Euroopan neuvosto hyväksyi uudet säännöt väärinkäytösten paljastajien suojelusta 23.10.2019. Direktiivi tulee saattaa kansallisesti voimaan kahden vuoden kuluessa eli käytännössä vuoden 2021 loppuun mennessä.
Direktiivi velvoittaa kaikkia vähintään 50 henkilöä työllistäviä tai yli 10 miljoonan euron liikevaihtoa tekeviä yrityksiä järjestämään vaatimukset täyttävä, turvallinen ilmoituskanava ja ilmoitusten hallinta. Direktiivin lähtökohtana ovat EU-oikeutta rikkovat menettelyt, joiden kirjo on laaja – käytännössä esimerkiksi petosten ja korruption torjunta.
Mitä whistleblowing-kanavalla tarkoitetaan?
Whistleblowing-kanavan ja direktiivillä tavoitellun ilmoittajan suojelun tarkoitus on madaltaa kynnystä raportoida mahdollisesta epäeettisestä toiminnasta. Tätä kautta väärinkäytösriskeihin voidaan vastata nykyistä paremmin. Whistleblowing-kanava on yksi osatekijä yrityskulttuurin rakentamisessa, jossa väärinkäytökset pyritään ennaltaehkäisemään ja havaitsemaan.
Organisaation työntekijöillä, yhteistyökumppaneilla ja asiakkailla on lähtökohtaisesti parempi näkymä havaita epäeettistä toimintaa. On myös organisaation etu saada tietoa työntekijöiltä väärinkäytöksistä, jotta korjaaviin toimiin voitaisiin tehokkaammin ryhtyä. Tämä edellyttää toki organisaation johdolta myös kyvykkyyttä avoimuuteen ja halukkuutta tiedon vastaanottamiseen.
Anonymiteettiä ei voida turvata esimerkiksi sähköpostiin perustuvassa ilmoituksessa tai velvoitteella kertoa omalle esimiehelle havainnoista tarjoamatta muuta raportointivaihtoehtoa. Toki yhä edelleen ilmoittajalla tulee olla mahdollisuus antaa omat tietonsa niin halutessaan.
Mistä lähteä liikkeelle?
Ennen uuden whistleblowing-kanavan käyttöönottoa, organisaation olisi hyvä tarkastella nykytilaansa väärinkäytösriskien tunnistamisessa, ennaltaehkäisyssä ja havaittuihin epäkohtiin reagoimisessa. Onko olemassa compliance-ohjelma ja code of conduct ja miten näissä on huomioitu mahdollisuus ilmoittaa epäeettisestä toiminnasta ja toisaalta onko olemassa prosessia ilmoitusten käsittelyyn? Koulutetaanko henkilökuntaa oikein toimimisen kulttuurista ja niistä velvoitteista, joita jokaisella työntekijällä tähän liittyen on?
Ilmeistä on, että teknisen kanavan käyttöönotto yksittäisenä toimenpiteenä ei ole riittävää, sillä direktiivi asettaa myös muita velvoitteita, kuten vastatoimien kiellon. Jos kanava kokonaisuudessaan puuttuu, on syytä ryhtyä selvittämään, mitä kautta se on järkevä toteuttaa, sillä vaihtoehtoja on paljon ja kustannustehokas vaihtoehto etenkin pk-yrityksille on hankkia kanava ulkopuoliselta palveluntarjoajalta.
Organisaation tulee myös vastuuttaa kanavan seuranta, koska jokaiseen tehtyyn ilmoitukseen tulee direktiivin mukaisesti antaa seitsemän päivän kuluessa vastaanottoilmoitus. Jos organisaatiolla on jo käytössä ilmoituskanava, tulisi arvioida sen riittävyyttä suhteessa direktiivin vaatimuksiin. Anonymiteetin lisäksi ilmoittajalle on annettava ilmoituksesta palaute enintään kolme kuukautta ilmoituksen vastaanottoilmoituksen toimittamisesta.
Tutkintaprosessi kuntoon
Direktiivi nostaa välillisesti vaatimustasoa myös sisäisten tutkintojen hoitamiselle, johtuen jo edellä mainitusta velvollisuudesta kertoa ilmoittajalle toteutettavista jatkotoimista sekä toisaalta myös työnantajaan kohdistuvasta vastatoimien kiellosta sekä tähän liittyvästä käännetystä todistustaakasta. Tutkintaprosessin osalta tulisi varmistaa, että tätä varten on laadittu kirjallinen prosessikuvaus, jotta tutkinnat suoritetaan ammattimaisesti ja objektiivisesti sekä tasapuolisesti riippumatta siitä, onko ilmoituksen kohteena työntekijä vai johtoon kuuluva henkilö.
Tutkintaprosessin osalta tulisi pohtia, miten organisatorinen vastuu jaetaan ja keiden on tarpeen olla prosessissa mukana. Ennakolta olisi myös hyvä kartoittaa ulkopuolisia palveluntarjoajia, koska harvassa organisaatiossa on riittävää osaamista tutkinnan ammattimaiseen suorittamiseen ja dokumentointiin tavalla, joka kestää myös myöhempää tarkastelua. Myös tutkintaan liittyvät tietosuojakysymykset ovat merkittäviä, ja on yhtiön edun mukaista varmistaa, että organisaatiolla on ymmärrys siitä, mitä asioita ja tietoja voidaan tutkia, ja missä laajuudessa.
Näkisimmekin, että direktiivi tarjoaa yrityksille loistavan tilaisuuden yrityskulttuurin vahvistamiseen ja väärinkäytösriskejä koskevan tietoisuuden kasvattamiseen. Samalla kuitenkin on todettava, että speak up -kulttuurin nousu yksinään ei ole riittävää, vaan hallitusten, muun ylimmän johdon ja esimiesten on myös haluttava kuulla ja kuunnella.
Direktiivi on oiva tuki sellaisen organisaatiokulttuurin luomiseen, jossa työntekijät tuntevat olevansa turvassa ja jossa hankalatkin asiat uskalletaan ottaa keskusteluun – viime kädessä toimivan ja tehokkaan ilmoituskanavan kautta.
Viivi Lajunen ja Tytti Saarinen
Blogin kirjoittajat Viivi Lajunen ja Tytti Saarinen ovat Forensic Risk Alliancen asiantuntijoita. Forensic Risk Alliance on kansainvälinen yhtiö, jossa työskentelee taloudellisiin tutkintoihin erikoistuneita talousalan ammattilaisia sekä tietosuoja- ja Data Governance-asiantuntijoita.