Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda che ha adottato un Modello organizzativo 231 e dispone di un canale interno di whistleblowing deve stabilire con precisione chi riceve le segnalazioni, chi svolge gli accertamenti e quali informazioni devono essere trasmesse all’Organismo di Vigilanza (OdV). La presenza di entrambi gli strumenti, infatti, non assicura di per sé un coordinamento adeguato. Se le rispettive competenze non sono definite, una segnalazione riguardante un possibile reato aziendale potrebbe non raggiungere tempestivamente l’OdV oppure essere condivisa con soggetti non autorizzati a conoscerne il contenuto.

Il problema riguarda soprattutto le imprese che hanno introdotto il whistleblowing dopo l’adozione del Modello 231, mantenendo procedure e flussi informativi concepiti secondo la disciplina precedente. Il D.Lgs. 24/2023 ha modificato il quadro normativo delle segnalazioni interne e richiede di verificare la compatibilità delle procedure aziendali con le nuove disposizioni. Il coordinamento tra gestore whistleblowing e OdV deve rispettare sia gli obblighi di riservatezza sia le esigenze di vigilanza sull’effettiva attuazione del Modello 231. Quando emergono sovrapposizioni di competenze, conflitti di interessi o carenze organizzative, può essere necessario un intervento professionale per rivedere incarichi, procedure e modalità di comunicazione.

Whistleblowing e Organismo di Vigilanza: perché il coordinamento può diventare un problema per l’azienda

Il Modello di organizzazione, gestione e controllo previsto dal D.Lgs. 231/2001 e il sistema di whistleblowing rispondono a esigenze collegate, ma hanno funzioni differenti. Il primo disciplina l’organizzazione e i controlli finalizzati alla prevenzione dei reati presupposto della responsabilità amministrativa dell’ente. Il secondo consente di segnalare determinate violazioni attraverso canali e procedure che devono assicurare le tutele previste dalla normativa applicabile.

L’Organismo di Vigilanza, istituito nell’ambito del sistema previsto dall’articolo 6 del D.Lgs. 231/2001, ha il compito di vigilare sul funzionamento e sull’osservanza del Modello e di curarne l’aggiornamento, secondo le attribuzioni stabilite dalla legge e dall’assetto organizzativo dell’ente. Il gestore del canale whistleblowing, invece, è il soggetto o l’ufficio incaricato della ricezione e della gestione delle segnalazioni interne secondo l’articolo 4 del D.Lgs. 24/2023.

La distinzione diventa particolarmente importante quando una segnalazione riguarda comportamenti potenzialmente rilevanti ai fini del D.Lgs. 231/2001. Si pensi alla denuncia interna di un possibile episodio corruttivo, di una falsificazione documentale o dell’aggiramento sistematico di un protocollo aziendale destinato a prevenire determinati reati. Il gestore deve trattare la segnalazione secondo la disciplina whistleblowing, mentre l’OdV può avere necessità di conoscere le circostanze rilevanti per valutare il funzionamento dei controlli previsti dal Modello.

Non esiste però un obbligo generalizzato di trasmettere automaticamente all’OdV il contenuto integrale di ogni segnalazione whistleblowing. Occorre distinguere le informazioni necessarie all’esercizio della vigilanza da quelle che devono rimanere riservate, tenendo conto della natura della segnalazione, delle competenze attribuite ai soggetti coinvolti e delle disposizioni sulla protezione dei dati personali.

Un errore organizzativo frequente consiste nel mantenere due sistemi di segnalazione privi di regole di raccordo: il canale whistleblowing affidato a un gestore dedicato e il precedente sistema di comunicazioni all’OdV. In queste situazioni, il personale può non sapere quale canale utilizzare, mentre i destinatari delle comunicazioni possono avere dubbi sulla possibilità di trasmettere informazioni ricevute nell’esercizio delle rispettive funzioni.

Il problema opposto si presenta quando l’azienda attribuisce all’OdV l’intera gestione delle segnalazioni senza verificare preventivamente se l’incarico sia compatibile con i requisiti del D.Lgs. 24/2023. L’Organismo di Vigilanza può essere individuato quale gestore del canale interno, ma tale scelta richiede una valutazione concreta della sua composizione, delle competenze disponibili, dell’autonomia operativa e della capacità di assicurare una gestione diligente e riservata.

Per le aziende che hanno già adottato un sistema di segnalazione, il primo controllo riguarda la coerenza tra Modello 231, procedura whistleblowing, regolamento dell’OdV e incarichi formalmente conferiti. La presenza di documenti separati non costituisce necessariamente un’irregolarità; diventa problematica quando le rispettive disposizioni sono incompatibili oppure non individuano chiaramente le responsabilità operative.

Chi deve gestire le segnalazioni whistleblowing e quali informazioni devono arrivare all’OdV

L’articolo 4 del D.Lgs. 24/2023 prevede che la gestione del canale interno sia affidata a una persona o a un ufficio interno autonomo dedicato, con personale specificamente formato, oppure a un soggetto esterno dotato dei medesimi requisiti. La norma non impone di attribuire questa funzione all’Organismo di Vigilanza. La scelta del gestore appartiene all’organizzazione aziendale e deve essere effettuata verificando le caratteristiche concrete dell’incarico.

Quando l’azienda decide di affidare la gestione delle segnalazioni all’OdV, occorre verificare che quest’ultimo possa svolgere effettivamente tutte le attività previste dalla disciplina whistleblowing. Non basta richiamare genericamente i suoi compiti di vigilanza. Devono essere disciplinati la ricezione delle comunicazioni, il mantenimento delle interlocuzioni con il segnalante, il seguito da dare alle segnalazioni e il rispetto dei termini previsti dalla legge.

Una particolare attenzione è necessaria per gli OdV collegiali. L’azienda deve stabilire chi possa accedere alle segnalazioni, come siano gestite le informazioni riservate e quali misure adottare quando uno dei componenti si trovi in una situazione di conflitto di interessi. Anche per l’OdV monocratico occorre valutare la disponibilità operativa del professionista e la capacità di assicurare continuità nella gestione.

Se invece l’impresa nomina un gestore whistleblowing distinto dall’Organismo di Vigilanza, il coordinamento deve essere costruito attraverso flussi informativi definiti. Il gestore conserva le proprie responsabilità nella trattazione delle segnalazioni, mentre l’OdV deve poter acquisire le informazioni pertinenti alla verifica dell’osservanza e dell’efficacia del Modello 231, nei limiti consentiti dalla normativa.

La procedura può prevedere comunicazioni periodiche sull’andamento del sistema e flussi specifici in presenza di segnalazioni che riguardano violazioni dei protocolli 231, possibili reati presupposto o carenze dei controlli interni. La quantità e il contenuto delle informazioni trasmesse devono essere proporzionati alle effettive esigenze di vigilanza. Non tutte le segnalazioni devono necessariamente essere comunicate con le stesse modalità e non ogni informazione ricevuta dal gestore può essere liberamente condivisa.

Un aspetto particolarmente delicato riguarda l’identità del segnalante. L’articolo 12 del D.Lgs. 24/2023 stabilisce specifiche garanzie di riservatezza e limita la possibilità di rivelare l’identità della persona segnalante e le informazioni dalle quali essa possa essere ricavata. La circostanza che l’OdV eserciti funzioni di controllo non costituisce, da sola, un’autorizzazione indiscriminata a conoscere tali dati. L’accesso deve essere valutato in relazione ai soggetti competenti alla ricezione o al seguito della segnalazione e alle condizioni previste dalla legge.

Per questo motivo, nella definizione dei flussi informativi, può essere opportuno distinguere tra comunicazioni aggregate, informazioni relative a criticità organizzative e dati specifici necessari per determinate attività di verifica. Il coordinamento deve inoltre rispettare il Regolamento (UE) 2016/679, in particolare i principi di limitazione delle finalità, minimizzazione dei dati, integrità e riservatezza.

La disciplina concreta deve essere coerente con la procedura whistleblowing aziendale e con le disposizioni del Modello 231. Un ulteriore controllo riguarda le segnalazioni che vengono trasmesse direttamente all’OdV, pur essendo quest’ultimo diverso dal gestore designato: in tali circostanze devono essere applicate le regole previste per le segnalazioni ricevute fuori dai canali ufficiali, evitando inoltri informali o comunicazioni non protette.

La definizione dei rapporti tra gestore e OdV deve quindi comprendere anche le modalità con cui documentare le attività svolte e rendere disponibili, ai soggetti legittimati, gli elementi necessari alle verifiche successive. Questo assetto assume particolare rilievo quando una segnalazione rivela possibili violazioni del Modello o carenze nei protocolli di prevenzione, perché le informazioni raccolte possono rendere necessario un intervento sui controlli aziendali.

Obblighi, responsabilità e rischi quando Modello 231 e whistleblowing non sono coordinati

Il coordinamento tra whistleblowing e Organismo di Vigilanza deve essere verificato anche sotto il profilo delle responsabilità dell’impresa. L’articolo 6, comma 2-bis, del D.Lgs. 231/2001, come modificato dal D.Lgs. 24/2023, prevede che i Modelli organizzativi contemplino, ai sensi della disciplina whistleblowing, i canali di segnalazione interna, il divieto di ritorsione e il sistema disciplinare adottato in conformità alla normativa. Un Modello 231 che non recepisce correttamente questi elementi può presentare carenze organizzative rilevanti nella valutazione della sua adeguatezza.

Occorre distinguere, però, la violazione degli obblighi in materia di whistleblowing dai presupposti della responsabilità amministrativa dell’ente. Una procedura incompleta o un flusso informativo inadeguato non determinano automaticamente la responsabilità della società ai sensi del D.Lgs. 231/2001. Quest’ultima richiede la sussistenza dei presupposti previsti dal decreto, compresa la commissione di un reato presupposto nell’interesse o a vantaggio dell’ente, secondo le condizioni stabilite dalla legge.

Le carenze del sistema di segnalazione possono comunque assumere rilievo nella verifica dell’effettiva attuazione del Modello. Se, per esempio, una segnalazione relativa a possibili condotte corruttive viene gestita senza che le criticità dei controlli aziendali siano portate all’attenzione dell’OdV, l’impresa rischia di non individuare tempestivamente la necessità di modificare protocolli o procedure. Il problema riguarda quindi la capacità dell’organizzazione di utilizzare le informazioni disponibili per prevenire ulteriori violazioni.

Il D.Lgs. 24/2023 prevede inoltre specifiche sanzioni amministrative applicabili dall’ANAC nelle ipotesi individuate dall’articolo 21, tra cui determinate violazioni relative all’istituzione e alla gestione dei canali, all’ostacolo alle segnalazioni, alla riservatezza e alle ritorsioni. La concreta applicabilità delle sanzioni dipende dall’accertamento dei presupposti normativi. Non ogni disfunzione nei rapporti tra OdV e gestore costituisce, di per sé, una violazione autonomamente sanzionabile.

Un ulteriore profilo riguarda il sistema disciplinare aziendale. Le violazioni delle misure di tutela del segnalante e delle disposizioni previste dal Modello devono essere considerate nell’ambito delle regole disciplinari applicabili, rispettando la normativa sul lavoro e le garanzie procedimentali. L’Organismo di Vigilanza può contribuire a rilevare le inosservanze del Modello e a segnalarle agli organi competenti, ma non deve essere automaticamente confuso con il soggetto titolare del potere disciplinare.

Particolare attenzione richiedono le segnalazioni che coinvolgono amministratori, dirigenti, componenti dell’OdV o lo stesso gestore whistleblowing. In queste circostanze, la normale distribuzione delle competenze può risultare inadeguata a causa di un conflitto di interessi. L’azienda dovrebbe predisporre preventivamente modalità alternative di gestione, individuando soggetti competenti e indipendenti rispetto ai fatti segnalati. La soluzione deve essere coerente con la struttura societaria e con le garanzie previste dalla disciplina applicabile.

Quando la segnalazione riguarda il vertice aziendale, il problema non può essere risolto mediante una comunicazione indiscriminata a tutti gli organi sociali. È necessario individuare chi abbia titolo a ricevere le informazioni e ad adottare eventuali iniziative, evitando di compromettere la riservatezza e l’imparzialità degli accertamenti. Per le situazioni che coinvolgono direttamente gli amministratori, abbiamo approfondito le problematiche operative nell’articolo dedicato alle segnalazioni whistleblowing riguardanti il management aziendale.

La revisione del coordinamento tra OdV e whistleblowing richiede quindi di esaminare il Modello 231 vigente, il regolamento dell’Organismo, la procedura di segnalazione, gli incarichi conferiti e i flussi informativi effettivamente utilizzati. È opportuno verificare anche le modalità con cui l’OdV riceve notizia delle criticità organizzative e propone gli interventi di propria competenza. L’attività può inserirsi in un più ampio audit del Modello 231, quando emergano dubbi sull’effettiva applicazione dei controlli aziendali.

Un caso pratico: segnalazione di un possibile reato e mancata comunicazione all’Organismo di Vigilanza

Consideriamo una società manifatturiera che ha adottato un Modello 231 e successivamente istituito un canale whistleblowing affidandone la gestione a un professionista esterno. Il regolamento dell’OdV, tuttavia, non è stato aggiornato e non disciplina i rapporti con il nuovo gestore delle segnalazioni.

Un dipendente segnala attraverso il canale interno presunte irregolarità nei rapporti con un fornitore, descrivendo operazioni che potrebbero coinvolgere un dirigente e presentare profili rilevanti ai fini del D.Lgs. 231/2001. Il gestore avvia le verifiche di propria competenza, ma non dispone di istruzioni precise sulle informazioni da comunicare all’OdV. Quest’ultimo continua quindi le proprie attività di vigilanza senza conoscere le possibili criticità dei protocolli aziendali.

La società deve valutare la segnalazione secondo la procedura applicabile e verificare se siano necessari accertamenti ulteriori, interventi sui controlli o comunicazioni agli organi competenti. Il problema organizzativo consiste nell’assenza di un raccordo formalizzato tra gestione della segnalazione e vigilanza sul Modello 231. Non è necessario che l’OdV riceva automaticamente l’identità del segnalante per poter conoscere una criticità rilevante ai fini delle proprie funzioni.

In una situazione simile, noi esamineremmo anzitutto gli incarichi e le procedure esistenti, individuando le informazioni che possono essere legittimamente condivise e le modalità di trasmissione. Valuteremmo poi gli eventuali aggiornamenti del Modello, del regolamento dell’OdV e della procedura whistleblowing, distinguendo le misure necessarie per la gestione della segnalazione già ricevuta dagli interventi organizzativi destinati a disciplinare i casi successivi.

Domande frequenti sul coordinamento tra whistleblowing e Organismo di Vigilanza

L’Organismo di Vigilanza può essere nominato gestore del whistleblowing?

Sì. Il D.Lgs. 24/2023 non vieta di attribuire all’OdV la gestione del canale interno, purché siano rispettati i requisiti di autonomia, competenza, formazione e corretta gestione delle segnalazioni. La compatibilità deve essere verificata concretamente, soprattutto quando l’Organismo è collegiale o possono verificarsi conflitti di interessi.

Il gestore whistleblowing deve trasmettere tutte le segnalazioni all’OdV?

Non esiste un obbligo generalizzato di trasmettere integralmente ogni segnalazione. L’azienda deve disciplinare i flussi informativi necessari alle funzioni dell’OdV, rispettando la riservatezza del segnalante e le disposizioni sulla protezione dei dati personali. Le informazioni relative a possibili violazioni del Modello 231 richiedono una valutazione specifica.

L’OdV può conoscere l’identità del segnalante?

Non automaticamente. L’identità del segnalante è protetta dall’articolo 12 del D.Lgs. 24/2023. La possibilità di conoscerla dipende dal ruolo concretamente attribuito all’OdV, dalle autorizzazioni e dalle condizioni previste dalla legge. Le ordinarie esigenze di vigilanza sul Modello 231 non giustificano, da sole, un accesso indiscriminato ai dati identificativi.

È necessario aggiornare il Modello 231 dopo l’introduzione del whistleblowing?

Occorre verificare che il Modello contempli gli elementi richiesti dall’articolo 6, comma 2-bis, del D.Lgs. 231/2001 e sia coerente con la disciplina vigente. Se il Modello è stato predisposto prima del D.Lgs. 24/2023, può essere necessario modificarne le disposizioni relative ai canali interni, alle tutele del segnalante, al sistema disciplinare e ai flussi informativi verso l’OdV.

Quanto costa una consulenza per coordinare Modello 231, OdV e whistleblowing?

Il costo dipende dalle dimensioni e dalla complessità dell’impresa, dalla documentazione già disponibile, dalla struttura dell’Organismo di Vigilanza e dagli interventi richiesti. Una verifica circoscritta ai flussi informativi comporta attività diverse rispetto alla revisione del Modello 231 e dell’intero sistema di segnalazione. Per formulare un preventivo attendibile è necessario esaminare l’organizzazione esistente e definire l’ambito dell’incarico.

Assistenza legale per coordinare Modello 231, Organismo di Vigilanza e whistleblowing

Quando un’azienda ha già adottato un Modello 231 e istituito un canale whistleblowing, è opportuno verificare che i due sistemi operino secondo procedure coerenti e responsabilità chiaramente attribuite. La necessità di un intervento professionale può emergere in occasione dell’aggiornamento del Modello, della nomina di un nuovo gestore, della revisione dei flussi informativi o dopo la ricezione di una segnalazione potenzialmente rilevante ai fini del D.Lgs. 231/2001.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione e nell’adeguamento dei sistemi di compliance aziendale, con particolare riferimento al coordinamento tra Modello organizzativo 231, Organismo di Vigilanza, whistleblowing e protezione dei dati personali. Esaminiamo le procedure esistenti, individuiamo le eventuali criticità giuridiche e organizzative e valutiamo gli interventi appropriati rispetto alle caratteristiche dell’impresa.

Per richiedere una valutazione della situazione aziendale o un preventivo per l’assistenza professionale è possibile contattare lo Studio Legale Calvello per una consulenza in materia di whistleblowing, Modello 231 e compliance aziendale.