Articolo a cura di: Redazione - Studio Legale Calvello

Quando un’azienda riceve una segnalazione whistleblowing, deve verificare tempestivamente chi sia competente a gestirla, proteggere la riservatezza delle persone coinvolte e valutare i fatti segnalati secondo le procedure previste dal D.Lgs. 24/2023. Una gestione improvvisata, soprattutto quando la segnalazione riguarda amministratori, dirigenti o possibili illeciti aziendali, può esporre l’impresa a contestazioni, responsabilità e conseguenze organizzative. Il primo problema non è stabilire immediatamente se l’accusa sia fondata, ma assicurare che la segnalazione venga trattata correttamente, senza compromettere le verifiche successive. Nei casi più delicati può essere opportuno coinvolgere un professionista esterno, capace di valutare gli obblighi applicabili e assistere l’azienda nella gestione dell’istruttoria.

La segnalazione è arrivata: quali sono le prime decisioni che l’azienda deve prendere?

La ricezione di una segnalazione whistleblowing rappresenta un momento particolarmente delicato per l’organizzazione aziendale. Il contenuto può riguardare irregolarità amministrative, comportamenti illeciti, violazioni delle procedure interne oppure fatti potenzialmente rilevanti ai sensi del D.Lgs. 231/2001. In questa fase, una delle prime verifiche consiste nello stabilire se la comunicazione rientri nell’ambito di applicazione della normativa sul whistleblowing e quale soggetto sia legittimato a prenderla in carico.

Il D.Lgs. 24/2023 disciplina la protezione delle persone che segnalano determinate violazioni delle disposizioni normative nazionali o dell’Unione europea, conosciute nell’ambito del proprio contesto lavorativo. Non ogni lamentela di un dipendente costituisce automaticamente una segnalazione tutelata dalla normativa. Occorre considerare la natura dei fatti, il soggetto che li comunica, il contesto nel quale sono stati conosciuti e l’ambito di applicazione delle disposizioni pertinenti. Una qualificazione affrettata può determinare errori nella scelta della procedura da seguire e nelle misure di tutela da adottare.

Se la comunicazione è pervenuta attraverso il canale interno previsto dall’azienda, il soggetto incaricato della gestione deve prenderla in carico secondo le modalità stabilite. L’articolo 4 del D.Lgs. 24/2023 prevede che la gestione del canale sia affidata a una persona o a un ufficio interno autonomo, con personale specificamente formato, oppure a un soggetto esterno dotato dei medesimi requisiti. La direzione aziendale non dovrebbe quindi sostituirsi automaticamente al gestore, acquisendo informazioni riservate o avviando verifiche parallele prive di un adeguato coordinamento.

Una situazione diversa si presenta quando la segnalazione arriva direttamente all’amministratore, al responsabile delle risorse umane o a un altro soggetto non incaricato della gestione. Se la comunicazione presenta i requisiti di una segnalazione interna ed è stata ricevuta da una persona diversa da quella competente, l’articolo 4, comma 6, del D.Lgs. 24/2023 prevede la trasmissione al soggetto competente entro sette giorni dal ricevimento, dandone contestuale notizia alla persona segnalante. Durante questo passaggio occorre preservare la riservatezza delle informazioni. Per le particolarità di questa situazione abbiamo dedicato un approfondimento alle segnalazioni whistleblowing ricevute fuori dai canali ufficiali.

Prima di avviare qualsiasi accertamento è necessario verificare anche l’eventuale presenza di conflitti di interessi. Se la segnalazione riguarda proprio il soggetto incaricato di gestirla, un amministratore che potrebbe influenzare l’istruttoria oppure un dirigente con accesso alle informazioni riservate, l’azienda deve individuare una modalità di trattamento che assicuri imparzialità e protezione dei dati. Il coinvolgimento della persona segnalata nella scelta delle verifiche o nell’accesso alla documentazione potrebbe compromettere l’affidabilità dell’intero procedimento.

In presenza di accuse particolarmente gravi, il management potrebbe essere tentato di convocare immediatamente il dipendente segnalato, informare i responsabili dei reparti coinvolti o richiedere spiegazioni a più persone. Queste iniziative devono essere valutate con attenzione. Una comunicazione prematura potrebbe rendere riconoscibile il segnalante, alterare elementi probatori o interferire con le successive verifiche. L’azienda deve distinguere le misure urgenti necessarie a impedire ulteriori condotte illecite dalle attività istruttorie che richiedono una valutazione preliminare e una gestione riservata.

Quando la segnalazione riguarda possibili reati aziendali, violazioni del Modello 231 o condotte riconducibili agli organi direttivi, può essere necessario coordinare il gestore del whistleblowing con l’Organismo di Vigilanza e con i professionisti incaricati dell’assistenza legale, rispettando le rispettive competenze e limitando la circolazione delle informazioni a quanto effettivamente necessario. Per le segnalazioni che coinvolgono direttamente i vertici aziendali abbiamo approfondito chi deve intervenire quando il whistleblowing riguarda il management.

Come prendere in carico la segnalazione e avviare correttamente le verifiche

Una volta individuato il soggetto competente, la gestione deve seguire una sequenza documentabile di attività. L’articolo 5 del D.Lgs. 24/2023 stabilisce che il gestore rilasci alla persona segnalante un avviso di ricevimento entro sette giorni dalla data di ricezione, mantenga le interlocuzioni necessarie, dia diligente seguito alle segnalazioni ricevute e fornisca un riscontro entro tre mesi dalla data dell’avviso di ricevimento oppure, in mancanza dell’avviso, dalla scadenza del termine di sette giorni previsto per il suo rilascio.

L’avviso di ricevimento non equivale a una valutazione positiva della segnalazione e il riscontro entro tre mesi non comporta necessariamente la conclusione definitiva di ogni accertamento. Il gestore deve organizzare le attività in modo da rispettare gli obblighi normativi, comunicando nei termini previsti informazioni coerenti con lo stato della gestione e con le esigenze di riservatezza. Per una trattazione specifica delle scadenze abbiamo predisposto una guida sulle tempistiche nella gestione delle segnalazioni whistleblowing.

La prima attività sostanziale consiste nella valutazione preliminare della comunicazione. Occorre esaminare se i fatti siano sufficientemente comprensibili, se rientrino nell’ambito della disciplina applicabile e se esistano elementi che giustifichino ulteriori approfondimenti. Una segnalazione può contenere informazioni incomplete senza essere necessariamente infondata. Il gestore, quando possibile e opportuno, può richiedere chiarimenti alla persona segnalante, evitando di sollecitare informazioni eccedenti rispetto alle esigenze dell’istruttoria.

La verifica deve essere proporzionata alla natura dei fatti. Una presunta violazione di una procedura interna può richiedere l’esame di documenti aziendali e l’acquisizione di chiarimenti dai responsabili competenti. Una segnalazione relativa a falsificazioni contabili, condotte corruttive o altre possibili fattispecie penalmente rilevanti può rendere necessaria una valutazione giuridica più articolata, anche per evitare che iniziative aziendali non coordinate interferiscano con eventuali accertamenti delle autorità.

Durante l’istruttoria è necessario distinguere tra informazioni utili all’accertamento e dati che non devono essere diffusi. L’articolo 12 del D.Lgs. 24/2023 tutela la riservatezza dell’identità del segnalante e delle informazioni dalle quali essa possa essere desunta, direttamente o indirettamente. La tutela riguarda anche l’identità delle persone coinvolte e di quelle menzionate nella segnalazione, nei termini previsti dalla legge. L’accesso al fascicolo non può quindi essere consentito indiscriminatamente a tutti i responsabili aziendali interessati alla vicenda.

Il trattamento dei dati personali deve rispettare anche il Regolamento (UE) 2016/679 e le disposizioni specifiche del D.Lgs. 24/2023. Il gestore deve limitare la raccolta delle informazioni a quelle pertinenti e necessarie, adottare misure di sicurezza adeguate e assicurare che la documentazione sia accessibile soltanto ai soggetti autorizzati. L’articolo 14 del decreto disciplina inoltre la conservazione delle segnalazioni e della relativa documentazione per il tempo necessario al trattamento e comunque non oltre cinque anni dalla comunicazione dell’esito finale della procedura, nel rispetto delle condizioni previste dalla normativa.

Particolare cautela richiedono gli accertamenti che coinvolgono strumenti informatici, posta elettronica aziendale e documentazione relativa ai dipendenti. La necessità di verificare una segnalazione non attribuisce automaticamente all’impresa il diritto di effettuare qualsiasi controllo. Devono essere rispettati i limiti derivanti dalla disciplina sulla protezione dei dati personali e, quando applicabili, dall’articolo 4 dello Statuto dei lavoratori. L’eventuale acquisizione di messaggi, file o registrazioni deve quindi essere valutata in relazione alla finalità perseguita, alle modalità di raccolta e alla legittimità degli strumenti utilizzati.

Quando emergono elementi che potrebbero giustificare un procedimento disciplinare, occorre considerare anche le garanzie della persona coinvolta. La tutela del segnalante non elimina il diritto di difesa del soggetto segnalato, né consente di considerare provati i fatti sulla sola base della comunicazione ricevuta. Nei procedimenti disciplinari nei quali la contestazione sia fondata, in tutto o in parte, sulla segnalazione e la conoscenza dell’identità del segnalante sia indispensabile alla difesa dell’incolpato, la rivelazione dell’identità richiede il consenso espresso della persona segnalante, secondo quanto previsto dall’articolo 12 del D.Lgs. 24/2023.

La gestione dell’istruttoria deve lasciare una traccia attendibile delle attività compiute, delle informazioni esaminate e delle ragioni delle decisioni adottate. Questa documentazione permette di ricostruire il percorso seguito, verificare il rispetto dei termini e dimostrare che l’azienda non ha ignorato la comunicazione. Nei casi in cui la segnalazione presenti elementi di particolare complessità, l’assistenza di un avvocato esperto in whistleblowing e compliance aziendale può aiutare a delimitare correttamente le verifiche, valutare i profili di responsabilità e prevenire errori procedurali. Il nostro Studio presta assistenza alle imprese anche attraverso attività di consulenza legale nella gestione delle segnalazioni whistleblowing.

Obblighi, responsabilità e rischi per l’azienda dopo una segnalazione whistleblowing

La gestione di una segnalazione whistleblowing non si esaurisce nella verifica dei fatti denunciati. L’azienda deve valutare le eventuali conseguenze organizzative e giuridiche delle informazioni ricevute, assicurando che le decisioni successive siano coerenti con gli obblighi previsti dal D.Lgs. 24/2023 e con le altre disposizioni applicabili. Il rischio principale consiste nel sottovalutare la segnalazione, gestirla attraverso soggetti non competenti oppure adottare provvedimenti che possano compromettere la riservatezza del segnalante o essere qualificati come ritorsivi.

Il D.Lgs. 24/2023 prevede specifiche sanzioni amministrative pecuniarie, applicate dall’ANAC nei casi individuati dall’articolo 21. In particolare, possono essere contestate condotte quali l’ostacolo alla segnalazione, la violazione dell’obbligo di riservatezza, l’adozione di comportamenti ritorsivi e, nei casi previsti, la mancata istituzione dei canali, l’assenza di procedure conformi o l’omessa attività di verifica e analisi delle segnalazioni ricevute. Le sanzioni non derivano automaticamente dalla semplice esistenza di una segnalazione, ma richiedono l’accertamento delle violazioni previste dalla normativa.

Un aspetto particolarmente delicato riguarda i provvedimenti adottati nei confronti del dipendente che ha effettuato la segnalazione. Licenziamenti, demansionamenti, trasferimenti, modifiche peggiorative delle condizioni lavorative e altre misure sfavorevoli possono assumere rilevanza quando costituiscono ritorsioni collegate alla segnalazione. L’articolo 17 del D.Lgs. 24/2023 vieta tali comportamenti e l’articolo 19 disciplina le relative tutele. Nei procedimenti previsti dalla normativa, operano inoltre specifiche regole sull’onere della prova. Prima di adottare un provvedimento nei confronti di un lavoratore segnalante, l’azienda deve verificare attentamente le ragioni della decisione, la documentazione disponibile e l’eventuale collegamento con la segnalazione.

Quando i fatti riguardano possibili reati presupposto della responsabilità amministrativa degli enti, la segnalazione può assumere rilevanza anche nell’ambito del D.Lgs. 231/2001. È il caso, ad esempio, di condotte corruttive, determinate violazioni in materia di salute e sicurezza sul lavoro oppure altri illeciti compresi nel catalogo normativo, purché ricorrano gli ulteriori presupposti della responsabilità dell’ente. La ricezione della segnalazione non determina di per sé una responsabilità della società, ma può rendere necessario verificare l’effettiva applicazione del Modello 231, il funzionamento dei controlli interni e l’eventuale coinvolgimento dell’Organismo di Vigilanza.

Il coordinamento tra gestore whistleblowing e Organismo di Vigilanza deve rispettare le competenze attribuite a ciascuno. Non è corretto presumere che ogni segnalazione debba essere trasmessa integralmente all’OdV, né che quest’ultimo debba necessariamente condurre tutte le indagini. Le modalità di collaborazione dipendono dall’organizzazione aziendale, dal contenuto della segnalazione e dalle procedure adottate, fermo restando il rispetto della riservatezza e del principio di minimizzazione dei dati personali.

Al termine delle verifiche, l’azienda deve valutare gli eventuali interventi conseguenti. Una segnalazione fondata può richiedere misure correttive, modifiche delle procedure interne, interventi disciplinari legittimamente adottati oppure ulteriori accertamenti. Se invece non emergono elementi sufficienti, l’archiviazione deve essere motivata e documentata. Non è corretto equiparare automaticamente una segnalazione non confermata a una denuncia falsa o formulata in mala fede. Per questo specifico problema abbiamo approfondito come gestire le segnalazioni whistleblowing infondate senza violare la legge.

Nei casi complessi, l’assistenza legale permette di valutare le conseguenze delle decisioni aziendali prima che vengano adottate, soprattutto quando la segnalazione coinvolge amministratori, dirigenti, rapporti di lavoro o possibili responsabilità dell’ente. La documentazione delle attività svolte, delle valutazioni effettuate e delle misure adottate costituisce un elemento essenziale per ricostruire la correttezza del procedimento in caso di successive contestazioni.

Un caso pratico: la segnalazione di un possibile illecito commesso da un dirigente

Consideriamo una società che riceve attraverso il proprio canale whistleblowing una segnalazione relativa a presunte irregolarità nella gestione dei rapporti con alcuni fornitori. Il segnalante riferisce che un dirigente avrebbe favorito determinate imprese attraverso procedure di selezione non trasparenti, allegando alcune comunicazioni e documenti aziendali.

Il gestore prende in carico la comunicazione, rilascia l’avviso di ricevimento nei termini previsti e verifica preliminarmente la pertinenza dei fatti rispetto alla disciplina applicabile. Prima di richiedere chiarimenti al dirigente coinvolto, valuta quali documenti possano essere esaminati legittimamente, quali soggetti debbano partecipare agli accertamenti e come evitare che l’identità del segnalante possa essere ricostruita.

Poiché i fatti potrebbero presentare profili rilevanti per il Modello 231, viene valutato anche il coinvolgimento dell’Organismo di Vigilanza secondo le procedure aziendali. L’istruttoria consente di individuare alcune anomalie nei controlli sugli acquisti, senza che ciò comporti automaticamente l’accertamento di un reato. La società decide quindi di approfondire le responsabilità individuali e di verificare l’adeguatezza delle procedure di selezione dei fornitori.

La differenza tra una gestione corretta e una gestione improvvisata consiste nella capacità di accertare i fatti senza anticipare giudizi, diffondere informazioni riservate o adottare provvedimenti privi di adeguato fondamento. Anche quando la segnalazione non conduce all’accertamento di un illecito, le verifiche possono individuare carenze organizzative che richiedono interventi specifici.

Domande frequenti sulla gestione di una segnalazione whistleblowing

Il datore di lavoro può leggere direttamente una segnalazione whistleblowing?

Non automaticamente. L’accesso deve rispettare le competenze attribuite al gestore del canale e le garanzie di riservatezza previste dal D.Lgs. 24/2023. Il datore di lavoro o l’amministratore non possono acquisire indiscriminatamente il contenuto delle segnalazioni soltanto in ragione della posizione ricoperta nell’organizzazione aziendale.

Entro quanto tempo l’azienda deve rispondere al segnalante?

Il gestore deve rilasciare un avviso di ricevimento entro sette giorni dalla ricezione e fornire un riscontro entro tre mesi dalla data dell’avviso oppure, se questo manca, dalla scadenza del termine di sette giorni previsto per il suo rilascio. Il riscontro deve essere coerente con le attività svolte e non richiede necessariamente che ogni verifica sia già definitivamente conclusa.

È possibile archiviare una segnalazione whistleblowing senza avviare un’indagine approfondita?

Sì, quando la valutazione preliminare giustifica l’archiviazione, ad esempio perché la comunicazione risulta manifestamente estranea all’ambito della disciplina applicabile oppure priva degli elementi necessari per procedere ad accertamenti utili. La decisione deve essere adeguatamente motivata e documentata, rispettando gli obblighi procedurali pertinenti.

Una segnalazione contro un amministratore deve essere comunicata all’Organismo di Vigilanza?

Il coinvolgimento dell’OdV dipende dal contenuto della segnalazione, dalle competenze dell’organismo e dalle procedure aziendali. Quando emergono possibili violazioni del Modello 231 o fatti rilevanti ai fini della responsabilità dell’ente, occorre valutare il corretto coordinamento con l’OdV, evitando comunicazioni indiscriminate che possano compromettere la riservatezza.

L’azienda può affidare a un avvocato esterno la gestione di una segnalazione già ricevuta?

È possibile ricorrere all’assistenza di un professionista esterno per le verifiche giuridiche e le attività istruttorie, nel rispetto delle competenze del gestore formalmente incaricato. L’eventuale sostituzione o affidamento esterno della funzione di gestione richiede invece una valutazione organizzativa specifica, con adeguata definizione dell’incarico, delle responsabilità e delle misure di riservatezza.

Assistenza legale alle aziende che hanno ricevuto una segnalazione whistleblowing

Quando una segnalazione riguarda possibili illeciti, responsabilità dei dirigenti, violazioni del Modello 231 o situazioni di conflitto di interessi, intervenire senza un’adeguata valutazione giuridica può complicare la gestione del procedimento. Lo Studio Legale Calvello assiste le aziende nella valutazione delle segnalazioni whistleblowing, nell’organizzazione delle verifiche interne e nell’esame delle possibili conseguenze legali e organizzative.

Valutiamo le caratteristiche del caso concreto, gli obblighi applicabili e le modalità di intervento più appropriate, anche in coordinamento con il gestore delle segnalazioni e l’Organismo di Vigilanza. Per sottoporre una situazione aziendale al nostro Studio è possibile richiedere una consulenza legale in materia di whistleblowing e compliance aziendale.