Articolo a cura di: Redazione - Studio Legale Calvello

La gestione delle segnalazioni whistleblowing non può essere affidata indistintamente a qualsiasi dipendente, dirigente o consulente dell’impresa. Il D.Lgs. 24/2023 richiede che il canale interno sia gestito da una persona o da un ufficio interno autonomo, con personale specificamente formato, oppure da un soggetto esterno dotato degli stessi requisiti. La scelta deve tenere conto dell’organizzazione aziendale, dei possibili conflitti di interessi e della capacità di trattare le segnalazioni con riservatezza e imparzialità.

Per amministratori e responsabili compliance il problema è concreto: chi può essere nominato gestore delle segnalazioni whistleblowing, quali funzioni aziendali sono compatibili con l’incarico e quando è opportuno rivolgersi a un professionista esterno? Una designazione inadeguata può compromettere la gestione delle segnalazioni e rendere necessario un intervento correttivo, soprattutto quando vengono denunciati comportamenti riconducibili ai vertici societari o alle persone incaricate di ricevere le comunicazioni.

Chi può essere nominato gestore delle segnalazioni whistleblowing e quali requisiti deve possedere

L’articolo 4, comma 2, del D.Lgs. 24/2023 individua i requisiti organizzativi della gestione del canale interno. La normativa consente di affidare le segnalazioni a una persona, a un ufficio interno autonomo oppure a un soggetto esterno, purché siano rispettate le condizioni previste dalla legge. Autonomia e formazione specifica costituiscono requisiti della funzione, non semplici caratteristiche preferenziali del soggetto incaricato.

Per un’impresa, questo significa che la nomina del gestore whistleblowing non dovrebbe dipendere esclusivamente dalla posizione gerarchica, dall’anzianità di servizio o dalla disponibilità di un dipendente ad assumere ulteriori mansioni. Occorre verificare che il soggetto individuato possa operare senza indebite interferenze, disponga delle competenze necessarie e sia in grado di assicurare la riservatezza delle informazioni acquisite durante la gestione delle segnalazioni.

La scelta può ricadere su una funzione compliance, sull’ufficio legale interno, su personale appositamente incaricato oppure, in presenza delle condizioni richieste, su un organismo collegiale. Non esiste però una regola che renda automaticamente idoneo il responsabile HR, il responsabile amministrativo o un altro dirigente. Le attribuzioni concretamente esercitate possono determinare situazioni nelle quali chi riceve la segnalazione è chiamato a valutare fatti riguardanti decisioni proprie, collaboratori diretti o attività sottoposte alla sua responsabilità.

Particolare attenzione richiede l’eventuale attribuzione dell’incarico all’amministratore unico o al legale rappresentante. La coincidenza tra il soggetto incaricato della gestione e il vertice decisionale dell’impresa può porre problemi di autonomia, specialmente quando le segnalazioni riguardano condotte riconducibili alla direzione aziendale. La compatibilità deve essere esaminata alla luce dell’effettiva organizzazione societaria e delle garanzie che il sistema è concretamente in grado di offrire.

Il gestore deve inoltre conoscere gli obblighi previsti dal D.Lgs. 24/2023: rilascio dell’avviso di ricevimento entro sette giorni, mantenimento delle interlocuzioni con il segnalante, diligente seguito alla segnalazione e riscontro entro il termine previsto dalla normativa. Deve saper distinguere una comunicazione che rientra nell’ambito del whistleblowing da una contestazione personale estranea alla relativa disciplina, evitando che tale valutazione comporti una divulgazione indebita dell’identità del segnalante.

La formazione deve riguardare anche la gestione documentale, le modalità di acquisizione delle informazioni, la tutela delle persone coinvolte e le cautele da adottare durante l’istruttoria. Non è sufficiente conoscere il funzionamento della piattaforma informatica: il gestore deve essere in grado di valutare correttamente il contenuto della segnalazione e di individuare le attività di approfondimento compatibili con il proprio incarico.

Un’ulteriore distinzione riguarda la responsabilità dell’impresa. L’affidamento della gestione a una persona o a un professionista esterno non trasferisce automaticamente su quest’ultimo tutti gli obblighi dell’organizzazione. L’azienda rimane tenuta, nei casi in cui la disciplina è applicabile, a istituire un sistema conforme e a predisporre condizioni organizzative che consentano al gestore di svolgere effettivamente le proprie funzioni.

Gestore interno, avvocato esterno, DPO e Organismo di Vigilanza: quali incarichi sono compatibili

La scelta tra gestore whistleblowing interno o esterno dipende dalla struttura dell’impresa, dalla disponibilità di personale adeguatamente formato e dall’esistenza di funzioni che possano operare con sufficiente autonomia. Nelle società dotate di un ufficio compliance strutturato può essere possibile individuare al proprio interno il soggetto incaricato. Nelle imprese nelle quali le responsabilità sono concentrate in poche persone, la verifica delle incompatibilità può risultare più complessa.

Un avvocato esterno può essere incaricato della gestione delle segnalazioni whistleblowing, purché l’organizzazione dell’incarico rispetti i requisiti normativi. La competenza giuridica può essere particolarmente utile quando le segnalazioni riguardano condotte potenzialmente illecite, rapporti di lavoro, responsabilità degli amministratori o violazioni del Modello 231. Occorre comunque verificare l’assenza di conflitti di interessi e definire con precisione le attività affidate, i poteri istruttori e le modalità di interlocuzione con l’impresa.

L’affidamento a un professionista che già assiste stabilmente la società non deve essere considerato automaticamente incompatibile, ma richiede un esame delle funzioni effettivamente esercitate. Se il consulente è direttamente coinvolto nelle decisioni o nelle attività che potrebbero essere oggetto di segnalazione, la sua autonomia rischia di risultare compromessa. La stessa attenzione è necessaria quando il professionista presta assistenza a singoli amministratori i cui comportamenti potrebbero essere oggetto di verifica.

Un’altra questione riguarda il DPO, o Responsabile della protezione dei dati. Il GDPR non stabilisce un’incompatibilità generale tra l’incarico di DPO e quello di gestore whistleblowing. L’articolo 38, paragrafo 6, del Regolamento (UE) 2016/679 consente al DPO di svolgere altri compiti, a condizione che non determinino conflitti di interessi. La compatibilità richiede quindi una valutazione concreta delle responsabilità attribuite e del rischio che il DPO si trovi a controllare trattamenti dei quali determina personalmente finalità o mezzi.

Il problema è particolarmente delicato perché le segnalazioni possono contenere dati personali riservati, informazioni relative a presunti illeciti e documenti riguardanti dipendenti, dirigenti o terzi. Occorre distinguere il ruolo di chi gestisce la segnalazione da quello di chi sorveglia l’osservanza della disciplina sulla protezione dei dati. Il cumulo delle funzioni deve essere valutato prima dell’incarico, evitando di presumere che la competenza privacy renda automaticamente idoneo il DPO a gestire qualsiasi procedimento whistleblowing.

Per le società che hanno adottato un Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001 si pone anche la questione dell’affidamento delle segnalazioni all’Organismo di Vigilanza (OdV). Tale soluzione può essere presa in considerazione, ma la presenza dell’OdV non comporta automaticamente che esso possieda tutti i requisiti richiesti per gestire il canale whistleblowing. Devono essere verificati autonomia, formazione specifica, risorse disponibili e procedure operative.

Nel caso di OdV collegiale occorre definire chi riceve materialmente le segnalazioni, quali componenti possono accedervi, come vengono assunte le decisioni e come si procede quando la comunicazione riguarda uno dei membri dell’organismo. È inoltre necessario disciplinare i rapporti tra gestore e OdV quando le due funzioni sono attribuite a soggetti diversi, evitando una circolazione indiscriminata delle informazioni riservate.

Il coordinamento con il Modello 231 deve consentire all’Organismo di Vigilanza di acquisire le informazioni necessarie per le proprie funzioni senza compromettere le tutele previste dal D.Lgs. 24/2023. La comunicazione dell’identità del segnalante resta soggetta alle specifiche condizioni di legge e non può essere giustificata dalla sola presenza di flussi informativi verso l’OdV.

Per le imprese che intendono affidare le segnalazioni a un gestore esterno, è opportuno verificare che l’incarico comprenda effettivamente la ricezione, la valutazione e il seguito delle segnalazioni, anziché limitarsi alla fornitura di una piattaforma. La distinzione assume rilievo anche quando si valuta l’esternalizzazione della gestione del whistleblowing: il fornitore del software e il soggetto incaricato dell’istruttoria possono essere figure diverse, con obblighi e responsabilità da disciplinare separatamente.

Nomina del gestore whistleblowing: obblighi aziendali, conflitti di interessi e responsabilità

Una volta individuato il soggetto potenzialmente idoneo, l’impresa deve verificare come attribuirgli concretamente la gestione delle segnalazioni. L’articolo 4 del D.Lgs. 24/2023 non impone un modello organizzativo identico per tutte le aziende, ma richiede che il canale interno sia affidato a un soggetto autonomo e specificamente formato. La designazione del gestore deve quindi corrispondere a un’organizzazione effettiva, nella quale siano definiti compiti, responsabilità, accessi alle informazioni e modalità di intervento.

È opportuno formalizzare l’incarico attraverso un documento che individui il soggetto designato, le attività affidate, le modalità di ricezione delle segnalazioni e i rapporti con le funzioni aziendali. Se la gestione viene attribuita a un professionista esterno, il contratto dovrebbe disciplinare anche la disponibilità del servizio, le modalità di comunicazione con l’impresa, la gestione delle eventuali incompatibilità e la restituzione della documentazione alla cessazione dell’incarico. La formalizzazione, pur non sostituendo i requisiti sostanziali richiesti dalla legge, consente di rendere verificabile l’assetto organizzativo adottato.

Un aspetto che richiede particolare attenzione riguarda i conflitti di interessi del gestore whistleblowing. Il problema può presentarsi quando il responsabile incaricato riceve una segnalazione relativa a un’attività che dirige, a un procedimento nel quale è intervenuto oppure a una persona con la quale intrattiene rapporti professionali tali da compromettere l’imparzialità della valutazione. In queste situazioni, l’azienda deve poter individuare tempestivamente una modalità alternativa di gestione, senza esporre il segnalante a indebite divulgazioni.

La procedura aziendale dovrebbe quindi prevedere come affrontare l’assenza, l’impedimento o il conflitto di interessi del gestore. La nomina preventiva di un sostituto idoneo, oppure la previsione di un meccanismo di affidamento alternativo, può evitare che una segnalazione rimanga priva di seguito. Non si tratta di un obbligo generalizzato di nominare sempre due gestori, ma di una misura organizzativa da valutare in relazione alla struttura dell’impresa e ai rischi concretamente individuabili.

La questione assume particolare rilievo quando la segnalazione riguarda un amministratore, un dirigente o un componente dell’Organismo di Vigilanza. In tali circostanze, l’eventuale coinvolgimento dei soggetti interessati nella gestione della comunicazione potrebbe compromettere l’autonomia dell’istruttoria. Per le situazioni nelle quali vengono segnalate condotte del vertice societario, abbiamo approfondito le specifiche cautele nell’articolo dedicato a chi deve intervenire quando una segnalazione whistleblowing riguarda il management.

Un ulteriore profilo riguarda la protezione dei dati personali. Il gestore può venire a conoscenza dell’identità del segnalante, di informazioni relative alla persona coinvolta e di documentazione contenente dati particolarmente delicati. L’articolo 12 del D.Lgs. 24/2023 disciplina la riservatezza dell’identità del segnalante, mentre l’articolo 13 richiama gli obblighi applicabili al trattamento dei dati personali. L’impresa deve quindi individuare correttamente i ruoli privacy e assicurare che l’accesso alle informazioni sia limitato ai soggetti legittimati.

Quando il gestore opera all’interno dell’organizzazione, occorre predisporre le necessarie autorizzazioni e istruzioni per il trattamento dei dati. Nell’affidamento esterno deve essere valutata la qualificazione privacy del professionista o della struttura incaricata e, quando ricorrono i presupposti, la designazione quale responsabile del trattamento ai sensi dell’articolo 28 GDPR. L’incarico whistleblowing e la disciplina dei rapporti relativi al trattamento dei dati devono essere coordinati, senza presumere che la sola sottoscrizione di un accordo di riservatezza esaurisca gli adempimenti richiesti.

La responsabilità dell’azienda emerge anche nella gestione concreta del procedimento. L’articolo 5 del D.Lgs. 24/2023 richiede, tra l’altro, che venga rilasciato un avviso di ricevimento entro sette giorni dalla ricezione della segnalazione e che sia fornito riscontro entro tre mesi dalla data dell’avviso oppure, in mancanza di quest’ultimo, dalla scadenza del termine di sette giorni dalla presentazione della segnalazione. Il gestore deve assicurare un diligente seguito, ma l’impresa deve predisporre strumenti e risorse adeguati per consentire il rispetto degli obblighi normativi. Le modalità operative e le relative scadenze sono approfondite nell’articolo sulle tempistiche nella gestione delle segnalazioni whistleblowing.

La scelta di un gestore privo dei requisiti richiesti può incidere sulla conformità del sistema. L’articolo 21 del D.Lgs. 24/2023 prevede sanzioni amministrative pecuniarie, applicate dall’ANAC nei casi stabiliti dalla disposizione, anche quando non siano stati istituiti canali di segnalazione conformi o non siano state adottate procedure per effettuare e gestire le segnalazioni, oppure quando le procedure adottate non siano conformi alla disciplina applicabile. Sono inoltre previste conseguenze per altre condotte specificamente individuate dalla norma, tra cui determinate violazioni degli obblighi di riservatezza.

Non ogni irregolarità nella nomina comporta automaticamente una sanzione: occorre verificare la violazione concretamente contestata, i relativi presupposti e la disciplina applicabile. Rimane però necessario che l’impresa possa documentare le ragioni della scelta organizzativa, la formazione del soggetto incaricato e le misure adottate per assicurare autonomia e riservatezza.

Quando emergono dubbi sull’idoneità del gestore già nominato, è opportuno esaminare l’incarico, la procedura interna e gli eventuali conflitti di interessi prima di procedere a una sostituzione. Se sono presenti segnalazioni ancora aperte, il passaggio deve essere organizzato assicurando la continuità della gestione, il rispetto dei termini e la protezione delle informazioni già acquisite.

Un esempio pratico: la scelta del gestore whistleblowing in una società con funzioni aziendali sovrapposte

Consideriamo il caso di una società di medie dimensioni che abbia adottato un canale interno whistleblowing e intenda affidarne la gestione al responsabile delle risorse umane. Il dirigente conosce l’organizzazione, dispone di esperienza nella gestione del personale e utilizza abitualmente strumenti informatici aziendali. La direzione ritiene quindi che possa assumere anche il nuovo incarico, senza modificare l’assetto organizzativo esistente.

Una verifica preliminare mette però in luce una criticità: il responsabile HR partecipa direttamente ai procedimenti disciplinari, interviene nelle decisioni relative ai dipendenti e riferisce agli stessi dirigenti le cui condotte potrebbero essere oggetto di segnalazione. La sua competenza professionale non è in discussione, ma l’insieme delle funzioni esercitate richiede di valutare se possa garantire l’autonomia necessaria in tutte le situazioni prevedibili.

In uno scenario di questo tipo, la nostra attività di consulenza consisterebbe nell’esaminare la struttura organizzativa, verificare le possibili incompatibilità e confrontare le alternative disponibili. L’impresa potrebbe individuare una funzione interna effettivamente autonoma oppure affidare la gestione a un professionista esterno, definendo le modalità di ricezione delle segnalazioni, gli accessi alla piattaforma, i rapporti con la direzione e le procedure da applicare in presenza di conflitti di interessi.

L’elemento che richiede maggiore attenzione è la separazione tra il soggetto incaricato dell’istruttoria e le persone potenzialmente coinvolte nei fatti segnalati. La soluzione deve essere costruita sulle caratteristiche dell’impresa, evitando che la designazione rimanga soltanto formale o che la gestione delle comunicazioni riservate dipenda dalle medesime persone chiamate a rispondere delle condotte oggetto di verifica.

Domande frequenti sulla gestione delle segnalazioni whistleblowing in azienda

Il gestore whistleblowing deve essere necessariamente un dipendente dell’azienda?

No. L’articolo 4, comma 2, del D.Lgs. 24/2023 consente di affidare la gestione del canale interno anche a un soggetto esterno, purché autonomo e dotato di personale specificamente formato. L’impresa può quindi incaricare un professionista esterno, senza dover necessariamente individuare un dipendente. La scelta deve essere coerente con l’organizzazione aziendale e con le garanzie di riservatezza richieste dalla normativa.

Il gestore whistleblowing può coincidere con il responsabile HR o con un dirigente?

La coincidenza non è vietata in termini assoluti, ma deve essere verificata concretamente. Un responsabile HR che partecipa a procedimenti disciplinari o assume decisioni direttamente collegate ai fatti oggetto di segnalazione potrebbe trovarsi in una situazione di conflitto di interessi. Occorre valutare l’autonomia effettiva della funzione e predisporre modalità alternative di gestione quando l’imparzialità non possa essere assicurata.

È possibile affidare la gestione delle segnalazioni a un Organismo di Vigilanza monocratico?

Sì, purché il componente dell’OdV possieda i requisiti previsti dal D.Lgs. 24/2023 e l’incarico sia organizzato in modo da garantire autonomia, formazione specifica e riservatezza. La nomina quale Organismo di Vigilanza ai sensi del D.Lgs. 231/2001 non determina automaticamente l’attribuzione delle funzioni di gestore whistleblowing. È necessario definire espressamente le responsabilità e verificare le eventuali incompatibilità.

Chi deve gestire una segnalazione quando il gestore nominato è coinvolto nei fatti denunciati?

La segnalazione non dovrebbe essere esaminata dal soggetto direttamente coinvolto. L’impresa deve poter applicare una soluzione alternativa idonea a tutelare la riservatezza del segnalante e l’imparzialità dell’istruttoria. Per questo è opportuno prevedere preventivamente nella procedura aziendale un meccanismo di sostituzione o di gestione dei conflitti di interessi, individuando un soggetto che possieda i requisiti richiesti dalla normativa.

Un’azienda può sostituire il gestore whistleblowing mentre sono ancora aperte delle segnalazioni?

Sì. La sostituzione è possibile, ma deve essere organizzata senza interrompere il seguito delle segnalazioni già ricevute. Occorre disciplinare il trasferimento della documentazione, verificare i termini ancora pendenti e limitare l’accesso alle informazioni ai soggetti legittimati. Il nuovo gestore deve poter proseguire le attività istruttorie nel rispetto della riservatezza e delle garanzie previste dal D.Lgs. 24/2023.

Chi può gestire le segnalazioni whistleblowing nella vostra azienda: richiedete una valutazione legale

La scelta del gestore delle segnalazioni whistleblowing richiede una verifica delle funzioni aziendali, dell’autonomia del soggetto incaricato e delle possibili incompatibilità. Una nomina formalmente corretta potrebbe non essere sufficiente quando l’organizzazione concreta non consente di assicurare riservatezza, indipendenza operativa e adeguata gestione delle segnalazioni.

Lo Studio Legale Calvello dell’Avvocato Claudio Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione dei requisiti del gestore whistleblowing, nella definizione degli incarichi, nella verifica dei conflitti di interessi e nel coordinamento con le funzioni aziendali e l’Organismo di Vigilanza. Possiamo esaminare anche situazioni nelle quali il gestore sia già stato nominato e l’impresa debba verificarne l’idoneità o procedere alla sostituzione.

Se la vostra società deve individuare chi può gestire le segnalazioni whistleblowing, verificare un incarico esistente oppure valutare l’affidamento a un professionista esterno, richiedete una valutazione legale per il whistleblowing aziendale e la gestione delle segnalazioni. Attraverso il modulo dedicato potrete descrivere la struttura dell’impresa e le esigenze organizzative, consentendoci di esaminare la richiesta e valutare le modalità di assistenza più appropriate.