Varsling i virksomheten: styrets plikt og praktisk tilnærming

Et styre uten fungerende varslingskanaler sitter i et informasjonsvakuum. Når kritiske feil eller lovbrudd ikke fanges opp internt, ender de ofte opp som medieoppslag eller kostbare rettssaker. For et styremedlem handler varsling i virksomhet om mer enn arbeidsmiljø – det handler om å ivareta styrets ansvar for kontroll og etterlevelse i tråd med norsk lov.

Hva er varsling og hva sier arbeidsmiljøloven?

Varsling defineres som det å si fra om «kritikkverdige forhold» i virksomheten. Ifølge arbeidsmiljøloven varsling (kapittel 2 A) omfatter dette forhold som er i strid med rettsregler, skriftlige etiske retningslinjer eller alminnelige oppfatninger av hva som er forsvarlig eller etisk akseptabelt.

Eksempler på kritikkverdige forhold:

  • Fare for liv eller helse
  • Fare for klima eller miljø
  • Korrupsjon eller annen økonomisk kriminalitet
  • Myndighetsmisbruk
  • Uforsvarlig arbeidsmiljø (for eksempel trakassering eller diskriminering)
  • Brudd på personopplysningssikkerheten

Det er viktig å skille mellom varsling og vanlige klager på eget arbeidsforhold. Terskelen for hva som regnes som et varsel er likevel ofte lavere enn mange tror, og styret må sikre at ledelsen har kompetanse til å sortere henvendelsene korrekt.

[Bilde: Illustrasjon av forskjellen mellom en personlig klage og et varsel om kritikkverdige forhold]

Varslingsrutiner — hvem må ha dem?

Selskaper som jevnlig sysselsetter minst fem ansatte, har en lovpålagt plikt til å utarbeide skriftlige rutiner for intern varsling. I mindre selskaper med færre ansatte skal rutiner utarbeides dersom forholdene i virksomheten tilsier det – for eksempel ved høy risiko for korrupsjon eller miljøskade.

En god varslingskanal i selskap skal som et minimum beskrive:

  1. Hvordan man varsler (hvilke kanaler som skal brukes).
  2. Hvem som tar imot og behandler varselet.
  3. Hvordan varselet følges opp og saksbehandles.
  4. Hvordan varsleren beskyttes mot gjengjeldelse.

Etablering av disse rutinene er et av de mest konkrete tiltakene styret kan kontrollere at er på plass, som en del av en helhetlig compliance-guide for SMB.

Styrets ansvar for å etablere og følge opp varslingskanaler

Selv om daglig leder står for den operasjonelle driften, hviler styrets ansvar varsling tungt på det overordnede tilsynsansvaret. Styret skal påse at virksomheten har systemer som gjør at lovbrudd og uetisk adferd fanges opp.

I praksis innebærer dette at styret må:

  • Vedta rutinene: Styret bør formelt godkjenne selskapets varslingsrutiner og etiske retningslinjer.
  • Sikre uavhengighet: Styret må vurdere om varslingskanalen er rigget slik at ansatte tør å varsle dersom den kritikkverdige adferden involverer daglig leder eller andre i toppledelsen.
  • Etterspørre statistikk: Styret bør regelmessig motta rapporter om antall varsler og kategorier – uten at personvern eller konfidensialitet brytes.
  • Være mottaker: Forhold som gjelder daglig leder skal normalt varsles direkte til styreleder.

Manglende oppfølging kan i ytterste konsekvens lede til personlig styreansvar dersom styret har ignorert faresignaler eller unnlatt å legge til rette for forsvarlig varsling.

Anonymitet, beskyttelse og gjengjeldelsesforbudet

Kjernen i et fungerende varslingssystem er trygghet. Arbeidsmiljøloven har et absolutt forbud mot gjengjeldelse mot en arbeidstaker som varsler forsvarlig. Gjengjeldelse kan være alt fra utfrysing og endring i arbeidsoppgaver til oppsigelse eller manglende forfremmelse.

Styret må sikre at saksbehandlingen ivaretar to motstridende hensyn:

  1. Varslerens behov for beskyttelse: Retten til anonymitet (der det er mulig) og konfidensialitet er avgjørende for at ansatte skal tørre å si fra.
  2. Den omvarsledes rettssikkerhet: Den det varsles om har rett til å kjenne innholdet i varselet for å kunne forsvare seg (kontradiksjon), så fremt det ikke hindrer den videre undersøkelsen.

Dette krever ryddig dokumenthåndtering og sikkerhet i styrerommet. Sensitiv informasjon skal aldri ligge i åpne mapper, på e-post eller i usikre skyløsninger.

[Bilde: Oversikt over gjengjeldelsesforbudet og rettighetene til varsleren kontra den omvarslede]

Når et varsel havner på styrebordet

Når styret mottar et varsel – fordi det gjelder daglig leder, eller fordi alvorlighetsgraden krever det – er prosessen kritisk:

  1. Vurder habilitet: Er noen i styret involvert eller har nære bånd til partene? Inhabilitet må avklares umiddelbart.
  2. Bekreft mottak: Varsleren skal raskt få bekreftelse på at varselet er mottatt og vil bli behandlet.
  3. Etabler et undersøkelsesteam: Ved alvorlige saker bør man vurdere ekstern bistand (advokater eller revisorer) for å sikre objektivitet.
  4. Faktasjekk: Undersøk om påstandene kan dokumenteres. Gjennomfør samtaler med involverte parter.
  5. Konklusjon og tiltak: Er forholdet kritikkverdig? Hvilke sanksjoner eller systemendringer er nødvendige?
  6. Tilbakemelding: Varsleren skal ha beskjed når saken er avsluttet, selv om vedkommende ikke nødvendigvis har krav på detaljer om sanksjoner mot andre.

Denne prosessen er en integrert del av selskapets risikostyring. Et varsel er ofte et symptom på en risiko som allerede har materialisert seg – styrets jobb er å tette hullet.

Digitale løsninger for sikker varsling og oppfølging

«Varsling til daglig leder på e-post» eller en fysisk postkasse er sjelden i tråd med moderne krav til sikkerhet, GDPR og bevisførsel. Digitale verktøy gir styret nødvendig kontroll og sporbarhet:

  • Sikker lagring: Alle saksdokumenter lagres kryptert og adskilt fra resten av selskapets drift.
  • Tilgangsstyring: Kun de som er utpekt til å behandle den spesifikke saken har tilgang til dokumentene.
  • Loggføring (audit trail): All aktivitet logges, noe som er uvurderlig dersom saksbehandlingen senere blir gjenstand for tilsyn eller rettslig vurdering.

Slik hjelper 21st

Gjennom dokumenthåndteringen i 21st kan styret opprette egne, låste mapper for varslingssaker. Rollebasert tilgang gjør at styreleder kan sikre at for eksempel ansatterepresentanter holdes utenfor sensitive personalsaker der de er inhabile, mens de relevante beslutningstakerne har full oversikt.

Slik gjør du det i 21st: Når styret mottar et varsel som krever styrebehandling, oppretter styreleder en lukket sak i møteoversikten. Relevante bevis, intervjureferater og juridiske vurderinger lastes opp i det sikre dokumentarkivet med begrensede rettigheter. Hele prosessen – fra første undersøkelse til signert styreprotokoll med BankID – skjer i ett lukket økosystem med fullstendig audit trail.

Les mer: Sikker dokumenthåndtering i 21st

Neste steg

Varsling skal ikke være en kilde til frykt, men et verktøy for forbedring. Som styremedlem er din viktigste jobb å legge til rette for en kultur der det er trygt å si fra, støttet av robuste rutiner og sikre systemer.

Bestill en demo av 21st her for å se hvordan vi hjelper styrer med profesjonell og sikker saksbehandling.

Interne lenker brukt i artikkelen: