Whistleblowing Procedure Norway

A Whistleblowing Procedure (Varslingsrutine) in Norway is a mandatory internal document that every employer with 5 or more employees must establish under sections 2A-1 to 2A-7 of the Working Environment Act (Arbeidsmiljøloven, 2005). It sets out the channels through which employees may report reprehensible (kritikkverdige) conditions — breaches of laws, written ethical guidelines, or broadly accepted ethical norms — and the procedures for handling such reports confidentially and without risk of retaliation. The Act prohibits retaliation (gjengjeldelse) against whistleblowers and reverses the burden of proof: once the employee shows grounds to believe retaliation has occurred, the employer must prove otherwise. Oversight is provided by the Labour Inspection Authority (Arbeidstilsynet) and the Parliamentary Ombudsman (Sivilombudet).

Varslingsrutine i Norge er lovpålagt og nødvendig i en rekke situasjoner og virksomhetstyper.

Virksomheter med minst 5 ansatte — lovpålagt plikt. Arbeidsmiljøloven § 2A-3 andre ledd fastslår at virksomheter med minst 5 ansatte har plikt til å ha rutiner for intern varsling. «Ansatte» inkluderer fast og midlertidig ansatte, men ikke innleide alene. Rutinen skal være skriftlig og gjøres kjent for alle ansatte. Arbeidstilsynet fører tilsyn med at plikten er oppfylt. Virksomheter med færre enn 5 ansatte er ikke lovpålagt å ha varslingsrutine, men god praksis tilsier at alle virksomheter bør ha én.

Finanssektoren — særlige krav etter sektorlovgivning. Banker, forsikringsselskaper, verdipapirforetak og øvrige finansforetak er underlagt finansforetaksloven (2015) §§ 4-8 og 4-9 og EUs MiFID II-direktiv som stiller egne krav til whistleblowing-kanaler med ekstern kanal til Finanstilsynet (finanstilsynet.no). Finanstilsynet krever skriftlig rutine som er kommunisert til alle ansatte. Brudd kan medføre Finanstilsynets reaksjoner.

Børsnoterte selskaper og selskaper med regnskapsplikt. Regnskapsloven (1998) og revisorloven (2020) pålegger revisor plikt til å varsle Finanstilsynet ved mistanke om straffbare forhold. Aksjeselskaper med revisjonsplikt bør ha en varslingsrutine som dekker mistanke om bedrageri, regnskapsmanipulasjon og korrupsjon etter straffeloven §§ 387 og 388. EU-direktivet 2019/1937 (whistleblowing-direktivet), gjennomført i norsk rett, krever at virksomheter med minst 50 ansatte har en intern varslingskanal.

Offentlig sektor — stat, fylkeskommune og kommune. Statsansatteloven (2017) § 27 og kommuneloven (2018) stiller særlige krav til varslingsrutiner i offentlig sektor. Statlige virksomheter er underlagt instrukser fra Kommunal- og distriktsdepartementet om varsling. Statsforvaltningen og kommunerevisjonen er relevante tilsynsorganer. Arbeidstilsynet fører tilsyn med varslingsplikten i offentlig sektor på lik linje med privat sektor.

Virksomheter med pågående tilsyn eller compliance-sertifisering. Virksomheter som gjennomgår ISO 37001 (anti-korrupsjon), ISO 9001 (kvalitetsstyring), ISO 45001 (HMS) eller Transparency International-sertifisering, er forventet å ha dokumenterte varslingsrutiner som oppfyller internasjonale standarder. Multinasjonale konserner med norske datterselskaper er underlagt morselskapsgruppens globale whistleblowing-policy, som normalt overoppfyller norsk lov.

Virksomheter ved Arbeidstilsynets tilsyn. Arbeidstilsynet kontrollerer om virksomheten har skriftlig varslingsrutine, om rutinen er gjort kjent for ansatte, og om det finnes varslingskanal. Manglende rutine gir typisk pålegg med frist og tvangsmulkt. Virksomheter med kjente varslingssaker eller Arbeidstilsynets varsel om tilsyn bør umiddelbart etablere eller oppdatere varslingsrutinen.

Virksomheter ved fusjon, oppkjøp og due diligence. Under due diligence-prosesser ved virksomhetskjøp kontrollerer kjøper gjerne om selskapet har forsvarlig varslingsrutine og compliance-infrastruktur. Manglende rutine kan senke prisen eller blokkere transaksjonen. Etter virksomhetsoverdragelse etter arbeidsmiljøloven kapittel 16 bør varslingsrutinen harmoniseres mellom de sammenslåtte selskapene.

Virksomheter i helse- og omsorgssektoren. Helseforetak, private sykehus og omsorgstjenester er underlagt helsepersonelloven (1999) § 17 (plikt til å melde alvorlig svikt i pasientbehandlingen til Statens helsetilsyn) og spesialisthelsetjenesteloven § 3-3 (melding om alvorlig hendelse til Ukom — Nasjonalt klageorgan for helsetjenesten). Varslingsrutinen bør dekke begge disse reglene i tillegg til arbeidsmiljølovens generelle varslingsrett.

Varslingsrutine i Norge skal etter arbeidsmiljøloven (2005) §§ 2A-3 og god compliance-praksis inneholde følgende avgjørende komponenter.

Definisjon av kritikkverdige forhold etter arbeidsmiljøloven § 2A-1. Rutinen må tydelig definere hva som er kritikkverdig og varslingsberettiget. § 2A-1 andre ledd: forhold som er i strid med (a) lover og forskrifter, (b) virksomhetens skriftlige etiske retningslinjer, eller (c) etiske normer som det er bred tilslutning til i samfunnet. Eksempler: korrupsjon (straffeloven §§ 387 og 388), bedrageri (straffeloven §§ 371–374), HMS-brudd (arbeidsmiljøloven, internkontrollforskriften), regnskapsmanipulasjon (regnskapsloven), trakassering (arbeidsmiljøloven § 4-3), GDPR-brudd (personopplysningsloven), miljøkriminalitet (forurensningsloven). Rutinen bør tydelig presisere hva som ikke er varsling (rent personlige arbeidsforhold, lønnsklager, faglige uenigheter).

Minstekrav til interne varslingskanaler etter § 2A-3 tredje ledd. Rutinen skal angi minst én intern varslingskanal. Loven krever minst én, men god praksis er to eller tre kanaler: nærmeste leder, HR-avdeling, daglig leder, styreleder, intern compliance-funksjon og/eller anonym digital kanal. Varslingskanalene bør være tydelig merkede, enkle å bruke og tilgjengelige for alle ansatte, herunder deltidsansatte, midlertidigs ansatte og innleide. Rutinen bør oppgi kontaktinformasjon (e-post, telefon) til varslingsansvarlig.

Ekstern varslingsrett etter § 2A-1 tredje ledd. Arbeidstakere har alltid rett til å varsle eksternt til offentlige tilsynsmyndigheter (Arbeidstilsynet, Finanstilsynet, Datatilsynet, Skatteetaten, politiet, Sivilombudet) uten å varsle internt først, dersom de har grunn til å tro at forholdet er kritikkverdig. Rutinen bør opplyse om denne retten og angi de relevante tilsynsorganene. Ekstern varsling til media kan være rettmessig etter § 2A-1 tredje ledd der andre kanaler ikke har ført frem.

Gjengjeldelsesforbudet og delt bevisbyrde etter §§ 2A-4 og 2A-4 tredje ledd. Rutinen skal tydelig kommunisere at gjengjeldelse mot varsler er forbudt. Gjengjeldelse inkluderer: oppsigelse, avskjed, suspensjon, omplassering, lønnsnedgang, trakassering, utfrysning, fratakelse av arbeidsoppgaver og negativ vurdering. Delt bevisbyrde: varsleren legger frem opplysninger som gir grunn til å tro at gjengjeldelse har funnet sted; deretter må arbeidsgiveren sannsynliggjøre at negativ behandling skyldes andre forhold. Rutinen bør beskrive hvem varsleren kan kontakte ved mistanke om gjengjeldelse (Sivilombudet, Arbeidstilsynet, fagforening, arbeidsrettsadvokat). Oppreisning og erstatning er tilgjengelige sanksjoner etter § 2A-6.

Konfidensialitet og taushetsplikt etter § 2A-5. Varslingsansvarlig og alle involverte i saksbehandlingen plikter å bevare taushet om varslerens identitet og om innholdet i varselet, med mindre varsleren samtykker til utlevering eller det følger av lov. Brudd på taushetsplikten kan medføre disiplinærreaksjon og erstatningsansvar. Rutinen bør angi hvem som har tilgang til varslingsinformasjonen (varslingsansvarlig, daglig leder, styreleder, ekstern undersøker) og klargjøre databeskyttelsestiltakene etter GDPR artikkel 9 og personopplysningsloven (2018).

Saksbehandlingsrutinen — mottak, bekreftelsesfrist og avslutning. Rutinen skal beskrive saksbehandlingsflyten fra mottak til avslutning: (1) bekreftelse til varsler innen (normalt 7 virkedager), (2) innledende vurdering om forholdet er varslingsberettiget, (3) undersøkelse med kontradiksjon, (4) avsluttende rapport og eventuelle tiltak, (5) tilbakemelding til varsleren om utfallet. Ingen lovpålagt behandlingsfrist, men rimelig tid er et krav. For et komplett sett av arbeidsrettslige compliance-maler, besøk forms-legal.com.

Kommunikasjon og opplæring. Rutinen er bare effektiv dersom alle ansatte kjenner til den. Rutinen skal gjøres kjent ved: oppslag i virksomheten og på intranett, deling i onboarding-pakken for nye ansatte, og regelmessig informasjon i personalmøter. Opplæring av ledere i varslingshåndtering er særlig viktig, ettersom feil håndtering av varsler (avskrekkende reaksjoner, brudd på kontradiksjon, taushetspliktbrudd) kan medføre erstatningsansvar for arbeidsgiveren.

Revisjonsplikt — oppdatering ved lovendringer. Varslingsrutinen bør revideres ved endringer i arbeidsmiljøloven kapittel 2A, ved gjennomføring av nye EU-direktiver (EU-direktivet 2019/1937 om varsling) og ved vesentlige endringer i virksomhetens aktiviteter. Arbeidstilsynets nettsider og DFØ (Direktoratet for forvaltning og økonomi) publiserer veiledere. Tillitsvalgte bør involveres ved revisjon.

Varslingsrutine i Norge utarbeides av arbeidsgiveren i samarbeid med tillitsvalgte og godkjennes av daglig leder. Følgende trinn sikrer at rutinen oppfyller arbeidsmiljøloven §§ 2A-3 og god compliance-praksis.

Trinn 1 — Kartlegg krav og bransjeregulering. Identifiser alle varslingsrelaterte krav som gjelder for din virksomhet: arbeidsmiljøloven kap. 2A (alle virksomheter med minst 5 ansatte), finansforetaksloven og MiFID II (finanssektoren), EU-direktivet 2019/1937 (virksomheter med minst 50 ansatte i EU/EØS), ISO 37001 (anti-korrupsjon), statsansatteloven (offentlig sektor). Kontroller Arbeidstilsynets bransjevise veiledere på arbeidstilsynet.no.

Trinn 2 — Utpek varslingsansvarlig. Varslingsansvarlig skal ha tilstrekkelig kunnskap om arbeidsmiljøloven kapittel 2A, konfidensialitetskravene og saksbehandlings­prinsipper. God kandidat: HR-sjef, compliance-ansvarlig, daglig leder (i mindre virksomheter) eller ekstern advokat. Varslingsansvarlig bør ikke inngå i virksomhetens daglige ledergruppe dersom varslingssaker potensielt gjelder ledelsen; da bør en uavhengig ekstern instans være tilgjengelig.

Trinn 3 — Etabler minst to interne varslingskanaler. Angi klart og kontaktbart: (1) nærmeste leder (standardkanal for de fleste saker), (2) HR-sjef, daglig leder eller annen alternativ intern instans, (3) eventuelt anonym digital kanal (varslingsportal, e-postkasse med kryptert mottak). Kanalene må være reelle og tilgjengelige; en e-postadresse som ingen sjekker regelmessig, er ikke en fungerende kanal.

Trinn 4 — Angi ekstern varslingsrett. Ta inn en setning som tydelig opplyser om arbeidstakernes rett til å varsle eksternt etter § 2A-1 tredje ledd. Angi relevante tilsynsorganer (Arbeidstilsynet, Finanstilsynet, Datatilsynet, Sivilombudet) med kontaktinformasjon (telefon, nettside). Ekstern varsling uten forutgående intern varsling er lovlig og skal ikke sanksjoneres.

Trinn 5 — Beskriv gjengjeldelsesforbudet grundig. Bruk klart, forståelig språk for å forklare at gjengjeldelse er forbudt etter § 2A-4 og at bevisbyrden er delt: dersom varsleren viser at negativ behandling har fulgt etter varslingen, må arbeidsgiveren bevise det motsatte. List opp typiske gjengjeldelses­handlinger (oppsigelse, omplassering, lønnsreduksjon, trakassering, utfrysning). Opplys om klagerett til Sivilombudet og søksmålsrett etter § 2A-6.

Trinn 6 — Fastsett saksbehandlingsrutinen med tidsfrister. Beskriv prosessen fra mottak til avslutning med realistiske tidsfrister: bekreftelse innen 7 virkedager, avklaring av varslingens karakter innen 14 dager, gjennomføring av undersøkelse og tilbakemelding til varsleren innen 3 måneder. Definer hvem som undersøker (intern vs. ekstern), kontradiksjonsprosessen og hvem som mottar sluttrapporten.

Trinn 7 — Drøft med tillitsvalgte. Varslingsrutinen bør drøftes med tillitsvalgte eller de ansattes representant, tilsvarende kravet for arbeidsreglementet etter arbeidsmiljøloven § 14-17. Drøftingen dokumenteres i protokoll. Tillitsvalgte kan gi verdifulle innspill til kanalenes tilgjengelighet og tiltro hos arbeidstakerne.

Trinn 8 — Godkjenn, kunngjør og dokumenter. Rutinen godkjennes av daglig leder og deles ut til alle ansatte (ved oppstart og ved revisjon). Mottaksbekreftelse fra ansatte lagres i onboarding-dokumentasjonen. Legg rutinen på virksomhetens intranett og send alle nyansatte en kopi i forbindelse med ansettelse. Reviderte versjoner kunngjøres med endringslogg.

Varslingsrutine i Norge reguleres av et sammensatt regelverk som virksomheten skal kjenne til.

Arbeidsmiljøloven (2005) kapittel 2A — kjerneregelverket. § 2A-1 gir alle arbeidstakere rett til å varsle om kritikkverdige forhold. § 2A-1 andre ledd definerer kritikkverdig forhold. § 2A-1 tredje ledd gir rett til ekstern varsling. § 2A-2 regulerer hva som utgjør forsvarlig fremgangsmåte ved varsling. § 2A-3 første og andre ledd fastslår plikten til å ha varslingsrutine (ved minst 5 ansatte) og rutinens minstekrav: hensikt, rutiner for intern varsling og informasjon om gjengjeldelsesforbudet. § 2A-4 forbyr gjengjeldelse og fastslår delt bevisbyrde. § 2A-5 regulerer taushetsplikt. § 2A-6 regulerer oppreisning og erstatning ved brudd på varslingsvernet. § 2A-7 utvider personkretsen (innleide, aksjonærer, styremedlemmer, oppdragstakere). Arbeidstilsynet fører tilsyn med kapittelet.

EU-direktivet 2019/1937 (Whistleblowing-direktivet). EU-direktivet ble vedtatt i 2019 og er EØS-relevant. Direktivet krever at virksomheter med minst 50 ansatte etablerer interne varslingskanaler med konfidensialitetsgaranti, bekreftelse innen 7 dager og tilbakemelding innen 3 måneder. Direktivet er under gjennomføring i norsk rett og vil skjerpe kravene til varslingsrutiner for mellomstore og store virksomheter.

Personopplysningsloven (2018) og GDPR (EU 2016/679). Behandling av personopplysninger om varsleren og den anmeldte (navn, stilling, varslingens innhold) er regulert av GDPR artikkel 9 (særskilte kategorier). Behandlingen krever et lovlig grunnlag (artikkel 6 nr. 1 bokstav f — berettiget interesse i å behandle varsler) og særskilt grunnlag for eventuelle sensitive opplysninger. Virksomheten bør ha en personvernkonsekvensvurdering (DPIA) for varslingskanalen etter GDPR artikkel 35. Datatilsynet fører tilsyn.

Straffeloven (2005) — korrupsjon, bedrageri og andre straffbare forhold. Korrupsjonsforbudene i straffeloven §§ 387 og 388 gjelder alle norske virksomheter og er et sentralt grunnlag for varsling. Bedrageri (§§ 371–374), utroskap (§§ 390–392) og markedsmanipulasjon er andre typiske varslingsgrunnlag. Varslingsrutinen bør informere om at varsler om mulige straffbare forhold kan forelegges politiet etter straffeprosessloven (1981).

Arbeidstilsynets veiledere og Sivilombudets rapport. Arbeidstilsynet har publisert en veileder om varsling (oppdatert 2022) som er normativt retningsgivende for virksomhetens utforming av varslingsrutinen. Sivilombudet (tidl. Varslingsombudet) publiserer årsrapporter og konkrete saker som gir veiledning for varslingsbehandling i praksis. Rettspraksis fra Arbeidsretten og tingrettene viser at gjengjeldelse er kostbart: oppreisning på 100 000–500 000 kroner er ikke uvanlig.

Tariffavtaler — særlige krav i noen bransjer. Noen tariffavtaler (for eksempel Funksjonæravtalen og offentlig sektor-avtaler) inneholder bestemmelser om varslingssystemer som supplerer lovens krav. Tillitsvalgte bør konsulteres ved utforming av varslingsrutinen for å sikre at eventuelle tariffmessige krav er ivaretatt.

Varslingsrutine i Norge er et rettslig dokument med stor praktisk betydning. Feil kan medføre erstatningsansvar, omdømmeskade og Arbeidstilsynets sanksjoner.

Feil 1 — Varslingsrutine som er ukjent for ansatte. Den vanligste feilen er å ha en formelt korrekt varslingsrutine som aldri er kommunisert til arbeidstakerne. En rutine som ingen kjenner til, oppfyller ikke kravet i arbeidsmiljøloven § 2A-3 om å «gjøre rutinene kjent for alle ansatte». Arbeidstilsynet vil spørre ansatte om de kjenner til varslingskanalen, og svarer flertallet nei, vil det typisk gis pålegg.

Feil 2 — Gjengjeldelse mot varsler. Den juridisk og omdømmemessig alvorligste feilen er å utsette varsleren for negative konsekvenser (oppsigelse, omplassering, trakassering, utfrysning) etter at varselet er gitt. Delt bevisbyrde etter § 2A-4 tredje ledd gjør det vanskelig for arbeidsgiver å bevise at den negative behandlingen ikke er gjengjeldelse. Oppreisning og erstatning kan bli kostbar. Rettspraksis fra norske tingretter (for eksempel Frostating lagmannsrett, LF-2019-175765) viser at gjengjeldelsessaker kan medføre oppreisning på 200 000–500 000 kroner.

Feil 3 — Brudd på taushetsplikt — varslerens identitet avsløres. Avsløring av varslerens identitet uten samtykke er brudd på § 2A-5 og kan gjøre varsleren til et offer for uformell gjengjeldelse (mobbing, utfrysning). Taushetsplikten gjelder alle involverte i saksbehandlingen. Varslingsansvarlig bør ha klare prosedyrer for informasjonstilgang og logging av hvem som har lest varslingsdokumentene.

Feil 4 — Manglende kontradiksjon overfor den anmeldte. Prinsippet om kontradiksjon tilsier at den som er utpekt i varselet, bør få anledning til å gi sitt syn på forholdet før eventuelle tiltak iverksettes, med mindre hensynet til undersøkelsens integritet eller varslerens sikkerhet tilsier annet. Unnlatelse av kontradiksjon kan medføre erstatningskrav fra den anmeldte og svekke beslutningsgrunnlaget.

Feil 5 — Vag og lite tilgjengelig varslingskanal. En varslingskanal som er vanskelig å finne, krever lang tid å bruke, bare er tilgjengelig på norsk (i flerspråklig arbeidsstyrke) eller bare finnes som papirskjema, vil ikke bli brukt. Resultatet er at kritikkverdige forhold ikke rapporteres internt og i stedet havner hos Arbeidstilsynet, media eller politiet. Gode varslingskanaler er enkle, tilgjengelige og tillitsvekkende.

Feil 6 — Manglende oppdatering ved lovendringer. Arbeidsmiljøloven kapittel 2A er relativt nytt (2017) og under løpende utvikling (EU-direktiv 2019/1937 under gjennomføring). Virksomheter som ikke reviderer varslingsrutinen ved lovendringer, risikerer at rutinen er utdatert og ikke oppfyller gjeldende krav. Revisjonsansvar bør navngis i rutinen.

Feil 7 — Behandling av varslet som personalklage. En hyppig feil er å behandle et varsel om korrupsjon, HMS-brudd eller trakassering som om det var en personalklage mellom kolleger. Varslingsregelverket er et særskilt regime med særlige krav til konfidensialitet, dokumentasjon og gjengjeldelsesforbudet, og skal ikke sammenblandes med ordinær konfliktmegling eller disciplinærsaker. En ekstern, uavhengig varslingshåndterer (ekstern advokat, revisor eller compliance-rådgiver) anbefales ved alvorlige varslingssaker.