Articolo a cura di: Redazione - Studio Legale Calvello

Un canale whistleblowing può essere tecnicamente conforme e, nello stesso tempo, essere percepito dai dipendenti come poco affidabile. Accade quando chi dovrebbe utilizzarlo teme di essere identificato, dubita dell’indipendenza del gestore, non comprende che cosa accadrà dopo l’invio oppure ritiene che una segnalazione possa esporlo a conseguenze negative. In queste condizioni, l’assenza di segnalazioni non dimostra necessariamente che in azienda non vi siano violazioni: può indicare che le persone preferiscono tacere, ricorrere a interlocuzioni informali o utilizzare canali diversi da quello predisposto dall’impresa.

Per aumentare la fiducia nel sistema whistleblowing occorre quindi lavorare sul modo in cui il canale è concretamente organizzato e gestito. Riservatezza, autonomia del gestore, protezione dalle ritorsioni, sicurezza degli strumenti, chiarezza della procedura e qualità delle comunicazioni interne incidono direttamente sulla credibilità del sistema. Per l’impresa non si tratta soltanto di favorire l’utilizzo del canale: una gestione coerente con il D.Lgs. 24/2023 deve consentire di ricevere e trattare le segnalazioni nel rispetto delle tutele previste dalla legge e delle regole sulla protezione dei dati personali.

Perché i dipendenti possono non fidarsi del sistema whistleblowing

La prima domanda che un’azienda dovrebbe porsi quando il canale whistleblowing viene utilizzato poco non è semplicemente come aumentare il numero delle segnalazioni, ma perché una persona che conosce una possibile violazione dovrebbe sentirsi sufficientemente tutelata da utilizzare proprio quel canale. La fiducia non deriva dall’esistenza di una piattaforma o dalla pubblicazione di una procedura. Si forma sulla base di elementi molto concreti: chi riceverà la segnalazione, chi potrà conoscerne il contenuto, quali dati saranno visibili, come verrà svolta l’istruttoria e quali conseguenze potrebbero derivare dall’iniziativa del segnalante.

Il D.Lgs. 24/2023 pone al centro del sistema la tutela della riservatezza. I canali interni devono essere organizzati in modo da garantire la riservatezza dell’identità della persona segnalante, della persona coinvolta e di quella comunque menzionata nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione. È un requisito giuridico, ma ha anche un effetto organizzativo immediato: se il dipendente ritiene che colleghi, superiori o soggetti non autorizzati possano risalire facilmente alla sua identità, la disponibilità a utilizzare il canale può ridursi drasticamente.

Il problema emerge soprattutto nelle organizzazioni nelle quali il gestore delle segnalazioni è percepito come troppo vicino alla direzione o alle persone che potrebbero essere coinvolte nei fatti segnalati. La questione diventa ancora più delicata quando la segnalazione riguarda un dirigente, un componente del management o lo stesso vertice aziendale. In questi casi l’impresa deve aver già previsto come evitare interferenze e conflitti di interessi. Il problema è approfondito anche nel nostro articolo dedicato a chi deve intervenire quando una segnalazione whistleblowing riguarda il management.

Un altro fattore che riduce la fiducia è l’incertezza sulla sorte della segnalazione. Un dipendente può conoscere l’esistenza del canale senza sapere chi lo gestisce, quali siano le fasi successive, entro quali termini riceverà riscontro o in quale misura la propria identità sarà protetta. La procedura interna deve quindi essere comprensibile anche per chi non possiede conoscenze giuridiche. Regole formalmente corrette ma difficili da interpretare possono produrre l’effetto opposto a quello ricercato: il canale esiste, ma viene percepito come uno strumento distante o rischioso.

La stessa attenzione deve essere riservata alla protezione contro le ritorsioni. Non basta dichiarare genericamente che il whistleblower è tutelato. L’organizzazione deve evitare comportamenti che possano compromettere le garanzie previste dalla normativa e deve fare in modo che le persone comprendano quali tutele sono previste e a quali condizioni operano. La paura di conseguenze sulla posizione lavorativa, sui rapporti con i superiori o sull’ambiente professionale può infatti indurre il dipendente a non utilizzare il sistema, anche quando il canale è tecnicamente sicuro.

Riservatezza, gestore indipendente e procedure chiare: come costruire un canale credibile

La fiducia aumenta quando il funzionamento effettivo del sistema corrisponde a ciò che l’azienda dichiara. Il primo passaggio consiste quindi nel verificare l’intero percorso della segnalazione: dal momento in cui viene trasmessa fino alla sua archiviazione. Occorre individuare chi può accedere ai dati, con quali autorizzazioni, attraverso quali strumenti, secondo quali procedure e per quanto tempo le informazioni vengono conservate. Nel whistleblowing la riservatezza non riguarda soltanto il nome del segnalante: comprende anche il contenuto della segnalazione e la documentazione allegata, perché determinati dettagli possono consentire di identificare indirettamente la persona.

Le indicazioni più recenti dell’ANAC sui canali interni insistono proprio sulla concreta organizzazione del sistema, sull’attività del gestore e sulla formazione del personale. Anche la scelta dello strumento deve essere valutata con attenzione. L’utilizzo della normale posta elettronica aziendale, ad esempio, presenta specifiche criticità perché sistemi, log e metadati possono rendere possibile risalire all’identità del mittente. Per questo la configurazione tecnica del canale deve essere coordinata con le misure organizzative e con gli obblighi derivanti dalla normativa sulla protezione dei dati.

Il gestore costituisce uno dei punti decisivi. Il D.Lgs. 24/2023 richiede che la gestione del canale sia affidata a una persona o a un ufficio interno autonomo dedicato e con personale specificamente formato oppure a un soggetto esterno, anch’esso autonomo e con personale specificamente formato. L’esternalizzazione non è automaticamente necessaria né automaticamente preferibile: la scelta dipende dalla struttura dell’impresa, dalle competenze disponibili, dalla possibilità di assicurare autonomia e riservatezza e dal rischio di conflitti di interessi.

In alcune aziende, soprattutto quando le dimensioni organizzative rendono difficile separare nettamente il gestore dai vertici o dalle funzioni coinvolte, può essere opportuno valutare una gestione esterna delle segnalazioni whistleblowing. La presenza di un soggetto esterno non sostituisce gli obblighi dell’impresa, ma può consentire di strutturare il processo con una maggiore separazione rispetto alle dinamiche interne. Anche in questo caso devono essere definiti con precisione compiti, flussi informativi, autorizzazioni, misure di sicurezza e rapporti con gli eventuali soggetti che trattano dati personali per conto dell’azienda.

La credibilità del sistema dipende poi dalla capacità dell’impresa di spiegare ai destinatari come utilizzare il canale e che cosa accade realmente dopo una segnalazione. Una comunicazione interna efficace dovrebbe consentire al lavoratore di comprendere quali violazioni possono rientrare nel sistema, come effettuare la segnalazione, quali soggetti la riceveranno, come viene protetta la riservatezza e quali sono le tutele previste dalla disciplina whistleblowing. Questo richiede anche formazione adeguata: una procedura pubblicata nell’intranet o consegnata insieme a numerosi altri documenti aziendali non assicura, da sola, che il personale ne abbia compreso il funzionamento.

È altrettanto importante che l’impresa distingua correttamente riservatezza e anonimato. Una segnalazione effettuata da una persona identificata può essere soggetta alle specifiche garanzie di riservatezza previste dalla normativa; una segnalazione anonima pone questioni differenti e deve essere gestita tenendo conto della disciplina applicabile e delle procedure adottate dall’organizzazione. Presentare ai dipendenti il canale come “anonimo” quando il sistema non assicura effettivamente tale caratteristica può compromettere la fiducia molto più di una comunicazione chiara sui limiti e sulle garanzie reali dello strumento. Per le problematiche specifiche delle comunicazioni prive dell’identità del segnalante abbiamo approfondito come gestire le segnalazioni anonime whistleblowing.

La verifica dovrebbe infine comprendere anche il coordinamento con il GDPR. Le segnalazioni possono contenere dati personali riferiti al segnalante, alla persona coinvolta, a testimoni e ad altri soggetti. L’impresa deve quindi valutare ruoli privacy, autorizzazioni, tempi di conservazione, sicurezza, rapporti con eventuali fornitori e configurazione del sistema secondo i principi di protezione dei dati fin dalla progettazione e per impostazione predefinita. Un canale nel quale troppe persone possono accedere alle informazioni, oppure nel quale non siano chiaramente definite le responsabilità, non presenta soltanto un problema di percezione: può richiedere una revisione concreta dell’assetto organizzativo e privacy adottato dall’azienda.

La fiducia si misura nella gestione concreta della segnalazione

La credibilità del sistema viene messa alla prova soprattutto quando arriva la prima segnalazione. È in quel momento che procedure, ruoli e garanzie predisposti dall’azienda devono funzionare concretamente. Il D.Lgs. 24/2023 prevede, per il canale interno, specifiche attività a carico del gestore: rilascio dell’avviso di ricevimento entro sette giorni dalla presentazione, mantenimento delle interlocuzioni con il segnalante, corretto seguito della segnalazione e riscontro entro tre mesi dall’avviso di ricevimento oppure, in mancanza di tale avviso, dalla scadenza del termine di sette giorni dalla presentazione. Le tempistiche nella gestione delle segnalazioni whistleblowing devono quindi essere incorporate nell’organizzazione del processo e non lasciate alla gestione occasionale del singolo caso.

Rispettare i termini, però, non basta a creare fiducia. Il segnalante deve poter comprendere che la comunicazione è stata effettivamente presa in carico e che esiste un interlocutore identificato secondo la procedura. Questo non significa informarlo indiscriminatamente di ogni attività istruttoria o comunicargli dati che devono rimanere riservati. Significa evitare che il canale venga percepito come un contenitore nel quale la segnalazione scompare senza alcuna indicazione sul seguito. La qualità delle interlocuzioni deve essere valutata insieme agli obblighi di riservatezza e alla necessità di proteggere anche le persone coinvolte nella segnalazione.

La fiducia richiede infatti equilibrio. Un sistema costruito per proteggere il segnalante non autorizza l’azienda a considerare automaticamente provati i fatti rappresentati. La segnalazione deve essere esaminata secondo procedure coerenti, evitando sia l’inerzia sia conclusioni anticipate. Occorre distinguere ciò che viene riferito dal segnalante da ciò che emerge dalle verifiche e limitare la circolazione delle informazioni ai soggetti che devono effettivamente conoscerle. Se sono necessarie ulteriori informazioni, il gestore può mantenere l’interlocuzione con il segnalante e chiedere integrazioni, senza trasformare il procedimento in una diffusione incontrollata del contenuto della segnalazione.

Un passaggio particolarmente delicato riguarda l’eventuale coinvolgimento delle funzioni aziendali necessarie per svolgere gli approfondimenti. HR, compliance, IT, organismo di vigilanza o altre strutture possono avere competenze utili a seconda dei fatti, ma il loro coinvolgimento deve essere valutato in relazione alla specifica segnalazione. Condividere automaticamente l’intero fascicolo con numerosi destinatari può compromettere la riservatezza e aumentare il rischio che il segnalante venga identificato indirettamente. Prima di trasmettere informazioni occorre quindi chiedersi quali dati siano realmente necessari, chi debba conoscerli e con quale livello di dettaglio.

Lo stesso criterio vale per la documentazione. Il D.Lgs. 24/2023 stabilisce che le segnalazioni e la relativa documentazione siano conservate per il tempo necessario al loro trattamento e comunque non oltre cinque anni dalla comunicazione dell’esito finale della procedura, nel rispetto degli obblighi di riservatezza e della disciplina sulla protezione dei dati personali. La gestione del whistleblowing deve quindi coordinarsi con il GDPR anche nella fase successiva alla ricezione: accessi, conservazione, cancellazione e sicurezza non possono essere lasciati alle normali prassi utilizzate per email o documenti aziendali.

La fiducia può deteriorarsi rapidamente quando l’organizzazione gestisce male una singola vicenda. Una divulgazione impropria dell’identità, un accesso non necessario, un conflitto di interessi ignorato o una reazione aziendale percepita come ritorsiva possono incidere sulla disponibilità degli altri lavoratori a utilizzare il canale. Quando emergono criticità di questo tipo, può essere necessario riesaminare l’intero processo: configurazione tecnica, procedura, attribuzione dei ruoli, formazione, modalità di istruttoria e comunicazione interna. Per questo la verifica dell’efficacia del sistema non dovrebbe limitarsi a controllare se l’impresa possiede formalmente una piattaforma e un regolamento.

Particolare attenzione richiedono anche le segnalazioni manifestamente infondate, scarsamente circostanziate o inserite in conflitti personali. La presenza di casi problematici non giustifica una gestione meno garantista delle segnalazioni successive. Allo stesso tempo, la tutela prevista dalla disciplina whistleblowing non deve essere interpretata come uno strumento per attribuire automaticamente attendibilità a qualsiasi accusa. Abbiamo esaminato separatamente sia come gestire le segnalazioni whistleblowing infondate, sia le situazioni nelle quali il whistleblowing viene utilizzato in modo strumentale. Anche la capacità dell’impresa di trattare questi casi con metodo contribuisce alla credibilità del sistema.

Un caso pratico: il canale esiste, ma i dipendenti preferiscono non utilizzarlo

Consideriamo il caso realistico e anonimizzato di una società che aveva già attivato un canale interno whistleblowing e predisposto una procedura, ma nella quale erano emersi dubbi sulla reale fiducia dei dipendenti nel sistema. Il problema non riguardava tanto l’esistenza dello strumento quanto la percezione della sua indipendenza: non era sufficientemente chiaro chi potesse accedere alle segnalazioni, come sarebbero state gestite quelle riguardanti figure apicali e quali informazioni sarebbero state condivise con le altre funzioni aziendali.

L’intervento ha richiesto di esaminare il percorso concreto della segnalazione, verificando soggetti coinvolti, autorizzazioni, flussi informativi, modalità di conservazione e gestione degli eventuali conflitti di interessi. Particolare attenzione è stata dedicata alla separazione tra chi riceve la segnalazione e le funzioni che possono essere successivamente coinvolte negli approfondimenti, evitando accessi generalizzati alla documentazione. La procedura e le comunicazioni rivolte al personale sono state quindi riorganizzate per spiegare in modo più preciso come opera il canale, quali garanzie di riservatezza vengono applicate e come viene gestita una segnalazione quando interessa soggetti collocati ai vertici dell’organizzazione.

Un intervento di questo tipo non consiste nel promettere al personale un anonimato o una protezione assoluti, né nell’incoraggiare indiscriminatamente l’invio di segnalazioni. L’obiettivo è rendere coerenti ciò che l’azienda comunica e ciò che il sistema è effettivamente in grado di assicurare. Quando questa corrispondenza manca, la revisione della procedura può richiedere anche una diversa attribuzione delle responsabilità o la valutazione di un gestore esterno, tenendo conto della struttura e delle esigenze concrete dell’impresa.

Domande frequenti sulla fiducia nel sistema whistleblowing

Se in azienda non arrivano segnalazioni significa che il sistema whistleblowing funziona bene?

No. L’assenza di segnalazioni, considerata isolatamente, non consente di stabilire né che non esistano violazioni né che il canale funzioni correttamente. Può dipendere dalla realtà aziendale, ma anche dalla scarsa conoscenza dello strumento, dal timore di essere identificati, dalla paura di ritorsioni o dalla percezione che il gestore non sia sufficientemente autonomo. Se il canale rimane inutilizzato, può essere opportuno verificare concretamente procedura, accessibilità, comunicazione al personale, riservatezza e modalità di gestione.

Affidare le segnalazioni a un gestore esterno aumenta la fiducia dei dipendenti?

Può contribuire, soprattutto quando la struttura interna rende difficile assicurare una sufficiente separazione tra chi gestisce le segnalazioni e le persone che potrebbero esserne coinvolte. Non esiste però una regola secondo cui il gestore esterno sia sempre preferibile. Il D.Lgs. 24/2023 consente di affidare la gestione a un soggetto interno oppure esterno, purché siano rispettati i requisiti previsti. La scelta deve quindi essere effettuata considerando dimensioni dell’impresa, organizzazione, competenze disponibili, autonomia del gestore e possibili conflitti di interessi.

Per aumentare la fiducia bisogna garantire che tutte le segnalazioni siano anonime?

No. Anonimato e riservatezza non sono la stessa cosa. La disciplina whistleblowing prevede specifiche garanzie a tutela della riservatezza dell’identità della persona segnalante e degli altri soggetti tutelati. Promettere genericamente un anonimato che il sistema concretamente utilizzato non è in grado di assicurare può compromettere la credibilità del canale. È preferibile spiegare con precisione quali informazioni vengono raccolte, chi può accedervi e quali misure vengono adottate per proteggerle.

Cosa fare se i dipendenti preferiscono segnalare informalmente a un responsabile invece di utilizzare il canale?

Il fenomeno merita di essere analizzato perché può indicare che il canale ufficiale non è conosciuto o non viene percepito come affidabile. Occorre anche predisporre una procedura per le segnalazioni whistleblowing ricevute da un soggetto diverso dal gestore competente, perché la normativa disciplina la loro trasmissione al soggetto incaricato della gestione. Abbiamo esaminato specificamente come comportarsi quando una segnalazione arriva fuori dai canali whistleblowing ufficiali.

Quando è opportuno sottoporre il sistema whistleblowing a una verifica?

La verifica può essere opportuna quando il canale è stato predisposto ma non viene utilizzato, quando cambiano il gestore o l’organizzazione aziendale, quando emergono conflitti di interessi, quando una segnalazione ha mostrato criticità operative oppure quando vi sono dubbi sulla riservatezza, sugli accessi o sul trattamento dei dati personali. L’analisi dovrebbe riguardare il funzionamento effettivo del sistema e non soltanto la presenza formale della procedura e della piattaforma.

Il sistema whistleblowing non viene percepito come affidabile? Richiedi una valutazione

Se il canale esiste ma i dipendenti non lo utilizzano, oppure sono emersi dubbi sulla riservatezza, sull’autonomia del gestore, sui conflitti di interessi o sulla gestione delle segnalazioni, può essere necessario verificare l’assetto adottato dall’impresa. La soluzione dipende dalla struttura aziendale, dalle modalità con cui è stato configurato il canale e dalle persone incaricate della sua gestione.

Assistiamo le aziende nella revisione delle procedure whistleblowing, nell’organizzazione del canale interno e nella valutazione dell’affidamento della gestione a un soggetto esterno, coordinando gli adempimenti previsti dal D.Lgs. 24/2023 con quelli relativi alla protezione dei dati personali.

Per sottoporci la situazione della vostra impresa potete richiedere una valutazione sul sistema whistleblowing aziendale e sulla gestione esterna delle segnalazioni. Esamineremo le informazioni trasmesse per individuare le criticità che richiedono un approfondimento e valutare l’intervento più adeguato alla specifica organizzazione aziendale.