Klokkenluidersregeling verplicht vanaf 50 werknemers: wat er moet staan

Vanaf 50 werknemers moet je bedrijf een interne meldprocedure hebben waarmee mensen een vermoeden van een misstand kunnen melden — de klokkenluidersregeling. Die verplichting bestond in een lichtere vorm al langer, maar sinds de Wet bescherming klokkenluiders begin 2023 grotendeels in werking trad, gelden er strengere eisen aan wat de regeling moet bevatten.

Voor de grootste werkgevers gold dat meteen: bedrijven met 250 werknemers of meer moesten bij de inwerkingtreding van de wet al een regeling hebben die aan de nieuwe eisen voldeed. Voor werkgevers met 50 tot 250 werknemers gold een overgangstermijn. Het koninklijk besluit waarmee de wet in werking trad, is daar expliciet over: "de artikelen 2, 2a en 2b van de Wet bescherming klokkenluiders [zullen] pas met ingang van 17 december 2023 van toepassing zijn op werkgevers in de private sector met 50 tot 249 werknemers." Die datum ligt inmiddels ruim achter ons — wie toen nog niets had geregeld, loopt dus al langer achter op de wet.

Zit je onder de 50 werknemers, dan geldt de verplichting in de meeste gevallen niet. Er is wel een uitzondering: werkgevers in de financiële sector, de burgerluchtvaart, de maritieme sector en offshore olie- en gaswinning moeten ook onder de 50 werknemers een regeling hebben, ongeacht hun grootte, omdat de Europese klokkenluidersrichtlijn deze sectoren als verhoogd risico bestempelt.

Bij het tellen van die 50 werknemers gaat het om de mensen die bij jouw bedrijf in loondienst zijn. Dat is een ander getal dan de groep die straks een melding mag doen — daarover meer in de derde sectie.

De wet schrijft niet alleen voor dát je een regeling hebt, maar ook wat daarin moet staan. Uit de toelichting op de wet en de publicatie van BDO Tax & Legal blijkt dat een regeling die aan de huidige eisen voldoet, in elk geval het volgende regelt:

• Een melding van (een vermoeden van) een misstand moet zowel schriftelijk, telefonisch als fysiek gedaan kunnen worden. Je mag iemand dus niet uitsluitend naar een online formulier verwijzen.
• Een melder moet de mogelijkheid krijgen om vertrouwelijk een adviseur te raadplegen voordat hij een melding doet.
• Een melder moet binnen zeven dagen na de melding een ontvangstbevestiging krijgen.
• Een melder moet binnen drie maanden na die ontvangstbevestiging horen hoe de melding is beoordeeld en welke opvolging die krijgt.
• Je moet werknemers en andere mogelijke melders schriftelijk of elektronisch informeren over de procedure zelf, over de mogelijkheid om in plaats daarvan extern te melden (bijvoorbeeld bij de Autoriteit Persoonsgegevens of de Autoriteit Financiële Markten) en over de rechtsbescherming die daarbij hoort.

Daarnaast ben je verplicht om elke melding te registreren in een eigen register, zodat toezichthouders kunnen controleren of meldingen op de juiste manier worden afgehandeld. Omdat dat register gevoelige persoonsgegevens bevat, geldt de AVG er onverkort op: veilige opslag, en verwijdering zodra bewaren niet langer nodig is.

Een veelgemaakte denkfout is dat de kring van mensen die een melding mogen doen, hetzelfde is als de 50 werknemers die je telt voor de verplichting. Dat is niet zo. De wet heeft de groep die zich op de beschermende regels kan beroepen juist flink verbreed, los van hoeveel mensen je in loondienst hebt.

Volgens de wet vallen niet alleen je eigen werknemers onder de bescherming, maar iedereen die in de context van werkgerelateerde activiteiten een relatie heeft met je bedrijf. BDO Tax & Legal zet in zijn factsheet op een rij wie daar in beginsel onder valt: "Ook vrijwilligers, stagiaires, uitzendkrachten, zzp'ers, sollicitanten, aannemers, aandeelhouders, bestuurders, commissarissen en leveranciers vallen in beginsel onder deze definitie." Ook mensen die een melder bijstaan, interne onderzoekers en betrokken derden zoals collega's of familie zijn beschermd.

Dat betekent dat een onderaannemer of zzp'er die voor je werkt, een vermoeden van een misstand mag melden via jouw procedure — ook al staat hij niet op je loonlijst en telt hij dus niet mee voor de vraag of je verplicht bent een regeling te hebben.

Met die bescherming komt ook een verschuiving van bewijslast: als iemand na een melding wordt benadeeld — denk aan een slechtere beoordeling, het onthouden van een promotie of ontslag — wordt vermoed dat dat door de melding komt. Jij moet dan aantonen dat de benadeling niets met de melding te maken had, niet andersom. Ook is elk geheimhoudings- of zwijgbeding dat een melding zou moeten voorkomen, nietig.

Een klokkenluidersregeling is geen document dat je als werkgever eenzijdig opstelt en ophangt. Heeft je bedrijf een ondernemingsraad of personeelsvertegenwoordiging, dan heeft die instemmingsrecht bij het vaststellen, wijzigen of intrekken van de interne meldprocedure. Zonder die instemming is de regeling niet geldig vastgesteld.

Heb je geen ondernemingsraad of personeelsvertegenwoordiging, en ben je daar ook niet toe verplicht — dat laatste hangt af van je aantal werknemers volgens de Wet op de ondernemingsraden — dan moet je de instemming krijgen van meer dan de helft van je werknemers. Alleen als de procedure voor het melden van een misstand al inhoudelijk is geregeld in een cao, vervalt die instemmingseis.

Dit medezeggenschapstraject wordt in de praktijk vaak onderschat. Bedrijven zetten een format uit een voorbeelddocument om, laten het goedkeuren door de directie, en gaan ervan uit dat daarmee is voldaan aan de wet. Zonder de vereiste instemming is dat juridisch niet het geval, ook al staat de inhoud van de regeling verder correct op papier.

Het is ook geen eenmalige actie. Verandert je bedrijf van grootte, structuur of cao, dan is het raadzaam om na te gaan of de regeling en het medezeggenschapstraject er nog steeds omheen kloppen — vooral bij bedrijven die net over de grens van 50 werknemers heen groeien en voor het eerst met deze verplichting te maken krijgen.

Heb je geen regeling, of voldoet die niet aan de eisen, dan kan iedere belanghebbende naar de kantonrechter stappen. Die kan een werkgever verplichten om binnen een bepaalde termijn alsnog een interne meldprocedure vast te stellen die aan de wet voldoet. Daarnaast biedt de wet melders de mogelijkheid om compensatie te vorderen wanneer in strijd met de regels wordt gehandeld, bijvoorbeeld als iemand toch benadeeld wordt na een melding.

Er komt ook een bevoegdheid voor het Huis voor Klokkenluiders om zelf bestuursrechtelijke sancties op te leggen, zoals een boete, bij overtreding van de eisen voor de interne meldprocedure. Uit de officiële toelichting bij het inwerkingtredingsbesluit blijkt dat die sanctiebevoegdheid (artikel 17i van de wet) op dit moment nog niet in werking is getreden, in afwachting van nadere regelgeving. Voor nu loopt handhaving dus vooral via de kantonrechter en via schadeclaims van melders, niet via een boete van de toezichthouder zelf — al kan dat veranderen zodra die nadere regelgeving er is.

Wat vaak onderschat wordt, is het reputatierisico los van juridische sancties. Een medewerker of zzp'er die geen kant op kan met een vermoeden van een misstand, meldt het uiteindelijk mogelijk extern — bij een toezichthouder of, informeel, daarbuiten. Een regeling die er ligt en die mensen kennen, geeft een interne route vóórdat het zover komt.