Whistleblower Officer

En whistleblower officer er den, medarbejdere kan gå til, når de opdager noget ulovligt på arbejdspladsen. Personen bemander virksomhedens whistleblowerenhed. Rollen er sjældent et fuldtidsjob. Den ligger typisk oven i et andet job.

Arbejdet kommer i bølger. Der går uger uden en eneste indberetning. Så lander en sag, og den skal behandles efter faste frister.

Typiske opgaver:

• Kvittere for modtagelse over for whistlebloweren senest syv dage efter indberetningen
• Visitere sagen: hører den under whistleblowerloven, eller er det en almindelig HR-konflikt?
• Vurdere sin egen habilitet og trække sig, hvis sagen rører ens nærmeste chef
• Indhente bilag, mails og logs og holde fortrolige samtaler med de involverede
• Give whistlebloweren feedback om sagens udfald senest tre måneder efter kvitteringen
• Skrive indstilling til direktion, bestyrelse eller revisionsudvalg
• Føre fortegnelse over sagerne og lave anonymiseret årsstatistik
• Holde øje med, at whistlebloweren ikke bagefter rammes af repressalier
• Træne ledere og medarbejdere i, hvad ordningen kan og ikke kan bruges til

De fleste indberetninger handler om dårlig ledelse, samarbejdsproblemer eller utilfredshed med løn. Det falder uden for loven. En stor del af jobbet er derfor at afvise sager ordentligt og henvise videre til HR eller tillidsrepræsentant. De egentlige sager handler oftest om svindel med bilag, bestikkelse, seksuel chikane, brud på miljøregler eller ulovlig behandling af persondata.

Fortrolighed er kernen i rollen. Du må ikke afsløre whistleblowerens identitet — heller ikke over for din egen direktør. Det giver ubehagelige samtaler, som du skal kunne holde til. Nogle fravælger rollen igen efter et par tunge sager.

Rollen findes i kommuner, regioner og styrelser, i finanssektoren, i medicinal, i entreprenørbranchen og i alle større private virksomheder. I mindre virksomheder er opgaven ofte lagt ud til et advokatkontor eller en ekstern leverandør.

Hvilken lovgivning dækker denne rolle?
Rollen udspringer af lov om beskyttelse af whistleblowere, som gennemfører EU's whistleblowerdirektiv (direktiv 2019/1937). Loven har siden 17. december 2021 krævet en intern ordning hos offentlige arbejdspladser og private virksomheder med mindst 250 ansatte. Fra 17. december 2023 gælder kravet også private arbejdsgivere med 50-249 ansatte. Justitsministeriet har udgivet en vejledning om whistleblowerordninger, og Datatilsynet driver den eksterne whistleblowerordning og fører tilsyn med persondatadelen efter GDPR. I finanssektoren stiller hvidvaskloven og lov om finansiel virksomhed selvstændige krav om whistleblowerordninger.

Der findes ingen autorisation og ingen fast uddannelse til rollen. Whistleblowerloven kræver kun, at enheden er upartisk og uafhængig. Personen skal have kompetence til at behandle indberetninger fortroligt. Det er arbejdsgiveren, der udpeger vedkommende.

Almindelige veje ind:

• Cand.jur. eller cand.merc.jur. på universitetet, cirka fem år, og derefter en stilling i legal eller compliance
• HR-baggrund, fx cand.merc. i HRM eller en HD, og et par år som HR-partner
• Revisor eller intern revision, hvor man er vant til at følge et spor i bilag
• Politi- eller efterforskningsbaggrund, som giver rutine i afhøring og bevissikring
• Rollen som databeskyttelsesrådgiver (DPO), der ofte lægges sammen med whistleblowerenheden

Kurser og certificeringer, der reelt vejer:

• Kurser i undersøgelses- og interviewteknik ved arbejdspladsundersøgelser
• CFE (Certified Fraud Examiner) fra ACFE til de svindeltunge sager
• CIPP/E fra IAPP til persondatadelen
• ISO 37002, som er den internationale vejledning i whistleblowerordninger
• Advokatuddannelsen, hvis rollen skal leveres eksternt til kunder

Man bliver typisk whistleblower officer ved intern udpegning, ikke ved at søge et jobopslag. Vil du målrettet den vej, så byd ind på arbejdet med at etablere eller revidere ordningen. Skriv politikken, vælg systemet, kør træningen. Så er du den oplagte kandidat, når enheden skal bemandes.

To ting afgør, om man kan bære rollen. Man skal kunne holde på en hemmelighed under pres fra ledelsen. Og man skal kunne skrive en konklusion, der ikke behager alle.

Kernen er et whistleblowersystem, der kan tage imod anonyme indberetninger. Almindelig mail duer ikke. Den afslører afsender, IP-adresse og metadata. Systemet skal kunne holde en tovejsdialog med en anonym person over flere måneder.

Udbredte systemer på det danske marked er Whistleblower Software fra Formalize, Got Ethics, Walor, EQS Integrity Line og NAVEX. Åbne alternativer som GlobaLeaks bruges af enkelte offentlige og journalistiske ordninger. Mange advokatkontorer leverer ordningen som en samlet pakke med både system og jurist.

Ud over systemet arbejder man med:

• Adgangsstyring, så kun whistleblowerenheden kan se sagerne — ikke it-afdelingen og ikke HR
• Kryptering og logning af, hvem der har åbnet hvilken sag hvornår
• En sagsmappe uden for HR-systemet og uden for det normale netværksdrev
• Skabeloner til kvittering, feedback, samtalereferat og undersøgelsesrapport
• Fortegnelse over behandlingsaktiviteter efter GDPR, ofte sammen med DPO'ens
• Slettefrister, så persondata i afsluttede sager ikke bliver liggende for evigt
• Et mødelokale uden glasvægge, for loven giver ret til et fysisk møde
• Anonymiseret statistik til bestyrelse og revisionsudvalg, ofte bare et regneark