Whistleblower Scheme Administrator

En whistleblower scheme administrator driver den interne whistleblowerordning i en virksomhed eller en offentlig myndighed. På dansk kaldes funktionen ofte blot administrator af whistleblowerordningen. Personen er tit den eneste, der kan åbne indberetningerne.

Dagen starter typisk i whistleblowersystemet. Er der kommet en ny sag, skal den håndteres hurtigt. Ifølge whistleblowerloven har whistlebloweren krav på en bekræftelse senest syv dage efter indberetningen.

Derefter visiteres sagen. Handler den om alvorlige lovovertrædelser eller andre alvorlige forhold? Eller er det en almindelig samarbejdskonflikt, som hører hjemme hos HR eller nærmeste leder? En stor del af indberetningerne falder uden for ordningen. Afvisningen skal stadig begrundes sagligt over for whistlebloweren.

Er sagen omfattet, går undersøgelsen i gang. Administratoren indsamler dokumentation, indkalder til fortrolige samtaler og skriver et notat med konklusion og anbefaling. Selve beslutningen om sanktion ligger hos ledelsen, ikke hos administratoren.

Meget af kontakten foregår gennem systemets anonyme postkasse. Whistlebloweren logger ind med en kode og svarer uden at afsløre sig. Det stiller store krav til, hvordan spørgsmål formuleres. Ét forkert spørgsmål kan afsløre, hvem afsenderen er.

Typiske opgaver:

• Modtage indberetninger via portal, telefonlinje eller fysisk møde og kvittere inden for fristen
• Visitere sagen: er den omfattet af ordningen, eller skal den videre til HR, arbejdsmiljø eller politiet
• Vurdere egen habilitet og sende sagen til en stedfortræder ved interessekonflikt
• Føre anonym dialog med whistlebloweren og bede om supplerende oplysninger
• Gennemføre eller koordinere undersøgelsen, herunder interviews og gennemgang af bilag
• Give whistlebloweren tilbagemelding om udfaldet senest tre måneder efter kvitteringen
• Følge op på repressalier: er personen pludselig omplaceret, forbigået eller frosset ude
• Slette sagsdata efter de fastsatte frister og styre, hvem der har adgang i systemet
• Lave anonymiseret årsstatistik til direktion, bestyrelse og revisionsudvalg
• Opdatere whistleblowerpolitikken og undervise ledere og medarbejdere i ordningen

Rollen er sjældent et fuldtidsjob i mindre organisationer. Den lægges oven på en stilling i legal, compliance, intern revision eller HR. I banker, forsikringsselskaber, større koncerner, kommuner og regioner findes der dedikerede funktioner og teams. Mange virksomheder køber i stedet ordningen som ydelse hos et advokatfirma eller en systemleverandør. Så sidder administratoren udenfor og fungerer som ekstern, uafhængig modtager.

Arbejdet er ensomt. Du kan ikke drøfte sagerne med kolleger i frokostpausen. Du kender ofte de personer, en indberetning handler om. Perioder uden sager kan være helt stille, og så kommer en sag, der fylder alt. Til gengæld er det et af de få job, hvor du ser organisationens virkelige adfærd bag politikkerne.

Hvilken lovgivning dækker denne rolle?
Rollen findes på grund af EU's whistleblowerdirektiv, som i Danmark er gennemført med whistleblowerloven. Loven kræver en intern ordning hos private og offentlige arbejdsgivere med mindst 50 ansatte. Ordningen skal drives af en upartisk person eller afdeling, og whistleblowerens identitet er beskyttet af en særlig tavshedspligt. Brud på tavshedspligten kan straffes med bøde efter whistleblowerloven. Behandlingen af oplysningerne er samtidig omfattet af databeskyttelsesforordningen (GDPR), og Datatilsynet fører tilsyn og driver samtidig den eksterne whistleblowerordning. For finansielle virksomheder gælder desuden krav om intern indberetningsordning efter den finansielle lovgivning og hvidvaskloven, uanset antallet af ansatte.

Der er ingen autorisation og ingen uddannelse, der hedder whistleblower scheme administrator. Whistleblowerloven stiller ingen krav om en bestemt eksamen. Kravet er, at personen er upartisk og har kompetencer til at behandle sagerne fortroligt og forsvarligt.

De fleste kommer ind ad en af fire veje:

• Juridisk vej. Cand.jur. eller cand.merc.jur. på universitetet tager fem år efter gymnasiet. Typisk med nogle år i et advokatfirma eller en juridisk afdeling først.
• Compliance- og revisionsvej. HA(jur.), HD i regnskab eller cand.merc.aud., ofte kombineret med arbejde i intern revision eller en compliancefunktion.
• HR-vej. En HR-baggrund fra fx cand.merc.HRM eller en professionsbachelor, hvor personen allerede håndterer personsager og krænkelsessager.
• Efterforskningsvej. Baggrund fra politi, Skattestyrelsen, forsvaret eller forsikringssvindel. Erfaringen med afhøring og bevissikring vejer tungt.

Efteruddannelse er det, der reelt kvalificerer. Relevante spor er kurser i compliance og undersøgelsesteknik hos Djøf, Dansk Industri, Dansk Erhverv og de store advokathuse. Mange tager også en DPO- eller databeskyttelsesuddannelse, fordi GDPR fylder meget i sagsbehandlingen. Internationalt anerkendte certificeringer er CCEP-I fra Compliance Certification Board, CIPP/E fra IAPP og CIA fra Institute of Internal Auditors, som herhjemme repræsenteres af IIA Danmark. Ingen af dem er lovpligtige, men de vejer i et jobopslag.

En hurtig vej ind er at overtage stedfortræderrollen i den ordning, du allerede sidder tæt på. De fleste ordninger skal have en suppleant, som træder til, når hovedadministratoren er inhabil. Det er ofte her, folk får deres første sager.

Hvis du skal ansætte til rollen, så se efter tre ting frem for titler. Kan personen holde tæt, også over for direktionen? Kan personen skrive et notat, som holder, hvis det havner i Arbejdsretten eller hos Datatilsynet? Og er personen tilstrækkeligt uafhængig af dem, der typisk bliver indberettet? En HR-chef, der refererer direkte til den administrerende direktør, er sjældent den bedste modtager af sager om samme direktør.

Mange virksomheder løser netop det ved at lægge rollen ud til et advokatfirma. Så bliver den interne opgave at være kontaktperson og at følge sagerne op.

Kernen er et dedikeret whistleblowersystem med krypteret indberetning og anonym tovejsdialog. På det danske marked ses blandt andet Whistleblower Software, GotEthics, Walor, EQS Integrity Line og NAVEX. Systemerne fjerner metadata og IP-adresser, så afsenderen ikke kan spores. De fleste hostes i EU af hensyn til databeskyttelsesforordningen (GDPR).

I systemet arbejder administratoren med:

• Sagsjournal med tidsstempler for kvittering, opfølgning og tilbagemelding
• Rolle- og adgangsstyring, så kun udpegede personer kan se en given sag
• Fristalarmer for syv-dages- og tre-måneders-fristerne i whistleblowerloven
• Automatiske sletteregler, så sager ikke ligger længere end nødvendigt
• Rapportmodul til den anonymiserede årsstatistik til ledelse og bestyrelse
• Logning af hvem der har åbnet hvad, så adgangen kan dokumenteres bagefter

Den vigtigste tekniske regel er negativ: almindelig e-mail, Teams, delte drev og virksomhedens sagssystem må ikke bruges til whistleblowersager. Det er den hyppigste kilde til brud på fortroligheden. Fysiske bilag opbevares i aflåst skab, ikke i skrivebordsskuffen.

Uden for systemet bruger administratoren skabeloner: kvitteringsbrev, habilitetserklæring, interviewguide, undersøgelsesnotat og afslutningsbrev. Dertil kommer whistleblowerpolitikken, en fortegnelse over behandlingsaktiviteter efter GDPR og en databehandleraftale med systemleverandøren. Til den ydre ramme hører Datatilsynets vejledning om whistleblowerordninger og den eksterne ordning, som Datatilsynet selv driver.

Et neutralt mødelokale uden glasvæg er et undervurderet arbejdsredskab. Samtaler i denne rolle skal kunne foregå, uden at hele afdelingen ser hvem der går ind.