Articolo a cura di: Redazione - Studio Legale Calvello

La procedura whistleblowing aziendale è il documento che disciplina il funzionamento del sistema interno di segnalazione degli illeciti, individuando responsabilità, modalità operative, garanzie di riservatezza e criteri di gestione delle segnalazioni. Per le imprese soggette agli obblighi del D.Lgs. 24/2023, predisporre una procedura adeguata significa organizzare un sistema concretamente utilizzabile, nel quale il segnalante possa comunicare le violazioni tutelate dalla normativa e il soggetto incaricato possa gestirle secondo regole definite.

Una piattaforma informatica, una casella di posta dedicata o un regolamento scaricato da Internet non assicurano, da soli, il rispetto della disciplina. Occorre verificare chi riceve le segnalazioni, come vengono trattate, quali informazioni possono essere condivise, come si rispettano i termini di legge e quali misure intervengono quando la segnalazione riguarda un amministratore o lo stesso gestore. Una procedura whistleblowing incompleta, non aggiornata o incompatibile con l’organizzazione aziendale può esporre l’impresa a contestazioni e sanzioni, oltre a compromettere la riservatezza delle persone coinvolte. Quando emergono queste criticità, una verifica legale e organizzativa consente di individuare gli interventi necessari.

Come predisporre una procedura whistleblowing aziendale conforme alla normativa

Il riferimento normativo è il D.Lgs. 10 marzo 2023, n. 24, che disciplina la protezione delle persone che segnalano violazioni del diritto dell’Unione europea e delle disposizioni normative nazionali rientranti nel suo ambito di applicazione. Per le imprese private, l’obbligo di istituire un canale interno dipende dai presupposti previsti dall’articolo 2, comma 1, lettera q), e dall’articolo 4 del decreto. Rilevano, secondo i casi, la dimensione occupazionale, l’attività esercitata e l’adozione di un Modello organizzativo ai sensi del D.Lgs. 231/2001.

La prima verifica riguarda quindi l’applicabilità della disciplina all’impresa. La soglia dei 50 lavoratori subordinati, calcolata secondo i criteri normativi, rappresenta uno dei presupposti, ma non l’unico. Determinate imprese operanti nei settori individuati dalla normativa europea sono soggette agli obblighi anche al di sotto di tale soglia. Per le organizzazioni che adottano un Modello 231 sono previste specifiche disposizioni, da valutare in relazione alle dimensioni e alle violazioni che possono essere segnalate. Per approfondire questi presupposti è disponibile la nostra guida su quali aziende devono istituire un canale whistleblowing interno.

Una volta accertato l’obbligo, la procedura deve essere costruita sulla struttura effettiva dell’azienda. Una società con un unico stabilimento, una PMI priva di ufficio compliance e un gruppo societario articolato presentano esigenze organizzative differenti. La disciplina deve individuare i soggetti legittimati a effettuare segnalazioni, le violazioni comprese nel sistema, le modalità di accesso al canale, il destinatario delle comunicazioni e le regole per il loro trattamento.

Il documento deve distinguere le segnalazioni tutelate dal D.Lgs. 24/2023 dalle comunicazioni che non rientrano nel relativo ambito applicativo. Non ogni lamentela del dipendente, controversia individuale o contestazione relativa al rapporto di lavoro costituisce automaticamente una segnalazione whistleblowing. La procedura deve consentire al gestore di effettuare questa valutazione senza trascurare le tutele eventualmente applicabili e senza diffondere informazioni riservate.

Particolare attenzione richiede l’individuazione dei soggetti che possono utilizzare il sistema. La protezione normativa non riguarda esclusivamente i dipendenti in servizio, ma può estendersi, alle condizioni previste dal decreto, a collaboratori, lavoratori autonomi, consulenti, volontari, tirocinanti e persone che abbiano acquisito informazioni sulle violazioni durante la selezione, il periodo di prova o un precedente rapporto lavorativo. Le istruzioni aziendali devono essere comprensibili e accessibili ai destinatari effettivi.

Prima dell’attivazione del canale interno, l’articolo 4 del D.Lgs. 24/2023 richiede di sentire le rappresentanze o le organizzazioni sindacali indicate dalla disposizione. L’azienda deve quindi individuare correttamente gli interlocutori e documentare l’adempimento. La consultazione sindacale non coincide con una richiesta di autorizzazione, ma costituisce un passaggio previsto dalla legge che non dovrebbe essere omesso durante la predisposizione del sistema.

La procedura deve infine essere approvata attraverso gli organi competenti secondo l’assetto societario, comunicata ai destinatari e mantenuta coerente con gli strumenti effettivamente utilizzati. Per un’impresa che debba organizzare l’intero sistema, è utile distinguere la redazione delle regole interne dalla predisposizione tecnica del canale whistleblowing interno e dei suoi requisiti di funzionamento. I due elementi devono essere coordinati, ma rispondono a esigenze differenti.

Quali contenuti deve prevedere la procedura: gestore, segnalazioni, riservatezza e termini

La corretta redazione della procedura richiede anzitutto di individuare il soggetto incaricato della gestione delle segnalazioni. L’articolo 4 del D.Lgs. 24/2023 prevede che il canale sia affidato a una persona o a un ufficio interno autonomo, con personale specificamente formato, oppure a un soggetto esterno anch’esso autonomo e dotato di personale specificamente formato. La scelta deve essere coerente con l’organizzazione aziendale e con la possibilità di assicurare un trattamento imparziale e riservato delle informazioni.

Non è sufficiente indicare genericamente l’ufficio HR, il responsabile compliance o l’Organismo di Vigilanza come destinatario delle segnalazioni. Occorre verificare concretamente l’autonomia della funzione, le competenze disponibili e i possibili conflitti di interesse. La procedura deve stabilire chi interviene quando la segnalazione riguarda il gestore, un amministratore o un altro soggetto che potrebbe influenzare l’istruttoria. Deve inoltre disciplinare le sostituzioni in caso di assenza o impedimento, evitando che la continuità del servizio dipenda dalla disponibilità di una sola persona.

L’impresa può valutare l’affidamento della gestione a un professionista esterno, soprattutto quando non dispone di risorse interne adeguatamente formate o quando la struttura gerarchica rende difficile assicurare l’autonomia richiesta. Tale soluzione deve essere accompagnata da un incarico che definisca attività, responsabilità, accessi, obblighi di riservatezza e rapporti con gli organi aziendali. La disciplina operativa deve restare coerente con quanto stabilito nell’incarico.

Un altro elemento riguarda le modalità di presentazione delle segnalazioni. Il sistema interno deve consentire comunicazioni scritte e orali secondo le modalità previste dalla legge, compresa la possibilità di un incontro diretto richiesto dal segnalante entro un termine ragionevole. La procedura deve descrivere concretamente come accedere al canale, come viene documentata una segnalazione orale e quali soggetti possono consultare il relativo contenuto.

La gestione delle segnalazioni è soggetta a termini precisi. L’articolo 5 del D.Lgs. 24/2023 prevede, tra gli altri adempimenti, il rilascio dell’avviso di ricevimento entro sette giorni dalla ricezione della segnalazione, il mantenimento delle interlocuzioni con il segnalante e un diligente seguito alle comunicazioni ricevute. Il riscontro deve essere fornito entro tre mesi dalla data dell’avviso di ricevimento oppure, in mancanza dell’avviso, dalla scadenza del termine di sette giorni dalla presentazione della segnalazione.

La procedura deve quindi prevedere modalità di registrazione delle scadenze e attribuzione delle attività istruttorie. È opportuno distinguere il riscontro al segnalante dalla conclusione definitiva di ogni accertamento: la normativa impone una comunicazione sul seguito dato o che si intende dare alla segnalazione, senza richiedere necessariamente che ogni approfondimento sia già terminato entro tre mesi. Per l’applicazione concreta di queste regole rinviamo all’approfondimento sulle tempistiche nella gestione delle segnalazioni whistleblowing.

La riservatezza rappresenta un requisito che deve essere assicurato durante l’intero procedimento. L’identità del segnalante e le informazioni dalle quali possa essere ricavata, direttamente o indirettamente, devono essere protette secondo l’articolo 12 del decreto. La procedura deve disciplinare gli accessi, la trasmissione dei documenti, il coinvolgimento di eventuali consulenti e la comunicazione delle informazioni agli organi aziendali, evitando circolazioni indiscriminate di dati.

Devono essere considerate anche le disposizioni del GDPR e degli articoli 13 e 14 del D.Lgs. 24/2023. L’impresa deve individuare correttamente i ruoli privacy, fornire le informazioni richieste, adottare misure tecniche e organizzative adeguate e valutare l’impatto del trattamento sulla protezione dei dati personali nei termini previsti dalla normativa. Quando il servizio coinvolge fornitori esterni che operano come responsabili del trattamento, occorre disciplinare il rapporto ai sensi dell’articolo 28 GDPR.

La conservazione della documentazione deve rispettare il principio di necessità e il limite previsto dall’articolo 14 del D.Lgs. 24/2023: le segnalazioni e i relativi documenti non possono essere conservati oltre cinque anni dalla comunicazione dell’esito finale della procedura, fermo restando il rispetto degli obblighi di riservatezza e protezione dei dati. Devono essere previste regole per l’archiviazione, la cancellazione e la gestione delle informazioni manifestamente non utili al trattamento della specifica segnalazione.

La procedura deve infine indicare le condizioni per il ricorso al canale esterno ANAC e le informazioni relative alla divulgazione pubblica, senza presentare il canale interno come l’unica modalità sempre consentita. Quando l’impresa dispone di un Modello 231, occorre disciplinare anche i rapporti con l’Organismo di Vigilanza, individuando quali informazioni possano essergli trasmesse e con quali garanzie di riservatezza. Le modalità di coordinamento devono evitare duplicazioni incontrollate dell’istruttoria e accessi non giustificati alle identità protette.

Obblighi, responsabilità e controlli: come verificare che la procedura whistleblowing sia adeguata

Una procedura whistleblowing correttamente predisposta deve trovare applicazione nell’organizzazione aziendale. La sola approvazione del documento non è sufficiente quando il personale non conosce il canale, il gestore non dispone delle competenze necessarie oppure le modalità operative non consentono di rispettare gli obblighi previsti dal D.Lgs. 24/2023. L’azienda deve verificare la coerenza tra procedura scritta, strumenti utilizzati e attività effettivamente svolte, documentando gli adempimenti che permettono di dimostrare il funzionamento del sistema.

Il controllo riguarda anzitutto la gestione delle responsabilità. Gli amministratori devono assicurare che l’organizzazione disponga delle risorse necessarie, mentre il soggetto incaricato delle segnalazioni deve poter svolgere le proprie funzioni con autonomia e riservatezza. È opportuno verificare periodicamente la validità degli incarichi, la formazione del personale autorizzato, le modalità di sostituzione del gestore e l’esistenza di istruzioni operative per le situazioni che presentano conflitti di interesse. La procedura deve prevedere anche come intervenire quando una segnalazione viene ricevuta da un ufficio o da una persona diversa dal destinatario competente, evitando comunicazioni interne che possano compromettere la riservatezza.

Un ulteriore controllo riguarda la documentazione delle attività. La registrazione della ricezione, delle interlocuzioni, delle verifiche effettuate e del riscontro al segnalante consente di ricostruire il procedimento e accertare il rispetto dei termini. Tale documentazione deve essere accessibile esclusivamente ai soggetti autorizzati, secondo criteri di necessità e proporzionalità. La tracciabilità dell’istruttoria non deve trasformarsi in una diffusione delle informazioni riservate: report destinati alla direzione o all’Organismo di Vigilanza devono contenere soltanto gli elementi pertinenti alle rispettive funzioni.

Particolare attenzione richiede il coordinamento con il Modello di organizzazione, gestione e controllo previsto dal D.Lgs. 231/2001. Nelle società che lo hanno adottato, la procedura whistleblowing deve essere coerente con il sistema disciplinare, il codice etico e i protocolli aziendali. Occorre stabilire quali segnalazioni assumano rilevanza per l’Organismo di Vigilanza e come debbano essere gestiti i relativi flussi informativi. Questo coordinamento non autorizza automaticamente l’accesso dell’OdV a ogni documento o all’identità del segnalante: le informazioni condivise devono rispettare le garanzie previste dalla normativa.

La violazione degli obblighi whistleblowing può comportare conseguenze amministrative. L’articolo 21 del D.Lgs. 24/2023 attribuisce all’ANAC il potere di applicare, nei casi previsti, sanzioni da 10.000 a 50.000 euro, tra l’altro quando accerta che non sono stati istituiti canali di segnalazione, non sono state adottate procedure per effettuare e gestire le segnalazioni oppure le procedure adottate non sono conformi alle prescrizioni normative. La stessa fascia sanzionatoria è prevista per ulteriori violazioni individuate dalla disposizione, comprese determinate condotte di ostacolo alle segnalazioni e violazioni dell’obbligo di riservatezza.

Non ogni difetto documentale determina automaticamente una sanzione. Occorre valutare la violazione concretamente contestata, il soggetto responsabile e i presupposti previsti dalla legge. Quando emergono irregolarità, l’intervento deve concentrarsi sulla loro effettiva correzione: revisione della procedura, ridefinizione degli incarichi, adeguamento delle misure di sicurezza e verifica delle modalità operative. Una gap analysis della procedura whistleblowing permette di individuare le carenze rispetto agli obblighi applicabili, distinguendo gli interventi necessari dalle migliorie organizzative consigliabili.

La revisione può rendersi opportuna anche dopo modifiche societarie, cambiamenti del gestore, sostituzione della piattaforma o aggiornamenti delle indicazioni delle autorità competenti. Le linee guida ANAC costituiscono un riferimento da considerare nella verifica del sistema, insieme alla disciplina legislativa e alle disposizioni sulla protezione dei dati personali. L’azienda deve valutare se le modifiche richiedano un aggiornamento del documento, nuove istruzioni agli incaricati o ulteriori adempimenti organizzativi.

Esempio pratico: una PMI con procedura whistleblowing incompleta

Consideriamo una società con 85 dipendenti che ha attivato una piattaforma per le segnalazioni e pubblicato una procedura interna predisposta utilizzando un modello standard. Durante una verifica emerge che il documento non individua un sostituto del gestore, non disciplina le segnalazioni riguardanti i vertici aziendali e non descrive le modalità di conservazione della documentazione. Non risulta inoltre adeguatamente documentata la consultazione sindacale prevista dalla normativa.

La società ritiene di essere in regola perché dispone di un canale informatico funzionante. L’analisi mostra invece che l’esistenza della piattaforma non risolve le carenze organizzative della procedura. In caso di segnalazione contro un amministratore o di indisponibilità del gestore, potrebbero verificarsi difficoltà nella gestione riservata e tempestiva delle comunicazioni.

In una situazione simile, l’intervento consiste nel verificare gli obblighi applicabili, aggiornare il documento, disciplinare le sostituzioni e i conflitti di interesse, controllare gli incarichi privacy e completare gli adempimenti eventualmente mancanti. La procedura aggiornata deve poi essere comunicata ai destinatari e accompagnata da istruzioni operative coerenti con il sistema utilizzato.

Domande frequenti sulla procedura whistleblowing aziendale

È sufficiente scaricare un fac simile di procedura whistleblowing?

No. Un fac simile può costituire una base di lavoro, ma deve essere adattato all’organizzazione, ai soggetti incaricati, ai canali disponibili e alle modalità effettive di gestione delle segnalazioni. Un documento standard che non disciplina le situazioni concretamente prevedibili può risultare inadeguato.

Chi deve approvare la procedura whistleblowing in una società?

L’approvazione deve avvenire attraverso gli organi competenti secondo l’assetto societario e le attribuzioni interne. Occorre distinguere l’adozione delle regole organizzative dall’affidamento della gestione del canale, assicurando che siano rispettati gli adempimenti previsti dal D.Lgs. 24/2023.

La procedura whistleblowing deve essere pubblicata sul sito aziendale?

La normativa impone di fornire informazioni chiare sul canale, sulle procedure e sui presupposti per effettuare segnalazioni interne ed esterne. L’articolo 5 del D.Lgs. 24/2023 prevede anche la pubblicazione di tali informazioni in una sezione dedicata del sito Internet, qualora l’azienda ne disponga. Questo obbligo informativo non comporta necessariamente la pubblicazione integrale di ogni documento operativo riservato.

È necessario aggiornare una procedura whistleblowing adottata nel 2023?

Non esiste un obbligo generalizzato di riscrivere annualmente la procedura. È però necessario verificarne l’adeguatezza rispetto alla normativa applicabile, alle indicazioni delle autorità e alle modifiche organizzative intervenute. Se emergono carenze o incompatibilità, occorre procedere agli aggiornamenti necessari.

Quanto costa predisporre o aggiornare una procedura whistleblowing aziendale?

Il costo dipende dalla complessità dell’impresa, dalla documentazione esistente, dal numero di società coinvolte e dalle attività richieste. La semplice revisione di una procedura già strutturata è diversa dalla predisposizione completa di un sistema organizzativo, comprensivo di incarichi, documentazione privacy e istruzioni operative. Un preventivo attendibile richiede una valutazione preliminare della situazione aziendale.

Consulenza legale per predisporre, verificare o aggiornare la procedura whistleblowing aziendale

Lo Studio Legale Calvello assiste le imprese nella predisposizione e revisione delle procedure whistleblowing, nella verifica degli obblighi previsti dal D.Lgs. 24/2023 e nel coordinamento con il GDPR e il Modello organizzativo 231. Esaminiamo la documentazione esistente, le responsabilità attribuite ai soggetti incaricati e le eventuali criticità organizzative, individuando gli interventi necessari in relazione alla struttura aziendale.

Per richiedere una valutazione della procedura esistente o assistenza nella sua predisposizione, è possibile contattare lo Studio Legale Calvello per una consulenza in materia di whistleblowing e compliance aziendale.