Organisaatiollasi on oltava sisäinen ilmoituskanava, jos kyseessä on yksityinen yritys, jolla on vähintään 50 työntekijää, julkisen sektorin toimija kokoluokasta riippumatta, tai jokin harvoista säännellyistä toimialoista (rahoituspalvelut, liikenneturvallisuus, rahanpesun ja terrorismin rahoituksen torjunta, ympäristönsuojelu), joita direktiivi (EU) 2019/1937 velvoittaa henkilöstömäärästä riippumatta. Tämän rajan alapuolella yksityisellä sektorilla ja näiden säänneltyjen toimintojen ulkopuolella ei tällä hetkellä ole EU:n laajuista velvoitetta – vaikka konserneilla ja pienillä julkisyhteisöillä on erityinen mahdollisuus jakaa yksi yhteinen kanava sen sijaan, että kukin rakentaisi omansa.
Direktiivin 8 artiklan 3 kohta asettaa perustason: yksityisoikeudellisten oikeushenkilöiden, joilla on vähintään 50 työntekijää, on perustettava sisäinen ilmoituskanava. Itse luku ei yleensä kompastuta compliance-tiimejä – vaan laskentatapa. Direktiivi ei määrää yhtä yhtenäistä EU:n laajuista kaavaa 50 työntekijän laskemiseen, joten kansalliset täytäntöönpanosäädökset eroavat toisistaan:
Tämä on yksi niistä alueista, joilla kansalliset täytäntöönpanosäädökset eroavat toisistaan käytännön kannalta merkittävästi – 55 hengen henkilöstö, joka koostuu osa-aikaisista sopimuksista, voi ylittää rajan päälukuun perustuvassa maassa mutta jäädä sen alle FTE-pohjaisessa maassa.
Alle 50 työntekijän yrityksillä, jotka toimivat puhtaasti yksityisellä sektorilla jäljempänä mainittujen säänneltyjen toimialojen ulkopuolella, ei tällä hetkellä ole EU:n laajuista velvoitetta. Tämä ei kuitenkaan välttämättä ole pysyvää: 27 artikla velvoittaa Euroopan komission arvioimaan säännöllisesti, tulisiko direktiivin soveltamisalaa laajentaa, joten pitkään yhdellä markkina-alueella toimineiden pienempien yritysten ei kannata olettaa, että raja pysyy ikuisesti muuttumattomana.
8 artiklan 1 kohta ei aseta julkiselle sektorille minkäänlaista kokorajaa. Kuntien, alueviranomaisten, valtionyhtiöiden, yliopistojen ja muiden julkisyhteisöjen on ylläpidettävä sisäistä kanavaa riippumatta siitä, kuinka paljon henkilöstöä niillä on. Käytännössä jäsenvaltiot ovat hyödyntäneet 8 artiklan 6 kohdan suomaa joustavuutta lieventääkseen tätä pienimpien paikallisviranomaisten osalta – useat vapauttavat alle 10 000 asukkaan kunnat velvoitteesta tai sallivat niiden yhdistää resurssinsa (lisää tästä jäljempänä) – mutta oletussääntö ei ota kantaa kokoon: jo pelkkä kuuluminen julkiselle sektorille laukaisee velvoitteen.
7 päivän ilmainen kokeilu täydellä pääsyohjelmalla, luottokorttia ei tarvita
8 artiklan 4 kohta luo poikkeuksen, joka ulottuu organisaatioihin, jotka pelkkä henkilöstömäärän tarkistus jättäisi huomiotta. Jos yrityksesi kuuluu direktiivin liitteen I osan B ja II osan luetteloimien EU-säädösten piiriin – karkeasti ottaen rahoituspalvelut, rahanpesun ja terrorismin rahoituksen torjunta, liikenneturvallisuus sekä ympäristönsuojelu – sisäinen ilmoituskanava on oltava, vaikka työntekijöitä olisi vain kourallinen. Näillä toimialoilla oli jo aiemmin raportointivelvoitteita toimialakohtaisen EU-lainsäädännön nojalla, ja direktiivi sisällyttää ne samaan perustasoon sen sijaan, että loisi niille erillisen järjestelmän. 12 hengen sijoitusneuvontayritykseltä tai pieneltä liikenneturvallisuusalan toimijalta voidaan lain nojalla edellyttää täsmälleen samaa sisäisen kanavan infrastruktuuria kuin 500 työntekijän valmistusyritykseltä.
Täysin erillisen kanavan rakentaminen jokaiselle konsernin oikeushenkilölle on juuri sellaista hallinnollista taakkaa, jota direktiivi pyrkii välttämään pienempien organisaatioiden osalta. 8 artiklan 6 kohta antaa jäsenvaltioille mahdollisuuden sallia kahden toimijaryhmän jakaa resurssit ilmoitusten vastaanottamiseen ja tutkimiseen sen sijaan, että kukin ylläpitäisi omaansa:
Yrityksillä, joilla on vähintään 250 työntekijää, ei ole tätä mahdollisuutta – direktiivi edellyttää, että tätä suuremmat toimijat ylläpitävät omaa erillistä kanavaansa. Se, onko jäsenvaltiosi tosiasiassa ottanut 8 artiklan 6 kohdan mukaisen vaihtoehdon käyttöön ja millä tavoin se on toteutettu, vaihtelee jälleen täytäntöönpanosäädöksen mukaan – kannattaa varmistaa paikallisesti, ennen kuin oletetaan jaetun ratkaisun olevan käytettävissä.
Useimmat ilmoituskanavaratkaisut on rakennettu yhtä oikeushenkilöä varten, mikä pakottaa konsernit hankalaan valintaan: maksaa erillisestä tilistä jokaista tytäryhtiötä kohden tai pakottaa kaikki toimijat jakamaan yhden erottelemattoman postilaatikon, josta on mahdotonta erottaa, ketä ilmoitus tosiasiassa koskee. Vaelo on rakennettu päinvastoin – yksi tili voi isännöidä useita brändättyjä, itsenäisesti konfiguroituja ilmoituskanavia kullekin tytäryhtiölle tai kunnalle, jolloin ilmoitukset ohjautuvat ja käsitellään automaattisesti toimijakohtaisesti, samalla kun konsernitason compliance-tiimi voi jakaa tutkintaresursseja juuri niin kuin 8 artiklan 6 kohta sallii. Saat jaetun kanavan kustannus- ja käyttöönottotehokkuuden menettämättä toimijakohtaista vastuunjakoa – käyttövalmiina minuuteissa, ilman IT-projektia.
Lasketaanko osa-aikaiset työntekijät mukaan 50 työntekijän rajaan? Yleensä kyllä, ja heidät lasketaan kokonaisina henkilöinä eikä osina – mutta vähemmistö jäsenvaltioista käyttää sen sijaan kokoaikaiseksi muunnettua laskentatapaa, joten sama henkilöstö voi ylittää tai alittaa rajan maasta riippuen. Tarkista aina kyseisen maan kansallinen täytäntöönpanosäädös sen sijaan, että olettaisit jotain.
Tarvitsevatko kaikenkokoiset julkisyhteisöt ilmoituskanavan? Periaatteessa kyllä – 8 artiklan 1 kohta ei aseta julkiselle sektorille vähimmäishenkilöstömäärää. Jotkin jäsenvaltiot vapauttavat alle 10 000 asukkaan kunnat velvoitteesta tai tarjoavat niille jaetun resurssin vaihtoehdon, mutta oletusvelvoite koskee kaikkia kokoluokasta riippumatta.
Mitä toimialoja velvoite koskee, vaikka työntekijöitä olisi alle 50? Rahoituspalvelut, rahanpesun ja terrorismin rahoituksen torjunta, liikenneturvallisuus sekä ympäristönsuojelu – näin säädetään 8 artiklan 4 kohdassa ja direktiivin liitteessä. Näillä toimialoilla oli jo aiemmin raportointivelvoitteita aiemman toimialakohtaisen EU-lainsäädännön nojalla.
Voiko konserni, jolla on useita tytäryhtiöitä, jakaa yhden yhteisen ilmoituskanavan? Kyllä, tytäryhtiöille, joilla kullakin on 50–249 työntekijää, 8 artiklan 6 kohta antaa jäsenvaltioille mahdollisuuden sallia jaetut vastaanotto- ja tutkintaresurssit koko konsernissa sen sijaan, että jokaisella toimijalla olisi täysin erillinen kanava. Toimijoilla, joilla on vähintään 250 työntekijää, tätä mahdollisuutta ei ole.
Mitä tapahtuu, jos yritykseni ylittää 50 työntekijän rajan kesken vuoden? Useimmat kansalliset täytäntöönpanosäädökset soveltavat velvoitetta siitä hetkestä, kun raja ylittyy pysyvästi, usein lyhyen siirtymäajan kera, jonka aikana kanava on saatava toimintaan – kyse ei siis yleensä ole välittömästä määräajasta. Yksityiskohdat (tarkasteluajankohta, siirtymäajan pituus) riippuvat kuitenkin paikallisesta lainsäädännöstä, joten tarkista asia jäsenvaltiosi täytäntöönpanosäädöksestä heti, kun kasvu tuo yrityksesi lähelle rajaa.
7 päivän ilmainen kokeilu täydellä pääsyohjelmalla, luottokorttia ei tarvita
Käytännön yhteenveto direktiivistä (EU) 2019/1937: ketä se koskee, 7 päivän ja 3 kuukauden lakisääteiset määräajat, ilmoituskanavan vaatimukset ja seuraamukset laiminlyönnistä.
EU:n direktiivi asettaa yhteisen vähimmäistason, mutta Saksan HinSchG, Ranskan Loi Waserman, Espanjan Ley 2/2023 ja Portugalin Lei 93/2021 eroavat merkittävästi määräaikojen, kynnysarvojen ja sakkojen osalta. Vertailu usean maan compliance-tiimeille.
GDPR ei estä tutkimasta ilmoitusta — se määrittää miten. Käsittelyn oikeusperuste, epäillyn oikeudet vs. luottamuksellisuus, säilytysajat ja milloin DPIA tarvitaan.