Articolo a cura di: Redazione - Studio Legale Calvello

Quando un’azienda non dispone di un ufficio HR strutturato, una segnalazione whistleblowing può creare un problema organizzativo immediato: chi deve riceverla, chi può conoscerne il contenuto, chi svolge gli accertamenti e come si evita che informazioni riservate circolino tra persone che non dovrebbero avervi accesso? Nelle PMI e nelle imprese con una struttura amministrativa ridotta questi interrogativi diventano particolarmente delicati quando la segnalazione riguarda un dirigente, un amministratore, il titolare o una persona che normalmente gestisce il personale.

Il D.Lgs. 24/2023 non impone all’impresa di creare un ufficio risorse umane per gestire il whistleblowing. Impone invece, nei casi in cui la disciplina trova applicazione, di organizzare un canale interno e una gestione delle segnalazioni coerenti con i requisiti previsti dalla normativa. La mancanza di una funzione HR dedicata, quindi, non costituisce di per sé un’irregolarità, ma può rendere più difficile assicurare autonomia del gestore, riservatezza, corretta istruttoria, protezione dei dati personali e gestione dei possibili conflitti di interesse.

Per un’impresa poco strutturata il punto non è replicare l’organizzazione di una grande società, ma costruire un sistema proporzionato alla propria realtà. In alcuni casi può essere sufficiente individuare e formare adeguatamente una funzione interna; in altri, soprattutto quando le persone potenzialmente coinvolte nelle segnalazioni coincidono con quelle che dovrebbero gestirle, può essere opportuno valutare un gestore esterno delle segnalazioni whistleblowing.

Perché l’assenza di un HR strutturato può complicare la gestione delle segnalazioni

In una piccola o media impresa le funzioni aziendali sono spesso concentrate. La stessa persona può occuparsi di amministrazione del personale, rapporti con i dipendenti e fornitori, gestione documentale e comunicazioni con la direzione. Questa organizzazione può funzionare nell’attività ordinaria, ma diventa più problematica quando arriva una segnalazione che richiede riservatezza e accertamenti indipendenti.

La disciplina sul whistleblowing richiede che la gestione del canale sia affidata a una persona o a un ufficio interno autonomo e con personale specificamente formato oppure a un soggetto esterno autonomo e specificamente formato. La scelta del gestore non dovrebbe quindi essere effettuata semplicemente individuando la persona che abitualmente si occupa dei dipendenti. Occorre verificare se quella persona possa concretamente operare con l’autonomia necessaria e senza interferenze o conflitti rispetto ai fatti che potrebbero essere segnalati.

Il problema emerge con particolare chiarezza quando l’azienda ha pochi livelli gerarchici. Immaginiamo una società nella quale le questioni relative al personale siano gestite direttamente dall’amministratore insieme a un’impiegata amministrativa. Se la segnalazione riguarda proprio l’amministratore, affidargli direttamente la pratica renderebbe evidente il problema. Anche attribuirla automaticamente all’impiegata potrebbe però essere inadeguato se quest’ultima dipende gerarchicamente dalla persona segnalata, non possiede una formazione specifica o non dispone di strumenti che consentano di mantenere separata la documentazione.

La criticità non riguarda soltanto le segnalazioni contro i vertici. Una segnalazione può contenere dati personali, informazioni commerciali, documentazione interna, accuse nei confronti di dipendenti o dirigenti e riferimenti a soggetti terzi. Una gestione improvvisata attraverso caselle email condivise, inoltri interni o documenti accessibili a più persone può compromettere la riservatezza prevista dalla disciplina e creare ulteriori problemi sotto il profilo della protezione dei dati personali.

Un altro errore frequente consiste nel confondere la disponibilità di una piattaforma con la gestione del whistleblowing. Il canale attraverso il quale arriva la segnalazione e l’attività del soggetto che deve valutarla sono due profili distinti. Un software può contribuire a proteggere le comunicazioni e a organizzare gli accessi, ma non decide se una segnalazione rientri nell’ambito della disciplina, quali approfondimenti siano necessari, come affrontare un conflitto di interessi o quale seguito debba essere dato ai fatti rappresentati.

Per questo, quando l’azienda non dispone di personale dedicato, è utile definire preventivamente chi riceve le segnalazioni, chi può accedervi, come viene gestita l’eventuale assenza o incompatibilità del gestore e quali passaggi devono essere seguiti durante l’istruttoria. Una corretta organizzazione del whistleblowing aziendale deve funzionare anche quando la segnalazione riguarda proprio una delle persone che normalmente assumono le decisioni all’interno dell’impresa.

Chi può gestire il whistleblowing quando l’azienda non ha un ufficio HR

L’assenza di un responsabile HR non significa che il titolare o l’amministratore debbano necessariamente diventare gestori delle segnalazioni. Nel settore privato l’organizzazione deve essere costruita tenendo conto delle dimensioni dell’impresa, della struttura societaria, delle funzioni esistenti e soprattutto della capacità del soggetto individuato di operare con autonomia e con una preparazione adeguata.

La gestione può essere affidata internamente quando esiste una persona o una funzione che presenti caratteristiche compatibili con l’incarico. Prima della nomina occorre però verificare concretamente la posizione ricoperta, i rapporti gerarchici, le altre funzioni esercitate e le possibili situazioni nelle quali quella persona potrebbe trovarsi coinvolta nei fatti segnalati. Attribuire formalmente l’incarico non risolve un conflitto di interessi che deriva dall’organizzazione effettiva dell’impresa.

Le Linee Guida ANAC sui canali interni dedicano specifica attenzione al gestore, alla sua attività, alla formazione e alle situazioni di conflitto di interessi. Per un’azienda senza HR strutturato questo significa che la procedura dovrebbe prevedere anche cosa accade quando il gestore ordinario è la persona segnalata, è gerarchicamente dipendente dal soggetto coinvolto oppure presenta un’altra situazione che ne compromette l’imparzialità.

Una possibilità prevista dalla disciplina è affidare la gestione a un soggetto esterno. L’esternalizzazione può risultare particolarmente adatta alle PMI nelle quali non esista una funzione sufficientemente separata dalla direzione o nelle quali il numero ridotto di persone renda difficile mantenere la necessaria riservatezza. Il problema della gestione del whistleblowing nelle PMI prive di un ufficio legale presenta, sotto questo profilo, molte analogie con quello delle aziende prive di una funzione HR dedicata.

Affidare il servizio all’esterno non significa però limitarsi ad acquistare una piattaforma. Occorre definire l’incarico del gestore, le modalità con cui riceverà e tratterà le segnalazioni, le interlocuzioni con il segnalante, i rapporti con l’impresa e le procedure da utilizzare quando siano necessari approfondimenti. Devono essere disciplinati anche gli accessi ai dati e alla documentazione, i tempi di conservazione e il coordinamento con gli altri soggetti che, in base al caso concreto, possono essere chiamati a intervenire.

Particolare attenzione merita poi l’ipotesi nella quale una segnalazione non arrivi attraverso il canale predisposto, ma venga comunicata direttamente all’amministratore, a un responsabile o a un dipendente. In una struttura poco organizzata il rischio è che il destinatario inizi autonomamente a verificare i fatti, inoltri il messaggio ad altre persone o convochi immediatamente il soggetto coinvolto. La procedura aziendale deve invece consentire di riconoscere la situazione e di indirizzarla correttamente al soggetto competente, preservando le tutele applicabili. Per questo abbiamo dedicato un approfondimento specifico alle segnalazioni whistleblowing ricevute fuori dai canali ufficiali.

La soluzione organizzativa deve quindi essere valutata prima che arrivi il caso problematico. Quando la segnalazione è già stata ricevuta, soprattutto se coinvolge il management o contiene accuse potenzialmente rilevanti, modificare ruoli e accessi mentre l’istruttoria è in corso diventa più complesso. In un’azienda senza HR strutturato, predisporre preventivamente un gestore effettivamente autonomo e una procedura utilizzabile anche nelle situazioni di conflitto consente di evitare che la gestione dipenda dall’improvvisazione del momento.

Riservatezza, conflitti di interesse e istruttoria: dove aumentano i rischi per l’azienda

Una volta ricevuta la segnalazione, l’azienda deve evitare che la gestione diventi una normale pratica interna affidata informalmente a chi, in quel momento, sembra più adatto. Il D.Lgs. 24/2023 disciplina in modo specifico la tutela della riservatezza dell’identità del segnalante, delle persone coinvolte e degli altri soggetti menzionati nella segnalazione. A questo si aggiungono gli obblighi derivanti dalla normativa sulla protezione dei dati personali. In un’impresa senza HR strutturato, dove documenti, email e informazioni possono essere normalmente condivisi tra poche persone, la separazione degli accessi diventa uno dei primi aspetti da organizzare correttamente.

Il gestore deve anzitutto verificare la segnalazione ricevuta e darle seguito secondo la procedura applicabile, mantenendo le interlocuzioni con il segnalante e svolgendo gli approfondimenti necessari. Questo non significa che ogni segnalazione debba automaticamente trasformarsi in una complessa indagine interna. Occorre valutare il contenuto, la sua riconducibilità all’ambito della disciplina whistleblowing, gli elementi disponibili e gli eventuali accertamenti necessari. È proprio in questa fase che l’assenza di personale con esperienza specifica può portare a decisioni premature: archiviare troppo rapidamente, coinvolgere un numero eccessivo di persone oppure, all’opposto, avviare verifiche invasive senza averne prima valutato necessità e proporzionalità.

Anche le tempistiche devono essere presidiate. La disciplina prevede, tra gli altri adempimenti, l’avviso di ricevimento della segnalazione entro sette giorni dalla sua ricezione e un riscontro entro tre mesi secondo i termini stabiliti dal D.Lgs. 24/2023. L’azienda deve quindi disporre di un sistema che permetta di seguire la pratica anche quando il gestore è assente o quando gli accertamenti richiedono il coinvolgimento di altre competenze. Abbiamo approfondito separatamente le tempistiche nella gestione delle segnalazioni whistleblowing, proprio perché il rispetto delle scadenze deve essere integrato nel processo organizzativo e non affidato alla memoria del singolo incaricato.

Un ulteriore problema riguarda il conflitto di interessi. Nelle aziende con pochi responsabili è più probabile che il gestore abbia rapporti professionali diretti con la persona segnalata oppure che quest’ultima appartenga alla direzione dalla quale il gestore dipende. La procedura deve considerare questa eventualità prima che si verifichi. Se, ad esempio, una segnalazione riguarda il management, occorre evitare che proprio il soggetto coinvolto possa decidere chi debba conoscere la segnalazione, quali documenti possano essere acquisiti o se gli accertamenti debbano proseguire. La gestione delle segnalazioni che riguardano il management richiede quindi una verifica specifica dell’assetto organizzativo e delle possibili incompatibilità.

La riservatezza deve essere mantenuta anche durante gli accertamenti. Se per verificare i fatti è necessario acquisire documenti, esaminare comunicazioni aziendali o sentire alcuni dipendenti, non è corretto diffondere integralmente la segnalazione a tutti i soggetti coinvolti nell’istruttoria. Devono essere condivise soltanto le informazioni effettivamente necessarie per l’attività da svolgere, valutando anche le regole applicabili al trattamento dei dati dei lavoratori e all’utilizzo degli strumenti aziendali. L’esigenza di verificare una segnalazione non rende automaticamente lecita qualsiasi forma di accesso a email, dispositivi, archivi o informazioni personali.

Gli errori organizzativi possono incidere contemporaneamente su più piani: corretta gestione del canale whistleblowing, tutela della riservatezza, trattamento dei dati personali e rapporti di lavoro. Per questo una società priva di una funzione HR strutturata dovrebbe definire almeno il percorso della segnalazione, i soggetti autorizzati ad accedere alle informazioni, le modalità di gestione dell’eventuale conflitto di interessi, la conservazione della documentazione e il coordinamento con eventuali professionisti chiamati a svolgere approfondimenti specifici. Non si tratta di moltiplicare procedure e documenti, ma di evitare che le decisioni più delicate vengano prese soltanto dopo l’arrivo della segnalazione.

Un caso pratico: la segnalazione arriva in una PMI senza un responsabile HR

Consideriamo, a titolo di esempio realistico e anonimizzato, una PMI nella quale la gestione del personale è ripartita tra amministrazione e direzione e non esiste un responsabile HR dedicato. L’azienda ha predisposto il proprio canale interno, ma la procedura non disciplina in modo sufficientemente preciso cosa accade quando una segnalazione riguarda una persona appartenente alla direzione.

Arriva una segnalazione relativa al comportamento di un dirigente. Il primo problema non consiste ancora nello stabilire se le accuse siano fondate, ma nel decidere chi possa gestire la pratica senza compromettere riservatezza e autonomia dell’istruttoria. Alcune delle persone che normalmente si occupano dei dipendenti lavorano direttamente con il dirigente segnalato e coinvolgerle indistintamente esporrebbe l’azienda al rischio di una circolazione non necessaria delle informazioni.

L’intervento professionale, in una situazione di questo tipo, parte dalla verifica del canale e della procedura esistente, dall’individuazione dei soggetti che possono legittimamente trattare le informazioni e dalla valutazione delle possibili situazioni di conflitto. Si definiscono quindi le modalità con cui proseguire l’istruttoria, quali informazioni siano effettivamente necessarie e come documentare le attività svolte, senza trasformare la segnalazione in una comunicazione generalizzata alla direzione o al personale amministrativo.

L’elemento più delicato è mantenere separata la gestione della segnalazione dalle normali dinamiche gerarchiche dell’impresa. Parallelamente alla singola pratica, la procedura può essere riorganizzata prevedendo con maggiore precisione il soggetto competente e una soluzione alternativa per i casi di incompatibilità. In questo modo l’azienda dispone di un percorso definito anche per le segnalazioni successive, senza dover stabilire ogni volta chi debba intervenire dopo che il problema si è già manifestato.

FAQ sulla gestione delle segnalazioni nelle aziende senza HR strutturato

Un’azienda senza ufficio HR può gestire internamente il whistleblowing?

Sì. L’assenza di un ufficio HR non comporta automaticamente la necessità di affidare all’esterno la gestione delle segnalazioni. Occorre però verificare se nell’organizzazione esista una persona o un ufficio interno autonomo, con personale specificamente formato, al quale affidare la gestione del canale. La valutazione deve considerare anche le altre funzioni esercitate dal soggetto individuato e i possibili conflitti di interesse.

È possibile affidare la gestione delle segnalazioni a un soggetto esterno?

Sì. Il D.Lgs. 24/2023 consente di affidare la gestione del canale interno a un soggetto esterno, purché autonomo e specificamente formato. Per un’impresa senza una funzione HR o compliance strutturata, questa possibilità può essere valutata quando l’organizzazione interna non consente di assicurare adeguatamente autonomia, competenza e riservatezza. La scelta deve comunque essere effettuata considerando la struttura concreta dell’azienda e le modalità con cui il servizio esterno viene organizzato.

Cosa succede se la segnalazione riguarda proprio la persona incaricata di gestirla?

È una situazione che dovrebbe essere prevista nella procedura aziendale. Occorre evitare che il soggetto coinvolto nei fatti segnalati possa accedere alla pratica o determinarne la gestione. Per questo è opportuno individuare preventivamente un meccanismo alternativo applicabile in caso di conflitto di interessi, anziché cercare una soluzione soltanto dopo aver ricevuto la segnalazione.

Una piattaforma whistleblowing risolve il problema della mancanza di personale dedicato?

No. La piattaforma costituisce uno strumento attraverso il quale può essere organizzato il canale di segnalazione, ma non sostituisce l’attività del gestore. Dopo la ricezione occorre valutare la segnalazione, mantenere le interlocuzioni necessarie, svolgere o coordinare gli approfondimenti pertinenti e dare seguito alla pratica nel rispetto della normativa. Software e gestione professionale della segnalazione rispondono quindi a esigenze differenti.

Cosa dovrebbe fare un’azienda che ha già ricevuto una segnalazione e non dispone di un HR strutturato?

Prima di far circolare la segnalazione tra amministratori, responsabili o dipendenti, è opportuno verificare chi sia il gestore individuato dalla procedura, chi possa accedere legittimamente alle informazioni e se esistano conflitti di interesse. Se l’assetto esistente non consente una gestione adeguata, la situazione deve essere valutata tempestivamente, tenendo conto anche delle scadenze previste per la gestione della segnalazione. Un riferimento operativo sui primi adempimenti è disponibile nell’approfondimento dedicato a cosa fare dopo aver ricevuto una segnalazione whistleblowing.

Gestire il whistleblowing senza un ufficio HR: richiedi una valutazione

Quando l’azienda non dispone di una funzione HR strutturata, la gestione del whistleblowing deve essere costruita sulla sua organizzazione effettiva. Dimensioni dell’impresa, distribuzione delle responsabilità, rapporti gerarchici, possibili conflitti di interesse e modalità di accesso alle informazioni incidono sulla scelta tra gestione interna ed esterna e sulle procedure necessarie per trattare correttamente le segnalazioni.

Se l’impresa deve organizzare il canale, verificare una procedura già esistente, individuare un gestore esterno oppure ha già ricevuto una segnalazione e deve stabilire come procedere, possiamo esaminare la situazione concreta e individuare le modalità di intervento coerenti con la struttura aziendale e con gli obblighi applicabili.

Per sottoporre il caso allo Studio è possibile richiedere una valutazione sulla gestione del whistleblowing aziendale e delle segnalazioni attraverso il modulo dedicato.