Guide: En velfungerende whistleblower-ordning

Ideen om, at virksomheder skal opmuntre potentielle whistleblowere til at afsløre ulovligheder, har for længst bredt sig til lovgivning og regelsæt. I Danmark dog kun som et løst formuleret punkt i anbefalingerne om god selskabsledelse. Men i hvert fald nogle virksomheder kan have en egeninteresse i sådan en ordning, fordi den kan fange urent trav nede i organisationen, inden det eksploderer som en stor skandale. Det er typisk en opgave, som ligger hos revisionskomiteen under bestyrelsen. At oprette en officiel instans, f.eks. en hotline, som whistleblowere kan henvende sig til, er dog kun et første skridt. Det kræver et større setup, hvis en sådan ordning skal være effektiv. Revisionshuset EY i USA har udarbejdet en tjekliste , som virksomheder kan bruge til at vurdere, om gevinsten står mål med omkostningerne, og, såfremt man allerede har en whistleblower-ordning, til at vurdere, om den fungerer optimalt. EY deler processen op i tre dele:

1. Oprettelse af en hotline: Det handler om mere end at oprette et telefonnummer og få det bemandet. Virksomheden må i udgangspunktet overveje, om medarbejderne vil være mest trygge, hvis funktionen ligger eksternt, f.eks. hos et revisionsfirma eller en advokat. Vedkommende skal kunne begå sig på de sprog, medarbejderne taler. Der er endvidere kun effekt af hotlinen, hvis medarbejderne kender den, og hvis de fornemmer, at ledelsen virkelig ønsker at standse ulovligheder. Eksempler på tjekspørgsmål: Er dem, som bemander hotlinen, sat tilstrækkelig ind i virksomhedens politikker og organisationen bag tjenesten? Kan også medarbejdere fra leverandører og kunder kontakte hotlinen?

2. Analyse af materialet: En hotline kan risikere at føre til et meget stort antal henvendelser. Det betyder, at nogen skal foretage en første screening og vurdere, om henvendelserne er troværdige, og hvilke implikationer, de eventuelt indebærer. Det er noget, der kræver mere end blot en enkelt begavet jurist: Hvis der viser sig at være reelle og alvorlige problemer bag en henvendelse, kan det i sig selv blive inkriminerende, hvis virksomhedens ledelse ikke har reageret på denne. For børsnoterede virksomheder kan der tillige være tale om, at man har pligt til at informere aktiemarkedet, når man har kendskab til en betydelig tabsrisiko. Man skal på den anden side sikre, at organisationen ikke bliver opslugt af at reagere på regelbrud af ringe betydning. Det kan f.eks. gøres ved at fastlægge tærskelværdier af den skønnede skadevirkninger, og så sortere henvendelserne ud fra dette.

I praksis håndterer virksomheder analysedelen vidt forskelligt, både som praktisk disciplin blandt juristerne og rent ledelsesmæssigt. I nogle tilfælde udpeger revisionskomiteen f.eks. et enkelt medlem til at følge processen. I andre kommer alle henvendelser direkte videre til den samlede komite. Eksempler på tjekspørgsmål: Er der et beslutningstræ til at vurdere de indkomne henvendelser? Er revisionskomiteen på det rene med, hvilke typer henvendelser den får at se? Sker der jævnlige tests af hotlinen for at se, om den fungerer som tilsigtet? Er de hændelser, der bliver indberettet, sammenfaldende med de overordnede risici, der er identificeret i forbindelse med strategiarbejdet?

3. Rapportering: Hvis revisionskomiteen nøjes med en eller anden form for regelmæssig rapportering fra hotlinen – hvilket er det mest almindelige – skal man beslutte sig for form og indhold af denne rapportering. Det handler ikke bare om at få kendskab til de konkrete lovbrud, men også om at følge, om der kommer flere eller færre henvendelser, om de kommer i specielle situationer og fra bestemte afdelinger og så videre.

Eksempler på tjekspørgsmål: Er der noget, der kan forhindre, at vigtige oplysninger kommer fra hotlinen til ledelsen og revisionskomiteen? Er der tilstrækkelig sikkerhed for, at fortrolige oplysninger fra hotlinen ikke kommer i hænderne på uvedkommende?
Også Bech-Bruun har for et par år siden givet nogle gode råd om whistleblower-ordninger . Det danske advokatfirma anbefaler bl.a., at ordningerne kun skal være rettet mod meget alvorlige forseelser, mens de mere banale sager bør foregå gennem f.eks. HR-afdelingen.

Sten Thorup Kristensen