Anonym indberetning: må I finde ud af, hvem der står bag?

Som udgangspunkt nej. Har I modtaget en anonym indberetning gennem en whistleblowerordning, beskytter reglerne indberetterens identitet, og forsøg på at finde frem til personen kan i sig selv være i strid med reglerne. Det gælder også forsøg med IT: at kigge i logs over, hvem der var logget på, hvem der brugte printeren, eller hvilken IP-adresse en mail kom fra. Fokus skal være på det, der er indberettet, ikke på hvem der indberettede det.

Artiklen er til ledelse og HR, der har modtaget en anonym indberetning og mærker trangen til at finde ud af, hvem der står bag. Den forklarer, hvorfor I skal lade være, hvilke IT-spor der er særligt fristende, og hvad I gør i stedet. Reglerne om whistleblowerordninger og beskyttelse af indberettere er detaljerede. Få dem vurderet i jeres konkrete situation.

→ Whistleblowerordning og digitale beviser

Hvorfor trangen opstår

Det er menneskeligt. En anonym indberetning kan føles som en anklage fra en ukendt kollega. Ledelsen vil gerne vide, om den kommer fra en sur medarbejder, en konkurrent eller en, der har et reelt problem. Og nogle gange tror man, at det er lettere at undersøge sagen, hvis man ved, hvem der kan svare på spørgsmål.

Men identiteten er sjældent nødvendig for at undersøge forholdet. Og et forsøg på at afsløre indberetteren kan skade virksomheden mere end det indberettede forhold.

IT-spor, der frister

I en virksomhed efterlader næsten alt digitale spor. Derfor er det fristende at bede IT om:

• at se, hvem der var logget på whistleblowerløsningen eller dens hjemmeside fra virksomhedens netværk,
• at tjekke firewall- eller proxy-logs for besøg på indberetningsportalen,
• at finde ud af, hvem der har haft adgang til de dokumenter, indberetningen nævner,
• at sammenligne skrivestil, tidspunkter eller stavefejl med medarbejdernes mails,
• at tjekke printerlogs, hvis indberetningen kom på papir,
• at spore afsenderen af en anonym mail via mailheadere og IP-adresser.

Alle disse skridt er forsøg på at identificere indberetteren. Lad være. Og hvis nogen allerede har gjort det, så stop det og skriv ned, hvad der er sket.

Hvad sker der, hvis I alligevel gør det?

Det afhænger af omstændighederne, men risikoen er reel:

• I kan komme i strid med reglerne om beskyttelse af indberettere.
• Medarbejdere mister tilliden til ordningen og til ledelsen.
• Bliver en medarbejder behandlet dårligere efter en indberetning, kan det blive betragtet som repressalier.
• Selve sporingen kan blive et nyt forhold, der skal undersøges.

Hvad gør I i stedet?

1. Behandl indberetningen efter jeres ordning. Den, der er udpeget til at modtage indberetninger, håndterer den efter de fastsatte procedurer.
2. Fokusér på forholdet. Hvad er påstanden? Hvilke systemer og data kan bekræfte eller afkræfte den?
3. Bevar relevante data. Bed IT om at sætte hold på postkasser, logs og filer, der kan belyse forholdet. Ikke dem, der kan afsløre indberetteren.
4. Afgræns undersøgelsen. Formulér spørgsmålene, og vælg datakilder, personer og periode ud fra forholdet.
5. Brug kommunikationskanalen. Mange ordninger giver mulighed for at stille opfølgende spørgsmål til en anonym indberetter. Brug den, hvis I har brug for flere oplysninger.
6. Skriv ned, hvad I gør. Beslutninger, bevarelse og afgrænsning dokumenteres som i enhver anden intern undersøgelse.

→ Afgrænsning: personer, data og perioder

Når undersøgelsen af forholdet rammer indberetteren

Nogle gange afslører undersøgelsen af selve forholdet, hvem der kan stå bag. Det kan være, at kun få personer havde adgang til de dokumenter, indberetningen bygger på. Det er ikke det samme som at opspore indberetteren med vilje, men det kræver omtanke:

• Lad den, der undersøger, holde oplysningen for sig selv.
• Lad være med at notere formodninger om identiteten.
• Sørg for, at ingen behandles anderledes på grund af en formodning.

Tal med advokaten, hvis I er i tvivl om, hvordan I skal håndtere det.

IT’s særlige ansvar

IT-afdelingen eller IT-leverandøren har ofte adgang til netop de logs, der kan afsløre en indberetter. Det giver et særligt ansvar:

• IT må ikke på eget initiativ undersøge, hvem der har brugt ordningen.
• IT skal sige fra, hvis nogen i ledelsen beder om det.
• Teknisk opsætning af ordningen bør så vidt muligt undgå, at virksomhedens egne logs registrerer brugen.

Sidste punkt er et spørgsmål om bevisberedskab og tillid. Spørg jeres leverandør af whistleblowerløsningen, hvad der logges, og hvem der kan se det.

Hvis nogen allerede har forsøgt

Det sker, at en leder eller IT-medarbejder allerede har kigget i logs eller spurgt rundt, før nogen har tænkt over reglerne. Så gælder det om at begrænse skaden:

1. Stop alle videre forsøg med det samme.
2. Skriv ned, hvem der gjorde hvad, hvornår, og hvad der eventuelt blev fundet.
3. Sørg for, at eventuelle oplysninger om identiteten ikke deles videre.
4. Lad de pågældende personer træde ud af undersøgelsen af forholdet.
5. Tal med advokaten om den videre håndtering.

Lad være med at slette loggen eller notaterne over forsøget. Det kan gøre det sværere at dokumentere, at I har stoppet det og håndteret det ordentligt. Undersøgelsen af det indberettede forhold får en ny sagsejer, der ikke har været involveret.

→ Udpeg én sagsejer

Hvem gør hvad

• Modtager af indberetninger · Behandler indberetningen efter ordningen
• Ledelse · Beslutter undersøgelse af forholdet, ikke af indberetteren
• IT · Bevarer data om forholdet, undersøger ikke identitet
• Advokat · Vurderer reglerne og håndteringen
• IT-sagkyndig · Sikrer og gennemgår data om forholdet

Det skal I lade være med

• Spørge rundt blandt medarbejderne, hvem der har indberettet.
• Bede IT tjekke logs for at finde indberetteren.
• Sammenligne skrivestil eller formuleringer med medarbejdernes mails.
• Afvise indberetningen, fordi den er anonym. Anonyme indberetninger kan være lige så rigtige som andre. Vurdér indholdet, ikke formen, og undersøg det, der kan undersøges.
• Konfrontere den, I tror, står bag.

Hvis indberetningen kommer uden om ordningen

En anonym mail, et brev eller et opslag uden om whistleblowerordningen kan have andre regler. Det er stadig en god idé at fokusere på forholdet og ikke på afsenderen. Er indberetningen chikanøs eller fremsat mod bedre vidende, er det en anden situation, som advokaten bør vurdere, før I gør noget.

→ Whistleblowersager: digitale beviser og beskyttelse

Hvornår skal I have hjælp udefra?

Få en advokat til at vurdere, hvordan indberetningen skal håndteres, især hvis den handler om ledelsen. Er der brug for at sikre og gennemgå data om det indberettede forhold, kan en uvildig IT-sagkyndig gøre det inden for en afgrænsning, der ikke omfatter indberetterens identitet. Nielco IT er uvildig og arbejder med interne undersøgelser i hele landet. Haster sikringen, koster hastesager ekstra. → Pris og tilbud

Læs også: Tilfældigt fund under en intern undersøgelse · Medarbejderen sygemelder sig midt i undersøgelsen

→ Intern IT-undersøgelse · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT