Articolo a cura di: Redazione - Studio Legale Calvello

Quando un’azienda riceve una segnalazione whistleblowing, deve avviare un procedimento di gestione che non si esaurisce nella lettura della comunicazione o nella verifica delle accuse. Occorre individuare il soggetto competente, proteggere la riservatezza delle persone coinvolte, valutare i fatti, svolgere gli accertamenti necessari e documentare le decisioni adottate. Il D.Lgs. 24/2023 disciplina precisi adempimenti, compresi l’avviso di ricevimento entro sette giorni e il riscontro al segnalante nei termini previsti dalla legge.

Una gestione incompleta può esporre l’impresa a contestazioni, compromettere l’attendibilità degli accertamenti e rendere più difficile intervenire sulle irregolarità riscontrate. Come Studio Legale, assistiamo le aziende nella gestione delle segnalazioni whistleblowing, dall’apertura dell’istruttoria alla sua conclusione, con particolare attenzione agli obblighi normativi, alla tutela della riservatezza e al coordinamento con le procedure interne e il Modello 231, quando adottato.

Dalla ricezione alla presa in carico: come avviare correttamente la gestione della segnalazione

Il primo passaggio consiste nell’accertare che la segnalazione sia stata ricevuta dal soggetto incaricato della gestione del canale interno. L’articolo 4 del D.Lgs. 24/2023 prevede che tale attività sia affidata a una persona o a un ufficio interno autonomo, con personale specificamente formato, oppure a un soggetto esterno dotato dei medesimi requisiti. La competenza del gestore deve risultare dall’organizzazione adottata dall’impresa, evitando che la comunicazione venga esaminata indiscriminatamente dalla direzione, dall’ufficio del personale o da altri soggetti privi di autorizzazione.

Se la segnalazione arriva a un soggetto diverso da quello competente, ma è riconoscibile come segnalazione whistleblowing, l’articolo 4, comma 6, stabilisce che debba essere trasmessa entro sette giorni al soggetto competente, dandone contestuale notizia al segnalante. Anche in questa circostanza occorre preservare la riservatezza delle informazioni ricevute. Per le particolarità di questa situazione rinviamo al nostro approfondimento sulle segnalazioni whistleblowing ricevute fuori dai canali ufficiali.

Una volta acquisita la comunicazione, il gestore deve procedere alla sua registrazione secondo le modalità previste dal sistema aziendale, limitando l’accesso ai soggetti autorizzati. Entro sette giorni dalla data di ricezione deve essere rilasciato l’avviso al segnalante. Tale comunicazione conferma la ricezione, ma non costituisce una valutazione sulla fondatezza dei fatti denunciati. È necessario distinguere questo adempimento dal successivo riscontro sull’attività svolta, che segue una diversa scadenza.

Prima di iniziare gli accertamenti occorre verificare anche l’eventuale presenza di conflitti di interessi. Se la segnalazione riguarda il gestore, un suo superiore o un soggetto capace di condizionarne l’attività, l’impresa deve applicare modalità alternative che assicurino autonomia e imparzialità. Non sarebbe corretto consentire alla persona coinvolta nei fatti di dirigere l’istruttoria o accedere liberamente alla documentazione. La questione assume particolare delicatezza quando le accuse riguardano amministratori o componenti degli organi di controllo.

La presa in carico richiede poi una prima valutazione dell’oggetto della segnalazione. Il gestore deve comprendere se i fatti descritti rientrano nell’ambito del D.Lgs. 24/2023, tenendo conto della natura dell’ente, delle violazioni prospettate e del contesto lavorativo nel quale le informazioni sono state acquisite. Non ogni controversia tra dipendente e datore di lavoro costituisce una segnalazione tutelata dalla disciplina whistleblowing. Le contestazioni esclusivamente personali relative al rapporto individuale di lavoro, nei termini previsti dall’articolo 1 del decreto, rimangono escluse dal relativo ambito applicativo.

La valutazione iniziale non deve però trasformarsi in un giudizio anticipato sulla veridicità delle accuse. Una comunicazione poco dettagliata può richiedere integrazioni, mentre una segnalazione apparentemente grave potrebbe non trovare conferma negli accertamenti successivi. Il gestore deve distinguere tra ammissibilità della segnalazione, sufficienza degli elementi disponibili e fondatezza dei fatti, documentando le ragioni delle proprie valutazioni.

Come svolgere l’istruttoria whistleblowing: verifiche, documenti e tutela delle persone coinvolte

Superata la valutazione preliminare, il gestore deve dare diligente seguito alla segnalazione, secondo quanto previsto dall’articolo 5 del D.Lgs. 24/2023. L’istruttoria deve essere proporzionata alla natura delle violazioni prospettate e agli elementi concretamente disponibili. Non esiste un unico modello di indagine applicabile indistintamente a tutte le imprese: una possibile irregolarità amministrativa richiede verifiche differenti rispetto a una segnalazione relativa a condotte corruttive, falsificazioni documentali o violazioni di procedure aziendali.

Il primo accertamento riguarda normalmente la ricostruzione dei fatti. Occorre individuare le condotte segnalate, il periodo nel quale si sarebbero verificate, i soggetti eventualmente coinvolti e le fonti documentali che possono consentire una verifica. Quando necessario, il gestore mantiene le interlocuzioni con il segnalante e richiede chiarimenti o integrazioni, evitando di sollecitare informazioni non pertinenti o dati personali eccedenti rispetto alle finalità dell’indagine.

Le attività istruttorie possono comprendere l’esame di contratti, registrazioni contabili, comunicazioni aziendali, procedure interne e documenti relativi ai processi interessati. L’eventuale acquisizione di email, registri informatici o informazioni riferite ai dipendenti deve rispettare il GDPR, la disciplina sulla protezione dei dati personali e, quando applicabile, l’articolo 4 dello Statuto dei lavoratori. La presenza di una segnalazione whistleblowing non autorizza automaticamente controlli indiscriminati sui lavoratori né consente di utilizzare qualsiasi informazione disponibile nei sistemi aziendali.

Particolare attenzione richiede la protezione dell’identità del segnalante. L’articolo 12 del D.Lgs. 24/2023 stabilisce specifiche garanzie di riservatezza, che riguardano anche le informazioni dalle quali l’identità possa essere desunta indirettamente. La documentazione deve quindi essere accessibile soltanto ai soggetti legittimati e le comunicazioni interne devono contenere esclusivamente gli elementi necessari allo svolgimento delle rispettive funzioni.

La riservatezza deve essere assicurata anche alle persone coinvolte o menzionate nella segnalazione, secondo quanto previsto dalla normativa applicabile. Durante l’istruttoria non è corretto trattare le accuse come fatti già accertati. L’impresa deve evitare iniziative che possano compromettere la reputazione dei soggetti interessati o anticipare provvedimenti disciplinari senza una verifica adeguata.

Quando gli accertamenti richiedono competenze specialistiche, può essere necessario coinvolgere professionisti esterni, assicurando che l’accesso alle informazioni avvenga nel rispetto delle regole di riservatezza e protezione dei dati. Il coinvolgimento dell’ufficio legale, del responsabile compliance o dell’Organismo di Vigilanza deve essere valutato in relazione alle rispettive attribuzioni e alle procedure aziendali. La presenza di un Modello 231 non comporta automaticamente che ogni segnalazione debba essere integralmente gestita dall’OdV, ma può rendere necessari specifici flussi informativi quando emergono violazioni rilevanti per il sistema di prevenzione dei reati.

Nel corso dell’indagine può inoltre presentarsi la necessità di ascoltare persone informate sui fatti oppure il soggetto segnalato. Le modalità devono essere valutate considerando la tutela della riservatezza, le esigenze di accertamento e gli eventuali diritti di difesa. Nel procedimento disciplinare, in particolare, la rivelazione dell’identità del segnalante incontra le condizioni e i limiti stabiliti dall’articolo 12 del decreto.

Ogni attività istruttoria deve lasciare una traccia documentale adeguata: richieste formulate, documenti acquisiti, verifiche effettuate e valutazioni che giustificano le decisioni. Questa documentazione permette di ricostruire il percorso seguito dal gestore, senza confondere le informazioni ricevute con i fatti effettivamente accertati. La raccolta e la conservazione devono rispettare il principio di minimizzazione e i limiti temporali applicabili.

Se durante gli accertamenti emergono elementi che fanno ipotizzare reati o violazioni particolarmente gravi, occorre valutare tempestivamente gli ulteriori interventi necessari, compresa l’eventuale attivazione delle autorità competenti quando ne ricorrano i presupposti. La gestione interna del whistleblowing non sostituisce gli obblighi di denuncia eventualmente previsti dalla legge e non deve ostacolare indagini o procedimenti delle autorità.

Obblighi, scadenze e responsabilità dell’azienda fino alla chiusura della segnalazione

La gestione di una segnalazione whistleblowing deve rispettare gli obblighi previsti dal D.Lgs. 24/2023 anche quando gli accertamenti richiedono tempi superiori a quelli inizialmente ipotizzati. L’articolo 5 impone al gestore di mantenere le interlocuzioni con il segnalante, dare diligente seguito alla comunicazione e fornire un riscontro entro tre mesi dalla data dell’avviso di ricevimento oppure, in mancanza di tale avviso, dalla scadenza del termine di sette giorni dalla presentazione della segnalazione.

Il termine di tre mesi riguarda il riscontro al segnalante e non impone necessariamente la conclusione definitiva dell’istruttoria. Se gli accertamenti sono ancora in corso, il gestore può comunicare le attività intraprese e quelle programmate, nei limiti consentiti dalla riservatezza e dalle esigenze investigative. Non è sufficiente, invece, una comunicazione meramente formale che non dia conto di alcun seguito effettivo. Le differenze tra le varie scadenze sono approfondite nel nostro articolo sulle tempistiche nella gestione delle segnalazioni whistleblowing.

Una volta completate le verifiche, il gestore deve valutare gli elementi raccolti e documentare l’esito dell’istruttoria. La conclusione può consistere nell’archiviazione della segnalazione, quando mancano elementi sufficienti o non risultano confermate le violazioni prospettate, oppure nella trasmissione delle risultanze agli organi aziendali competenti per le determinazioni conseguenti. È necessario distinguere l’attività di accertamento del gestore dalle decisioni che spettano, secondo l’organizzazione aziendale, al datore di lavoro, agli amministratori o agli altri organi competenti.

Quando emergono violazioni effettive, le misure da adottare dipendono dalla natura dei fatti. Possono rendersi necessari interventi sulle procedure interne, verifiche sui controlli aziendali, iniziative disciplinari o ulteriori valutazioni di carattere legale. L’eventuale procedimento disciplinare deve rispettare le garanzie previste dalla normativa applicabile, senza considerare la segnalazione, da sola, una prova sufficiente della responsabilità del soggetto coinvolto.

Se l’impresa ha adottato un Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001, le risultanze possono richiedere una valutazione sull’efficacia dei protocolli di prevenzione e dei flussi informativi verso l’Organismo di Vigilanza. Una violazione accertata può rivelare carenze nei controlli o nell’applicazione delle procedure, ma non determina automaticamente la responsabilità amministrativa dell’ente. Quest’ultima presuppone le condizioni stabilite dal D.Lgs. 231/2001, che devono essere valutate autonomamente.

La chiusura dell’istruttoria deve essere adeguatamente motivata e documentata. Il fascicolo dovrebbe consentire di ricostruire le attività svolte, gli elementi esaminati, le conclusioni raggiunte e gli eventuali interventi successivi. Non è necessario conservare indiscriminatamente ogni dato raccolto: l’articolo 14 del D.Lgs. 24/2023 prevede che le segnalazioni e la relativa documentazione siano conservate per il tempo necessario al trattamento e comunque non oltre cinque anni dalla comunicazione dell’esito finale della procedura, nel rispetto degli obblighi di riservatezza e della normativa sulla protezione dei dati personali.

La documentazione dell’istruttoria assume rilievo anche nell’eventualità di controlli o contestazioni. L’articolo 21 del D.Lgs. 24/2023 prevede sanzioni amministrative pecuniarie, tra l’altro, quando viene accertato che non è stata svolta l’attività di verifica e analisi delle segnalazioni ricevute. Le conseguenze devono essere valutate in relazione alla specifica violazione contestata: non ogni ritardo o irregolarità procedurale comporta automaticamente l’applicazione di una sanzione.

Per l’azienda è quindi necessario poter dimostrare che la segnalazione è stata effettivamente presa in carico, che sono state svolte verifiche proporzionate e che le decisioni finali derivano da una valutazione documentata. Quando emergono difficoltà nella gestione, conflitti di interessi o possibili responsabilità degli organi aziendali, un’assistenza legale tempestiva può aiutare a individuare le attività ancora necessarie e a correggere eventuali carenze procedurali, senza compromettere l’autonomia degli accertamenti.

Un caso pratico: segnalazione contro un dirigente e accertamenti interni

Consideriamo una società che riceve, attraverso il proprio canale whistleblowing, una segnalazione relativa a presunte irregolarità nella selezione di alcuni fornitori. Il segnalante sostiene che un dirigente abbia favorito ripetutamente una determinata impresa, autorizzando acquisti a condizioni economicamente svantaggiose. Alla comunicazione vengono allegati alcuni documenti, ma non sono disponibili elementi sufficienti per stabilire immediatamente se le accuse siano fondate.

Il gestore prende in carico la segnalazione, invia l’avviso di ricevimento nei termini previsti e verifica che non sussistano conflitti di interessi. Successivamente esamina i contratti, le procedure di acquisto e le autorizzazioni disponibili, richiedendo chiarimenti al segnalante quando necessario. Gli accertamenti vengono condotti limitando la circolazione delle informazioni e senza coinvolgere il dirigente segnalato nella gestione dell’istruttoria.

Dall’esame della documentazione emergono alcune anomalie nelle autorizzazioni, ma non risultano ancora dimostrate condotte illecite. Il gestore approfondisce le verifiche e, se necessario, coinvolge professionisti competenti nel rispetto delle regole di riservatezza. Qualora la società abbia adottato un Modello 231, viene valutata anche la rilevanza dei fatti rispetto ai protocolli relativi alla gestione degli acquisti e ai flussi informativi verso l’Organismo di Vigilanza.

Al termine degli accertamenti, il gestore redige una relazione motivata e trasmette le risultanze ai soggetti competenti, affinché valutino gli eventuali interventi. Se vengono accertate violazioni delle procedure aziendali, potranno essere adottate misure correttive o avviati procedimenti disciplinari nel rispetto delle garanzie applicabili. Se invece le accuse non trovano conferma, l’istruttoria potrà essere archiviata con adeguata motivazione. In entrambi i casi, la società deve documentare il percorso seguito e assicurare il riscontro al segnalante nei termini di legge.

Domande frequenti sulla gestione delle segnalazioni whistleblowing

Quanto tempo ha l’azienda per gestire una segnalazione whistleblowing?

Il D.Lgs. 24/2023 prevede l’avviso di ricevimento entro sette giorni dalla presentazione della segnalazione e il riscontro entro tre mesi dalla data dell’avviso oppure, se questo manca, dalla scadenza dei sette giorni. Il riscontro non coincide necessariamente con la conclusione dell’istruttoria, che può richiedere ulteriori accertamenti.

Chi deve svolgere gli accertamenti dopo una segnalazione whistleblowing?

La gestione deve essere affidata al soggetto interno o esterno individuato secondo l’articolo 4 del D.Lgs. 24/2023, dotato dei requisiti di autonomia e formazione previsti. Il coinvolgimento di altre funzioni aziendali o professionisti deve rispettare le competenze attribuite, la riservatezza e l’eventuale necessità di evitare conflitti di interessi.

È possibile archiviare una segnalazione whistleblowing senza adottare provvedimenti?

Sì. Quando gli accertamenti non confermano i fatti segnalati oppure mancano elementi sufficienti per procedere, la segnalazione può essere archiviata. La decisione deve essere motivata e documentata. L’assenza di provvedimenti non significa che l’azienda possa omettere le verifiche necessarie.

Il segnalante deve conoscere tutti i risultati dell’indagine interna?

No. Il gestore deve fornire il riscontro previsto dalla legge, ma non è tenuto a comunicare indiscriminatamente documenti riservati, dati personali di terzi o informazioni che potrebbero compromettere ulteriori accertamenti. Il contenuto della comunicazione deve essere valutato in relazione alle attività svolte e alle esigenze di tutela delle persone coinvolte.

Cosa rischia l’azienda se non gestisce correttamente una segnalazione whistleblowing?

Le conseguenze dipendono dalla violazione concretamente accertata. Il D.Lgs. 24/2023 prevede sanzioni amministrative, tra l’altro, per l’omessa attività di verifica e analisi delle segnalazioni ricevute. Possono inoltre emergere responsabilità connesse alla violazione della riservatezza, a comportamenti ritorsivi o a trattamenti illeciti di dati personali, secondo i rispettivi presupposti normativi.

Assistenza legale alle aziende nella gestione delle segnalazioni whistleblowing

La gestione di una segnalazione whistleblowing può richiedere valutazioni giuridiche delicate, soprattutto quando riguarda amministratori, dirigenti, possibili reati aziendali o violazioni delle procedure previste dal Modello 231. Una istruttoria condotta senza adeguate garanzie può compromettere la riservatezza, la correttezza degli accertamenti e la possibilità di adottare provvedimenti successivi.

Lo Studio Legale Calvello assiste le imprese nella valutazione delle segnalazioni ricevute, nello svolgimento delle verifiche, nella gestione delle problematiche di riservatezza e nella definizione degli interventi conseguenti. Forniamo supporto anche nel coordinamento tra gestore whistleblowing, funzioni aziendali e Organismo di Vigilanza, quando le circostanze lo richiedono.

Per sottoporre una segnalazione già ricevuta o richiedere assistenza nella gestione dell’istruttoria, è possibile contattare lo Studio Legale Calvello per una consulenza in materia di whistleblowing e compliance aziendale.