Whistleblowing i koncerner - kan moderselskabet håndtere alle sager?
Whistleblowing i koncerner – må moderselskabet håndtere alle sager? Det er et af de mest almindelige spørgsmål i internationale koncerner: Kan moderselskabet håndtere alle whistleblower-anmeldelser for hele koncernen? Svaret er: Ja – men ikke uden forbehold. Udgangspunktet findes i EU-direktiv (EU) 2019/1937. 1. Forpligtelsen gælder pr. juridisk enhed Direktivet fastslår, at juridiske enheder i den private sektor med 50 eller flere ansatte skal oprette interne kanaler og procedurer for rapportering (artikel 8). Dette gælder pr. juridisk enhed. Det betyder, at: Et datterselskab med 60 ansatte er omfattet af forpligtelsen. Et moderselskab med 10 ansatte er ikke omfattet alene på grund af koncernens samlede størrelse. Direktivet omtaler ikke "koncerner" som en fælles juridisk forpligtet part. Forpligtelsen er knyttet til hver enkelt juridisk person. 2. Må koncernen centralisere funktionen? Ja. Direktivet forbyder ikke, at rapporteringsfunktionen organiseres fælles inden for en koncern. I praksis kan det betyde, at: Et moderselskab modtager rapporter for datterselskaber. Der anvendes en fælles koncernplatform. En central compliance- eller juridisk funktion håndterer sager. Men dette ændrer ikke det grundlæggende ansvar. Hver juridisk enhed skal kunne sikre, at: Rapportering er mulig. Kravene til fortrolighed opfyldes. Der gives feedback inden for den fastsatte frist. Opfølgningen gennemføres korrekt. Centralisering må ikke undergrave disse krav. 3. Fortrolighed og uafhængighed Direktivet stiller klare krav til: Fortrolighed omkring den rapporterende persons identitet. Begrænset adgang til oplysninger. Beskyttelse mod repressalier. Ved koncernløsninger opstår der særlige spørgsmål: Hvem har adgang til informationen? Kan den lokale ledelse få indsigt i følsomme sager? Hvordan håndteres sager, der vedrører moderselskabets ledelse? En central funktion kan styrke uafhængigheden – men kun hvis strukturen er gennemtænkt. 4. Små datterselskaber i store koncerner En almindelig situation er: Koncernen har tusindvis af ansatte. Et datterselskab har 20 ansatte. Hvis datterselskabet har færre end 50 ansatte, er det normalt ikke omfattet af forpligtelsen til at oprette en egen intern kanal i henhold til direktivet. Men: Hvis koncernen vælger at tilbyde en fælles funktion, kan også disse selskaber i praksis blive omfattet. Det er tilladt – og ofte klogt – men det er et frivilligt organisatorisk valg snarere end et direkte lovkrav på EU-niveau. 5. Hvem bærer ansvaret ved mangler? Det er et afgørende spørgsmål. Selvom modtagelsen sker centralt, skal hver juridisk enhed kunne påvise, at: Kravene i henhold til direktivet er opfyldt. Opfølgningen foregår korrekt. Beskyttelsen mod repressalier sikres lokalt. En koncernstruktur ændrer ikke det juridiske ansvar på enhedsniveau. Konklusion Må moderselskabet håndtere alle whistleblower-anmeldelser? Ja – det er muligt at centralisere funktionen inden for en koncern. Men: Forpligtelsen til at have en funktion gælder pr. juridisk enhed. Centralisering må ikke mindske kravene til fortrolighed, tilbagemelding og opfølgning. Ansvaret kan ikke helt "flyttes op" til koncernniveau. En koncernløsning kræver derfor en klar struktur, tydelige mandater og dokumenteret ansvarsfordeling.
Hvordan skal en whistleblower-kanal organiseres?
Hvordan skal en whistleblower-kanal være opbygget? At oprette en whistleblower-kanal er i dag en selvfølgelighed i moderne virksomhedsledelse. Men mange organisationer nøjes med den tekniske side. En korrekt opbygget whistleblower-funktion handler ikke kun om at modtage indberetninger – men om, hvordan de håndteres, når de bliver ubehagelige. Udgangspunktet findes i EU-direktiv (EU) 2019/1937, men direktivet regulerer primært minimumskravene. Det er i implementeringen, at risiciene opstår. Her er, hvad der faktisk kræves – og hvor de mest almindelige svagheder findes. 1. En sikker og fortrolig rapporteringskanal Rapportering skal kunne ske: Skriftligt Mundtligt Efter anmodning gennem et fysisk møde Systemet skal sikre fortrolighed og begrænset adgang. Men her begår mange fejl. En teknisk platform uden en klar ejer og proces skaber en falsk tryghed. Spørgsmålet er ikke kun, om rapporten kan indsendes – men hvad der sker bagefter. 2. Uafhængig modtagerfunktion Der skal være en klart udpeget funktion, der: Modtager rapporter Bekræfter modtagelsen Vurderer, om sagen falder inden for anvendelsesområdet Indleder en undersøgelse I små og mellemstore virksomheder ender dette ofte hos: HR CFO Administrerende direktør Det er her, den praktiske udfordring opstår. Hvad sker der, når rapporten vedrører: Ledelsen? Bestyrelsen? Økonomifunktionen? En intern funktion kan hurtigt komme i en interessekonflikt – selvom ingen handler forkert. Uafhængighed er ikke et formelt spørgsmål. Det er et spørgsmål om tillid. 3. Bekræftelse inden for 7 dage Den rapporterende person skal modtage en bekræftelse på modtagelsen. Dette er let at opfylde i teorien. I praksis overses det, når: Ansvaret er uklart Sager falder mellem to stole Ingen har det operationelle ansvar Der kræves struktur – ikke kun vilje. 4. Objektiv og professionel undersøgelse En rapport skal vurderes sagligt og proportionelt. Det kræver: Juridisk forståelse Dokumentationsdisciplin Kendskab til bevisvurdering Evne til at håndtere følsomme samtaler Det er her, den største risiko ligger. En mangelfuld intern undersøgelse kan: Forværre situationen Skabe nye juridiske problemer Undergrave tilliden til funktionen 5. Feedback inden for tre måneder Feedback er et lovkrav – men også afgørende for legitimiteten. En organisation, der ikke kan vise: At sager tages alvorligt At de håndteres konsekvent At beslutninger træffes struktureret risikerer, at funktionen opfattes som symbolsk. 6. Beskyttelse mod repressalier Det er ikke nok med en politik, der siger, at repressalier er forbudt. Organisationen skal kunne: Identificere subtile repressalier Vurdere sammenhænge Dokumentere beslutninger Sikre objektivitet Dette er særligt følsomt, når rapporteringen vedrører personer i ledende stillinger. 7. Dokumentation og sporbarhed Hvert trin i processen skal kunne redegøres for: Hvornår rapporten blev modtaget Hvem der behandlede den Hvilke vurderinger der blev foretaget Hvilke foranstaltninger der blev truffet Manglende dokumentation er en af de mest almindelige svagheder ved en undersøgelse. Hvorfor intern håndtering ofte ikke er nok En intern funktion kan fungere godt i visse organisationer. Men i praksis opstår der ofte tre problemer: 1. Interessekonflikter Når rapporten vedrører ledelsen, mangler der reel uafhængighed. 2. Manglende kompetence Undersøgelse af komplekse regelbrud kræver juridisk og procesmæssig erfaring. 3. Tillidsproblemer Medarbejdere og leverandører tøver med at rapportere, hvis de ikke opfatter funktionen som neutral. En ekstern, juridisk forankret funktion kan derfor: Skabe reel uafhængighed Sikre en professionel undersøgelse Øge viljen til at rapportere internt i stedet for eksternt Det handler ikke om at mistro sin egen organisation. Det handler om at opbygge en struktur, der holder, selv når presset øges. Konklusion En korrekt opbygget whistleblower-funktion kræver: Sikker kanal Uafhængig modtager Struktureret undersøgelsesproces Tydelig feedback Dokumenteret sporbarhed Teknologi er en komponent. Men det er styringen og det juridiske håndværk, der afgør, om funktionen fungerer i praksis.
Hvad tæller som whistleblowing?
Hvad regnes som en whistleblowing-anmeldelse? Begrebet whistleblowing er harmoniseret på EU-plan – men ikke helt ensartet i praksis. Grundlaget findes i EU-direktiv (EU) 2019/1937, men medlemsstaterne har haft mulighed for at gå længere end minimumskravene. For virksomheder, der opererer i flere lande, er det afgørende at forstå forskellen mellem: EU's minimumsniveau Nationale udvidelser Det praktiske risikobillede Her er strukturen. Niveau 1 – EU's fælles minimumsniveau Direktivet beskytter indberetning af oplysninger om: Overtrædelser af EU-retten Inden for specifikt angivne områder Når indberetningen sker i en arbejdsrelateret sammenhæng De områder, der er omfattet, omfatter blandt andet: Offentlige indkøb Finansielle tjenesteydelser og markedsmisbrug Hvidvaskning af penge og finansiering af terrorisme Produktsikkerhed Transport- og nuklear sikkerhed Miljøbeskyttelse Folkesundhed Forbrugerbeskyttelse Databeskyttelse Beskyttelse af EU's finansielle interesser Konkurrence- og statsstøtteregler Beskyttelsen gælder også: Forsøg på at skjule overtrædelser Handlinger, der modvirker formålet med EU-reglerne Det kræves ikke, at overtrædelsen er bevist. Det er tilstrækkeligt, at personen havde rimelig grund til at tro, at oplysningerne var korrekte. Dette er den fælles EU-kerne. Niveau 2 – Nationale variationer Direktivet er et minimumsdirektiv. Medlemsstaterne har fået mulighed for at udvide beskyttelsen. Her opstår der forskelle. 🇸🇪 Sverige Sverige har indført en bredere beskyttelse end direktivet ved også at omfatte: Misforhold, som der er en almen interesse i, at de kommer frem. Det betyder, at også alvorlige nationale misforhold kan være omfattet, selvom de ikke vedrører EU-retten. 🇫🇷 Frankrig Frankrig havde allerede før direktivet et system (Sapin II) med bredere beskyttelse. Implementeringen betyder i praksis, at beskyttelsen omfatter flere typer af alvorlige uregelmæssigheder end blot dem, der udtrykkeligt vedrører EU-retten. 🇮🇹 Italien Italien knytter beskyttelsen af whistleblowere til sin etablerede compliance-model (bl.a. 231-reglerne). Det betyder, at indberetning af visse nationale lovovertrædelser og virksomhedsrelaterede uregelmæssigheder kan være omfattet, selv uden for direktivets snævre EU-områder. 🇩🇪 Tyskland Tyskland har i det væsentlige fulgt direktivets struktur, men har også åbnet op for, at nationale regelbrud kan være omfattet inden for rammerne af den indenlandske lovgivning. Resumé af niveau 2 I praksis findes der tre modeller i Europa: Streng EU-model – Beskyttelse kun for EU-områderne. Udvidet national model – Beskyttelse også for alvorlige nationale uregelmæssigheder. Hybridmodel – EU-kerne + visse nationale lovovertrædelser. Dette betyder, at definitionen af ”whistleblowing” ikke er helt identisk i alle medlemsstater. Niveau 3 – Hvad betyder dette for din virksomhed? For virksomheder med aktiviteter i flere lande opstår et vigtigt spørgsmål: Skal man opbygge sin whistleblower-funktion efter minimumsniveauet – eller efter den bredeste model? Den praktiske virkelighed er, at: Din whistleblower-funktion, ligesom din politik, skal følge minimumsbeskyttelsen i den nationale lovgivning. Derimod foretager medarbejdere ingen juridisk EU-analyse, før de indberetter. Leverandører bekymrer sig ikke om direktivets tekniske anvendelsesområde. Interessenter forventer, at alvorlige uregelmæssigheder kan indberettes. Konklusion På EU-niveau er whistleblowing knyttet til overtrædelser inden for specifikt angivne retsområder. Men i flere medlemsstater er beskyttelsen udvidet til at omfatte bredere kategorier af alvorlige uregelmæssigheder. For internationale virksomheder er det derfor klogt at: Forstå den fælles EU-kerne Identificere nationale variationer Opbygge en funktion, der tåler den bredeste anvendelse Det skaber juridisk robusthed – og tillid.
Kan en medarbejder gå direkte til medierne?
Kan en medarbejder henvende sig direkte til medierne? Ja – i visse situationer. Men ikke altid. EU’s direktiv om beskyttelse af whistleblowere, EU-direktiv (EU) 2019/1937, yder beskyttelse til personer, der indberetter overtrædelser af EU-retten. Beskyttelsen omfatter ikke kun intern og ekstern rapportering – men også offentliggørelse, hvilket i praksis kan betyde at henvende sig til medierne. Spørgsmålet er, under hvilke forudsætninger. Tre niveauer af rapportering Direktivet bygger på en struktur i tre trin: Intern rapportering – inden for organisationen Ekstern rapportering – til den kompetente myndighed Offentliggørelse – for eksempel til medierne Beskyttelsen er stærkest ved intern og ekstern rapportering. Offentliggørelse er mulig – men kun under visse betingelser. Hvornår er det tilladt at gå direkte til medierne? En ansat kan være omfattet af beskyttelse ved offentliggørelse, hvis et af følgende foreligger: Personen har først rapporteret internt og/eller eksternt, uden at der er blevet truffet passende foranstaltninger inden for rimelig tid. Der er rimelig grund til at tro, at overtrædelsen udgør en overhængende eller åbenbar fare for almenvellet. Der er risiko for repressalier, eller at beviser kan blive ødelagt, hvis rapporteringen sker via interne eller eksterne kanaler. Det afgørende er, at personen havde rimelig grund til at tro, at oplysningerne var korrekte, og at betingelserne for offentliggørelse var opfyldt. Motivet bag offentliggørelsen er i princippet irrelevant. Det centrale er, om kriterierne er opfyldt. Hvordan forholder dette sig til loyalitetspligten? Et ansættelsesforhold bygger på en grundlæggende loyalitetspligt. Loyalitetspligten indebærer i sin kerne, at medarbejderen skal: varetage arbejdsgiverens interesser ikke skade virksomheden ikke sprede skadelig information uden objektivt grundlag At gå direkte til medierne kan i mange situationer opfattes som et brud på denne loyalitetspligt. Men whistleblower-direktivet indebærer, at loyalitetspligten ikke er absolut. Når de angivne kriterier er opfyldt, vejer beskyttelsen af rapportering af overtrædelser, der vedrører almenvellet, tungere end arbejdsgiverens interesse i intern kontrol over information. Det betyder ikke, at loyalitetspligten forsvinder. Det betyder, at den skal afvejes mod retten til at slå alarm om alvorlige overtrædelser. Hvad sker der, hvis kriterierne ikke er opfyldt? Hvis en ansat går direkte til medierne uden at betingelserne i direktivet er opfyldt, kan personen stå uden den særlige beskyttelse, som direktivet giver. I en sådan situation træder den generelle loyalitetspligt i ansættelsesforholdet igen i kraft. Det er altså ikke sådan, at en ansat altid er beskyttet, blot fordi information videregives til medierne. Beskyttelsen er betinget. Resumé Kan en ansat gå direkte til medierne? Ja – men kun hvis: der er rimelig grund til at tro, at oplysningerne er korrekte, og betingelserne for offentliggørelse i henhold til direktivet er opfyldt. Whistleblower-direktivet skaber en mulighed for at bryde tavsheden, når almenvellet kræver det. Men det er ikke en generel ret til at tilsidesætte loyalitetsforpligtelsen i ansættelseskontrakten.
Hvilke virksomheder vil være forpligtet til at have en whistleblower-kanal i 2026?
Hvilke virksomheder skal have whistleblower-kanaler i 2026? Nej. Det er ikke alle virksomheder i EU, der skal have en intern whistleblower-kanal. Men langt flere end man tror er omfattet af kravet. Her er, hvad der gælder i 2026. Grundreglen i EU Ifølge EU-direktiv (EU) 2019/1937 skal private virksomheder med 50 eller flere ansatte have interne kanaler og procedurer for indberetning. Dette er hovedreglen i alle medlemsstater. Det er altså antallet af ansatte pr. juridisk enhed, der er afgørende – ikke koncernens samlede størrelse. Skal virksomheder med færre end 50 ansatte have en kanal? Som hovedregel: nej. Men direktivet giver medlemsstaterne mulighed for at indføre krav også for virksomheder med færre end 50 ansatte efter en risikovurdering – især hvis virksomheden udgør en risiko for miljøet eller folkesundheden. Det betyder, at visse lande har valgt at gå længere end minimumsniveauet. Er der lande med undtagelser under 50? Ja – men det gælder som regel særlige sektorer, ikke alle virksomheder. Eksempel: Italien – virksomheder, der er omfattet af særlige compliance-krav (bl.a. i henhold til den såkaldte 231-lovgivning), skal have rapporteringskanaler uanset størrelse. Tyskland – virksomheder inden for visse finansielle sektorer er omfattet uanset antal ansatte. Østrig – visse regulerede aktiviteter, især inden for finans, er også omfattet under 50. De fleste medlemsstater har dog holdt fast i 50-grænsen som generel tærskel. Hvordan er det i Sverige? I Sverige gælder hovedreglen: 50 eller flere ansatte → intern whistleblower-kanal kræves. Færre end 50 ansatte → intet generelt lovkrav. Der er på nuværende tidspunkt intet generelt krav i Sverige om, at mindre virksomheder skal oprette interne kanaler alene på grundlag af en risikovurdering. Så – skal alle have en whistleblower-kanal i 2026? Nej. Men: Alle virksomheder med 50+ ansatte skal. Virksomheder i visse regulerede sektorer kan have behov for det, selvom de er mindre. Reglerne adskiller sig noget mellem medlemsstaterne. Vores råd Uanset om din virksomhed er omfattet af et formelt krav eller ej, er vores anbefaling klar: Hav en intern whistleblower-kanal. Det: skaber tillid bland personalet signalerer gennemsigtighed over for leverandører styrker forholdet til investorer mindsker risikoen for, at sager går direkte til myndighederne eller medierne En whistleblower-ordning er ikke kun et juridisk anliggende. Det er et spørgsmål om tillid og god virksomhedsledelse.
Hvorfor medarbejdere vælger tavshed
Hvorfor vælger medarbejderne at tie? De fleste organisationer har i dag et whistleblower-system på plads. Der findes politikker. Kanalerne er tilgængelige. Alligevel er antallet af indberetninger lavt. Det skyldes ikke, at der ikke er uregelmæssigheder – men at medarbejderne ikke stoler på det system, der skal opfange dem. Tilgængelighed er ikke det samme som tillid Medarbejderne spørger ikke, om rapporteringskanalen formelt overholder reglerne. De spørger, om den er sikker. Hvem kommer til at læse rapporten? Hvad sker der bagefter? Vil dette ramme mig senere? Hvis der ikke er klare svar på disse spørgsmål, bliver tavshed det rationelle valg. Anonymitet opleves som skrøbelig Anonymitet er afgørende – men ofte misforstået. Set fra medarbejderens perspektiv er anonymitet sjældent absolut. Skrivestil, sammenhæng, tidspunkt og intern viden kan opleves som identificerende. Selv små tvivl kan være nok til, at en rapport aldrig bliver indsendt. Hvis anonymiteten opfattes som teoretisk snarere end praktisk, forsvinder tilliden. Intern håndtering skaber opfattede interessekonflikter Når rapporter håndteres internt – ofte af HR eller compliance – kan medarbejdere sætte spørgsmålstegn ved uafhængigheden, uanset gode intentioner. Bekymringen handler ikke om kompetence. Den handler om opfattet loyalitet. Når uafhængigheden er uklar, udhules tilliden. Tidligere sager vejer tungere end politikker Medarbejdere vurderer rapporteringssystemer ud fra erfaring – ikke dokumentation. Hvis tidligere rapporter ikke har ført til handling, eller hvis whistleblowere er blevet marginaliseret i stilhed, bliver tavshed en indlært adfærd. En enkelt forkert håndteret sag kan underminere års arbejde med politikker. Frygt er rationel At undlade at rapportere beskrives ofte som kulturelt eller følelsesmæssigt. I praksis er det en risikovurdering. Når den personlige risiko er konkret, og organisationens opfølgning er usikker, er det logisk at afstå. Hvorfor juridisk inddragelse spiller en rolle Uafhængig juridisk medvirken ændrer dynamikken. Jurister er underlagt tavshedspligt, procesdisciplin og professionel uafhængighed. Det skaber en troværdig modvægt til interne interesser – og et stærkere signal om tillid, end teknologien i sig selv kan give. Tavshed er ikke succes. Lav rapporteringsfrekvens tolkes ofte som et tegn på en sund kultur. I virkeligheden er tavshed tvetydig. Uden tillid går organisationer glip af tidlige advarselssignaler og møder først problemerne, når skaden allerede er sket. Tillid skal opbygges Et effektivt whistleblower-system defineres ikke af platforme eller politikker. Det defineres af, om medarbejderne rent faktisk tror på, at systemet beskytter dem, når det virkelig gælder.