kan jag hantera rapporteringskanalens internt själv eller måste det vara hos en extern part

Hantera själv eller lägga ut på entreprnad får båda förekomma

En intern rapporteringskanal kan etableras internt med egen personal och egna system, och kan också läggas ut på entreprnad till en extern part. Varken direktivet eller lagen om skydd för självriskanter föreskriver någondera bindande. Det som är fastslaget är att det måste finnas en procedur som uppfyller ett antal villkor, oavsett vem som tillhandahåller tekniken och administrationen bakom: det måste finnas ett sätt att ta emot anmälningar, någon måste få behandla dem, och tidsfristerna för mottagningsbekräftelse och återkoppling måste hållas.

Vad det praktiskt handlar om är inte så mycket var kanalen är belägen, utan vem som har tillgång till den och hur behandlingen är säkerställd. En externt värderad kanal väljs ofta för att det gör konfidentialitet och anonymitet lättare: en anställd rapporterar till en part som inte har direkta relationer med arbetsgivaren, vilket för vissa rapportörer sänker tröskeln. Intern hantering kan fungera precis lika väl, förutsatt att konfidentialiteten är ordnad och personerna som tar emot och behandlar anmälningar är rätt utsedda. Vilken väg som än väljs påverkar valet ofta också medbestämmelsen: företagsnämnden har godkännanderätt vid rapporteringsordningen, och detta godkännande gäller både vid intern och extern utformning.

Vad artikel 9 och artikel 2 reglerar och inte reglerar

Artikel 9 i direktiv (EU) 2019/1937 beskriver procedurerna för intern rapportering och uppföljning, med krav på konfidentialitet, mottagningsbekräftelse och återkoppling, men utan föreskrift om den tekniska eller organisatoriska platsen för kanalen. Artikel 2 i lagen om skydd för självriskanter utvecklar detta för den interna rapporteringsproceduren i svensk lagstiftning och lämnar valet mellan intern utformning och utlokalisering också öppet. Frågan om något måste vara placerat hos en extern part besvaras inte bekräftande av någondera källan; de ställer krav på resultatet av proceduren, inte på den form i vilken den är organiserad.