sou · H3B349 · 2015-05-29 00:00:00 — Bestämmelserna om mekanismer för att uppmuntra rapportering av överträdelser och om skydd av personuppgifter för de som rappor- terar överträdelserna (så kallade whistleblowers eller visselblåsare) saknar motsvarighet i revisorsdirektivets lydelse före ändrings- direktivet. I svensk rätt finns inga bestämmelser som direkt tar sikte på system för att uppmuntra rapportering av överträdelser av regler för revisions- verksamhet eller om skydd för personer som rapporterar sådana överträdelser. Ett visst skydd för visselblåsare följer dock av be- stämmelser inom andra områden som ger skydd för anställda som rapporterar missförhållanden och oegentligheter. Som exempel på sådana regler kan nämnas skyddet mot uppsägning eller avskedande utan saklig grund i 7 och 18 §§ lagen (1982:80) om anställnings- skydd. Beträffande anställda i offentlig sektor erbjuder den grund- lagsskyddade meddelarfriheten vidare ett särskilt skydd. Utredningen om stärkt skydd för arbetstagare som slår larm har i SOU 2014:31 lämnat förslag till bland annat en ny arbetsrättslig lag om stärkt skydd för arbetstagare som slår larm om allvarliga missförhållanden i arbetsgivarens verksamhet. Den föreslagna lagen ger arbetstagaren rätt till skadestånd om han eller hon drabbas av Tillsyn av revisorer och registrerade revisionsbolag repressalier som grundas på att arbetstagaren slår larm om allvarliga missförhållanden i arbetsgivarens verksamhet. Det är fråga om en arbetsrättslig skyddslagstiftning. Arbetstagarens rätt att slå larm i sig eller rätten att kritisera arbetsgivaren eller annars yttra sig reg- leras inte. Förslagen bereds inom . Genom artikel 1.25 i ändringsdirektivet införs bestämmelser om rapportering av överträdelser i en ny artikel 30e i revisorsdirektivet. Där anges i punkt 1 att medlemsstaterna ska se till att effektiva mekanismer inrättas för att uppmuntra rapportering av överträdel- ser av revisorsdirektivet eller av revisorsförordningen till behöriga myndigheter. Dessa mekanismer ska enligt punkt 2 minst omfatta följande. a)Särskilda förfaranden för mottagande av rapporter om över- trädelser och uppföljning av dessa. b)Skydd av personuppgifter både för den person som rapporterar den misstänkta eller faktiska överträdelsen och den person som misstänks ha begått eller påstås ha begått överträdelsen, i överens- stämmelse med de principer som anges i dataskyddsdirektivet18. c)Lämpliga förfaranden för att säkerställa rätten till försvar och att bli hörd för den person mot vilken en överträdelse görs gällande innan beslut om denne fattas samt rätten att väcka talan inför domstol mot beslut eller åtgärder som rör honom eller henne. Medlemsstaterna ska vidare enligt punkt 3 se till att revisionsföre- tag inför lämpliga förfaranden för sina anställda, så att de kan rappor- tera misstänkta eller faktiska överträdelser av revisorsdirektivet eller revisorsförordningen internt via en särskild kanal. 18 Direktiv /46/EG. Tillsyn av revisorer och registrerade revisionsbolag Särskilda förfaranden för mottagande av rapporter om överträdelser Medlemsstaterna ska alltså enligt den nya artikel 30e.1 i revisors- direktivet se till att effektiva mekanismer inrättas för att upp- muntra rapportering av överträdelser av direktivet eller av revisors- förordningen till behöriga myndigheter. Bland dessa mekanismer ska enligt artikel 30e.2 led a ingå särskilda förfaranden för mot- tagande av rapporter om överträdelser och uppföljning av dessa. En motsvarande bestämmelse finns även i kapitaltäcknings- direktivet.19 I artikel 71.1 i det direktivet anges att behöriga myn- digheter och institut ska inrätta effektiva mekanismer för att upp- muntra rapportering av potentiella och faktiska överträdelser av tillsynsförordningen20 och de nationella bestämmelser som följer av direktivet. Liknande bestämmelser finns även i andra unionsregler på finansmarknadsområdet (se till exempel artikel 73 i MiFID II21). Bestämmelserna om system för visselblåsare i kapitaltäcknings- direktivet har genomförts genom föreskrifter i 5 b § förordningen (2009:93) med instruktionen för . Där anges att ska ha effektiva och tillförlitliga rutiner för att uppmuntra rapportering och för att ta emot rapporter om över- trädelser av bestämmelser som gäller för verksamheten i vissa upp- räknade lagar. Frågan är om en motsvarande föreskrift bör införas även för . Nämnden kan öppna disciplinärenden på eget initiativ, men sådana ärenden initieras också av anmälningar från exempelvis andra myndigheter, revisionsklienter och privatpersoner. Detta framgår av information på webbplats. Några författningsbestämmelser om nämndens mottagande av anmälningar finns dock inte. För att genomföra artikel 30e.2 led a i svensk rätt bör sådana bestämmelser införas. Det sker lämpligen i förordningen med instruktion för . I artikel 30e finns inga uttryckliga regler om att de mekanismer för att uppmuntra rapportering som medlemsstaterna ska inrätta också måste innehålla skydd mot att uppgiftslämnarna drabbas av 19Direktiv /36/EU. 20Förordning (EU) nr 575/2013. 21Direktiv /65/EU. Tillsyn av revisorer och registrerade revisionsbolag Eventuellt kan dock ett indirekt sådant krav anses komma till uttryck genom att det sägs att de mekanismer som inrättas ska vara ”effektiva” och ”uppmuntra rapportering”. I punkt 17 i ingressen till ändringsdirektivet anges vidare att de mekanismer som införs bör tillhandahålla lämpligt skydd för uppgiftslämnarna, inte endast när det gäller rätten till skydd för personuppgifter utan också genom att se till att uppgiftslämnarna inte utsätts för otillbörliga repres- salier. Till skillnad från i revisorsdirektivet finns i artikel 71.2 b i kapitaltäckningsdirektivet ett uttryckligt krav på att anställda som anmäler överträdelser av institutet inte ska drabbas av repressalier, diskriminering eller liknande från arbetsgivarens sida. Vid genom- förandet av det direktivet ansågs att denna bestämmelse redan omfattades av gällande rätt och att någon ny lagstiftning därför inte var nödvändig i den delen.22 Regeringen hänvisade därvid till den bedömning som gjordes när tillträdde civil- rättsliga konvention om korruption.23 Artikel 9 i konventionen rör förhållandet mellan arbetstagare och arbetsgivare. Artikeln före- skriver att konventionsstaterna ska se till att arbetstagare åtnjuter ett lämpligt skydd mot oberättigade påföljder, om de haft skälig anledning att misstänka korruption hos sin arbetsgivare och i god tro anmält detta till ansvarig person eller myndighet. Vid tillträde till konventionen gjordes bedömningen att svensk rätt uppfyller de krav som anges i artikel 9 i konventionen.24 Denna slutsats grundades bland annat på det skydd som arbetstagare åtnjuter enligt 7 och 18 §§ lagen om anställningsskydd. Svensk rätt får mot bakgrund av det anförda anses erbjuda ett skydd för uppgiftslämnare som motsvarar det indirekta krav på detta som eventuellt kan utläsas ur revisorsdirektivet. Några sär- skilda genomförandeåtgärder för att se till att uppgiftslämnarna inte utsätts för repressalier är därför enligt utredningens mening inte nödvändiga. 2013/14:228 s. 245 ff. 23SÖ 2004:14 nr 14, Civilrättslig konvention om korruption . 2003/04:71 s. 47 f. Tillsyn av revisorer och registrerade revisionsbolag I artikel 30e.2 led b finns föreskrifter om skydd för personupp- gifterna för både den person som rapporterar den misstänkta eller faktiska överträdelsen och den person som misstänks eller påstås ha begått överträdelsen. Personuppgifterna ska behandlas i överens- stämmelser med principerna i dataskyddsdirektivet. Dataskyddsdirektivet har i svensk rätt genomförts genom per- sonuppgiftslagen (1998:204). Syftet med personuppgiftslagen är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter (1 §). Med personuppgifter avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet (3 §). Lagen gäller för sådan behandling av personuppgifter som helt eller delvis är automatiserad, samt även annars om uppgifterna ingår i eller är avsedda att ingå i en struk- turerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (5 §). Med behand- ling av personuppgifter avses varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifterna (3 §). Personuppgiftslagen gäller för samtliga som är personuppgifts- ansvariga, vilket innebär att den är tillämplig både på enskild och offentlig verksamhet (se 3 och 4 §§ personuppgiftslagen). är således i sin verksamhet redan skyldig att följa bestäm- melserna i personuppgiftslagen. Gällande rätt motsvarar därmed enligt utredningens bedömning de krav som ställs i artikel 30e.2 led b om skydd för personuppgifter. Rätten till försvar med mera Enligt artikel 30e.2 led c ska det finnas lämpliga förfaranden för att säkerställa rätten till försvar och att bli hörd för den person mot vilken överträdelsen görs gällande innan beslut om denne fattas. Det ska också finnas en rätt att väcka talan inför domstol mot beslut eller åtgärder som rör honom eller henne. För Revisorsnämndens handläggning av ärenden gäller förvalt- ningslagen (1986:223). Genom dessa regler (se t.ex. 16, 17 och 22 §§ förvaltningslagen) har den person som ett ärende gäller rätt att ta del av de handlingar som läggs till grund för ett beslut mot honom eller henne, rätt att yttra sig över dessa och rätt att över- Tillsyn av revisorer och registrerade revisionsbolag Vidare gäller enligt 32 § revisorslagen att revisorn, om fråga om upphävande, varning eller erinran uppkommer, genom skriftlig underrättelse ska få tillfälle att yttra sig om det som anförs i ären- det. beslut enligt revisorslagen överklagas enligt 36 § revisorslagen till förvaltningsdomstol. De krav som ställs i den aktuella direktivbestämmelsen tillgodoses således av gällande rätt och fordrar inga författningsändringar. Interna förfaranden hos registrerade revisionsbolag för anställdas rapportering av överträdelser Medlemsstaterna ska enligt artikel 30e.3 i revisorsdirektivet se till att registrerade revisionsbolag inför lämpliga förfaranden för sina anställda så att de kan rapportera misstänkta eller faktiska över- trädelser av direktivet eller revisorsförordningen internt via en sär- skild kanal. I gällande rätt finns det inga föreskrifter som ålägger registrerade revisionsbolag att ha ett sådant rapporteringssystem. Bestämmelser om detta bör därför införas i revisorslagen.25 Det finns enligt revisorsdirektivet inte något särskilt krav på hur rapporteringssystemet ska vara organiserat, utan i artikel 30e.3 sägs endast att de förfaranden som inrättas ska vara ”lämpliga”. Enligt Datainspektionen kan system för visselblåsare till exempel bestå i särskilda rapporteringskanaler i form av en särskild e-postadress, telefontjänst eller webbplats genom vilken uppgifter samlas in och behandlas. I bolagskoncerner stannar uppgifterna inte alltid hos det bolag där den anmälde personen är anställd utan förs vidare inom koncernen.26 Även ICC (International Chamber of Commerce) anger i sina riktlinjer om system för visselblåsning att det kan vara fråga om ett muntligt rapporteringsförfarande och att det inte finns något krav på att systemet ska vara datoriserat eller liknande.27 När det gäller interna förfaranden för rapportering av över- trädelser hos revisionsbolagen ställs i revisorsdirektivet inget ut- 25Enligt en undersökning uppgav av de största börsbolagen i att de hade särskilda system för visselblåsare. Undersökningen avsåg de femtio största företagen på OMX Large Cap. Se SOU 2014:31 s. 186 som hänvisar till KPMG och Delphi (2011), Codes of Conduct in the Swedish Business Sector. 26Datainspektionen, Vägledning för bolag, Ansvaret för personuppgifter som hanteras i system för whistleblowing, s. 4. 27ICC , s. 4. Tillsyn av revisorer och registrerade revisionsbolag tryckligt krav, motsvarande det som enligt punkt 2 led b gäller för de behöriga myndigheterna, på att personuppgifter behandlas i enlig- het med de principer som anges i dataskyddsdirektivet. Om systemet för visselblåsare innebär en sådan automatiserad eller strukturerad behandling av personuppgifter som avses i personuppgiftslagen, krävs dock att systemet utformas i enlighet med den lagen. I detta sammanhang bör uppmärksammas att det enligt 21 § personupp- giftslagen är förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott. En uppgift om att någon har eller kan ha begått något visst brott utgör en uppgift om lagöverträdelse, oavsett om det finns någon dom eller motsvarande beslut i saken. Datainspektionen får enligt 9 § personuppgiftsförordningen (1998:1191) meddela undantag från det nämnda förbudet. Med stöd av den bestämmelsen har Datainspektionen meddelat före- skrifter om undantag från förbudet i 21 § personuppgiftslagen för bland annat uppgifter som rör visselblåsningssystem (se 2010:1 om ändring av 1998:3). Föreskrifterna innebär att de bolag som vill behandla personuppgifter i visselblåsningssystem inte längre behöver ansöka hos Datainspektionen om ett särskilt undantag från 21 § personuppgiftslagen. Utan hinder av förbudet i 21 § person- uppgiftslagen får sådana personuppgifter behandlas om uppgifterna avser personer i nyckelpositioner eller ledande ställning inom det egna bolaget eller koncernen och det är sakligt motiverat att be- handla uppgifterna i särskilt inrättade rapporteringskanaler för att utreda om personen ifråga varit delaktig i allvarliga oegentligheter som rör bokföring, intern bokföringskontroll, revision, mutor, brottslighet inom bank- och finansväsen, eller andra allvarliga oegent- ligheter som rör organisationens vitala intressen eller enskildas liv och hälsa. I personuppgiftslagen finns grundläggande krav som alltid måste följas för att personuppgifter ska få behandlas (se 9 §). Enligt Data- inspektionens vägledning för bolag28 innebär dessa krav när det gäller system för visselblåsare bland annat följande. 28 Datainspektionen, Vägledning för bolag, Ansvaret för personuppgifter som hanteras i system för whistleblowing. Tillsyn av revisorer och registrerade revisionsbolag •Behandlingen får inte vara i strid med svensk arbetsrättslig lagstiftning eller gällande kollektivavtal. •Behandlingen måste vara i enlighet med god sed på svensk arbetsmarknad. •Systemet måste inrättas på ett sådant sätt att det inte finns risk för att fler personuppgifter än vad som är nödvändigt eller rele- vant med hänsyn till ändamålet behandlas, eller att känsliga per- sonuppgifter behandlas i strid med personuppgiftslagen. Detta kan ske genom tydliga användarinstruktioner, utbildning, tek- niska begränsningar och tillräckliga säkerhetsåtgärder. •Uppgifter som samlas in och bevaras måste vara riktiga, adekvata och relevanta. Det innebär att bolaget skyndsamt kan behöva göra en första granskning och bedömning av de inkomna upp- gifterna. •Uppgifter får inte bevaras än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. En anmälan som befinns vara ogrundad bör tas bort . Om en anmälan leder till utredning bör uppgifterna tas bort när utredningen är avslutad eller, om utredningen leder till åtgärder mot den registrerade, när uppgifterna inte längre behövs för detta ändamål. Enligt utredningens mening bör bestämmelserna om rapporterings- system i revisorslagen utformas så att de möjliggör för revisions- bolaget att själv avgöra vilken typ av system som det ska inrätta. Därvid har bolaget att förhålla sig till personuppgiftslagen och Data- inspektionens föreskrifter. En erinran om detta bör införas i be- stämmelserna. 9.7Övervakning av kvalitet och konkurrens på marknaden Bedömning: bör ha huvudansvaret för den rapport om utvecklingen på marknaden för revisionstjänster som ska utarbetas enligt artikel 27 i revisorsförordningen. Även andra myndigheter, främst och Konkurrens- Tillsyn av revisorer och registrerade revisionsbolag verket, bör bidra med underlag till rapporten. I den mån detta anses kräva författningsreglering bör denna genomföras på för- ordningsnivå. Bestämmelserna om övervakning av kvalitet och konkurrens på marknaden införs genom revisorsförordningen och saknar mot- svarighet i revisorsdirektivet. I svensk rätt finns inga bestämmelser om att ansvarar för övervakning av kvalitet och konkurrens på marknaden. Genom artikel 27 i revisorsförordningen införs bestämmelser om övervakning av kvalitet och konkurrens på marknaden. Enligt artikeln ska de behöriga myndigheter som utsetts enligt artikel 20.1 och, om så är lämpligt, Europeiska konkurrensnätverket, regel- bundet följa utvecklingen på marknaden för lagstadgade revision av företag av allmänt intresse. Härvid ska särskilt följande faktorer bedömas. a)Risker till följd av stor förekomst av kvalitetsbrister hos en lag- stadgad revisor eller ett revisionsföretag, däribland systematiska brister inom ett nätverk av revisionsföretag, som kan leda till nedläggning av något revisionsföretag, störningar i tillhanda- hållandet av lagstadgad revision, såväl störningar inom en viss sektor som sektorsöverskridande störningar, ytterligare risk- ackumulering i fråga om brister i revisionen samt hur detta påverkar den allmänna stabiliteten inom finanssektorn. b)Marknadskoncentrationen, även inom specifika sektorer. c)Hur väl revisionsutskott utfört sitt arbete. Tillsyn av revisorer och registrerade revisionsbolag d)Behov av att vidta åtgärder för att minska de risker som avses i led a. Varje behörig myndighet och Europeiska konkurrensnätverket ska och därefter minst utarbeta en rapport om utvecklingen på marknaden för revisionstjänster till företag av allmänt intresse. Rapporten ska överlämnas till CEAOB (), (Authority), (Authority), Eiopa (Pensions Authority) och kommissionen. I samråd med CEAOB, , och ska därefter kommissionen utarbeta en gemen- sam rapport om utvecklingen på unionsnivå. Revisorsförordningens bestämmelser om övervakning av kvalitet och konkurrens på marknaden gäller direkt och ska inte införlivas i svensk rätt. är behörig myndighet för tillsyn av revisorer enligt revisorsförordningen. Nämnden bör därför ha huvudansvaret för den övervakning av kvalitet och konkurrens på marknaden som ska ske enligt artikel 27 i förordningen och för den rapport om utvecklingen på marknaden för revisionstjänster som ska utarbetas. Eftersom rapporten ska innehålla information och bedömningar även om sådant som revisionsutskottens arbete och marknadskoncentration bör dock även andra myndigheter, främst och , bidra med underlag till rapporten. I den mån detta anses kräva författningsreglering bör denna genomföras på förordningsnivå, till exempel genom före- skrifter i myndigheternas instruktioner. 9.8Tystnadsplikt och skydd av personuppgifter Bedömning: Svensk rätt är förenlig med direktivets bestäm- melser om tystnadsplikt. Bestämmelserna om tystnadsplikt och skydd av personuppgifter i revisorsförordningen kräver inga författningsändringar. Tillsyn av revisorer och registrerade revisionsbolag Regler om tystnadsplikt finns i artikel 36 i revisorsdirektivet. Enligt punkt 2 ska tystnadsplikt gälla för alla personer som är anställda eller före detta anställda vid behöriga myndigheter. Information som omfattas av tystnadsplikt får inte lämnas till andra personer eller myndigheter utom när det föreskrivs i lag eller annan författ- ning i en medlemsstat. I artikeln finns också bestämmelser om samarbete mellan myndigheter. Dessa frågor behandlas i avsnitt 11.5. I OSL finns regler om förbud att lämna ut allmänna handlingar och tystnadsplikt i det allmännas verksamhet. För Revisorsnämndens verksamhet finns de centrala sekretessbestämmelserna i 30 kap. 17 § OSL. Dessa bestämmelser har behandlats i avsnitt 9.3.4 ovan. Av 2 kap. OSL framgår vilka personer som omfattas av sekre- tessregleringen. Förbud att röja eller utnyttja en uppgift enligt OSL gäller enligt 2 kap. 1 § andra stycket för person som fått kännedom om uppgiften genom att för det allmännas räkning delta i en myn- dighets verksamhet på grund av anställning eller uppdrag hos myn- digheten, på grund av tjänsteplikt eller på annan liknande grund. Bestämmelser om skydd av personuppgifter finns i person- uppgiftslagen. Genom den lagen införlivas bestämmelserna i dataskyddsdirektiv.29 Artikel 36.2 i revisorsdirektivet har inte ändrats genom ändrings- direktivet. 29 Direktiv /46/EG. Tillsyn av revisorer och registrerade revisionsbolag Tystnadsplikt ska enligt artikel 22 i revisorsförordningen gälla för alla personer som är eller har varit anställda hos eller enskilt anlitade av eller som har medverkat i styrningen av behöriga myndigheter eller någon annan myndighet eller något annat organ till vilken uppgifter delegerats enligt artikel 24 i förordningen. Information som omfattas av tystnadsplikt får inte röjas för andra personer eller myndigheter utom när detta följer av de skyldigheter som föreskrivs i förordningen eller lagar, bestämmelser eller administrativa förfaran- den i en medlemsstat. Enligt artikel 35 i revisorsförordningen ska medlemsstaterna tillämpa direktiv /46/EG (dataskyddsdirektivet) på behandling av personuppgifter som utförs i medlemsstaterna i enlighet med förordningen. Vid genomförandet av revisorsdirektivet konstaterades att svensk rätt (reglerna i 1 kap. 6 § sekretesslagen [1980:100]) var förenlig med direktivets krav på tystnadsplikt.30 Den tidigare regleringen i sekretesslagen motsvaras av 2 kap. 1 § OSL. Svensk rätt får alltjämt anses förenlig med direktivets krav på tystnadsplikt. Reglerna om tystnadsplikt i artikel 22 i revisorsförordningen motsvaras av bestämmelser i gällande nationell rätt (2 kap. 1 § samt 30 kap. 17 och 23 §§ OSL). Tillämpningsområdet för reglerna i OSL är vidare än tillämpningsområdet för artikel 22 och det kan därför inte anses strida mot att behålla ifrågavarande nationell sekretessreglering. Dataskyddsdirektivet har införlivats i svensk rätt genom person- uppgiftslagen. Kravet i artikel 35 i revisorsförordningen på att be- handling av personuppgifter ska utföras i enlighet med det direk- tivet är därmed tillgodosett. 2008/09:135 s. 104 och SOU 2007:56 s. 272. I avsnittet behandlas de disciplinära åtgärder som kan vidtas mot revisorer och registrerade revisionsbolag som gjort sig skyldiga till överträdelser av de bestämmelser som gäller för dem. Revisors- direktivets bestämmelser om disciplinära åtgärder har genom änd- ringsdirektivet förändrats på ett genomgripande sätt. Bland annat har det införts en katalog som i detalj anger vilka åtgärder och sanktioner som behöriga myndigheter i medlemsstaterna åtminstone ska ha tillgång till. Bestämmelserna om åtgärder och sanktioner finns numera i artiklarna 30 och 30a–30f i revisorsdirektivet. Frågan berörs i viss mån också i artikel 23 i revisorsförordningen. I detta avsnitt behandlas de nämnda artiklarna, med undantag för arti- kel 30e i direktivet som redan har behandlats i avsnitt 9.6. Avsnittet inleds med utredningens överväganden när det gäller hur de nya sanktionerna förhåller sig till och EU:s rättighetsstadga. Därefter behandlas direktivets allmänna bestämmelser om system för utredningar och sanktioner samt de nya sanktioner som införts genom ändringsdirektivet. Sedan berörs direktivets bestämmelser om de omständigheter som ska beaktas vid beslut om disciplinära åtgärder, offentliggörande av disciplinära åtgärder samt överklagande av sanktionsbeslut. Avsnittet avslutas med regler om den information om disciplinära åtgärder som ska lämna till CEAOB. Bedömning: Utgångspunkten vid införlivandet i svensk rätt av de nya disciplinära åtgärder som införts i revisorsdirektivet bör vara att åtgärderna utformas på ett sådant sätt att de inte anses utgöra straff i mening. Inom ramen för tillsyn kan revisorer, registrera- de revisionsbolag och revisorer från tredjeland åläggas olika typer av disciplinära åtgärder. De svenska bestämmelserna om sådana åtgärder finns i 32–35 §§ revisorslagen.