Articolo a cura di: Redazione - Studio Legale Calvello

Un servizio whistleblowing per aziende deve consentire di ricevere e gestire le segnalazioni di violazioni attraverso un canale riservato, una procedura conforme alla normativa e un soggetto incaricato di svolgere le necessarie verifiche. Per le imprese soggette al D.Lgs. 24/2023, acquistare una piattaforma informatica non è sufficiente: occorre organizzare concretamente la gestione delle segnalazioni, rispettare i termini previsti dalla legge e proteggere l’identità delle persone coinvolte.

Il problema riguarda sia le società che devono istituire il proprio sistema whistleblowing sia quelle che hanno già attivato un canale, ma non hanno definito adeguatamente responsabilità, modalità di istruttoria e misure di riservatezza. Una gestione incompleta può esporre l’impresa a contestazioni e sanzioni, soprattutto quando una segnalazione viene ignorata, trattata da persone non autorizzate oppure gestita senza rispettare le garanzie previste dalla normativa. In queste situazioni può essere opportuno ricorrere a un servizio professionale che comprenda l’organizzazione del canale, la predisposizione della procedura e l’assistenza nella gestione delle segnalazioni.

Servizio whistleblowing aziendale: perché il solo canale di segnalazione non basta

Il D.Lgs. 24/2023 disciplina la protezione delle persone che segnalano determinate violazioni di disposizioni nazionali o dell’Unione europea delle quali siano venute a conoscenza nel contesto lavorativo. Per i soggetti del settore privato, l’obbligo di istituire un canale interno dipende dai requisiti previsti dall’art. 2, comma 1, lettera q), del decreto, tra cui, secondo i casi, la consistenza dell’organico, l’appartenenza a determinati settori e l’adozione di un Modello organizzativo 231.

Per le aziende interessate, il primo problema operativo consiste nel distinguere l’attivazione dello strumento di segnalazione dall’organizzazione del servizio che deve gestirlo. Una piattaforma può consentire al dipendente o al collaboratore di trasmettere una comunicazione riservata, ma non può sostituire la valutazione giuridica del suo contenuto, l’eventuale istruttoria e le decisioni conseguenti. L’impresa deve quindi individuare chi riceve le segnalazioni, chi può accedere alle informazioni, quali verifiche devono essere svolte e come documentare le attività effettuate.

Il sistema deve consentire segnalazioni in forma scritta e orale, secondo le modalità previste dall’art. 4 del D.Lgs. 24/2023, assicurando la riservatezza dell’identità del segnalante, della persona coinvolta, degli altri soggetti menzionati e del contenuto della segnalazione. Occorre anche disciplinare le richieste di incontro diretto, la gestione dei documenti allegati e le comunicazioni con il segnalante. La semplice disponibilità di un indirizzo email aziendale non dimostra, da sola, il rispetto di tali requisiti, soprattutto quando la casella è accessibile a più dipendenti o non assicura un’adeguata separazione delle informazioni.

Un’altra criticità frequente riguarda l’assenza di una procedura effettivamente conosciuta dal personale. Il canale può essere tecnicamente funzionante, ma risultare inutilizzato o utilizzato impropriamente perché dipendenti e collaboratori non sanno quali violazioni segnalare, come accedere al sistema o quali garanzie siano previste. Le informazioni devono essere chiare e facilmente accessibili, anche ai soggetti esterni che intrattengono rapporti con l’organizzazione, secondo quanto richiesto dalla normativa.

Per le imprese che non dispongono di un ufficio legale o di una funzione compliance strutturata, il problema è particolarmente concreto. Affidare informalmente le segnalazioni al responsabile HR, all’amministratore o a un dirigente può determinare difficoltà nella gestione della riservatezza e potenziali conflitti di interessi. La scelta del soggetto incaricato deve invece considerare autonomia, competenze, formazione e posizione effettiva nell’organizzazione.

La disciplina applicabile e le caratteristiche del sistema devono essere verificate in relazione alla singola impresa. Per approfondire il quadro generale degli adempimenti è disponibile la nostra guida al whistleblowing aziendale, agli obblighi e ai rischi legali. Quando l’obbligo è già stato accertato, la questione diventa organizzare un servizio capace di funzionare anche nel momento in cui arriva una segnalazione delicata.

Come organizzare il canale interno, la procedura e il servizio di gestione delle segnalazioni

L’organizzazione di un servizio whistleblowing richiede anzitutto una valutazione della struttura aziendale. Dimensioni dell’impresa, distribuzione delle responsabilità, presenza di più sedi, eventuale Modello 231 e disponibilità di personale adeguatamente formato incidono sulla scelta delle modalità operative. Il canale interno può essere gestito da una persona o da un ufficio interno autonomo e specificamente formato, oppure da un soggetto esterno dotato dei medesimi requisiti, secondo quanto previsto dall’art. 4 del D.Lgs. 24/2023.

La procedura whistleblowing aziendale deve disciplinare l’intero percorso della segnalazione. Occorre stabilire le modalità di ricezione e protocollazione riservata, i criteri per valutarne l’ammissibilità, le attività di approfondimento, i rapporti con le funzioni aziendali eventualmente coinvolte e le condizioni per l’archiviazione. Devono essere previste anche modalità di gestione dei conflitti di interessi, compresa l’ipotesi in cui la segnalazione riguardi proprio il soggetto normalmente incaricato di riceverla.

Particolare attenzione richiedono le tempistiche. L’art. 5 del D.Lgs. 24/2023 prevede, tra gli altri adempimenti, il rilascio dell’avviso di ricevimento entro sette giorni dalla presentazione della segnalazione e il riscontro entro tre mesi dalla data dell’avviso oppure, in mancanza di questo, dalla scadenza del termine di sette giorni. Il riscontro non coincide necessariamente con la conclusione di ogni accertamento, ma deve riferirsi al seguito dato o che si intende dare alla segnalazione. Per le implicazioni operative rinviamo all’approfondimento sulle tempistiche nella gestione delle segnalazioni whistleblowing.

Il servizio deve comprendere anche un sistema di documentazione delle attività svolte. Le verifiche devono essere proporzionate ai fatti segnalati, evitando la circolazione indiscriminata delle informazioni e l’accesso da parte di persone non autorizzate. Il D.Lgs. 24/2023, all’art. 14, stabilisce che le segnalazioni e la relativa documentazione siano conservate per il tempo necessario al trattamento e comunque non oltre cinque anni dalla comunicazione dell’esito finale della procedura, nel rispetto degli obblighi di riservatezza e della disciplina sulla protezione dei dati personali.

Quando l’azienda utilizza una piattaforma fornita da un soggetto terzo, dobbiamo distinguere il servizio tecnologico dalla gestione professionale delle segnalazioni. Il fornitore del software non diventa automaticamente il soggetto incaricato dell’istruttoria. Occorre verificare i rispettivi ruoli, le autorizzazioni di accesso, le misure di sicurezza e, quando ricorrono i presupposti, la disciplina contrattuale prevista dall’art. 28 del GDPR per il responsabile del trattamento.

La gestione esterna può essere presa in considerazione quando l’impresa non dispone internamente di competenze adeguate oppure quando la separazione tra chi riceve le segnalazioni e chi esercita funzioni gestionali rende più agevole preservare autonomia e riservatezza. Non è però sufficiente qualificare contrattualmente un professionista come indipendente: occorre verificare concretamente l’assenza di conflitti di interessi, la formazione specifica e le modalità con cui potrà svolgere gli approfondimenti necessari.

Per le società dotate di Modello 231, il sistema deve inoltre essere coordinato con l’Organismo di Vigilanza e con i flussi informativi previsti dal modello. Questo coordinamento non comporta necessariamente che l’OdV debba gestire direttamente il canale: le responsabilità possono essere distribuite diversamente, purché la soluzione adottata rispetti la normativa e preservi le garanzie di riservatezza. Nelle imprese di dimensioni contenute, dove le stesse persone ricoprono più funzioni, tali valutazioni richiedono particolare attenzione, come approfondiamo nell’articolo dedicato al whistleblowing nelle PMI prive di un ufficio legale interno.

Obblighi, responsabilità e rischi nella gestione del whistleblowing aziendale

Una volta istituito il canale interno e individuato il soggetto incaricato della gestione, l’azienda deve verificare che il sistema sia effettivamente operativo. Il D.Lgs. 24/2023 non richiede soltanto la disponibilità di uno strumento per trasmettere le segnalazioni, ma impone specifiche garanzie di riservatezza e una gestione diligente delle comunicazioni ricevute. Le irregolarità possono riguardare tanto l’assenza del canale quanto l’adozione di procedure non conformi, l’omesso svolgimento delle attività di verifica o la violazione delle tutele riconosciute al segnalante.

L’art. 21 del D.Lgs. 24/2023 attribuisce all’ANAC il potere di applicare sanzioni amministrative pecuniarie nei casi previsti dalla legge. In particolare, sono previste sanzioni da 10.000 a 50.000 euro quando viene accertata la mancata istituzione dei canali di segnalazione, la mancata adozione di procedure per effettuare e gestire le segnalazioni, l’adozione di procedure non conformi agli artt. 4 e 5 oppure l’omesso svolgimento dell’attività di verifica e analisi delle segnalazioni ricevute. La stessa fascia sanzionatoria è prevista, nei rispettivi casi, per le ritorsioni, l’ostacolo alle segnalazioni e la violazione dell’obbligo di riservatezza. L’applicazione delle sanzioni richiede l’accertamento dei presupposti previsti dalla normativa e non consegue automaticamente a qualsiasi imperfezione organizzativa.

Per questa ragione, nella verifica di un servizio whistleblowing aziendale esaminiamo anche il funzionamento concreto della procedura. Una società potrebbe aver acquistato una piattaforma conforme ai requisiti tecnici, ma non aver individuato un gestore adeguatamente formato, oppure aver attribuito l’accesso alle segnalazioni a persone che non dovrebbero conoscerne il contenuto. Analogamente, una procedura formalmente corretta può risultare inadeguata quando non disciplina l’assenza del gestore, i conflitti di interessi o le modalità di approfondimento delle segnalazioni particolarmente delicate.

Un ulteriore profilo riguarda la protezione del segnalante contro eventuali comportamenti ritorsivi. L’impresa deve prestare attenzione alle decisioni organizzative e disciplinari che coinvolgono una persona dopo una segnalazione, distinguendo gli atti fondati su ragioni legittime da quelli che potrebbero costituire una ritorsione vietata. La normativa prevede specifiche regole di tutela e, nei procedimenti indicati dall’art. 17, una presunzione relativa al collegamento tra segnalazione e comportamento pregiudizievole, con conseguenze sull’onere della prova. Ciò non impedisce all’azienda di esercitare legittimamente i propri poteri, ma richiede che le decisioni siano adeguatamente motivate e documentate.

La gestione delle segnalazioni deve inoltre rispettare il GDPR. Le informazioni possono riguardare presunti illeciti, rapporti lavorativi, dati particolarmente delicati e persone la cui responsabilità non è stata accertata. È quindi necessario limitare gli accessi, individuare correttamente i soggetti autorizzati, adottare misure di sicurezza proporzionate e rispettare le regole sulla conservazione. Il gestore non deve diffondere indiscriminatamente il contenuto della segnalazione alle funzioni aziendali, neppure quando ritenga opportuno acquisire documenti o chiarimenti.

Quando emergono fatti potenzialmente rilevanti per il Modello 231, occorre valutare anche il coinvolgimento dell’Organismo di Vigilanza secondo i flussi informativi e le garanzie previste dal sistema aziendale. L’esistenza di una segnalazione non dimostra di per sé la commissione di un reato presupposto né la responsabilità amministrativa dell’ente. Può però rendere necessario verificare il funzionamento dei controlli interni e l’eventuale presenza di criticità organizzative.

Se l’impresa riceve una segnalazione particolarmente grave, il primo intervento deve preservare la riservatezza e impedire che iniziative non coordinate compromettano le verifiche. Occorre individuare il soggetto competente, valutare l’oggetto della comunicazione e stabilire quali attività siano necessarie senza anticipare giudizi sulla fondatezza dei fatti. Per gli adempimenti immediati abbiamo dedicato uno specifico approfondimento a cosa fare dopo aver ricevuto una segnalazione whistleblowing.

Esempio pratico: azienda con piattaforma whistleblowing attiva ma gestione delle segnalazioni non organizzata

Consideriamo, a titolo esemplificativo e senza riferimento a uno specifico incarico professionale documentato, una società di servizi con circa ottanta dipendenti che abbia attivato una piattaforma whistleblowing affidandone l’amministrazione a un responsabile interno. Durante una verifica organizzativa emerge che l’azienda non ha formalizzato adeguatamente l’incarico di gestione, non ha disciplinato i possibili conflitti di interessi e non dispone di istruzioni operative per l’eventuale ricezione di segnalazioni riguardanti i dirigenti.

In una situazione di questo tipo, il nostro intervento professionale partirebbe dall’esame della procedura esistente, delle autorizzazioni di accesso e delle caratteristiche del canale. Valuteremmo quindi l’individuazione di un gestore interno adeguatamente formato oppure l’affidamento del servizio a un professionista esterno, definendo le modalità di ricezione, istruttoria, riscontro e conservazione delle segnalazioni. Particolare attenzione sarebbe riservata alla gestione dei conflitti di interessi e ai rapporti con la direzione aziendale, affinché le informazioni possano essere trattate soltanto dai soggetti legittimati e secondo procedure preventivamente stabilite.

Domande frequenti sul servizio whistleblowing per aziende

Un’azienda può affidare allo stesso professionista la gestione del canale whistleblowing e la consulenza legale ordinaria?

La normativa non prevede un divieto generale, ma occorre verificare concretamente l’autonomia del professionista e l’assenza di conflitti di interessi. Se il consulente assiste abitualmente la direzione nelle questioni che potrebbero essere oggetto di segnalazione, l’impresa deve valutare se tale rapporto sia compatibile con una gestione imparziale. Possono essere necessarie misure organizzative specifiche oppure la designazione di un diverso gestore.

È possibile affidare a un soggetto esterno soltanto la gestione delle segnalazioni, mantenendo la piattaforma già utilizzata?

Sì. Il servizio di gestione può essere distinto dalla fornitura tecnologica, purché la piattaforma consenta al soggetto incaricato di operare rispettando i requisiti di sicurezza e riservatezza. Prima dell’affidamento occorre verificare le autorizzazioni di accesso, i rapporti contrattuali con il fornitore, le responsabilità delle parti e le modalità di trasferimento delle segnalazioni eventualmente già ricevute.

Se durante l’anno non arriva alcuna segnalazione, l’azienda deve comunque svolgere attività sul sistema whistleblowing?

L’assenza di segnalazioni non determina automaticamente ulteriori obblighi di istruttoria, ma il canale deve rimanere funzionante e accessibile. È opportuno verificarne periodicamente l’operatività, aggiornare le informazioni destinate ai potenziali segnalanti e controllare che il gestore conservi i requisiti necessari. Eventuali modifiche organizzative possono richiedere l’aggiornamento della procedura e delle autorizzazioni.

Il gestore esterno può coinvolgere dipendenti e dirigenti nelle verifiche?

Può essere necessario acquisire documenti o informazioni dalle funzioni aziendali competenti. Il coinvolgimento deve però essere limitato a quanto necessario per l’istruttoria, evitando di rivelare l’identità del segnalante o altre informazioni riservate in violazione della normativa. Quando la segnalazione riguarda persone che normalmente parteciperebbero alle verifiche, occorre individuare modalità alternative di accertamento.

Servizio whistleblowing per aziende: richiedi una valutazione allo Studio Legale Calvello

Se la vostra azienda deve attivare un canale whistleblowing, predisporre una procedura, verificare la conformità del sistema esistente oppure affidare a un professionista esterno la gestione delle segnalazioni, è necessario esaminare la struttura organizzativa, gli obblighi applicabili e le responsabilità connesse al servizio.

Presso lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, affrontiamo le esigenze delle imprese valutando gli aspetti giuridici e organizzativi della gestione del whistleblowing, anche nei rapporti con la disciplina sulla protezione dei dati personali e con il Modello 231, quando pertinente.

Per sottoporre la situazione della vostra impresa al nostro esame, richiedi una valutazione per il servizio whistleblowing aziendale e la gestione delle segnalazioni attraverso il modulo dedicato. Esamineremo la richiesta per valutare le esigenze rappresentate e le possibili modalità di assistenza professionale.