Visselblåsarutbildning och en kultur där man vågar säga ifrån: en nordisk guide

De flesta organisationer med över femtio anställda i Finland och Sverige har i dag en visselblåsarkanal. De skaffade den för att lagen krävde det, publicerade en länk på intranätet, och en betydande andel av dem har sedan dess nästan inte fått in något alls.

Den tystnaden tolkas oftast som goda nyheter. Oftare är den ett mätfel. Människor lyfter fortfarande sina farhågor, men de gör det till sin närmaste chef i korridoren, och vad som händer sedan beror helt på hur chefen reagerar under de första nittio sekunderna. Om chefen lugnar med att det nog inte är något, hamnar rapporten aldrig i något system, organisationen lär sig aldrig något, och det rättsliga skydd som följer med en formell rapport aktiveras aldrig.

Det är därför visselblåsarutbildning inte kan vara en enda kurs. Kanalen är den enkla delen, och den är redan inköpt. Felpunkterna är spridda över tre helt olika grupper som behöver tre helt olika saker.

Tre målgrupper, tre kursplaner

Alla behöver den kortaste kursplanen: att kanalen finns och var den finns, vilka typer av farhågor som hör hemma där, att man inte behöver bevis och att man är skyddad om man rapporterar i god tro på rimliga grunder, att repressalier är olagliga, och att man kan rapportera anonymt där ert system tillåter det. Femton minuter, upprepat, räcker. Det som avgör är om man minns det under press månader senare.

Chefer behöver den största och mest försummade kursplanen, eftersom de tar emot de flesta första rapporterna utan någon av de formaliteter som skulle signalera att en rapport pågår. De behöver inse att ett korridorsamtal är en rapport, förstå att deras kännedom blir organisationens kännedom, veta vad de ärligt kan lova om sekretess, veta att de inte får utreda saken själva, och veta att varje ogynnsamt beslut som rör den personen från det ögonblicket innebär en risk. Detta är en färdighetsmodul, inte en medvetenhetsmodul, och den kräver scenarier och övning.

Ärendehandläggare behöver processkompetens: mottagning, tidsfrister för bekräftelse och återkoppling, oberoende, sekretess kring rapportörens identitet, hantering av bevis, dataskyddsskyldigheter, när ärenden ska eskaleras och hur de avslutas. De behöver också tillräckligt oberoende i praktiken, inte bara i organisationsschemat, för att kunna hantera en rapport som gäller en medlem av ledningsgruppen.

En leverantör som säljer er en enda kurs för alla tre har sålt den första kursplanen och lämnat de två som faktiskt fallerar oåtgärdade.

Vad lagen kräver, land för land

EU:s visselblåsardirektiv är den gemensamma stamfadern, men ingen följer det direkt. Varje nordiskt land har genomfört det separat, och skillnaderna är operativa snarare än kosmetiska.

Finland. Visselblåsarlagen, 1171/2022, trädde i kraft den 1 januari 2023. Interna kanaler krävdes inom tre månader, och organisationer med 50 till 249 anställda fick tid till den 17 december 2023. Finland har en centraliserad extern rapporteringskanal hos justitiekanslersämbetet, som vidarebefordrar rapporter till behörig myndighet. Den centraliseringen är utmärkande och användbar: en finländsk anställd som inte litar på den interna vägen har en självklar extern adress i stället för en lista att navigera.

Sverige. Visselblåsarlagen (2021:890) trädde i kraft den 17 december 2021. Interna kanaler krävdes för arbetsgivare med minst 250 anställda från den 17 juli 2022 och för dem med 50 till 249 anställda från den 17 december 2023. Arbetsmiljöverket har tillsyn över om arbetsgivare över huvud taget har inrättat kanaler och fungerar dessutom som uppsamlande extern myndighet för områden som inte tilldelats någon annan behörig myndighet. Den externa sidan är fördelad på ett antal utpekade myndigheter efter ämnesområde snarare än centraliserad.

Norge. Norge står helt utanför direktivets tröskellogik. Enligt kapitel 2A i arbeidsmiljøloven måste verksamheter med så få som fem anställda ha rutiner för varsling. Ett norskt dotterbolag med fyrtio anställda i en finländsk koncern behöver därför rutiner som ett lika stort finländskt bolag inte behöver.

Danmark. Den danska visselblåsarlagen tillämpar tröskeln på femtio anställda med samma infasning för mindre arbetsgivare, med ett externt system på nationell nivå.

För en nordisk koncern är konsekvensen direkt: det finns ingen enhetlig tröskelregel, ingen enhetlig extern myndighet och ingen enhetlig uppsättning rutiner som uppfyller kraven i alla fyra länderna. Stäm av läget i Norge och Danmark med lokal juridisk rådgivning innan ni förlitar er på det, eftersom de två oftast sammanfattas felaktigt i engelskspråkigt material.

Tidsfristerna efter en rapport är mer enhetliga och är de operativa siffror som era handläggare måste kunna: bekräftelse inom sju dagar från mottagandet och återkoppling till rapportören inom tre månader.

Vad chefer gör fel i det första samtalet

Fyra fel står för större delen av skadan, och alla fyra går att träna bort.

Att lova sekretess som inte kan hållas. En chef som säger att det här stannar mellan oss har gett ett löfte som organisationen inte kan hålla och som chefen kommer att klandras för att ha brutit. Den ärliga formuleringen är att rapportörens identitet är skyddad och bara delas med dem som behöver den för att hantera ärendet, och att chefen måste föra farhågan vidare.

Att utreda själv. Välmenande chefer börjar fråga runt. Det förorenar bevisen, varnar den berörda och exponerar rapportören.

Att inte göra något medan man funderar. Skyldigheten utlöses av kännedom. En chef som sitter på en farhåga i två veckor har förbrukat organisationens svarstid och skapat ett spår av passivitet.

Att inte skriva något, eller skriva dåligt. Anteckningar ska vara samtidiga och sakliga, och de ska skrivas med vetskapen om att den berörda personen kan komma att läsa dem.

Lär ut det första samtalet som ett manus: lyssna, lova inte sekretess, utred inte, tacka, berätta exakt vad som händer härnäst, skriv ner det, eskalera samma dag.

Sekretess, anonymitet och problemet med små länder

Det är här nordisk praxis avviker mest från den internationella litteraturen, och här bygger ärlighet mer förtroende än lugnande ord.

I ett finländskt eller svenskt företag med tvåhundra anställda identifierar rapportens detaljer ofta rapportören oavsett teknisk anonymitet. Om en farhåga gäller ett visst avtal, ett visst platsbesök eller ett visst möte är kretsen av personer som kunde ha vetat så liten att den går att räkna upp. Att säga till anställda att deras anonymitet är garanterad är ett löfte som en liten organisations fysik inte kan hålla, och första gången det synligt brister dör kanalen.

Den trovärdiga hållningen är att tydligt skilja mellan sekretess, som ni kan kontrollera och enligt lag är skyldiga att upprätthålla, och anonymitet i praktiken, som ni inte alltid kan garantera. Förklara sedan vad ni gör åt det: oberoende mottagning via tredje part, ärendehantering utanför den lokala enheten när rapporten gäller lokal ledning, noggrann kontroll av hur mycket detaljer som sprids, och framför allt en seriös process mot repressalier. Anställda väger om det är säkert att rapportera utifrån vad de sett hända tidigare rapportörer, inte utifrån policyns ordalydelse.

Det finns en andra nordisk kulturfaktor. Konsensusinriktade arbetsplatser med platta hierarkier ger en stark instinkt att lösa saker informellt med den berörda personen. Det är ofta sunt. Det innebär också att den formella kanalen bara ser de fall där den informella lösningen misslyckats, vilket gör låga volymer ännu mindre informativa än de ser ut.

Att mäta om det fungerar

Måttet som spelar roll är användningen, och styrelser läser det regelmässigt baklänges.

En ökning av antalet rapporter efter utbildning är nästan alltid en framgångssignal. Den visar att människor vet att kanalen finns, förstår vad som hör hemma där och tror att det är säkert att använda den. En styrelse som reagerar på en ökning genom att fråga vad som gått fel med kulturen bestraffar exakt det utfall programmet var utformat för att skapa, och compliance-funktionen bör förekomma den tolkningen innan siffrorna presenteras.

Mer användbara indikatorer än enbart volym: andelen rapporter som kommer via kanalen jämfört med dem som når compliance andra vägar, tiden från mottagande till bekräftelse och till återkoppling, andelen rapporter som bekräftas, och om rapporterna kommer från hela organisationen eller från en enda funktion. Rapporter som bara kommer från ett enda verksamhetsställe betyder oftast att de andra inte litar på kanalen, inte att de andra är rena.

Att bygga programmet

Ge modulen för all personal vid introduktionen och repetera den årligen, och håll repetitionen kort. Ge chefsmodulen som scenariobaserad utbildning och repetera den när chefer befordras snarare än bara enligt kalendern. Ge handläggarutbildningen verkligt processdjup och se till att minst två personer är utbildade så att en kan jävas ut.

Lokalisera ordentligt. Finländska och svenska anställda bör utbildas i sin egen nationella lag, sina egna trösklar och sin egen externa myndighet, inte i EU-direktivet med ett översatt gränssnitt. Norska enheter behöver sin egen version eftersom deras tröskel och ramverk verkligen skiljer sig.

Slut sedan cirkeln. Publicera, på aggregerad nivå och utan att identifiera någon, att rapporter har tagits emot och lett till åtgärder. Inget annat ni gör bygger förtroende för kanalen lika snabbt som synliga bevis på att användningen får konsekvenser.

Vanliga frågor