiden välillä. Myös sanktiot vaatimusten laiminlyönneistä vaihtelevat maittain. Eri maiden lainsäädännön tulkitsemisessa tarvitaan usein asiantuntijan neuvoa. Tosin ulkopuoliset palveluntarjoajat ovat usein ottaneet nämä vaatimukset huomioon osana kokonaisratkaisuaan.

Kaipaatko tukea organisaatiosi whistleblowing-kanavan kanssa? Haluatko oppia lisää ilmoituskanavista ja väärinkäytösten ehkäisystä ja tutkinnasta? Autamme mielellämme!

---

Lähteet:

ACFE: Report to the Nations 2020

---