Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda può avere attivato una piattaforma per le segnalazioni whistleblowing, nominato un gestore e predisposto una procedura interna senza che il sistema risulti necessariamente conforme alla normativa. Il problema emerge quando il canale non garantisce un’adeguata riservatezza, le responsabilità non sono definite, le segnalazioni vengono gestite senza rispettare i termini previsti oppure mancano le verifiche sul trattamento dei dati personali. L’audit whistleblowing serve a individuare queste criticità, verificando la conformità giuridica e l’effettivo funzionamento del sistema aziendale.

Per le imprese soggette al D.Lgs. 24/2023, il controllo assume particolare rilievo quando il sistema è stato istituito da tempo, sono intervenuti cambiamenti organizzativi, è stato sostituito il gestore oppure sono emerse irregolarità nella gestione delle segnalazioni. Noi dello Studio Legale Calvello assistiamo le aziende nella verifica degli adempimenti whistleblowing, nell’individuazione delle eventuali non conformità e nella valutazione degli interventi necessari per correggerle, considerando anche i rapporti con il GDPR e, quando presente, con il Modello organizzativo 231.

Audit whistleblowing aziendale: perché avere un canale attivo non significa essere conformi

Il D.Lgs. 24/2023 richiede ai soggetti rientranti nel proprio ambito di applicazione di istituire canali interni di segnalazione dotati di caratteristiche organizzative e tecniche precise. Per un’impresa privata obbligata, l’adempimento non si esaurisce nell’acquisto di un software o nella pubblicazione di un indirizzo attraverso il quale dipendenti e altri soggetti legittimati possono trasmettere segnalazioni. Occorre che il sistema sia organizzato in modo da tutelare la riservatezza delle persone coinvolte, assicurare una gestione diligente delle comunicazioni ricevute e consentire il rispetto degli obblighi previsti dalla legge.

La verifica di conformità whistleblowing deve quindi riguardare il funzionamento concreto del sistema, non soltanto la presenza dei documenti. Una procedura formalmente corretta può risultare inadeguata quando le persone incaricate non conoscono le attività da svolgere, quando le credenziali di accesso sono condivise con personale non autorizzato oppure quando non esiste un’organizzazione capace di gestire una segnalazione che coinvolga direttamente il management.

Un primo aspetto dell’audit consiste nell’accertare se l’impresa rientri effettivamente tra i soggetti obbligati. Nel settore privato, il D.Lgs. 24/2023 considera, tra gli altri presupposti, l’impiego nell’ultimo anno di una media di almeno 50 lavoratori subordinati, le attività rientranti negli specifici settori disciplinati dalla normativa europea richiamata dal decreto e l’adozione di modelli organizzativi ai sensi del D.Lgs. 231/2001, secondo le condizioni stabilite dalla legge. La verifica deve essere effettuata sulla situazione effettiva della società, senza presumere che tutte le imprese siano soggette ai medesimi obblighi o che il numero dei dipendenti costituisca l’unico criterio applicabile.

Una volta accertato il quadro normativo, occorre confrontare la struttura adottata dall’azienda con i requisiti dell’art. 4 del D.Lgs. 24/2023. Il canale deve consentire segnalazioni in forma scritta e orale, con modalità idonee a proteggere la riservatezza dell’identità del segnalante, della persona coinvolta e delle altre persone menzionate, nonché del contenuto della segnalazione e della relativa documentazione. Deve essere possibile richiedere anche un incontro diretto entro un termine ragionevole. L’audit verifica se queste possibilità siano concretamente disponibili e se le modalità operative rispettino le garanzie richieste.

Particolare attenzione merita la scelta degli strumenti utilizzati. Una semplice casella di posta elettronica aziendale, soprattutto quando accessibile a più persone, può presentare criticità rispetto alla riservatezza e alla separazione degli accessi. Anche una piattaforma specialistica deve essere esaminata nelle sue configurazioni effettive: la conformità dichiarata dal fornitore non sostituisce la verifica delle modalità con cui l’impresa utilizza il servizio. Le credenziali, i permessi, le notifiche, la conservazione degli allegati e le possibilità di identificazione indiretta del segnalante possono incidere sulla sicurezza complessiva.

Un ulteriore controllo riguarda la coerenza tra quanto dichiarato nella procedura aziendale e ciò che avviene realmente. Se il documento individua un responsabile delle segnalazioni ma la piattaforma è amministrata da un altro ufficio, oppure se le comunicazioni vengono inoltrate automaticamente a soggetti non autorizzati, può esistere una non conformità che non emerge dalla semplice lettura del regolamento interno. Per comprendere i requisiti del sistema, abbiamo approfondito anche le caratteristiche del canale whistleblowing interno e le modalità della sua gestione.

Il controllo è particolarmente opportuno dopo riorganizzazioni societarie, cambiamenti nella direzione aziendale, sostituzioni del personale incaricato, migrazioni informatiche o modifiche del servizio esternalizzato. In queste situazioni, un sistema inizialmente adeguato può non corrispondere più all’organizzazione effettiva dell’impresa. L’audit permette di individuare le differenze tra l’assetto documentato e quello concretamente applicato, stabilendo quali interventi siano necessari e quali richiedano una valutazione giuridica specifica.

Come effettuare la verifica di conformità: procedure, gestore, piattaforma e trattamento dei dati

Un audit whistleblowing deve partire dall’esame della documentazione e proseguire con la verifica delle responsabilità organizzative e delle modalità operative. La procedura interna, gli atti di affidamento della gestione, le informazioni rese ai potenziali segnalanti, le istruzioni impartite ai soggetti autorizzati e gli accordi con eventuali fornitori costituiscono il punto di partenza. Non è sufficiente accertarne l’esistenza: occorre verificare che siano aggiornati, coerenti tra loro e corrispondenti alle attività effettivamente svolte.

Uno dei controlli principali riguarda l’autonomia e l’adeguata preparazione del soggetto incaricato di ricevere e gestire le segnalazioni. L’art. 4 del D.Lgs. 24/2023 prevede che la gestione sia affidata a una persona o a un ufficio interno autonomo, con personale specificamente formato, oppure a un soggetto esterno anch’esso autonomo e dotato di personale specificamente formato. L’audit deve quindi accertare chi eserciti concretamente queste funzioni, quali poteri gli siano stati attribuiti e come vengano affrontate le situazioni di potenziale conflitto di interessi.

La presenza di un gestore esterno non elimina gli obblighi organizzativi dell’impresa. È necessario verificare che l’incarico sia adeguatamente disciplinato, che siano definiti i rapporti con la direzione e che le informazioni riservate non vengano comunicate oltre quanto necessario e consentito. Quando la gestione è affidata a personale interno, il controllo deve considerare anche l’effettiva possibilità di operare senza interferenze improprie, soprattutto quando una segnalazione riguarda soggetti che occupano posizioni direttive.

Un secondo livello di verifica interessa il ciclo di gestione delle segnalazioni. L’art. 5 del D.Lgs. 24/2023 prevede, tra gli altri adempimenti, il rilascio dell’avviso di ricevimento entro sette giorni dalla ricezione, il mantenimento delle interlocuzioni con il segnalante, il diligente seguito delle segnalazioni e il riscontro entro tre mesi dalla data dell’avviso di ricevimento oppure, in mancanza di tale avviso, dalla scadenza del termine di sette giorni dalla presentazione della segnalazione. L’audit deve accertare se l’organizzazione sia effettivamente in grado di rispettare questi termini e se disponga di modalità idonee a documentare le attività compiute.

La verifica non deve necessariamente comportare l’accesso indiscriminato ai contenuti delle segnalazioni. Quando è necessario esaminare fascicoli già trattati, occorre definire preventivamente l’ambito del controllo, le autorizzazioni e le misure di riservatezza. In molti casi è possibile valutare il rispetto delle scadenze e la regolarità del processo attraverso evidenze opportunamente selezionate o minimizzate, evitando la diffusione di informazioni personali non necessarie. Per gli aspetti relativi alle scadenze abbiamo dedicato un approfondimento alle tempistiche nella gestione delle segnalazioni whistleblowing.

Il controllo tecnico della piattaforma deve essere coordinato con quello giuridico. Occorre verificare quali soggetti possano accedere al sistema, se siano previste autorizzazioni differenziate, come vengano protette le comunicazioni, quali informazioni siano registrate nei log e se i meccanismi di notifica possano esporre involontariamente l’identità delle persone coinvolte. Quando il servizio è fornito attraverso infrastrutture esterne, devono essere esaminati anche i rapporti contrattuali e le responsabilità relative al trattamento dei dati personali.

Il D.Lgs. 24/2023 impone infatti che il trattamento dei dati personali nell’ambito delle segnalazioni avvenga nel rispetto del GDPR e delle disposizioni applicabili. L’audit deve verificare le informative, l’individuazione dei ruoli privacy, le autorizzazioni e, quando ricorrono i relativi presupposti, gli accordi con i responsabili del trattamento ai sensi dell’art. 28 del GDPR. Deve essere considerata anche la valutazione d’impatto sulla protezione dei dati, prevista dall’art. 13 del D.Lgs. 24/2023 per i trattamenti connessi al sistema di segnalazione.

La conservazione costituisce un ulteriore elemento di controllo. L’art. 14 del D.Lgs. 24/2023 stabilisce che le segnalazioni e la relativa documentazione siano conservate per il tempo necessario al loro trattamento e comunque non oltre cinque anni dalla comunicazione dell’esito finale della procedura di segnalazione, nel rispetto degli obblighi di riservatezza. Occorre quindi verificare come siano individuate le scadenze, chi possa disporre la cancellazione e se il sistema consenta di attuare correttamente le regole applicabili, tenendo conto anche di eventuali ulteriori obblighi di conservazione previsti dalla legge.

Nelle società che hanno adottato un Modello organizzativo 231, la verifica comprende anche il coordinamento tra la procedura whistleblowing, il sistema disciplinare e i flussi informativi verso l’Organismo di Vigilanza. L’OdV e il gestore delle segnalazioni possono avere funzioni differenti: l’audit deve verificare che le rispettive competenze siano definite e che lo scambio di informazioni non comprometta la riservatezza tutelata dalla normativa. L’esistenza del Modello 231, da sola, non dimostra che il sistema whistleblowing sia correttamente organizzato o concretamente funzionante.

Le risultanze di queste verifiche devono consentire di distinguere le violazioni normative dalle carenze organizzative e dalle opportunità di miglioramento. Un accesso non autorizzato ai dati, una procedura incompatibile con i requisiti di legge e una formazione da aggiornare non presentano necessariamente la stessa gravità né richiedono identiche misure correttive. La valutazione deve considerare il rischio effettivo, le conseguenze delle carenze riscontrate e la possibilità di intervenire tempestivamente, senza presumere che ogni irregolarità comporti automaticamente una sanzione.

Non conformità whistleblowing: responsabilità aziendali, sanzioni ANAC e interventi correttivi

Quando l’audit whistleblowing individua una carenza, il primo compito è stabilire se si tratti di una violazione degli obblighi previsti dal D.Lgs. 24/2023, di un problema organizzativo che compromette l’efficacia del sistema oppure di una misura di sicurezza che richiede un aggiornamento. La distinzione incide sulle responsabilità dell’impresa, sulle priorità di intervento e sulla documentazione necessaria per dimostrare le verifiche effettuate.

L’art. 21 del D.Lgs. 24/2023 attribuisce all’ANAC poteri sanzionatori in presenza delle violazioni individuate dalla disposizione. Sono previste, tra le altre, sanzioni amministrative pecuniarie da 10.000 a 50.000 euro quando viene accertata la mancata istituzione dei canali di segnalazione, la mancata adozione di procedure conformi alla normativa oppure l’assenza delle attività di verifica e analisi delle segnalazioni ricevute. La medesima fascia sanzionatoria riguarda, nei casi previsti dalla legge, le ritorsioni, gli ostacoli alle segnalazioni e le violazioni dell’obbligo di riservatezza. L’applicazione della sanzione richiede l’accertamento dei relativi presupposti e non costituisce una conseguenza automatica di qualsiasi irregolarità organizzativa.

Una criticità particolarmente delicata riguarda la possibilità che persone non autorizzate conoscano l’identità del segnalante. Il controllo deve verificare se tale rischio derivi dalla configurazione della piattaforma, dall’organizzazione degli uffici, dalle comunicazioni interne o dalle modalità di svolgimento dell’istruttoria. Occorre considerare anche le informazioni che, pur non contenendo direttamente il nominativo, possono consentire di identificare indirettamente la persona. Quando emergono problemi di questo genere, l’azienda deve valutare tempestivamente le misure necessarie per limitare ulteriori divulgazioni e verificare le eventuali conseguenze sotto il profilo della protezione dei dati personali.

L’audit deve esaminare anche l’effettiva capacità del sistema di prevenire e gestire comportamenti ritorsivi. La presenza di una clausola nella procedura interna non è sufficiente se, nella pratica, le decisioni che riguardano il segnalante vengono adottate senza considerare le tutele previste dalla normativa. Il controllo organizzativo può riguardare le modalità di coinvolgimento dell’ufficio HR, la circolazione delle informazioni e le procedure utilizzate quando una segnalazione interessa rapporti di lavoro o decisioni del management, nel rispetto delle competenze e dei limiti di accesso ai dati.

Quando vengono riscontrate non conformità, il rapporto di audit dovrebbe individuare le criticità, descrivere le evidenze raccolte e indicare gli interventi correttivi secondo una priorità proporzionata ai rischi. In alcuni casi può essere necessario modificare le autorizzazioni di accesso alla piattaforma; in altri occorre aggiornare la procedura, formalizzare correttamente l’incarico del gestore, rivedere gli accordi con il fornitore o organizzare una formazione specifica. Se la carenza riguarda il coordinamento con il Modello 231, può rendersi necessaria anche una revisione delle disposizioni interne e dei flussi informativi verso l’Organismo di Vigilanza.

La verifica successiva all’attuazione degli interventi consente di accertare se le anomalie siano state effettivamente corrette. Conservare una documentazione ordinata delle verifiche, delle decisioni e delle misure adottate permette all’impresa di ricostruire le attività svolte in occasione di successivi controlli o contestazioni. Questa documentazione deve essere gestita rispettando le regole di riservatezza e di protezione dei dati, evitando che il rapporto di audit diventi un ulteriore strumento di diffusione delle informazioni contenute nelle segnalazioni.

Un caso pratico: l’azienda ha una piattaforma whistleblowing ma l’audit rileva diverse irregolarità

Consideriamo una società manifatturiera con 120 dipendenti che ha attivato un canale whistleblowing attraverso una piattaforma informatica. La direzione ritiene di avere assolto agli obblighi normativi perché il servizio è funzionante e la procedura è disponibile nella rete aziendale. In occasione di una verifica richiesta dal consiglio di amministrazione, emerge però che l’incarico del gestore non è stato aggiornato dopo una riorganizzazione, alcuni soggetti dell’ufficio IT conservano privilegi di accesso non adeguatamente giustificati e non è stata documentata la valutazione d’impatto relativa al trattamento dei dati personali.

L’esame delle modalità operative mostra anche che il sistema invia notifiche contenenti informazioni potenzialmente riservate a una casella condivisa. Non risulta inoltre definita una procedura alternativa per le segnalazioni che coinvolgano direttamente il responsabile incaricato della gestione. La presenza della piattaforma non ha quindi impedito il permanere di criticità giuridiche e organizzative.

In una situazione del genere, noi procederemmo anzitutto a valutare la gravità delle anomalie e l’eventuale necessità di adottare misure immediate di contenimento. La revisione degli accessi, l’aggiornamento degli incarichi, la verifica degli adempimenti GDPR e la definizione delle modalità di gestione dei conflitti di interessi costituirebbero interventi da esaminare in relazione all’effettiva organizzazione aziendale. Successivamente sarebbe opportuno verificare il funzionamento delle modifiche e documentare le attività correttive eseguite.

Il caso mostra perché un audit indipendente possa essere utile anche quando non sono ancora emerse contestazioni. Individuare una carenza prima che comprometta la gestione di una segnalazione consente all’impresa di intervenire con maggiore ordine, senza che ciò equivalga a escludere ogni possibile responsabilità per eventuali violazioni già verificatesi.

FAQ sull’audit whistleblowing e sulla verifica di conformità aziendale

L’audit whistleblowing è obbligatorio per tutte le aziende?

Il D.Lgs. 24/2023 non prevede un obbligo generalizzato di effettuare un audit periodico formalmente denominato in questo modo. Le imprese soggette alla normativa devono però istituire e gestire canali conformi ai requisiti di legge. Una verifica periodica costituisce una misura organizzativa utile per controllare il mantenimento della conformità, soprattutto dopo modifiche delle procedure, sostituzioni del gestore o cambiamenti dei sistemi informatici.

Chi può effettuare un audit whistleblowing aziendale?

La verifica può essere organizzata internamente oppure affidata a professionisti esterni dotati delle competenze necessarie. Un audit completo richiede conoscenze della disciplina whistleblowing, della protezione dei dati personali e dei processi aziendali. Quando il sistema è integrato nel Modello 231, occorre considerare anche il coordinamento con l’Organismo di Vigilanza. L’indipendenza rispetto alle attività esaminate permette di ridurre il rischio che eventuali criticità vengano trascurate.

Ogni quanto è opportuno verificare la conformità del sistema whistleblowing?

La normativa non stabilisce una frequenza annuale obbligatoria per un audit generale del sistema. La periodicità deve essere valutata considerando le dimensioni dell’impresa, l’organizzazione della gestione delle segnalazioni e i rischi concretamente presenti. Una verifica straordinaria può risultare opportuna dopo una riorganizzazione societaria, un cambiamento del gestore, una modifica della piattaforma o l’emersione di irregolarità.

Quali documenti vengono controllati durante un audit whistleblowing?

La verifica riguarda generalmente la procedura aziendale, gli atti di incarico del gestore, le informazioni rese ai potenziali segnalanti, le istruzioni e autorizzazioni relative al trattamento dei dati personali, gli accordi con eventuali fornitori e le evidenze della formazione. Possono essere esaminate anche le modalità di registrazione delle attività e di rispetto delle scadenze, adottando le precauzioni necessarie per tutelare la riservatezza delle segnalazioni.

Quanto costa un audit whistleblowing per un’azienda?

Il costo dipende dalle dimensioni e dalla struttura dell’impresa, dal numero di società coinvolte, dalle caratteristiche del canale, dall’eventuale esternalizzazione della gestione e dall’ampiezza delle verifiche richieste. Un controllo documentale circoscritto comporta attività differenti rispetto a un audit che comprenda anche l’esame tecnico della piattaforma, la verifica delle procedure operative e la predisposizione di un piano correttivo. Per formulare un preventivo attendibile è necessario definire preliminarmente il perimetro dell’incarico.

Audit whistleblowing aziendale: richiedere una verifica legale del sistema e degli adempimenti

Un sistema whistleblowing già attivo può presentare carenze che non emergono dalla semplice consultazione della procedura o dalle dichiarazioni del fornitore della piattaforma. Noi dello Studio Legale Calvello assistiamo le imprese nella verifica della conformità al D.Lgs. 24/2023, nell’esame delle responsabilità organizzative, nel controllo degli adempimenti privacy e nella valutazione delle eventuali misure correttive, considerando anche il coordinamento con il Modello 231 e l’Organismo di Vigilanza.

Se la vostra azienda deve effettuare un audit whistleblowing, verificare un sistema esistente o affrontare criticità già riscontrate, potete richiedere una consulenza legale allo Studio Legale Calvello per valutare la situazione concreta e definire gli interventi appropriati.