Nye EU/EØS-regler om intern behandling av varslingssaker

En av bestemmelsene i direktivet som har skapt hodebry både for medlemsstater ved implementeringen og for virksomheter ved etterlevelsen er artikkel 8 og kravene som stilles til opprettelse av virksomhetsinterne varslingskanaler. Direktivet begrenser adgangen til konsernfelles varslingsordninger, selv der konsernet har etablert en velfungerende sentralisert varslingsordning.

Gjennomføringen av direktivet i norsk rett er på tidspunktet til behandling hos Justis- og beredskapsdepartementet. Departementet sendte i juni 2022 på høring en utredning fra Advokatfirmaet Lund & Co, hvor høringsfristen var 16. september 2022. 

Vår anbefaling er at norske og multinasjonale virksomheter allerede i dag starter arbeidet med å tilpasse sine varslingsordninger til reglene i direktivet. 

1. Kartlegge hvilke krav som stilles til deres interne varslingsordning i den nasjonale lovgivningen,
2. Utpeke ansvarlige for varslingsmottaket i datterselskap i EU med + 50 ansatte,
3. Etablere lokale varslingskanaler i datterselskap i EU med + 50 ansatte,
4. Gå i dialog med eksisterende leverandør av teknisk varslingskanal for å finne praktiske løsninger.

Varslingsdirektivet fastsetter at private juridiske enheter («legal entities») med 50 ansatte eller mer må opprette interne varslingskanaler. For virksomheter i offentlig sektor gjelder kravet om etablering av intern varslingsordning uavhengig av antall ansatte, men medlemsstatene kan gjøre unntak for kommuner med færre enn 10 000 innbyggere. Kommuner kan opprette felles interne varslingskanaler.

Etter direktivet skal den interne varslingskanalen legge til rette for at arbeidstakerne i virksomheten kan varsle om brudd på EU-lovgivning. Varslingsdirektivet artikkel 2 angir hvilke deler av EU-lovgivningen som skal være omfattet av varslingsretten.

For Norges del er det i høringsnotatet fra Advokatfirmaet Lund & Co foreslått at reglene i varslingsdirektivet kun skal gis anvendelse for påstander om brudd på EØS-retten. Varslingsreglene i Norge per juni 2023 omfatter alle kritikkverdige forhold, dvs. både påstander om brudd på nasjonale rettsregler og påstander om brudd på EØS-retten. En gjennomføring i tråd med høringsnotatet innebærer at det settes egne saksbehandlingsregler for varsling av EØS-lovbrudd til forskjell fra andre lovbrudd.

Det kan være krevende for både varsleren og for virksomhetene å skille mellom varsler som gjelder «kritikkverdige forhold» eller arbeidsmiljøloven og varsler som gjelder brudd på EØS-retten, hvor sistnevnte skal følge et sett med særlige saksbehandlingsregler.

Direktivet er et minimumsdirektiv. Det vil si at medlemsstatene ved gjennomføringen i nasjonal rett står fritt til å gi varslere bedre beskyttelse enn det som følger av direktivet. Flere europeiske land har utvidet både det saklige og det personelle virkeområdet til direktivet. Hverken svensk eller dansk rett har begrenset anvendelsesområdet til EU-lovgivningen. Det innebærer at reglene i varslingsdirektivet også kommer til anvendelse for påstander som gjelder brudd på nasjonal rett i Sverige og i Danmark.

Det er opp til de enkelte medlemsstatene å avgjøre hvorvidt de ønsker en minimumsgjennomføring, eller om anvendelsesområdet skal utvides slik beskrevet over. Multinasjonale selskaper med enheter innenfor ulike europeiske land vil derfor kunne bli nødt til å utarbeide ulike lokale varslingsordninger, alt ettersom hvordan direktivet er gjennomført i den nasjonale lovgivningen.

Den interne varslingskanalen kan drives av selskapet selv gjennom oppnevnelse av en uavhengig person eller avdeling til dette formålet, eller ved hjelp av bistand fra en tredjepart. Forutsetningen er i begge tilfeller at kravene til fortrolighet, personvern, uavhengighet og taushetsplikt er ivaretatt. Den interne varslingskanalen må videre sørge for at varselet håndteres i tråd med saksbehandlingsreglene som følger av direktivet. Se for eksempel artikkel 9 nr. 1, hvor det oppstilles frister med hensyn til oppfølgningen og tilbakemelding overfor varsleren. Arbeidsmiljøloven inneholder ikke slike konkrete frister, og går derfor lenger i å stille krav til saksbehandlingen av varsler enn det vi kjenner fra de någjeldende varslingsreglene.

Etter direktivet artikkel 8 nr. 3 skal «legal entities» med mer enn 50 ansatte opprette egne kanaler og retningslinjer for intern varsling. Selskaper med mellom 50 og 249 ansatte har anledning til å dele varslingsressurser («share resources») for mottak og undersøkelse av varsler, jf. artikkel 8 nr. 6. Det er ikke beskrevet uttrykkelig i direktivet hva som gjelder for selskap med mer enn 249 ansatte.

Et spørsmål som har vært mye diskutert i forbindelse med implementeringen av direktivet i andre europeiske land er hvilken adgang selskaper har til å opprette en konsernfelles varslingsordning for underenheter med mer enn 249 ansatte. Tema har også blitt tatt opp av flere høringsinstanser i forbindelse med gjennomføringen av direktivet i norsk rett.

EU-kommisjonen har gitt uttrykk for at det ikke er anledning til å dele varslingsressurser for selskap med mer enn 249 ansatte, heller ikke hvor de juridiske enhetene er en del av samme konsern:

“Paragraph 1 (…) does not make any exemption for distinct legal entities belonging to the same corporate group. This entails that reporting channels cannot be established in a centralised manner only at group level; all medium-sized and large companies belonging to a group remain obliged to have each their own channels.”

EU-kommisjonens uttalelse trekker i retning av at selskaper med underenheter bestående av mer 249 ansatte må opprette egne, uavhengige varslingskanaler for hver enkelt enhet. Dette gjelder også hvor de ulike juridiske enhetene befinner seg innenfor ett og samme territorium.

I svensk lovgivning er det lagt opp til en direktivnær gjennomføring ved at juridiske enheter med mer enn 249 ansatte må opprette egne, lokale varslingskanaler for mottak og oppfølgning av varslingssaker. Det innebærer at varslingsressurser i utgangspunktet ikke kan deles for enheter med mer enn 249 ansatte, heller ikke innad i konsern. Dette gjelder også innad i en og samme jurisdiksjon.

I Danmark er det åpnet for at virksomheter med flere enn 50 ansatte som inngår i et konsern kan etablere felles varslingsordninger. Dette også i tilfeller hvor de juridiske enhetene har flere enn 249 ansatte. Det er likevel gitt en hjemmel for Justisministeren i Danmark til å fastsette regler om at det ikke er tillatt med konsernfelles varslingsordning.

Både Portugal, Frankrike og Irland har ved gjennomføring i nasjonal lovgivning oppstilt krav om uavhengige, lokale varslingskanaler for juridiske enheter med mer enn 249 ansatte.

Flere gode grunner taler for at det bør kunne åpnes for konsernfelles varslingsordninger. Mange selskaper har allerede bygget opp godt fungerende complianceprogrammer for håndtering av varsler, og en sentralisert behandling vil kunne styrke kvaliteten i varslingskanalen. Det vil også kunne være lettere å ivareta hensyn til konfidensialitet, likebehandling og uavhengighet gjennom en sentralisert varslingsordning. Til slutt vil varslere kunne være bedre beskyttet mot gjengjeldelse i en konsernfelles ordning.

EU-kommisjonen har imidlertid ikke villet åpne for en tolkning av direktivet som tillater en konsernfelles varslingsordning for enheter med mer enn 249 ansatte. De fleste EU-land foreslår nå direktivnære gjennomføringsbestemmelser. 

Det er foreløpig ikke avklart hvordan direktivet vil bli gjennomført i norsk rett. For multinasjonale selskaper som opererer innenfor ulike EU land, vil det være behov for å kartlegge hvilke krav som stilles til deres interne varslingsordning i den nasjonale lovgivningen. Direktivets krav om lokale varslingskanaler kan medføre en krevende situasjon for mange selskaper. Vår anbefaling er at norske og multinasjonale virksomheter starter arbeidet med å tilpasse sine varslingsordninger til reglene i direktivet.