Utvidgad skyldighet att ha en visselblåsarkanal – svårnavigerat för företagen

Skyldigheten att ha interna rapporteringskanaler gällde tidigare för företag som har minst 250 anställda; från och med den 17 december omfattas även företag med 50-249 anställda. Det är hög tid för de företag som berörs att förbereda sig. Flera företag har visselblåsningsprogram sedan tidigare. Även om företagen redan har ett effektivt visselblåsningsprogram på plats, kan EU:s visselblåsardirektiv kräva att dessa justeras.

Ett gediget program för visselblåsningsärenden och utredningar är en nyckelkomponent för en effektiv regelefterlevnad, och nödvändigt för att kunna upptäcka missförhållanden och säkerställa transparens såväl som att minimera risker. Det bidrar också till att anställda rapporterar incidenter och oegentligheter direkt till bolaget, istället för att gå via myndigheter, alternativt traditionella eller sociala medier.

En visselblåsarkanal behöver inte vara särskilt komplex. Det räcker med en enkel lösning (teoretiskt är en brevlåda tillräckligt för att vara compliant), att man utser en anställd person i bolaget för att ta emot visselblåsrapporterna, ha kontakt med visselblåsaren samt följa upp ärendena i enlighet med de tidsramar och riktlinjer som finns.

Ökning av ärenden och utredningar

Antalet visselblåsarärenden och utredningar väntas bli allt fler. Baker McKenzie har nyligen tagit fram rapporten Whistleblowing Trend Watch, där en global undersökning visar att 87 procent av de seniora juristerna väntar sig en ökning av antalet interna utredningar 2023. Det är en ökning med hela 22 procent jämfört med förra året.

Många företag har välkomnat utvecklingen med fler anmälningar. Medan antalet integritetsrelaterade ärenden har ökat avsevärt, rör många fall fortfarande mer traditionella riskområden så som mutor och korruption. Inte alla ärenden som anmäls är just visselblåsarärenden. Efter det att en rapport är mottagen behöver ärendet screenas, för att fastställa om det är ett visselblåsarärende, eller om det är ett ärende som behöver hanteras på något annat sätt.

Otydligt och oklarheter

EU:s visselblåsardirektiv har för avsikt att harmonisera skyddet för visselblåsare i Europa, vilket är bra. Det innebär i praktiken att företag kan införa ett enhetligt visselblåsningsprogram inom EU, med iakttagande av särskilda nationella lagkrav. Dock kräver direktivet att företag ska implementera lokala visselblåsningskanaler och utse en behörig person för att följa upp ärenden och ha kontakt med visselblåsaren på lokal nivå. Företag bör också kontrollera om implementering av visselblåsningsprogrammet utlöser någon förhandlings- eller informationsskyldighet med fack eller företagsråd i det relevanta landet. En sådan skyldighet finns enligt MBL i Sverige.
Det finns också ett flertal oklarheter i direktivet och i lagen. Då visselblåsarlagen bygger på ett EU-direktiv saknas de traditionella förarbeten som bidrar till en tolkning av regelverket, och flera praktiska frågor är otydliga.

Från svenskt perspektiv rör det första olika lagkrav beroende på antalet anställda. Det kan bli problematiskt för koncerner som vill implementera en gemensam lösning, och som inbegriper bolag av olika storlek. Företag med färre än 50 anställda har inte en rättslig skyldighet att ha den här typen av kanaler. De kan självklart gynnas av att inrätta frivilliga visselblåsarsystem, men har andra krav för behandling av uppgifter om lagöverträdelser, jämfört med större företag.
Vidare kan bolag i samma koncern med 50-249 anställda dela själva visselblåskanalen för att ta emot anmälningar samt resurser för utredning. Men de kan inte dela detta med andra närstående bolag som har fler än 250 anställda, i samma koncern. Varje bolag måste även utse en egen oberoende och självständig person som ska vara ansvarig föratt ha kontakt med den rapporterande personen. Bolag med 250 anställda eller fler kan inte dela vare sig kanaler eller personella resurser.
Dessutom medför det nya visselblåsardirektivet svårigheter för företag där antalet anställda pendlar kring 50-strecket; om bolaget det ena året har fler än 50 anställda och nästa år färre än 50. Har de färre medarbetare faller de inte under skyldigheten för att inrätta visselblåsarkanaler, och reglerna för vad som får rapporteras är striktare.

Vidare skiljer sig reglerna för behandling av personuppgifter åt, för bolag av olika storlek.  Företag som träffas av visselblåsarlagen har en skyldighet att behandla uppgifterna om lagöverträdelser i enlighet med EU:s dataskyddsförordning GDPR (General Data Protection Regulation). En annan fråga är om personuppgifter gällande lagöverträdelser ska föras över från ett bolag i Sverige till ett utländskt bolag i samma koncern – inte minst om detta är utanför EU.

Svårnavigerat för multinationella företag

Om bolag har verksamhet i flera länder måste visselblåsarkanalerna anpassas till lokala krav. I de olika medlemsländerna finns lokala skillnader mellan hur EU-direktiven har implementerats i lag, och några länder har fortfarande inte implementerat direktivet alls, såsom Estland och Polen.
Detta innebär att företag inte kan ha ett centralt team för att granska klagomål, utan måste ha en lokal oberoende och självständig person eller avdelning som tar emot rapporter och granskar dem. Många länder har också olika krav på tystnadsplikt.

Bevis som har samlats in i samband med den interna utredningen kan inte heller alltid användas i de olika länderna, och/eller så kan företaget i samband med detta självt bli föremål för klagomål till dataskyddsmyndigheterna i enskilda länder, med potentiellt allvarliga konsekvenser.
Anpassningar till lokal lagstiftning kommer att skapa utmaningar för organisationer som vill effektivisera sina rapporteringsprocesser, för att inte ha för många olika lösningar och visselblåsarsystem i en och samma koncern, och samtidigt vara compliant.

Exempel på en gränsöverskridande fråga är hur företag ska hantera en visselblåsare i USA respektive EU som båda tar upp samma klagomål, samtidigt som de följer direktivets krav? Baserat på vad som hände med GDPR är det troligt att lokala myndigheter utanför EU kommer att ta vägledning från EU:s visselblåsardirektiv och implementera liknande bestämmelser med lämplig lokalisering. Ett förtydligande i direktivet kring vad som gäller för delning av kanaler inom samma företag i olika jurisdiktioner vore önskvärt.

Sverige bland de första i Europa

Sverige var bland de först i Europa med att implementera visselblåsningsdirektivet, efter Danmark. Den svenska visselblåsarlagen trädde i kraft den 17 december 2021.
Sverige har historiskt sett haft en stark speak-up-kultur. Till skillnad från i andra europeiska länder kan man i Sverige också rapportera oegentligheter som är av allmänintresse – utöver det som är ett brott mot EU-rätten.

I flera andra europeiska länder har Baker McKenzie sett ett ökat fokus hos företagen när det gäller att främja en öppen företagskultur, implementera processer som skyddar visselblåsare samt ha en ökad kapacitet för att genomföra utredningar. Denna utveckling är välkommen.

Vanligaste felen

Det finns flera vanliga fel som företag gör vid inrättandet av en visselblåskanal. För det första kan alltför komplexa policyer och processer avskräcka anställda från att rapportera och även göra det svårt från företagens sida att effektivt svara på klagomål. Kanaler med flera rapporteringspunkter är också svåra att hantera i ett sekretessperspektiv.
Vidare brottas många företag med hur de ska hantera utredningar internt. I vissa situationer, till exempel när högre chefer är inblandade i klagomål, kan det krävas externt stöd för att undvika intressekonflikter.

Förbättra visselblåsningsförfarandet

Primärt för att förbättra visselblåsningsförfarandet, vilket också framgår i Baker McKenzies rapport, är att verka för en företagskultur präglad av öppenhet, transparens och integritet. Det är centralt att medarbetarna känner sig trygga med att säga ifrån, att deras klagomål kommer tas på allvar och att lämpliga åtgärder vidtas. De anställda ska kunna rapportera oegentligheter även anonymt om företagen tillåter det, och anmälarna ska inte behöva vara rädda för repressalier.
När man svarar på anklagelser om visselblåsning kan man, i de länder där det är tillåtet och i enlighet med tillämpliga dataskyddslagar, inkludera en granskning för att identifiera känslig information som kan äventyras, eller potentiella vittnen till utredningen, för att skilja ett klagomål som har gjorts i god tro och ett klagomål som har en tydlig annan agenda. Oavsett avsikten så kan visselblåsningsrapporten fortfarande vara giltig och bör tas på allvar.

Lär av tidigare incidenter

Klagomål från visselblåsare bör granskas och utredas noggrant, samt att företag bör integrera resultaten och lärdomarna från interna utredningar i sitt program för regelefterlevnad. Befintliga luckor måste täppas till, processer och kontroller måste förbättras och organisationen bör göras medveten (på ett lämpligt anonymiserat sätt) om de upptäckta problemen och att de har utretts och stoppats.
Vidare behövs effektiva policyer och processer. Visselblåsarprogram måste ta hänsyn till internationella lagar och regler och efterföljande utredningar, såväl som lokala krav i de länder där bolaget är verksamt. Tydliga riktlinjer och rutiner bidrar positivt både till arbetsmiljön och det affärsmässiga ryktet.
Vi ser fram emot att utestående frågeställningar, som i dagsläget saknar tydliga svar, åtgärdas!

Margarita Kozlov och Sten Bauer
Advokater inom arbetsrätt på den globala advokatbyrån Baker McKenzie