Upphandla visselblåsartjänst för företag

När ni ska upphandla visselblåsartjänst för företag är det lätt att fastna i frågor om formulär, priser och tekniska funktioner. Men det avgörande är vad som händer efter att en rapport har skickats. En visselblåsarfunktion ska ge medarbetare och andra berörda en trygg väg att rapportera missförhållanden - och samtidigt ge organisationen en rättssäker process när frågorna är som mest känsliga.

För arbetsgivare med 50 eller fler anställda finns krav på interna rapporteringskanaler enligt visselblåsarlagen. Kravet är dock bara början. Funktionen behöver också vara trovärdig för den som överväger att rapportera, hantera personuppgifter korrekt och ha ett tydligt ansvar för bedömning, dokumentation och återkoppling. Det är därför valet av leverantör bör handla mindre om enbart systemstöd och mer om oberoende, juridisk kompetens och praktisk handläggning.

Börja med ansvar, inte med teknik

En digital rapporteringskanal är en viktig del av lösningen, men den löser inte i sig de svåra situationerna. Om en rapport rör en chef, en medlem av ledningen eller någon på HR uppstår snabbt frågor om jäv och förtroende. Vem kan läsa rapporten? Vem bedömer om den omfattas av visselblåsarlagen? Vem håller den anonyma dialogen med rapportören?

När ni definierar ert behov bör ni därför först klargöra vem som ska ta emot och följa upp rapporter. Många företag utser interna personer, exempelvis HR-chef, chefsjurist eller complianceansvarig. Det kan fungera i större organisationer med tydliga resurser och god beredskap. Men det ställer höga krav på tillgänglighet, opartiskhet och förmågan att hantera känsliga personuppgifter utan att informationen sprids för långt i organisationen.

En extern part kan minska den risken. När mottagandet och den första bedömningen ligger utanför verksamheten får visselblåsaren en tydligare oberoende kontaktväg. Samtidigt avlastas chefer och stödfunktioner från att själva behöva tolka varje rapport, hålla ordning på frister och avgöra när ett ärende behöver utredas vidare.

Det betyder inte att ledningen lämnar ifrån sig ansvaret. Organisationen behöver fortfarande fatta beslut om åtgärder och skapa en arbetsmiljö där rapportering tas på allvar. Den externa parten ska däremot skapa ordning i den känsliga första delen av processen.

Kraven när ni ska upphandla visselblåsartjänst för företag

Visselblåsarlagen omfattar rapportering om missförhållanden där det finns ett allmänintresse av att de kommer fram. Det är inte samma sak som en allmän kanal för varje arbetsplatsfråga eller ett system för vanliga HR-ärenden. En bra tjänst hjälper er att skilja på dessa frågor utan att avfärda rapportören eller skapa osäkerhet.

I upphandlingen behöver ni kontrollera att leverantören kan stödja en process som motsvarar lagens krav. Det gäller bland annat en möjlighet att rapportera skriftligt och muntligt, möjlighet till fysiskt möte på begäran samt skyddad kommunikation med rapportören. Den som rapporterar ska normalt få en bekräftelse på mottagen rapport inom sju dagar och återkoppling inom tre månader. För anonym rapportering blir en säker tvåvägskommunikation särskilt viktig, eftersom återkoppling annars inte kan nå fram.

Det är också klokt att fråga hur leverantören gör den inledande bedömningen. En rapport kan innehålla uppgifter som rör arbetsmiljö, ekonomisk brottslighet, säkerhetsbrister, trakasserier eller misstänkta regelöverträdelser. Bedömningen behöver vara saklig och dokumenterad. Att låta en extern jurist göra den första analysen kan ge ett lugnare underlag för nästa steg och minska risken att ett ärende hanteras av någon med egen koppling till frågan.

GDPR är en del av processen, inte en bilaga

Visselblåsarärenden innehåller ofta uppgifter om identifierbara personer och ibland integritetskänslig information. Därför räcker det inte att leverantören säger att tjänsten är säker. Be om konkreta svar om personuppgiftsansvar, biträdesavtal, behörighetsstyrning, kryptering, lagring och gallring.

Ni bör också förstå var informationen hanteras och vilka som faktiskt får tillgång till den. Få personer ska kunna se ett ärende, och åtkomsten ska vara kopplad till ett tydligt uppdrag. Fråga hur länge uppgifter sparas, hur onödiga uppgifter tas bort och hur leverantören hanterar en begäran om registerutdrag utan att äventyra sekretess eller skyddet för rapportören.

Här finns sällan ett helt standardiserat svar. En internationell koncern kan behöva samordna sin process med andra marknader, medan en svensk medlemsorganisation främst behöver en tydlig och lättadministrerad lösning för sin egen verksamhet. Men principen är densamma: dataskyddet ska vara inbyggt i arbetssättet från första rapport till avslutad handläggning.

Bedöm leverantörens handläggning, inte bara kanalen

Två tjänster kan se likvärdiga ut i en offert men innebära helt olika stöd i praktiken. En leverantör kan erbjuda en digital kanal där ni själva tar emot och bedömer allt. En annan kan ta ansvar för mottagande, juridisk analys och dialog med rapportören. Vilken modell som passar beror på era interna resurser och riskbild, men skillnaden ska vara tydlig innan avtalet skrivs.

Be leverantören beskriva ett typiskt ärendeflöde. Hur tas rapporten emot? När och hur får rapportören bekräftelse? Vem gör den första rättsliga bedömningen? Hur lämnas informationen vidare till organisationen om utredning eller åtgärd behövs? Och vad händer om rapporten berör VD, styrelse eller den person som annars skulle vara kontaktpunkt?

Ett bra svar ska vara konkret utan att tumma på sekretessen. Det ska framgå vad leverantören ansvarar för, vad ni ansvarar för och när extern utredning, arbetsrättslig rådgivning eller andra åtgärder kan bli aktuella. Var uppmärksamma på formuleringar som lämnar er ensamma med handläggningen trots att ni har köpt en extern kanal.

Följande fyra frågor ger ofta en snabb bild av tjänstens verkliga kvalitet:

• Är rapportmottagandet och den första bedömningen utförd av personer med relevant juridisk kompetens?

• Kan rapportören vara anonym och ändå föra en säker, löpande dialog med handläggaren?

• Finns en tydlig rutin för jäv, exempelvis när en rapport berör ledning, HR eller styrelse?

• Får ni stöd med policy, information till medarbetare och ett arbetssätt som går att använda från första dagen?

Gör införandet enkelt för organisationen

En visselblåsarfunktion blir inte trovärdig bara för att den finns. Medarbetare, konsulter och andra som kan omfattas behöver veta att kanalen finns, när den ska användas och att rapporter tas emot seriöst. Samtidigt bör kommunikationen vara saklig. Syftet är inte att uppmuntra misstänkliggörande, utan att göra det möjligt att lyfta allvarliga missförhållanden på ett tryggt sätt.

I upphandlingen är det därför värdefullt att inkludera kommunikationsmaterial och en visselblåsarpolicy. Policyn bör förklara vilka som kan rapportera, vilka typer av frågor som omfattas, hur anonymitet fungerar och hur organisationen hanterar personuppgifter. Den ska vara lätt att hitta och lätt att förstå, även för den som inte arbetar med juridik eller compliance.

Se också till att driftsättningen passar er verklighet. En lösning som kräver ett omfattande IT-projekt kan vara rätt för vissa koncerner, men för många arbetsgivare är en fristående, säker rapporteringskanal ett snabbare och mer ändamålsenligt alternativ. Det viktiga är inte hur många integrationer som finns, utan att funktionen går att använda, är säker och har en tydlig ansvarskedja.

Jämför pris mot omfattning och risk

Ett lågt abonnemangspris kan vara attraktivt, men jämförelsen blir rättvis först när ni vet vad som ingår. Om intern personal ska ta emot rapporter, göra juridiska bedömningar och administrera dialogen behöver den kostnaden räknas med. Detsamma gäller risken för felhantering, förseningar eller bristande förtroende vid ett känsligt ärende.

För mindre och medelstora företag är fasta paket ofta lättare att budgetera för. Större organisationer kan behöva en offert som tar hänsyn till antal anställda, koncernstruktur, språk och särskilda krav på rapportvägar. Oavsett modell bör ni be om tydlighet kring uppstart, löpande handläggning, juridiskt stöd och eventuella tilläggstjänster.

Visselblåsaren erbjuder en helt digital, juristledd funktion där externa jurister tar emot och hanterar rapporter, med policy och kommunikationsmaterial som del av ett praktiskt införande. För er betyder det att en känslig process får en neutral plats utanför den dagliga organisationen, utan att ni behöver bygga upp egen handläggning eller driva ett tekniskt projekt.

När ni väljer tjänst, välj därför den lösning som ger människor mod att säga ifrån och er organisation förmåga att agera korrekt. Då kan ni fokusera på verksamheten, med vissheten att det finns en trygg väg att göra sin röst hörd när det verkligen behövs.