Regelefterlevnad – Digitala verktyg och personligt stöd

Under våren har Arbetsmiljöverket genomfört proaktiv tillsyn av organisationers visselblåsarfunktioner. Lantero har tagit del av delar av myndighetens kommentarer och de krav på förbättringar som framlagts. I det här inlägget försöker vi sammanfatta resultatet av tillsynsrapporterna. Fokus för Arbetsmiljöverket har till synes legat på dokumentationen och att bekräfta att alla delar av kapitel 5 i lag (2021:890) om skydd för personer som rapporterar om missförhållanden (visselblåsarlagen) finns korrekt avspeglade i de riktlinjer som verksamheterna har fastställt. Fokus har inte legat i att utvärdera ifall verksamheterna faktiskt lever upp till kraven från visselblåsarlagen i sin verksamhet genom att studera de faktiska förfarandena. Det finns följaktligen anledning att gå igenom riktlinjerna och säkerställa att alla delar kring kapitel 5 i visselblåsarlagen finns avspeglade i de riktlinjer som verksamheten har. Följande områden uppfattar vi vara särskilt viktiga att se över: 1) Det måste beskrivas i riktlinjerna att en visselblåsare skall kunna rapportera på alla de föreskrivna sätten, det vill säga digitalt via en visselblåsartjänst, per telefon, med fysiskt brev eller ett fysiskt möte. 2) Det måste förklaras i riktlinjerna på vilket sätt en bekräftelse ges till visselblåsaren när ett ärende har mottagits. Speciellt måste formuleringar finnas med som beskriver hur organisationen ger en bekräftelse om mottagen anmälan inom sju dagar från rapporteringen. Vidare hur man undviker att skicka en bekräftelse till en person som har undanbett sig att få en sådan samt hur man undviker att skicka en bekräftelse till en rapporterande person om man tror att dennes identitet kan bli röjd i och med att bekräftelsen skickas. 3) Det måste också beskrivas i riktlinjerna hur återkoppling inom tre månader skall ske samt vad denna återkoppling skall innehålla. 4) Det måste beskrivas i riktlinjerna hur jävighet bedöms och hanteras. 5) Det måste finnas med en formulering i riktlinjerna som beskriver att en visselblåsares personuppgifter kan lämnas ut i förekommande fall, och att visselblåsaren i så fall kommer att bli informerad om utlämnandet. Det finns ett undantag från att informera som gäller om informationen till visselblåsaren innebär att utredningen eller andra åtgärder hindras eller försvåras. Med anledning av Arbetsmiljöverkets tillsyn har Lantero genomfört följande förändringar i systemet och åtgärder i övrigt: 1) När en visselblåsare har lämnat in sin visseblåsaranmälan i Lanteros system visas omedelbart en bekräftelse på mottagen anmälan upp för den rapporterande personen i webbapplikationen. En skriftlig bekräftelse via e-post skickas inte ut. På detta sätt säkerställs att den rapporterande personens identitet inte kan röjas genom själva bekräftelsen. 2) Lantero har uppdaterat sina förslag på riktlinjer (som går att hitta i visselblåsarsystemet) så att de avspeglar de krav som tillsynsmyndigheten har.

Lantero har en aktiv agenda för den löpande tekniska utvecklingen. Det gäller såväl visselblåsartjänsten, som stödtjänster kring compliance, användarhantering och maskeringstjänsten Redact. I det följande gör vi en sammanfattning av några av de tekniska och säkerhetsmässiga förändringar som gjorts under det senaste året. ### Cloudflare Turnstile Rapporteringsformuläret i visselblåsartjänsten använder numera Cloudflare Turnstile, som tillhandahåller ett smidigt sätt att skydda mot botar, utan att störa användarupplevelsen. ### Översikt över vår infrastruktur Vår interna övervakning har strukturerats bättre för att vi proaktivt ska kunna hantera problem innan de ens påverkar kunden. Vi har en realtidsbevakning, som ger omedelbar återkoppling kring störningar i våra system eller tjänster. Bitdefender är aktiverat på alla våra servrar och vi tillämpar procedurer för underhåll och uppgraderingar på daglig, vecko- och månadsbasis för att allt ska löpa på smidigt och förutsägbart. ### Informations- och driftsäkerhet Några av våra insatser under året har varit: - Vi har etablerat anonymiserade applikationsloggar för att skydda persondata. - Patchning av ett flertal kända sårbarheter (CVE:er) över NPM-ekosystemet. - Säkerställt att alla de viktigaste kodbiblioteken har uppdaterats. Exempelvis Express, Vite och Qs. - Vi har moderniserat autentiseringsflödet genom byte till JWT-baserad verifiering av användare. Det innebär i praktiken att servern inte behöver lagra information om inloggade användare och är ett säkrare och mer tillförlitligt sätt att arbeta med sessionshantering. - Skydd mot radering av en kanal som fortfarande innehåller aktiva ärenden, som extra skydd för ärendeinformation. ### Infrastruktur och prestanda Flera insatser har gjort för att göra plattformen snabbare, mer stabil och enklare att underhålla. Under det gångna året har vi bland annat gjort följande: - Uppgradering till MongoDB, v7. Det innebär flera säkerhetsförbättringar, men också förbättringar inom krytpering, stabilitet, klusterhantering och det säkrar upp långsiktig support.
- Uppgradering till React v19.2, som är den senaste stabila versionen av React 19. Denna version innebär ett paradigmskifte i hur ramverket hanterar uppdateringar av gränssnittet. Bland annat leder uppgraderingen till mindre behov av manuella rutiner och vidare innebär uppgraderingen fördelar kring sökordsoptimering. - Node.js 24 support innebär bland annat effektivare minneshantering och förbättrat stöd för de senaste API-standarderna. - Tillämpning av epost-kö för att undvika problem vid för många samtidiga SMTP-kopplingar. - Förbättrad funktionalitet för automatspara. - Minutvis förnyelse av sessioner för att minska risken för utloggning under arbete. - Nginx-förbättringar för att tillämpa best practice. Bland annat genom loggrotation och HTTP/2-konfigurering.
Tveka inte att höra av er om ni vill veta mer om vårt utvecklings- och säkerhetsarbete.

Lantero har erbjudit visselblåsartjänster sedan 2014 och har sedan länge haft en väl etablerad tjänst, där förändringarna på ytan är ganska små. Samtidigt kan vi se tillbaka på det senaste året och konstatera att det har varit ett mycket aktivt utvecklingsår, med gott om ny funktionalitet, säkerhetsförbättringar och "under huven"-förbättringar, som förbättrar användarupplevelsen och stabiliteten. I det följande gör vi en kort sammanfattning av vad som hänt under året och öppnar upp för eventuella frågor eller synpunkter från våra användare. ### Integration av Redact Att jobba med visselblåsarärenden innebär att man jobbar med känslig information där det finns ett särskilt ansvar att skydda såväl visselblåsare som andra individer som förekommer i ärenden. I samband med att information begärs ut som allmän handling, eller när information behöver delas till andra verksamhetsdelar, så kan det uppstå behov av maskering av visselblåsarärenden. Lantero har därför byggt in funktionalitet för detta i visselblåsartjänsten. Tjänsten Lantero Redact är ett verktyg för maskering av dokument, där handläggaren får AI-förslag på sekretessmarkeringar, vilka sedan kan justeras innan ett nytt maskerat dokument genereras. Tjänsten erbjuds som ett fristående verktyg, men finns nu alltså även med som en funktion direkt i visselblåsarkanalen. Det betyder att man direkt i sitt vanliga arbetsflöde kan spara en maskerad kopia av ett visselblåsarärende. ### Anpassade val för anonymitet Olika organisationer förhåller sig olika till anonymitet. Lagstiftningen ställer hårda krav på skydd av sekretess, men lagstiftningen kräver inte att rapportering ska kunna ske anonymt. Vi har nu möjliggjort för enskilda kunder att anpassa upplägget med avseende på anonymitet. ### Notifieringar om aktivitetsloggen och dagliga summeringar Det finns många olika typer av saker som kan hända i handläggningen av ett ärende i Lanteros visselblåsarsystem. Vi har nu breddat möjligheterna för notiser, så att man kan uppmärksammas på fler typer av händelser i ärendehandläggningen. Vi vet samtidigt att organisationer med stora mängder ärenden kan uppleva att det blir för många epostnotiser, varför vi gärna påminner om funktionen med dagliga summeringar. Denna funktion gör det möjligt att begränsa epostnotiserna till en per dygn, där dagens aktivitet summeras. ### Smartare ärendehantering När ärenden bedöms initialt är det numera enklare att komma åt och se vilka handläggare som bemannar vilken del av processen, inte minst för att veta vilka tillgängliga alternativ som finns för bemanningen av handläggningssteget Utredning.
Den sammanfattning av ett ärende som görs i PDF-format har förbättrats. Strukturen har setts över och justerats. ### Förbättrad användarupplevelse Som handläggare finns det nya möjligheter att anpassa vyn för ärendehanteringen, bland annat genom att kollapsa delar som inte används för tillfället. Vi har kompletterat med säkerhetsspärrar som kräver extra bekräftelse före riskabla aktiviteter, exempelvis radering av en kanal. Genvägen till översiktssidan har gjorts tydligare och etablerats som en egen knapp. Tidigare har genvägen legat i Lantero-loggan, vilken har visat sig vara för otydligt. Språkalternativen har utvecklats och för närvarande finns 22 språk tillgängliga. En rad förbättringar har gjorts av integrationen mot Lanteros portal för inloggning och användarhantering. Skillnaderna gör användarupplevelsen lite smidigare.