Visselblåsarpolicy + Rapporteringsrutin Mall 2026 – Word/PDF

Visselblåsarpolicy + rapporteringsrutin 2026 – komplett mallpaket

Ett professionellt paket för svenska arbetsgivare som behöver införa, dokumentera eller uppdatera sin interna visselblåsarfunktion. Paketet är utformat för praktisk användning och kombinerar visselblåsarpolicy, intern rapporteringsrutin, rapporteringsformulär, utredningsprotokoll och operativ checklista.

Dokumenten är juridiskt kontrollerade mot gällande lag (2021:890) om skydd för personer som rapporterar om missförhållanden, förordning (2021:949), GDPR, aktuell vägledning från Arbetsmiljöverket och IMY samt EU:s visselblåsardirektiv.

Du får 4 professionellt formgivna dokument i både Word och PDF, totalt 15 A4-sidor, samt en separat README med rekommenderad implementeringsordning och centrala rättskällor.

Detta ingår

• Visselblåsarpolicy + intern rapporteringsrutin – huvudmall för organisationens styrning och process
• Visselblåsarrapport – formulär – strukturerat underlag för den som vill rapportera
• Utrednings- och ärendeprotokoll – internt arbetsdokument för behörig visselblåsarfunktion
• Checklista för behörig funktion – kort operativ vägledning från mottagning till avslut

Huvudpolicyn innehåller

• tillämpningskontroll och 50-arbetstagargränsen
• syfte, principer och ansvar
• vad som kan omfattas av visselblåsning
• vilka personkategorier som ska kunna använda kanalen
• skriftlig, muntlig och fysisk rapportering
• anpassningsfält för organisationens faktiska kanaler
• oberoende och självständiga behöriga personer eller enheter
• jäv och alternativa rapporteringsvägar
• mottagning och lagstadgade tidsfrister
• preliminär bedömning och triage
• utredningsprinciper och utredningsplan
• förbud mot hindrande åtgärder och repressalier
• tystnadsplikt och skydd av identitet
• personuppgifter, GDPR och åtkomstbegränsning
• dokumentation av muntliga rapporter
• bevarande och gallring
• återkoppling till rapporterande person
• extern rapportering till behöriga myndigheter
• intern information, utbildning och årlig kontroll
• implementeringschecklista
• rättskällor och dokumentstyrning

Viktiga lagkrav inbyggda i mallen

Verksamhetsutövare som hade 50 eller fler arbetstagare vid ingången av kalenderåret ska ha interna rapporteringskanaler och förfaranden. De interna kanalerna ska bland annat möjliggöra skriftlig och muntlig rapportering samt fysiskt möte på begäran. Behöriga mottagare ska vara oberoende och självständiga.

Mallen bygger in processpunkterna att mottagandet normalt ska bekräftas inom sju dagar och att den rapporterande personen ska få återkoppling om uppföljningen inom tre månader, med de undantag och begränsningar som följer av lagen.

GDPR och visselblåsarärenden

Paketet innehåller en särskild del för personuppgiftshantering. Endast nödvändiga personuppgifter ska behandlas i uppföljningsärendet, åtkomst ska begränsas till behöriga personer och uppenbart irrelevanta personuppgifter ska raderas snarast. Som huvudregel får personuppgifter i uppföljningsärendet inte behandlas längre än två år efter att ärendet avslutats.

Mallen uppmärksammar också att verksamheter med färre än 50 arbetstagare som frivilligt inför ett visselblåsarsystem behöver göra en särskild dataskyddsbedömning, bland annat vid behandling av uppgifter om lagöverträdelser.

Rapporteringsformulär

Det separata formuläret gör det enklare att få in tillräckliga och relevanta uppgifter utan att den rapporterande personen behöver känna till juridiska termer. Formuläret innehåller bland annat:

• kontakt och önskemål om återkoppling
• händelse, plats och tidsperiod
• beskrivning av missförhållandet
• källor och möjlig bevisning
• omedelbar risk, fortsatt skada och repressalierisk
• övriga relevanta uppgifter

Utrednings- och ärendeprotokoll

Det interna protokollet hjälper behöriga personer att arbeta konsekvent och dokumenterat. Det innehåller fält för:

• ärende-ID och mottagningsdatum
• 7-dagarsbekräftelse och sista dag för återkoppling
• jävs- och behörighetskontroll
• preliminär lag- och sakbedömning
• utredningsplan
• åtgärds- och kontaktlogg
• personuppgifter och åtkomst
• bedömning och slutsats
• återkoppling
• avslut och gallringsdatum

Checklista för behörig funktion

Den korta checklistan fungerar som ett operativt stöd för de viktigaste stegen under första 24 timmarna, senast dag 7, under uppföljningen, senast efter tre månader och vid ärendeavslut.

Vem passar paketet för?

Paketet passar bland annat aktiebolag, koncerner, industriföretag, e-handelsföretag, SaaS- och IT-bolag, konsultföretag, bemanningsföretag, ideella organisationer och andra arbetsgivare som behöver ett tydligt system för intern visselblåsning.

Rättsläge kontrollerat 2026

Version 1.0 har juridiskt kontrollerats den 27 september 2026 mot bland annat:

• lag (2021:890) om skydd för personer som rapporterar om missförhållanden
• förordning (2021:949) om skydd för personer som rapporterar om missförhållanden, ändrad t.o.m. SFS 2025:1157 vid kontroll
• Europaparlamentets och rådets direktiv (EU) 2019/1937
• dataskyddsförordningen (EU) 2016/679
• lag (2018:218) med kompletterande bestämmelser till GDPR
• Arbetsmiljöverkets aktuella vägledning om interna rapporteringskanaler
• IMY:s vägledning om personuppgiftsbehandling i visselblåsarärenden

Viktigt om anpassning

Varje organisation måste anpassa mallen till den faktiska visselblåsarfunktionen, tekniska rapporteringskanaler, behöriga personer, jävsrutiner, kollektivavtal, offentlighets- och sekretessregler och eventuell sektorsspecifik reglering. För offentlig verksamhet och vissa reglerade sektorer kan särskilda krav gälla.

Mallen är ett professionellt arbetsunderlag och ersätter inte individuell juridisk rådgivning i ett konkret ärende.

Digital leverans

Produkten levereras digitalt som Word (DOCX) och PDF. Ingen fysisk produkt skickas.

Vanliga frågor

Måste alla arbetsgivare ha en visselblåsarfunktion?

Nej. Den generella skyldigheten enligt visselblåsarlagen gäller verksamhetsutövare som hade minst 50 arbetstagare vid ingången av kalenderåret. Särskilda regler kan dock gälla i vissa sektorer.

Måste rapportering kunna ske anonymt?

Lagen ställer långtgående krav på skydd av identitet och konfidentialitet men mallen gör anonym rapportering till ett val som organisationen måste besluta och konfigurera utifrån sin kanal. Om kontaktuppgifter saknas kan återkoppling och kompletteringar vara svårare.

Kan rapportering ske via e-post?

Organisationen ansvarar för att rapporteringskanalen är säker och lämplig. Vanlig oskyddad e-post kan innebära risker för identitetsröjande och bör riskbedömas noggrant.

Hur länge får ett visselblåsarärende sparas?

Personuppgifter i ett uppföljningsärende får som huvudregel inte behandlas längre än två år efter att ärendet avslutats. Irrelevanta uppgifter ska raderas tidigare.