Articolo a cura di: Redazione - Studio Legale Calvello
Quando un’azienda riceve una segnalazione whistleblowing, le prime decisioni incidono sull’intera gestione successiva. Occorre preservare la riservatezza delle persone coinvolte, individuare chi sia legittimato a prendere in carico la segnalazione, verificare se essa rientri nell’ambito del D.Lgs. 24/2023 e organizzare gli accertamenti senza compromettere documenti, dati o possibili elementi di prova. Una gestione improvvisata può creare problemi ulteriori proprio mentre l’impresa sta cercando di comprendere che cosa sia realmente accaduto.
Il punto di partenza, quindi, non è stabilire immediatamente se il segnalante abbia ragione o torto. Noi riteniamo necessario anzitutto mettere in sicurezza il processo di gestione della segnalazione: limitare la conoscenza delle informazioni ai soggetti autorizzati, rispettare gli adempimenti previsti per il canale interno e definire un’istruttoria proporzionata alla natura dei fatti rappresentati. Questo vale soprattutto quando la segnalazione riguarda amministratori, dirigenti, responsabili aziendali o condotte dalle quali possono derivare conseguenze disciplinari, societarie, penali, privacy o ai sensi del D.Lgs. 231/2001.
È arrivata una segnalazione whistleblowing: quali sono le prime attività da svolgere
La prima operazione consiste nel verificare come, quando e da chi la segnalazione sia stata ricevuta. Se è pervenuta attraverso il canale interno predisposto dall’azienda, deve essere presa in carico dal soggetto o dall’ufficio autonomo dedicato, oppure dal soggetto esterno al quale sia stata affidata la gestione. Se, invece, è arrivata a un destinatario diverso, per esempio a un amministratore, all’ufficio HR o attraverso un indirizzo e-mail non destinato al whistleblowing, occorre prestare particolare attenzione anche alle modalità con cui la comunicazione viene trasferita al soggetto competente, evitando un’ulteriore diffusione delle informazioni. Le segnalazioni ricevute fuori dai canali ufficiali richiedono infatti una valutazione specifica e non dovrebbero essere semplicemente trattate come una normale comunicazione aziendale.
Il D.Lgs. 24/2023 impone al gestore del canale interno di rilasciare alla persona segnalante avviso di ricevimento entro sette giorni dalla data di ricezione, salvo il caso in cui il segnalante abbia espressamente richiesto diversamente oppure l’avviso possa compromettere la protezione della sua identità. La gestione prosegue poi attraverso il mantenimento delle interlocuzioni con il segnalante, la possibilità di richiedere integrazioni quando necessarie, il diligente seguito della segnalazione e il successivo riscontro nei termini previsti dalla disciplina. Per questo è opportuno che l’impresa abbia un sistema capace di ricostruire con precisione la data di ricezione e le attività compiute. Le scadenze e i relativi adempimenti sono approfonditi nell’articolo sulle tempistiche nella gestione delle segnalazioni whistleblowing.
Nelle prime ore è altrettanto importante evitare una circolazione incontrollata della segnalazione. Inoltrare il messaggio a più dirigenti, discutere il contenuto in riunioni alle quali partecipano persone non necessarie oppure inserire la documentazione in cartelle aziendali accessibili a un numero ampio di utenti può compromettere la riservatezza richiesta dalla normativa. La tutela riguarda l’identità del segnalante, ma anche le informazioni dalle quali essa possa essere desunta direttamente o indirettamente. Analoga attenzione deve essere riservata alla persona segnalata e agli altri soggetti menzionati nella comunicazione.
Va poi verificato se quanto ricevuto costituisca effettivamente una segnalazione riconducibile alla disciplina whistleblowing. Una comunicazione proveniente da un dipendente non rientra automaticamente nel D.Lgs. 24/2023 solo perché denuncia un comportamento ritenuto scorretto. L’oggetto della segnalazione, il contesto nel quale le informazioni sono state acquisite e la natura dell’interesse coinvolto devono essere esaminati rispetto all’ambito applicativo della normativa. Questa valutazione iniziale evita sia di escludere impropriamente una segnalazione tutelata, sia di utilizzare il procedimento whistleblowing per controversie o rivendicazioni che devono essere gestite attraverso strumenti differenti.
La stessa cautela è necessaria quando la comunicazione è anonima. L’assenza del nominativo non giustifica, da sola, l’immediata archiviazione: contenuto, precisione dei fatti e possibilità di svolgere verifiche devono essere valutati concretamente. La questione richiede un esame distinto, che affrontiamo nell’approfondimento dedicato alle segnalazioni anonime e alla loro gestione.
Dalla presa in carico alla prima valutazione: come impostare correttamente l’istruttoria
Dopo avere assicurato la corretta presa in carico, il gestore deve comprendere quali accertamenti siano realmente necessari. La segnalazione può essere dettagliata e corredata da documenti oppure contenere indicazioni insufficienti, fatti molto risalenti, riferimenti generici o elementi che richiedono chiarimenti. Non esiste un modello di indagine identico per ogni caso: l’attività istruttoria deve essere calibrata sull’oggetto della segnalazione, sulle persone coinvolte, sulla documentazione disponibile e sui rischi derivanti da un intervento prematuro.
Quando possibile e necessario, il gestore può mantenere l’interlocuzione con il segnalante e chiedere informazioni integrative. Questo passaggio può servire, ad esempio, a individuare il periodo nel quale si sarebbero verificati i fatti, i soggetti presenti, i documenti richiamati o le circostanze che consentono di effettuare riscontri. La richiesta di chiarimenti non deve però trasformarsi in una pretesa di dimostrazione completa dell’illecito da parte del whistleblower: spetta alla gestione istruttoria stabilire quali verifiche siano appropriate rispetto agli elementi disponibili.
In presenza di fatti potenzialmente rilevanti, occorre anche valutare tempestivamente se esistano documenti o dati che rischiano di essere modificati, cancellati o dispersi. Contratti, registrazioni contabili, comunicazioni aziendali, log informatici, documenti societari o altri elementi possono assumere rilievo nell’accertamento. La loro conservazione deve però avvenire con modalità giuridicamente corrette: l’esistenza di una segnalazione whistleblowing non attribuisce all’azienda un potere indiscriminato di accedere alle e-mail dei lavoratori, ai dispositivi aziendali o a qualsiasi informazione personale. Gli eventuali controlli devono essere valutati anche alla luce della disciplina lavoristica e della protezione dei dati personali.
Il trattamento dei dati è particolarmente delicato perché una segnalazione può contenere informazioni relative al segnalante, alla persona cui viene attribuita la violazione, a testimoni e ad altri soggetti, comprese eventualmente categorie particolari di dati o informazioni relative a condanne penali e reati. Occorre quindi applicare criteri di necessità, pertinenza, sicurezza e limitazione degli accessi, evitando di raccogliere o conservare informazioni manifestamente non utili alla gestione dello specifico caso. La documentazione relativa alla segnalazione deve essere conservata per il tempo necessario alla sua trattazione e, secondo il D.Lgs. 24/2023, comunque non oltre cinque anni dalla comunicazione dell’esito finale della procedura.
Un altro passaggio che non dovrebbe essere rinviato riguarda la verifica di eventuali conflitti di interessi del gestore. Se la segnalazione coinvolge direttamente chi dovrebbe riceverla o istruirla, oppure soggetti ai quali il gestore risponde gerarchicamente in condizioni tali da comprometterne l’autonomia, continuare secondo il normale flusso interno può essere inadeguato. La questione diventa ancora più delicata quando vengono chiamati in causa amministratori o componenti del vertice societario; in tali situazioni occorre individuare il percorso coerente con la struttura organizzativa e con le regole adottate dall’impresa. Il tema è esaminato specificamente nell’approfondimento su chi deve intervenire quando una segnalazione riguarda il management.
Quando i fatti sono complessi, coinvolgono più funzioni aziendali o presentano possibili implicazioni disciplinari, penali, societarie, privacy o 231, può essere necessario definire prima dell’avvio degli accertamenti chi debba svolgere l’indagine interna e con quali limiti. Coinvolgere immediatamente molte funzioni aziendali non rende necessariamente l’istruttoria più efficace e può aumentare il numero di persone che vengono a conoscenza di informazioni riservate. In determinati casi l’impresa può valutare l’intervento di un professionista esterno, mantenendo separati il governo della segnalazione, gli approfondimenti tecnici eventualmente necessari e le successive decisioni di competenza degli organi aziendali.
È proprio nella fase iniziale che una procedura predisposta solo formalmente mostra spesso i propri limiti. Avere una piattaforma non significa avere organizzato la gestione del caso concreto: devono essere chiari competenze, accessi, sostituzioni in caso di conflitto, modalità di documentazione e criteri per gli accertamenti. Per una visione complessiva del sistema abbiamo dedicato un approfondimento alla gestione del whistleblowing in azienda, mentre quando l’impresa non dispone internamente di competenze o autonomia sufficienti può essere valutata anche la gestione affidata a un soggetto esterno.
Riservatezza, conflitti di interesse e rischi: cosa deve controllare l’azienda durante la gestione
Una volta avviata l’istruttoria, il problema non consiste soltanto nell’accertare se i fatti segnalati siano fondati. L’azienda deve evitare che le modalità utilizzate per verificarli producano a loro volta violazioni. Il D.Lgs. 24/2023 tutela la riservatezza dell’identità della persona segnalante e delle informazioni dalle quali tale identità possa essere ricavata, direttamente o indirettamente. Ne deriva che ogni accesso alla segnalazione deve essere giustificato dalle effettive necessità di gestione: la semplice posizione gerarchica di un amministratore, dirigente o responsabile di funzione non comporta automaticamente la necessità di conoscere l’identità del whistleblower.
Questo criterio incide concretamente sull’organizzazione dell’indagine. Se occorre chiedere informazioni all’ufficio HR, all’IT, all’amministrazione o ad altre funzioni aziendali, è opportuno valutare quali dati debbano essere effettivamente comunicati per consentire l’accertamento. In molti casi è possibile richiedere documenti o verifiche senza trasmettere l’intero contenuto della segnalazione e senza rivelare chi l’ha presentata. La riservatezza deve essere considerata anche quando si redigono verbali, relazioni istruttorie, comunicazioni interne e documenti destinati agli organi societari.
Particolare attenzione richiedono le segnalazioni che coinvolgono soggetti collocati ai vertici dell’organizzazione. Se il fatto riguarda il titolare dell’impresa, un amministratore, un dirigente o lo stesso soggetto incaricato della gestione del canale, occorre verificare immediatamente se il procedimento ordinario previsto dall’azienda sia ancora utilizzabile. Proseguire automaticamente attraverso una linea gerarchica interessata dai fatti può compromettere l’autonomia della gestione. Nei casi che coinvolgono direttamente il vertice, abbiamo dedicato uno specifico approfondimento alle segnalazioni whistleblowing contro il titolare e alla loro gestione.
Durante gli accertamenti deve essere tutelata anche la posizione della persona segnalata. Ricevere una segnalazione non equivale ad avere accertato una responsabilità. L’impresa deve distinguere tra quanto viene affermato dal segnalante, gli elementi successivamente verificati e le conclusioni che possono essere tratte dall’istruttoria. Questo assume particolare rilievo quando dalle verifiche potrebbero derivare contestazioni disciplinari, iniziative giudiziarie o altre conseguenze nei confronti delle persone coinvolte.
Un ulteriore profilo riguarda il divieto di ritorsione. Dopo la ricezione della segnalazione, decisioni relative al rapporto di lavoro del segnalante possono assumere particolare rilevanza e devono essere gestite con attenzione. Ciò non significa che il lavoratore che abbia effettuato una segnalazione diventi sottratto alle ordinarie regole aziendali, ma eventuali licenziamenti, sospensioni, trasferimenti, mutamenti di funzioni, provvedimenti disciplinari o altre misure sfavorevoli non possono avere carattere ritorsivo nei casi e alle condizioni previste dalla disciplina whistleblowing. È quindi opportuno che chi assume decisioni organizzative o disciplinari disponga degli elementi necessari per valutarne correttamente presupposti e motivazioni, senza ampliare inutilmente la conoscenza delle informazioni riservate.
La gestione deve essere documentata in modo coerente. Data di ricezione, avviso al segnalante, eventuali richieste di integrazione, verifiche compiute, documenti acquisiti e decisioni sull’ulteriore seguito devono poter essere ricostruiti. Questa tracciabilità non richiede di accumulare indiscriminatamente informazioni: il D.Lgs. 24/2023 prevede che le segnalazioni e la relativa documentazione siano conservate per il tempo necessario al trattamento e comunque non oltre cinque anni dalla comunicazione dell’esito finale della procedura, nel rispetto degli obblighi di riservatezza e della disciplina sulla protezione dei dati personali.
Quando dall’istruttoria emergono elementi che possono avere rilievo sotto profili diversi, occorre infine stabilire come coordinare il whistleblowing con gli altri procedimenti aziendali. Una segnalazione può far emergere, per esempio, una possibile violazione del modello organizzativo 231, un problema relativo al trattamento dei dati personali, una condotta disciplinarmente rilevante oppure fatti suscettibili di assumere rilievo penale. Il canale whistleblowing non sostituisce gli strumenti giuridici necessari per affrontare queste conseguenze: serve quindi una valutazione del caso concreto per stabilire quali funzioni od organi debbano essere coinvolti, quali informazioni possano essere condivise e quali iniziative debbano essere adottate.
Un caso pratico: la segnalazione arriva e l’azienda deve decidere subito chi può occuparsene
Consideriamo, a titolo esemplificativo e in forma anonimizzata, il caso di una società che riceve attraverso il proprio canale interno una segnalazione relativa a presunte irregolarità nella gestione di alcuni rapporti con fornitori. La comunicazione contiene riferimenti a documenti aziendali e coinvolge un responsabile che, per posizione organizzativa, avrebbe normalmente partecipato ad alcune delle verifiche necessarie.
Il primo problema non è stato stabilire immediatamente se le accuse fossero fondate, ma evitare che la segnalazione venisse fatta circolare tra le funzioni coinvolte prima di avere definito il perimetro dell’istruttoria. È stata quindi esaminata la procedura interna, individuati i soggetti che potevano accedere alle informazioni e valutata la posizione delle persone menzionate. Gli accertamenti documentali sono stati organizzati limitando le richieste alle informazioni effettivamente necessarie e senza comunicare a soggetti estranei all’istruttoria elementi idonei a rivelare l’identità del segnalante.
L’aspetto che ha richiesto maggiore attenzione è stato il coordinamento tra la necessità di acquisire documentazione presso le funzioni aziendali e quella di preservare la riservatezza della segnalazione. La gestione è stata quindi strutturata distinguendo la presa in carico del whistleblowing dalle attività tecniche necessarie per verificare i fatti e dalle eventuali decisioni successive degli organi competenti. Un’impostazione di questo tipo consente all’impresa di affrontare l’accertamento sulla base degli elementi effettivamente disponibili, senza anticipare conclusioni sulla responsabilità delle persone coinvolte e senza trasformare la segnalazione in una comunicazione interna indiscriminatamente accessibile.
Domande frequenti sulla gestione immediata di una segnalazione whistleblowing
Chi deve prendere in carico la segnalazione appena ricevuta?
La segnalazione deve essere gestita dal soggetto o dall’ufficio interno autonomo dedicato oppure dal soggetto esterno al quale l’azienda ha affidato la gestione del canale, secondo quanto previsto dal D.Lgs. 24/2023 e dalla procedura adottata. Se la comunicazione arriva a una persona diversa dal gestore competente, occorre evitare inoltri indiscriminati e verificare come trasferirla correttamente, preservando la riservatezza delle informazioni e dell’identità del segnalante.
L’azienda deve iniziare immediatamente un’indagine interna?
Non necessariamente. Prima di avviare accertamenti occorre esaminare il contenuto della segnalazione, verificarne l’ambito, valutare gli elementi disponibili e stabilire quali approfondimenti siano effettivamente necessari. In alcuni casi può essere opportuno chiedere integrazioni al segnalante; in altri può essere necessario preservare tempestivamente documenti o dati che potrebbero assumere rilievo. L’istruttoria deve essere proporzionata al caso concreto e organizzata senza coinvolgere persone che non abbiano necessità di conoscere la segnalazione.
Cosa fare se la segnalazione riguarda proprio chi dovrebbe gestirla?
Un possibile conflitto di interessi deve essere affrontato prima di proseguire con l’istruttoria. La soluzione dipende dalla struttura dell’impresa, dalla procedura adottata e dal soggetto coinvolto. Quando il gestore, il management o altri soggetti normalmente destinatari delle informazioni sono interessati direttamente dai fatti segnalati, può rendersi necessario individuare un diverso percorso di gestione che assicuri autonomia e riservatezza, valutando anche l’intervento di un professionista esterno.
Si può comunicare subito la segnalazione alla persona accusata?
Non dovrebbe essere effettuata una comunicazione automatica e immediata senza avere prima valutato il caso. Occorre contemperare la tutela della riservatezza prevista dalla disciplina whistleblowing, le esigenze dell’istruttoria, la protezione dei dati personali e i diritti della persona coinvolta. Tempi e modalità con cui quest’ultima viene eventualmente interessata dagli accertamenti dipendono dalla natura dei fatti e dalle attività necessarie per verificarli.
Cosa succede se l’azienda gestisce male la segnalazione?
Le conseguenze dipendono dalla violazione concretamente commessa. Il D.Lgs. 24/2023 prevede un sistema sanzionatorio affidato all’ANAC per specifiche violazioni, tra cui quelle relative alla gestione delle segnalazioni e all’adozione dei canali e delle procedure previste dalla legge. A seconda dei fatti possono inoltre assumere rilievo la disciplina sulla protezione dei dati personali, quella lavoristica e altre responsabilità. Per questo un errore non deve essere automaticamente qualificato come fonte certa di sanzione, ma va esaminato considerando la condotta tenuta dall’impresa e il quadro normativo applicabile.
Avete ricevuto una segnalazione whistleblowing e dovete decidere come procedere?
Quando la segnalazione è già arrivata, le prime attività possono condizionare l’istruttoria successiva. Occorre verificare chi possa prenderla in carico, quali termini debbano essere rispettati, quali informazioni possano essere condivise, come preservare la riservatezza e se esistano conflitti di interesse o fatti che richiedano accertamenti specifici. Nei casi più delicati, improvvisare il procedimento dopo la ricezione della segnalazione può rendere più difficile correggere successivamente gli errori commessi nella fase iniziale.
Noi assistiamo le imprese nella valutazione e nella gestione delle segnalazioni whistleblowing, compresa l’organizzazione dell’istruttoria e la gestione esterna quando risulti appropriata rispetto alla struttura e alle esigenze dell’azienda. Attraverso la pagina dedicata al whistleblowing per aziende e alla gestione esterna delle segnalazioni è possibile richiedere una valutazione descrivendo il caso e le principali criticità già emerse.
