Articolo a cura di: Redazione - Studio Legale Calvello

Una holding che controlla più società può utilizzare un unico canale whistleblowing per raccogliere e gestire le segnalazioni provenienti dalle diverse imprese del gruppo? La risposta richiede una distinzione tra condivisione del canale, utilizzo di una piattaforma comune e gestione centralizzata delle segnalazioni. Si tratta di soluzioni organizzative differenti, che non sono automaticamente ammesse alle stesse condizioni.

Il D.Lgs. 24/2023 consente, entro determinati limiti, la condivisione del canale interno e della relativa gestione. Per i gruppi societari occorre però verificare gli obblighi delle singole società, il numero dei lavoratori, l’autonomia del gestore, la riservatezza delle informazioni e il trattamento dei dati personali. Una piattaforma unica adottata dalla capogruppo non rende necessariamente conformi tutte le controllate. Quando il sistema è già operativo, una verifica legale può essere necessaria per individuare eventuali irregolarità prima che emergano durante la gestione di una segnalazione o un controllo dell’ANAC.

Canale whistleblowing unico per holding e controllate: quando la condivisione è consentita

Nei gruppi societari la centralizzazione delle funzioni amministrative, informatiche e di compliance è una scelta organizzativa frequente. La capogruppo può mettere a disposizione delle controllate personale specializzato, procedure comuni e sistemi informatici condivisi. Il whistleblowing presenta però una particolarità: l’appartenenza al medesimo gruppo non elimina l’autonomia giuridica delle singole società né i rispettivi obblighi di legge.

L’art. 4, comma 4, del D.Lgs. 24/2023 stabilisce che i soggetti del settore privato che hanno impiegato, nell’ultimo anno, una media di lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato, non superiore a 249 possono condividere il canale di segnalazione interna e la relativa gestione. La disposizione non richiede necessariamente che le imprese appartengano allo stesso gruppo societario, ma individua una specifica possibilità di condivisione subordinata al rispetto dei requisiti normativi.

Per applicare correttamente questa previsione dobbiamo verificare la situazione di ciascuna società interessata. La soglia dimensionale non deve essere valutata sommando automaticamente tutti i dipendenti della holding e delle controllate. Occorre considerare le singole entità giuridiche, verificando anche se ricorrano gli altri presupposti che rendono obbligatoria l’istituzione del canale interno, compresi quelli relativi all’ambito di applicazione della normativa e all’adozione dei modelli organizzativi previsti dal D.Lgs. 231/2001.

Una società controllata con meno di 50 lavoratori, ad esempio, non è automaticamente esclusa dagli obblighi whistleblowing. L’art. 2, comma 1, lettera q), del D.Lgs. 24/2023 contempla anche soggetti privati che rientrano in specifici settori regolamentati o nell’ambito del D.Lgs. 231/2001, secondo i presupposti previsti dalla disposizione. È quindi necessario verificare la posizione di ogni impresa prima di decidere se adottare una procedura comune.

La questione diventa più delicata quando il gruppo comprende società che superano la soglia dei 249 lavoratori. In questi casi non possiamo estendere automaticamente la facoltà di condivisione prevista dall’art. 4, comma 4. Occorre distinguere la condivisione giuridica del canale e della gestione dall’utilizzo di un’infrastruttura tecnologica comune, eventualmente configurata per mantenere distinti i canali, le responsabilità e i soggetti autorizzati a trattare le segnalazioni.

Una piattaforma informatica utilizzata da più società può infatti essere organizzata con ambienti separati, credenziali differenziate e percorsi di segnalazione riferibili alle singole imprese. La presenza di un unico fornitore tecnologico non significa necessariamente che esista un solo canale condiviso ai sensi della legge. La conformità dipende dall’effettiva configurazione del sistema e dalle modalità con cui vengono ricevute e gestite le comunicazioni.

Per le società italiane appartenenti a gruppi multinazionali occorre un’ulteriore verifica. L’esistenza di una piattaforma globale predisposta dalla capogruppo estera non esonera automaticamente la controllata italiana dagli obblighi del D.Lgs. 24/2023. Il sistema internazionale deve essere esaminato rispetto alla normativa applicabile alla società italiana, alla possibilità di effettuare segnalazioni attraverso un canale conforme e alle garanzie di riservatezza previste dalla disciplina nazionale.

Questi aspetti si collegano agli obblighi generali descritti nella nostra guida al whistleblowing aziendale, ma nei gruppi societari richiedono una valutazione specifica della struttura partecipativa e delle funzioni effettivamente accentrate.

Come organizzare la gestione centralizzata delle segnalazioni senza compromettere l’autonomia delle società

Una volta verificata la possibilità di condividere il canale, il problema riguarda la sua gestione concreta. La holding può disporre di un ufficio compliance strutturato, mentre le controllate possono non avere personale con competenze sufficienti per ricevere e istruire le segnalazioni. L’accentramento può rispondere a questa esigenza, purché siano rispettate le condizioni previste dalla normativa e siano chiaramente individuati i compiti dei soggetti coinvolti.

L’art. 4, comma 2, del D.Lgs. 24/2023 richiede che la gestione del canale sia affidata a una persona o a un ufficio interno autonomo, con personale specificamente formato, oppure a un soggetto esterno, anch’esso autonomo e dotato di personale specificamente formato. L’autonomia del gestore deve essere effettiva: non è sufficiente attribuirgli formalmente l’incarico se, nell’organizzazione concreta, le segnalazioni possono essere conosciute o condizionate da soggetti interessati ai fatti denunciati.

Quando più società affidano la gestione a una struttura comune, dobbiamo individuare con precisione chi riceve le segnalazioni, chi ne valuta l’ammissibilità, chi mantiene le interlocuzioni con il segnalante e chi può svolgere gli approfondimenti necessari. Occorre anche stabilire in quali circostanze le informazioni possano essere comunicate agli organi della società interessata, evitando che l’accentramento determini una circolazione indiscriminata di dati all’interno del gruppo.

Il rapporto tra le società partecipanti dovrebbe essere disciplinato attraverso una documentazione organizzativa coerente con la soluzione adottata. In presenza di una condivisione consentita dalla legge, è opportuno formalizzare le rispettive responsabilità, le modalità di funzionamento del sistema, le risorse impiegate e le procedure applicabili. La documentazione deve corrispondere all’organizzazione effettiva: un accordo sottoscritto dalle società non può rendere legittima una condivisione che non rispetti i presupposti normativi.

Particolare attenzione richiedono i conflitti di interessi tra capogruppo, controllate e gestore delle segnalazioni. Una comunicazione potrebbe riguardare un amministratore della holding, un dirigente che esercita funzioni su più società oppure operazioni infragruppo. In simili circostanze, affidare indiscriminatamente la gestione a una funzione gerarchicamente dipendente dai soggetti coinvolti può compromettere l’indipendenza dell’istruttoria e la fiducia nel sistema.

La procedura deve quindi prevedere modalità di gestione dei conflitti e soluzioni alternative per i casi nei quali il soggetto ordinariamente incaricato non possa operare con la necessaria autonomia. La scelta di un gestore esterno delle segnalazioni whistleblowing può essere valutata anche per queste ragioni, fermo restando che l’affidamento a un professionista esterno non elimina gli obblighi delle società interessate.

Un altro profilo riguarda le modalità di accesso. Il lavoratore di una controllata deve poter individuare il canale utilizzabile, comprendere come effettuare la segnalazione e conoscere le informazioni previste dalla normativa. L’art. 4, comma 5, del D.Lgs. 24/2023 impone di mettere a disposizione informazioni chiare sul canale, sulle procedure e sui presupposti per effettuare segnalazioni esterne. Le modalità di pubblicazione e comunicazione devono essere adeguate alla struttura delle singole imprese, anche quando utilizzano un sistema comune.

Prima dell’attivazione del canale interno deve inoltre essere effettuato quanto previsto dall’art. 4, comma 1, in materia di interlocuzione con le rappresentanze o organizzazioni sindacali indicate dalla disposizione. La centralizzazione delle funzioni di gruppo non deve far trascurare gli adempimenti riferibili alle società che istituiscono il sistema.

Sul piano operativo, una piattaforma condivisa deve consentire di identificare correttamente la società interessata dalla segnalazione e di limitare l’accesso alle informazioni ai soggetti legittimati. La disponibilità tecnica dei dati non equivale all’autorizzazione giuridica a consultarli. Un amministratore informatico della capogruppo, ad esempio, non dovrebbe poter conoscere indiscriminatamente l’identità dei segnalanti o il contenuto delle comunicazioni soltanto perché gestisce l’infrastruttura utilizzata dalle controllate.

La progettazione del sistema richiede quindi un coordinamento tra funzione legale, compliance, responsabili informatici e soggetti incaricati della protezione dei dati. Le scelte tecnologiche devono essere coerenti con la procedura adottata, con i poteri effettivamente attribuiti al gestore e con le garanzie di riservatezza richieste dal D.Lgs. 24/2023 e dal GDPR.

Responsabilità, GDPR e Modello 231: quali controlli deve effettuare il gruppo societario

La gestione condivisa del whistleblowing deve rispettare gli obblighi previsti dal D.Lgs. 24/2023 anche quando le società utilizzano un’unica infrastruttura informatica. Il rischio principale consiste nel confondere l’accentramento organizzativo con il trasferimento delle responsabilità: la capogruppo può fornire risorse e servizi comuni, ma ciò non comporta automaticamente il venir meno degli obblighi delle singole controllate.

Un primo controllo riguarda la protezione dell’identità del segnalante. L’art. 12 del D.Lgs. 24/2023 stabilisce specifiche garanzie di riservatezza, che riguardano anche le persone coinvolte e quelle menzionate nella segnalazione. Nei gruppi societari tali garanzie devono essere rispettate anche nei rapporti tra holding e controllate. La circostanza che due imprese appartengano allo stesso gruppo non autorizza la libera circolazione delle informazioni relative a una segnalazione.

Quando la piattaforma è amministrata dalla capogruppo, dobbiamo verificare chi possa accedere ai contenuti, quali autorizzazioni siano state attribuite e se esistano misure tecniche idonee a impedire consultazioni indebite. La separazione degli accessi, la tracciabilità delle operazioni e la protezione delle comunicazioni devono essere valutate in rapporto ai rischi effettivi. Una segnalazione riguardante una controllata non deve diventare automaticamente accessibile ai dirigenti delle altre società del gruppo.

La gestione centralizzata richiede anche una corretta individuazione dei ruoli previsti dal Regolamento (UE) 2016/679. Occorre stabilire quali società determinino le finalità e i mezzi del trattamento, se ricorrano situazioni di contitolarità ai sensi dell’art. 26 GDPR e quali soggetti operino eventualmente come responsabili del trattamento ai sensi dell’art. 28. La qualificazione dipende dalle attività concretamente svolte e non può essere stabilita soltanto attraverso le denominazioni utilizzate negli accordi infragruppo.

Quando il gruppo utilizza un fornitore esterno per la piattaforma, devono essere esaminati anche i rapporti contrattuali con quest’ultimo, le misure di sicurezza, le modalità di conservazione delle informazioni e gli eventuali trasferimenti di dati verso Paesi terzi. La valutazione deve comprendere i dati del segnalante, delle persone coinvolte e degli altri soggetti menzionati, tenendo conto della particolare delicatezza delle informazioni che possono emergere durante l’istruttoria.

Il sistema deve rispettare il principio di minimizzazione e le regole sulla conservazione. L’art. 14 del D.Lgs. 24/2023 prevede che le segnalazioni e la relativa documentazione siano conservate per il tempo necessario al trattamento e comunque non oltre cinque anni dalla comunicazione dell’esito finale della procedura, nel rispetto degli obblighi di riservatezza e protezione dei dati. L’utilizzo di un archivio centralizzato non giustifica conservazioni indiscriminate o accessi generalizzati.

Un ulteriore controllo riguarda il coordinamento con il Modello di organizzazione, gestione e controllo previsto dal D.Lgs. 231/2001. Nei gruppi societari possono esistere modelli distinti, Organismi di Vigilanza differenti e procedure di controllo adattate alle attività delle singole imprese. L’adozione di una policy whistleblowing comune non deve cancellare queste differenze.

Quando una segnalazione riguarda possibili violazioni rilevanti ai fini del D.Lgs. 231/2001, occorre individuare correttamente la società interessata e disciplinare i rapporti tra gestore del canale e Organismo di Vigilanza competente. I flussi informativi devono essere organizzati in modo da consentire l’esercizio delle rispettive funzioni senza compromettere la riservatezza delle persone tutelate. La presenza di un OdV della capogruppo non comporta automaticamente che quest’ultimo possa sostituirsi agli Organismi di Vigilanza delle controllate.

Le criticità diventano particolarmente rilevanti quando una segnalazione riguarda operazioni infragruppo, rapporti commerciali tra controllate oppure condotte attribuite a soggetti che ricoprono incarichi in più società. In tali situazioni occorre valutare preventivamente le competenze, i possibili conflitti di interessi e le modalità attraverso cui acquisire le informazioni necessarie, evitando comunicazioni non autorizzate.

Il mancato rispetto degli obblighi whistleblowing può comportare l’applicazione delle sanzioni amministrative previste dall’art. 21 del D.Lgs. 24/2023. In particolare, la norma contempla sanzioni da 10.000 a 50.000 euro, tra le altre ipotesi, quando viene accertata la mancata istituzione dei canali di segnalazione, la mancata adozione di procedure conformi o l’inosservanza dell’obbligo di svolgere l’attività di verifica e analisi delle segnalazioni ricevute. La responsabilità e l’eventuale applicazione della sanzione dipendono dall’accertamento della specifica violazione.

Per un gruppo societario già dotato di un canale centralizzato, riteniamo opportuno verificare la conformità della soluzione adottata attraverso un controllo che comprenda la posizione delle singole società, gli accordi organizzativi, le autorizzazioni di accesso, le procedure di gestione e il coordinamento con i rispettivi Modelli 231. Un audit del whistleblowing di gruppo consente di individuare le eventuali carenze e valutare gli interventi necessari senza presumere che ogni sistema centralizzato debba essere integralmente sostituito.

Esempio pratico: una holding con quattro controllate e un unico canale whistleblowing

Consideriamo una holding italiana che controlla quattro società operative. Tre impiegano rispettivamente 70, 120 e 180 lavoratori subordinati, mentre la quarta ne impiega 320. Il gruppo ha adottato una piattaforma whistleblowing comune, amministrata dall’ufficio compliance della capogruppo, attraverso la quale vengono ricevute tutte le segnalazioni.

La direzione ritiene che l’utilizzo di un unico sistema sia sufficiente per adempiere agli obblighi di tutte le società. Durante una verifica emerge però che le segnalazioni sono accessibili indistintamente al medesimo ufficio, che le procedure non individuano chiaramente le responsabilità delle singole imprese e che non sono state disciplinate le ipotesi di conflitto di interessi.

In una situazione simile dobbiamo anzitutto distinguere le società che possono avvalersi della condivisione prevista dall’art. 4, comma 4, del D.Lgs. 24/2023 da quella che supera la soglia dimensionale stabilita dalla disposizione. Per quest’ultima occorre verificare la presenza di un canale interno conforme e autonomamente riferibile alla società, anche qualora venga utilizzata la medesima infrastruttura tecnologica.

La verifica deve poi riguardare la separazione degli accessi, gli incarichi dei gestori, la documentazione privacy e i rapporti con gli eventuali Organismi di Vigilanza. La soluzione potrebbe consistere nella riconfigurazione della piattaforma e nella revisione delle procedure, senza necessariamente acquistare sistemi informatici completamente diversi. La scelta dipenderà dalle caratteristiche tecniche del servizio e dalle condizioni giuridiche applicabili a ciascuna società.

Domande frequenti sul canale whistleblowing condiviso nei gruppi societari

Una holding può utilizzare un solo canale whistleblowing per tutte le controllate?

Non automaticamente. L’art. 4, comma 4, del D.Lgs. 24/2023 consente ai soggetti privati che rispettano la soglia dimensionale prevista di condividere il canale interno e la relativa gestione. Per le altre società occorre verificare soluzioni organizzative che mantengano il rispetto dei rispettivi obblighi, distinguendo il canale giuridicamente condiviso dall’utilizzo di una piattaforma tecnologica comune.

Il numero dei dipendenti deve essere calcolato sull’intero gruppo?

Ai fini della specifica soglia prevista per la condivisione del canale, il riferimento è al singolo soggetto del settore privato. Non si sommano automaticamente i lavoratori di tutte le società del gruppo. Occorre comunque verificare separatamente i presupposti che determinano l’applicazione della normativa a ciascuna impresa.

La capogruppo può affidare tutte le segnalazioni a un unico gestore esterno?

La possibilità deve essere valutata in relazione alla disciplina applicabile alle singole società e alla concreta organizzazione del servizio. Il gestore deve possedere i requisiti di autonomia e formazione previsti dalla legge. L’affidamento comune non può essere utilizzato per aggirare i limiti normativi sulla condivisione del canale e della relativa gestione.

Le segnalazioni ricevute dalla controllata possono essere comunicate alla holding?

La comunicazione non è automaticamente consentita per il solo fatto che le società appartengano allo stesso gruppo. Occorre verificare la necessità della trasmissione, la legittimazione dei destinatari e il rispetto delle garanzie di riservatezza previste dal D.Lgs. 24/2023 e dal GDPR.

Una piattaforma whistleblowing di gruppo già attiva deve essere sostituita?

Non necessariamente. Prima di procedere alla sostituzione è opportuno verificare se la piattaforma consenta di configurare canali distinti, accessi separati e procedure conformi per ciascuna società. In alcuni casi possono essere sufficienti interventi organizzativi e tecnici; in altri può risultare necessaria una revisione più ampia del sistema.

Consulenza legale per verificare e adeguare il whistleblowing nei gruppi societari

Lo Studio Legale Calvello assiste holding, gruppi societari e imprese controllate nella verifica degli obblighi previsti dal D.Lgs. 24/2023, nell’organizzazione dei canali condivisi e nella revisione delle procedure di gestione delle segnalazioni, anche in relazione al GDPR e ai Modelli 231 adottati dalle singole società.

Quando un gruppo utilizza già una piattaforma centralizzata, possiamo esaminare la configurazione del sistema, la ripartizione delle responsabilità e le eventuali criticità, individuando gli adeguamenti giuridici e organizzativi da valutare.

Per richiedere una consulenza sulla conformità del canale whistleblowing condiviso, è possibile contattare il nostro Studio attraverso la pagina dedicata alla consulenza legale in materia di privacy e compliance aziendale.