Articolo a cura di: Redazione - Studio Legale Calvello

Quando un’azienda riceve una segnalazione whistleblowing che denuncia presunti illeciti, irregolarità o violazioni delle procedure interne, deve valutare i fatti e stabilire quali accertamenti siano necessari. Un’indagine interna condotta senza metodo può compromettere la raccolta delle prove, violare la riservatezza delle persone coinvolte ed esporre l’impresa a contestazioni. Il D.Lgs. 24/2023 impone ai soggetti obbligati di assicurare un diligente seguito alle segnalazioni, ma non richiede che ogni comunicazione determini automaticamente un’investigazione completa. Occorre valutare il contenuto della segnalazione, la sua attendibilità, i rischi e le modalità di intervento. Quando sono coinvolti amministratori, dirigenti o possibili reati aziendali, può essere opportuno affidare gli accertamenti a un professionista esterno indipendente.

Cosa deve fare l’azienda quando una segnalazione whistleblowing richiede un’indagine interna

La ricezione di una segnalazione non autorizza l’azienda ad avviare controlli indiscriminati sui dipendenti o ad acquisire qualsiasi documento ritenuto utile. Il primo compito del soggetto incaricato della gestione del canale whistleblowing consiste nel verificare se la comunicazione rientri nell’ambito del D.Lgs. 24/2023 e se contenga elementi sufficienti per procedere ad accertamenti. Devono essere considerati i fatti descritti, il periodo in cui si sarebbero verificati, le persone eventualmente coinvolte e la documentazione disponibile.

La valutazione preliminare deve distinguere tra una segnalazione circostanziata, un sospetto ancora da verificare e una comunicazione estranea all’ambito di applicazione della disciplina whistleblowing. Una denuncia relativa a possibili falsificazioni contabili, pagamenti irregolari o violazioni del Modello 231 può richiedere verifiche documentali e approfondimenti specifici. Una contestazione riguardante esclusivamente un rapporto individuale di lavoro, priva di collegamenti con violazioni tutelate dalla normativa, può invece dover essere trattata attraverso altri strumenti aziendali, senza essere automaticamente qualificata come segnalazione whistleblowing.

Per le segnalazioni rientranti nel D.Lgs. 24/2023, l’articolo 5 prevede che il gestore rilasci un avviso di ricevimento entro sette giorni dalla data di ricezione e mantenga le interlocuzioni con il segnalante, richiedendo eventuali integrazioni quando necessarie. Il riscontro deve essere fornito entro tre mesi dalla data dell’avviso di ricevimento oppure, in mancanza di tale avviso, dalla scadenza del termine di sette giorni dalla presentazione della segnalazione. Il termine per il riscontro non coincide necessariamente con quello di conclusione di tutti gli accertamenti. Se l’indagine richiede ulteriori approfondimenti, la comunicazione deve rappresentare correttamente lo stato delle attività, senza anticipare risultati non ancora acquisiti.

La prima decisione operativa riguarda l’eventuale necessità di preservare documenti, registrazioni o informazioni che potrebbero essere modificati o cancellati. L’azienda deve però evitare iniziative sproporzionate, soprattutto quando gli accertamenti interessano comunicazioni elettroniche o strumenti utilizzati dai lavoratori. La conservazione delle evidenze deve rispettare la normativa sulla protezione dei dati personali e, quando applicabile, i limiti posti dall’articolo 4 dello Statuto dei lavoratori.

Un ulteriore problema si presenta quando la segnalazione riguarda persone che normalmente partecipano alla gestione delle verifiche. Se, ad esempio, viene denunciato un dirigente responsabile dell’ufficio compliance, non sarebbe prudente consentirgli di dirigere gli accertamenti sulla propria condotta. Occorre verificare l’esistenza di conflitti di interessi e individuare un soggetto dotato di adeguata autonomia, competenza e imparzialità, secondo le procedure aziendali e le disposizioni applicabili.

La gestione iniziale della comunicazione è approfondita nel nostro articolo dedicato a cosa fare subito dopo aver ricevuto una segnalazione whistleblowing. Quando dalla valutazione preliminare emerge la necessità di un’indagine, il problema diventa definire chi debba condurla, quali verifiche siano consentite e come documentarne lo svolgimento.

Come organizzare l’indagine interna: incarico, raccolta delle prove e verifiche sui dipendenti

L’indagine interna deve essere organizzata in funzione dei fatti segnalati, evitando che gli accertamenti si estendano a questioni prive di collegamento con la possibile violazione. Prima di iniziare, è opportuno definire l’oggetto delle verifiche, le persone autorizzate a parteciparvi, le fonti documentali da esaminare e le modalità di conservazione delle informazioni raccolte. Questa delimitazione permette di ricostruire le attività svolte e di verificare successivamente se le decisioni aziendali siano state assunte sulla base di elementi attendibili.

Il gestore della segnalazione non deve necessariamente eseguire personalmente ogni accertamento. In presenza di questioni tecniche, contabili, informatiche o giuridiche particolarmente complesse, può essere necessario coinvolgere professionisti dotati di competenze specifiche. L’eventuale affidamento di attività istruttorie a soggetti esterni deve essere compatibile con la procedura adottata, con i requisiti di riservatezza e con la disciplina applicabile al trattamento dei dati. La responsabilità delle funzioni attribuite al gestore non viene automaticamente trasferita al consulente incaricato delle singole verifiche.

Le modalità investigative dipendono dalla natura dell’illecito ipotizzato. Una segnalazione relativa a pagamenti sospetti può richiedere l’esame di contratti, fatture, autorizzazioni e flussi finanziari. Se vengono denunciate alterazioni di documenti aziendali, può essere necessario ricostruire chi abbia avuto accesso ai file e quali modifiche siano state effettuate. Quando emergono possibili condotte individuali, l’istruttoria può comprendere l’audizione delle persone informate sui fatti, purché siano rispettati i diritti degli interessati e le esigenze di riservatezza.

Particolare cautela richiede l’acquisizione delle comunicazioni elettroniche. La disponibilità materiale di un computer, di una casella email o di un account aziendale non attribuisce al datore di lavoro un potere illimitato di controllo. Prima di esaminare messaggi, log informatici o altri dati riferibili ai dipendenti, occorre verificare la liceità dell’accesso, le finalità del trattamento, le informazioni preventivamente fornite ai lavoratori e l’applicabilità delle garanzie previste dalla normativa lavoristica. Una prova apparentemente decisiva, se acquisita attraverso modalità illegittime, può generare ulteriori responsabilità e compromettere l’utilizzabilità degli elementi raccolti.

Il Regolamento (UE) 2016/679 impone di limitare il trattamento ai dati necessari rispetto alle finalità perseguite e di adottare misure adeguate per impedirne la diffusione non autorizzata. Durante l’indagine possono emergere informazioni personali del segnalante, del soggetto segnalato e di altri dipendenti, comprese categorie particolari di dati. L’accesso deve essere circoscritto alle persone effettivamente autorizzate e la documentazione deve essere custodita con modalità coerenti con la sua sensibilità.

Quando l’azienda dispone di un Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001, occorre considerare anche le competenze dell’Organismo di Vigilanza. L’OdV può essere destinatario di flussi informativi e svolgere verifiche nell’ambito delle proprie attribuzioni, ma non coincide necessariamente con il gestore del canale whistleblowing. Le rispettive funzioni devono essere coordinate senza consentire una circolazione indiscriminata delle segnalazioni o dell’identità delle persone coinvolte.

La documentazione dell’indagine deve consentire di ricostruire le attività effettivamente compiute: richieste di chiarimenti, documenti esaminati, verifiche tecniche, eventuali audizioni e ragioni delle successive decisioni. Non è sufficiente raccogliere informazioni che confermino l’ipotesi iniziale. Occorre valutare anche gli elementi contrari, distinguendo i fatti accertati dalle dichiarazioni non riscontrate e dalle valutazioni formulate dagli incaricati.

Questo metodo assume particolare rilievo quando gli esiti dell’istruttoria potrebbero determinare provvedimenti disciplinari, modifiche delle procedure aziendali o ulteriori iniziative legali. La relazione investigativa deve quindi offrire una ricostruzione verificabile, senza attribuire responsabilità personali sulla base di semplici sospetti e senza anticipare decisioni riservate agli organi aziendali competenti.

Obblighi, responsabilità e rischi nella gestione degli accertamenti whistleblowing

Una volta avviata l’indagine interna, l’azienda deve assicurare che gli accertamenti siano condotti nel rispetto delle disposizioni del D.Lgs. 24/2023, della normativa sulla protezione dei dati personali e delle eventuali procedure organizzative adottate. Il dovere di dare diligente seguito alla segnalazione non impone di accertare a ogni costo una responsabilità, ma richiede una valutazione effettiva dei fatti e l’adozione delle iniziative ragionevolmente necessarie in relazione agli elementi disponibili.

Uno dei principali rischi consiste nel confondere l’attività di verifica con l’attribuzione anticipata di una responsabilità. La segnalazione costituisce il punto di partenza dell’istruttoria, non la dimostrazione dell’illecito denunciato. Il soggetto coinvolto deve essere considerato con imparzialità e gli accertamenti devono comprendere anche gli elementi che potrebbero escludere o ridimensionare le contestazioni. Quando l’esito dell’indagine può determinare conseguenze disciplinari, occorre rispettare le garanzie previste dalla normativa lavoristica, compreso l’articolo 7 della Legge 300/1970, ove applicabile.

Un’altra criticità riguarda la riservatezza. L’articolo 12 del D.Lgs. 24/2023 tutela l’identità del segnalante e le informazioni dalle quali essa possa essere ricavata, direttamente o indirettamente. La conoscenza della segnalazione deve essere limitata ai soggetti legittimati a trattarla. Il coinvolgimento di dirigenti, responsabili HR, consulenti o componenti dell’Organismo di Vigilanza deve quindi essere valutato in relazione alle rispettive competenze e alle informazioni effettivamente necessarie. Nel procedimento disciplinare, quando la contestazione sia fondata, in tutto o in parte, sulla segnalazione e la conoscenza dell’identità del segnalante sia indispensabile per la difesa dell’incolpato, la sua utilizzazione è subordinata al consenso espresso del segnalante alla rivelazione della propria identità.

La tutela deve estendersi anche alle persone segnalate e agli altri soggetti menzionati nella comunicazione. La diffusione non necessaria di accuse non ancora verificate può compromettere rapporti professionali e determinare contestazioni nei confronti dell’impresa. Per questo motivo, durante l’istruttoria, è opportuno separare le informazioni strettamente necessarie agli accertamenti da quelle che possono essere comunicate agli organi aziendali chiamati ad assumere eventuali decisioni.

Le misure adottate durante l’indagine richiedono particolare attenzione. La sospensione cautelare di un dipendente, la modifica delle sue mansioni o l’esclusione temporanea da determinate attività non possono essere considerate conseguenze automatiche della segnalazione. Occorre verificarne i presupposti giuridici, la proporzionalità e la compatibilità con la disciplina applicabile al rapporto di lavoro. Analogamente, l’azienda deve evitare iniziative che possano costituire ritorsioni nei confronti del segnalante, anche quando siano presentate come semplici decisioni organizzative.

La disciplina whistleblowing prevede specifiche sanzioni amministrative applicabili dall’ANAC nelle ipotesi stabilite dall’articolo 21 del D.Lgs. 24/2023, comprese le violazioni relative alla gestione delle segnalazioni. Non ogni irregolarità investigativa comporta automaticamente una sanzione: occorre verificare la condotta concretamente contestata e la sua riconducibilità alle fattispecie previste dalla legge. Una gestione negligente può comunque assumere rilievo anche sotto il profilo lavoristico, civilistico o della protezione dei dati personali.

Se la segnalazione riguarda fatti potenzialmente riconducibili ai reati presupposto del D.Lgs. 231/2001, l’indagine deve considerare anche le possibili implicazioni per la società. La responsabilità amministrativa dell’ente richiede la sussistenza dei presupposti previsti dalla normativa, tra cui la commissione di un reato rilevante nell’interesse o a vantaggio dell’ente da parte dei soggetti individuati dalla legge. La presenza di una segnalazione, anche circostanziata, non determina di per sé la responsabilità della società. Gli accertamenti possono però far emergere carenze nei controlli, inosservanze dei protocolli o criticità nell’effettiva attuazione del Modello 231.

Quando l’istruttoria riguarda possibili reati, è necessario valutare con attenzione anche i rapporti con l’autorità giudiziaria. Per un’impresa privata non esiste un obbligo generalizzato di denunciare qualsiasi illecito emerso da una verifica interna; eventuali obblighi specifici dipendono dalla natura dei fatti e dalle disposizioni applicabili. La presenza di un procedimento penale già avviato può richiedere ulteriori cautele nella conservazione dei documenti e nella conduzione degli accertamenti aziendali.

La conclusione dell’indagine dovrebbe essere formalizzata attraverso una relazione che distingua i fatti verificati, gli elementi rimasti incerti e le eventuali criticità organizzative riscontrate. Spetta poi ai soggetti aziendali competenti valutare le misure conseguenti: interventi sulle procedure, approfondimenti ulteriori, iniziative disciplinari o altre azioni consentite dall’ordinamento. Nel caso di un Modello 231 già adottato, le risultanze possono rendere necessario un riesame dei protocolli e dei controlli interessati.

Il corretto svolgimento degli accertamenti richiede anche il rispetto dei limiti di conservazione previsti dall’articolo 14 del D.Lgs. 24/2023. Le segnalazioni e la relativa documentazione devono essere conservate per il tempo necessario al trattamento e comunque non oltre cinque anni dalla comunicazione dell’esito finale della procedura di segnalazione, nel rispetto degli obblighi di riservatezza. Eventuali ulteriori trattamenti per distinte finalità devono essere valutati sulla base dei rispettivi presupposti giuridici.

Esempio pratico: una segnalazione di pagamenti irregolari che coinvolge un dirigente

Consideriamo una società che abbia adottato un Modello 231 e riceva, attraverso il proprio canale interno, una segnalazione relativa a presunti pagamenti ingiustificati effettuati a favore di un fornitore. La comunicazione indica alcune fatture, riporta le date delle operazioni e attribuisce un possibile coinvolgimento al direttore amministrativo.

Il gestore verifica preliminarmente la pertinenza della segnalazione e la presenza di elementi sufficienti per avviare gli accertamenti. Poiché il dirigente coinvolto dispone normalmente di accesso alla documentazione contabile e potrebbe influenzare il personale dell’ufficio, l’azienda valuta l’opportunità di affidare le verifiche a professionisti esterni indipendenti, delimitando l’incarico e le informazioni accessibili.

L’indagine comprende l’esame dei contratti con il fornitore, delle fatture, delle autorizzazioni ai pagamenti e dei controlli previsti dalle procedure aziendali. Le eventuali audizioni vengono organizzate senza divulgare inutilmente l’identità del segnalante. L’Organismo di Vigilanza riceve le informazioni pertinenti alle proprie funzioni, secondo le modalità previste dal sistema organizzativo.

Se gli accertamenti confermano anomalie nei pagamenti, ma non consentono ancora di stabilire l’esistenza di un reato, la relazione deve rappresentare questa distinzione. L’azienda potrà valutare ulteriori approfondimenti, eventuali iniziative nei confronti dei responsabili e la revisione delle procedure di autorizzazione. La corretta gestione dell’indagine consiste nel ricostruire i fatti con metodo, documentare le decisioni e adottare misure proporzionate agli elementi effettivamente acquisiti.

Domande frequenti sulle indagini interne dopo una segnalazione whistleblowing

L’azienda è obbligata ad avviare un’indagine interna per ogni segnalazione whistleblowing?

No. Il D.Lgs. 24/2023 impone di dare diligente seguito alle segnalazioni che rientrano nel suo ambito di applicazione, ma non richiede di avviare un’indagine completa per ogni comunicazione ricevuta. Il gestore deve valutare la pertinenza dei fatti, gli elementi disponibili e la necessità di ulteriori accertamenti. Quando una segnalazione viene archiviata, è opportuno documentare le ragioni della decisione, nel rispetto della procedura applicabile.

Chi può condurre un’indagine interna whistleblowing?

Gli accertamenti possono essere svolti dal soggetto incaricato della gestione delle segnalazioni oppure, quando necessario, con il supporto di professionisti dotati di competenze giuridiche, contabili o informatiche. La scelta dipende dalla complessità dei fatti, dall’organizzazione aziendale e dall’eventuale presenza di conflitti di interessi. Quando la segnalazione coinvolge amministratori o dirigenti, il ricorso a un professionista esterno indipendente può offrire maggiori garanzie di imparzialità. Devono comunque essere rispettati i requisiti di riservatezza e le competenze attribuite al gestore.

Quanto tempo ha l’azienda per concludere un’indagine whistleblowing?

Il D.Lgs. 24/2023 prevede un termine di tre mesi per fornire riscontro al segnalante, calcolato secondo le modalità stabilite dall’articolo 5. Non stabilisce invece un termine generale e inderogabile di tre mesi per completare qualsiasi indagine interna. Gli accertamenti possono richiedere tempi differenti in relazione alla complessità dei fatti, fermo restando l’obbligo di assicurare un seguito diligente e di rispettare gli adempimenti previsti dalla normativa.

L’azienda può controllare email e computer dei dipendenti durante l’indagine?

Gli accertamenti sugli strumenti informatici aziendali sono consentiti soltanto nel rispetto delle disposizioni applicabili, comprese quelle del GDPR e dell’articolo 4 dello Statuto dei lavoratori. La proprietà aziendale del dispositivo non autorizza controlli indiscriminati. Occorre verificare preventivamente le condizioni di liceità dell’accesso, la necessità dei dati da acquisire e le garanzie previste per i lavoratori. Una raccolta illegittima delle prove può esporre l’impresa a contestazioni ulteriori rispetto ai fatti oggetto della segnalazione.

Cosa deve fare l’azienda quando l’indagine conferma un illecito?

Quando gli accertamenti confermano una violazione, l’azienda deve valutare le iniziative consentite dall’ordinamento in relazione alla natura e alla gravità dei fatti. Possono rendersi necessari provvedimenti disciplinari, interventi organizzativi, ulteriori approfondimenti legali o la revisione dei controlli interni. Se la condotta riguarda attività rilevanti ai fini del D.Lgs. 231/2001, occorre verificare anche le possibili implicazioni per l’ente e l’adeguatezza delle misure preventive adottate. Le decisioni devono essere assunte dagli organi competenti, sulla base di elementi documentati e nel rispetto dei diritti delle persone coinvolte.

Assistenza legale alle aziende nelle indagini interne whistleblowing

Quando una segnalazione whistleblowing riguarda presunti illeciti, condotte di dirigenti, violazioni del Modello 231 o fatti potenzialmente rilevanti sul piano penale, l’azienda deve affrontare decisioni che possono incidere sulla propria responsabilità e sui rapporti con le persone coinvolte.

Il nostro Studio Legale assiste le imprese nella valutazione delle segnalazioni, nell’organizzazione degli accertamenti interni, nella verifica della legittimità delle attività investigative e nell’individuazione delle iniziative conseguenti. Esaminiamo anche i rapporti tra gestore whistleblowing, Organismo di Vigilanza e organi societari, con particolare attenzione alla riservatezza, alla protezione dei dati personali e alle implicazioni del D.Lgs. 231/2001.

Per sottoporre una segnalazione ricevuta dall’azienda o richiedere assistenza nella conduzione di un’indagine interna, è possibile richiedere una consulenza allo Studio Legale Calvello.