Checklista inför köp av visselblåsarsystem: 8 kontroller före avtal

1. Rapporteringsvägar som fungerar tillsammans

Be leverantören visa hur en skriftlig rapport tas emot och hur organisationens muntliga rapportering och begäran om möte hanteras. Arbetsmiljöverket beskriver att interna kanaler ska medge skriftlig och muntlig rapportering samt fysiskt möte på begäran. Alla delar behöver inte vara funktioner i samma programvara, men hela förfarandet behöver fungera.

Prova: låt en testperson utan arbetsgivarens interna konto hitta rätt väg. Dokumentera vilka delar systemet stöder och vilka rutiner ni själva behöver ordna. Använd bara fiktiva uppgifter.

2. Mottagare med mandat och en fungerande reservväg

Arbetsmiljöverket betonar att mottagarfunktionen ska vara oberoende och självständig. Ett administratörskonto säger inget om personens mandat eller eventuella intressekonflikter.

Prova: skapa ett testärende som gäller den ordinarie mottagaren. Visa vem som kan ta över, hur frånvaro hanteras och vem som fattar beslut. Be om en skriftlig ansvarsfördelning mellan er och leverantören. Utgå inte från att köp av programvara inkluderar extern mottagning, utredning eller juridisk bedömning.

3. Tidsfrister med en tydlig ansvarig

Enligt 5 kap. 8 § visselblåsarlagen ska mottagandet normalt bekräftas inom sju dagar. Undantag gäller om rapportören avsagt sig bekräftelse eller om den kan avslöja identiteten. Återkoppling ska lämnas i skälig utsträckning inom tre månader från bekräftelsen. Om bekräftelse inte lämnats och detta inte berott på rapportören räknas fristen från sju dagar efter mottagandet.

Prova: registrera mottagningsdatum och kontrollera hur en ansvarig ser kommande frister. Visa vad som händer när personen är ledig. En påminnelse ersätter inte uppföljningen eller återkopplingen; tre månader är inte en generell tidsgräns för att avsluta utredningen.

4. Åtkomst och dialog utan överdrivna löften

Be om en konkret beskrivning av vilka som kan läsa rapporter, bilagor och meddelanden, inklusive administratörer och supportpersonal. Testa rollbyte och borttagen behörighet. Kontrollera också vad som visas i e-postaviseringar och loggar.

Prova: skicka en fiktiv rapport, fortsätt dialogen och undersök vilka identitetsuppgifter flödet samlar in. Skilj möjligheten att rapportera utan namn från konfidentiell hantering. Händelsedetaljer och bilagor kan göra en person igenkännbar. Beskriv begränsningarna i er information till rapportörer.

5. Underlag till er dataskyddsbedömning

IMY anger att en konsekvensbedömning ska genomföras när en organisation inför ett gemensamt system för att anmäla missförhållanden på arbetsplatsen. Begär underlag tidigt så att den egna bedömningen hinner påverka valet.

Begär: beskrivning av dataflöden, behandlingens ändamål, leverantörens roll, drift- och supportåtkomst, underleverantörer och lagringsplatser. Gå igenom avtalsunderlag och eventuella överföringar utanför EU/EES med ansvarig för dataskydd. En uppgift om europeisk lagring besvarar inte alla frågor om åtkomst och behandling.

IMY beskriver även särskilda förutsättningar för frivilliga kanaler under 50 arbetstagare. Utgå inte från att samma rättsliga stöd gäller varje kund. Se vår artikel om frivilliga kanaler i mindre företag.

6. Gallring och avslut som går att kontrollera

Personuppgifter i ett uppföljningsärende får enligt 7 kap. 8 § visselblåsarlagen inte behandlas längre än två år efter att ärendet avslutats. Bestämmelsen innehåller ett undantag för myndigheters arkivering och bevarande av allmänna handlingar. Två år är inte ett generellt krav att spara allt så länge.

Prova: avsluta ett fiktivt ärende och visa hur gallring styrs och dokumenteras. Fråga separat om kopior, exporter och säkerhetskopior. Bestäm vem som gör bedömningen och vem som utför åtgärden. Vid leverantörsbyte behöver ni kunna avsluta tjänsten utan att tappa kontroll över kvarvarande uppgifter.

7. Begriplighet för rapportör och mottagare

Bedömningen bör omfatta både den som rapporterar och den som följer upp. Ett internt test av administrationsvyn räcker inte för att förstå rapportörens upplevelse.

Prova: låt personer med olika vana följa instruktionerna på mobil och dator. Testa tangentbordsnavigering, språk, felmeddelanden och hur rapportören återvänder till dialogen. Anteckna var instruktioner behövs. Dessa är redaktionella testförslag, inte en fullständig tillgänglighetsgranskning.

8. Vad avtalet faktiskt omfattar

Jämför samma omfattning mellan alternativen: antal verksamheter och mottagare, införande, utbildning, support, bindningstid, prisändringar och kostnad för export eller avslut. Begär svar om vilka funktioner som är tillgängliga nu och vilka som endast är planerade.

Beslutsunderlag: använd kolumnerna behov, visat i test, avtalsstöd, ansvarig och kvarstående fråga. Ett obesvarat krav bör ha en namngiven ägare före avtal. Använd inte leverantörens marknadsföring som enda underlag för rättsliga slutsatser.

Ta med frågorna till nästa demonstration

Clearwhistle är ett digitalt stöd för rapportering, uppföljning, ärendehantering och dokumentation. Organisationen ansvarar för rättsliga bedömningar, mottagare, rutiner och dataskydd. Artikeln är inte juridisk rådgivning.

Kontrollera aktuell funktionalitet och villkor mot era behov. Se priser och omfattning och använd checklistan för att dokumentera kvarstående frågor.