Articolo a cura di: Redazione - Studio Legale Calvello

Mettere in regola un’azienda con il whistleblowing significa verificare se sussiste l’obbligo di istituire un canale interno di segnalazione e, quando previsto, predisporre un sistema effettivamente conforme al D.Lgs. 24/2023. Non basta acquistare una piattaforma informatica o comunicare ai dipendenti un indirizzo email: occorre individuare chi riceverà le segnalazioni, disciplinarne la gestione, proteggere la riservatezza delle persone coinvolte e documentare gli adempimenti effettuati. Un’organizzazione incompleta può esporre l’impresa a contestazioni e sanzioni dell’ANAC, anche quando un canale di segnalazione risulta formalmente attivo. Per gli amministratori e i responsabili aziendali è quindi necessario distinguere gli obblighi imposti dalla legge dalle scelte organizzative che dipendono dalle dimensioni, dalla struttura e dai rischi dell’impresa. Quando mancano competenze interne adeguate, una verifica legale preventiva consente di individuare le carenze e definire gli interventi necessari.

Quando un’azienda deve adeguarsi al whistleblowing e come verificare se è in regola

Il primo passaggio consiste nell’accertare se l’impresa rientri nell’ambito di applicazione del D.Lgs. 10 marzo 2023, n. 24, che disciplina la protezione delle persone che segnalano determinate violazioni conosciute nel contesto lavorativo. Nel settore privato, l’obbligo di istituire un canale interno riguarda anzitutto i soggetti che hanno impiegato, nell’ultimo anno, una media di almeno 50 lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato. Il calcolo deve essere effettuato secondo i criteri applicabili, senza limitarsi al numero dei dipendenti presenti nel giorno in cui viene effettuata la verifica.

La soglia dimensionale non costituisce però l’unico criterio. Il decreto comprende anche soggetti privati che operano in determinati settori disciplinati dagli atti dell’Unione europea richiamati dalla normativa, tra cui servizi, prodotti e mercati finanziari, prevenzione del riciclaggio e del finanziamento del terrorismo, sicurezza dei trasporti e tutela dell’ambiente, secondo i rispettivi ambiti applicativi. Rilevano inoltre le imprese che rientrano nell’ambito del D.Lgs. 231/2001 e hanno adottato un Modello di organizzazione, gestione e controllo, anche quando non raggiungono la soglia dei 50 lavoratori. Per queste ultime occorre considerare le specifiche disposizioni che collegano il sistema di segnalazione al Modello 231.

Un’azienda con meno di 50 dipendenti non può quindi presumere automaticamente di essere esclusa dagli obblighi whistleblowing. Allo stesso modo, il semplice superamento della soglia dimensionale richiede di verificare quali violazioni possano essere segnalate attraverso il canale e quali disposizioni trovino concretamente applicazione. La disciplina distingue infatti le diverse categorie di soggetti privati e l’ambito delle violazioni tutelate. Questa verifica preliminare evita sia di omettere adempimenti obbligatori sia di adottare procedure costruite su presupposti normativi non pertinenti.

Accertato l’obbligo, dobbiamo esaminare ciò che l’impresa ha già predisposto. La presenza di una casella email, di un modulo online o di una procedura interna non dimostra, da sola, la conformità. Occorre verificare se il canale consenta segnalazioni scritte e orali, se protegga l’identità del segnalante e delle altre persone tutelate, se l’accesso alle informazioni sia limitato ai soggetti autorizzati e se la gestione sia affidata a personale o a un soggetto esterno autonomo, specificamente formato e dotato di competenze adeguate.

Particolare attenzione merita la situazione delle imprese che hanno attivato un sistema di segnalazione prima dell’entrata in vigore della nuova disciplina e non lo hanno successivamente aggiornato. Una procedura originariamente collegata al solo Modello 231 potrebbe non disciplinare correttamente tutte le modalità di segnalazione, le garanzie di riservatezza o gli adempimenti previsti dal D.Lgs. 24/2023. Anche l’affidamento delle segnalazioni a un responsabile aziendale privo di adeguata autonomia o coinvolto nelle attività potenzialmente oggetto di segnalazione può rendere necessario un intervento organizzativo.

Per un inquadramento degli obblighi e delle situazioni che possono riguardare l’impresa, abbiamo approfondito la materia nella nostra guida al whistleblowing aziendale. La verifica iniziale deve comunque essere riferita alla singola organizzazione, perché dimensioni, settore di attività, struttura societaria e presenza di un Modello 231 incidono direttamente sulle misure da adottare.

Come istituire un canale whistleblowing conforme: procedura, gestore e documentazione aziendale

Una volta individuati gli obblighi applicabili, l’adeguamento deve tradursi in un sistema organizzativo utilizzabile e controllabile. L’art. 4 del D.Lgs. 24/2023 prevede che i soggetti obbligati attivino propri canali di segnalazione interna, sentite le rappresentanze o le organizzazioni sindacali indicate dalla norma. Il canale deve garantire, anche mediante strumenti di crittografia ove appropriati, la riservatezza dell’identità del segnalante, della persona coinvolta e delle persone comunque menzionate nella segnalazione, nonché del contenuto e della relativa documentazione.

Il sistema deve consentire segnalazioni in forma scritta, anche attraverso modalità informatiche, e in forma orale. Queste ultime possono essere effettuate mediante linee telefoniche o sistemi di messaggistica vocale e, su richiesta del segnalante, attraverso un incontro diretto fissato entro un termine ragionevole. L’azienda deve quindi valutare le caratteristiche del canale prescelto, evitando di considerare automaticamente sufficiente una normale casella di posta elettronica, soprattutto quando non siano garantite la separazione degli accessi, la riservatezza delle comunicazioni e la corretta gestione delle segnalazioni.

La scelta della piattaforma rappresenta soltanto una parte dell’intervento. È necessario predisporre una procedura whistleblowing che individui le modalità di presentazione delle segnalazioni, il soggetto incaricato di riceverle, le attività successive alla ricezione, i criteri di valutazione e le modalità di documentazione delle verifiche. La procedura deve inoltre disciplinare la gestione dei possibili conflitti di interessi, le misure di tutela della riservatezza e i rapporti tra il gestore delle segnalazioni e gli altri organi aziendali. Le informazioni sulle procedure di segnalazione interna ed esterna devono essere chiare, facilmente accessibili e rese disponibili secondo quanto previsto dalla normativa.

Uno degli aspetti più delicati riguarda l’individuazione del gestore. La legge consente di affidare la gestione del canale a una persona o a un ufficio interno autonomo e con personale specificamente formato, oppure a un soggetto esterno dotato degli stessi requisiti. Non è quindi obbligatorio esternalizzare il servizio, ma la scelta deve essere coerente con l’organizzazione aziendale e con la capacità di gestire segnalazioni potenzialmente riguardanti amministratori, dirigenti o responsabili delle funzioni interne. Nelle imprese di dimensioni contenute, dove più responsabilità sono concentrate nelle stesse persone, il rischio di conflitti di interessi richiede una valutazione particolarmente attenta.

L’affidamento a un professionista esterno può essere preso in considerazione quando l’azienda non dispone di risorse adeguatamente formate, quando l’autonomia del gestore interno risulta difficile da assicurare oppure quando occorre separare la gestione delle segnalazioni dalle funzioni operative. L’incarico deve definire responsabilità, modalità di accesso al canale, obblighi di riservatezza, gestione della documentazione e coordinamento con l’impresa. La scelta del soggetto incaricato non trasferisce automaticamente all’esterno tutti gli obblighi che la normativa pone in capo all’organizzazione.

La documentazione deve essere coordinata con gli obblighi di protezione dei dati personali. Le segnalazioni possono contenere informazioni relative a dipendenti, amministratori, collaboratori e terzi, talvolta particolarmente delicate. Occorre quindi definire le basi giuridiche del trattamento, predisporre le informazioni dovute agli interessati, individuare i ruoli privacy dei soggetti coinvolti e verificare le misure di sicurezza. Quando il fornitore della piattaforma o il gestore esterno tratta dati personali per conto dell’impresa, devono essere valutati anche gli adempimenti previsti dall’art. 28 del GDPR. La necessità di una valutazione d’impatto deve essere esaminata in relazione alle caratteristiche e ai rischi concreti del trattamento.

La procedura deve infine prevedere criteri di conservazione conformi all’art. 14 del D.Lgs. 24/2023: le segnalazioni e la relativa documentazione sono conservate per il tempo necessario al loro trattamento e comunque non oltre cinque anni dalla comunicazione dell’esito finale della procedura di segnalazione, nel rispetto degli obblighi di riservatezza e della normativa sulla protezione dei dati personali. Anche la formazione delle persone incaricate e l’informazione ai lavoratori devono essere organizzate in modo coerente con il sistema adottato, affinché il canale possa funzionare effettivamente quando viene utilizzato.

Obblighi di gestione, responsabilità aziendali e sanzioni: cosa verificare dopo l’attivazione del whistleblowing

L’attivazione del canale interno non esaurisce gli obblighi previsti dal D.Lgs. 24/2023. Per essere effettivamente in regola, l’azienda deve assicurare che le segnalazioni vengano ricevute, esaminate e gestite secondo una procedura conforme alla normativa. Un sistema tecnicamente funzionante, ma privo di un’organizzazione capace di rispettare i termini di legge, proteggere la riservatezza e documentare le attività svolte, può presentare carenze rilevanti anche sotto il profilo delle responsabilità aziendali.

L’art. 5 del D.Lgs. 24/2023 stabilisce specifici obblighi a carico del soggetto incaricato della gestione del canale. Tra questi rientrano il rilascio dell’avviso di ricevimento entro sette giorni dalla presentazione della segnalazione, il mantenimento delle interlocuzioni con il segnalante, la possibilità di richiedere integrazioni quando necessarie e lo svolgimento di un diligente seguito alle segnalazioni ricevute. Il gestore deve fornire riscontro entro tre mesi dalla data dell’avviso di ricevimento oppure, in mancanza di tale avviso, dalla scadenza del termine di sette giorni dalla presentazione della segnalazione. Il riscontro non coincide necessariamente con la conclusione definitiva di tutte le verifiche, ma deve riferirsi alle attività intraprese o previste per dare seguito alla segnalazione.

Questi adempimenti richiedono un’organizzazione precisa. L’impresa deve stabilire come registrare la ricezione delle comunicazioni, chi possa accedere alle informazioni, quali verifiche preliminari effettuare e come documentare le successive decisioni. Occorre anche prevedere modalità di intervento alternative quando la segnalazione riguarda direttamente il gestore, un amministratore o una persona che potrebbe influenzare l’istruttoria. Per le aziende che hanno già ricevuto una comunicazione e non sanno come procedere, abbiamo approfondito le prime attività da svolgere nell’articolo cosa fare subito dopo aver ricevuto una segnalazione whistleblowing.

Un ulteriore profilo riguarda la protezione contro le ritorsioni. Il divieto previsto dal decreto comprende comportamenti, atti od omissioni che, in ragione della segnalazione, della denuncia all’autorità giudiziaria o contabile o della divulgazione pubblica effettuate nelle condizioni di legge, provochino o possano provocare un danno ingiusto alla persona tutelata. L’azienda deve quindi prestare particolare attenzione alle decisioni che interessano un lavoratore dopo una segnalazione, soprattutto quando riguardano licenziamenti, trasferimenti, modifiche delle mansioni o altri provvedimenti potenzialmente pregiudizievoli. Ciò non impedisce l’esercizio legittimo dei poteri organizzativi e disciplinari, ma richiede che le decisioni siano fondate su ragioni effettive e adeguatamente documentabili.

Le conseguenze delle violazioni non sono soltanto organizzative. L’art. 21 del D.Lgs. 24/2023 attribuisce all’ANAC il potere di applicare sanzioni amministrative pecuniarie nei casi previsti dalla legge. Sono stabilite sanzioni da 10.000 a 50.000 euro, tra l’altro, quando viene accertata la commissione di ritorsioni, l’ostacolo o il tentativo di ostacolare una segnalazione, la violazione dell’obbligo di riservatezza, oppure quando non sono stati istituiti i canali di segnalazione, non sono state adottate procedure conformi o non è stata svolta l’attività di verifica e analisi delle segnalazioni ricevute. La norma prevede inoltre una distinta sanzione da 500 a 2.500 euro, nei presupposti specificamente indicati, per il segnalante la cui responsabilità sia stata accertata nei casi richiamati dall’art. 16, comma 3. Le diverse fattispecie non devono essere confuse e l’applicazione delle sanzioni richiede l’accertamento dei relativi presupposti.

Per le imprese che hanno adottato un Modello organizzativo 231, l’adeguamento del whistleblowing richiede anche di verificare la coerenza tra il canale interno, il sistema disciplinare, i protocolli aziendali e le funzioni dell’Organismo di Vigilanza. Il gestore delle segnalazioni e l’OdV non devono essere considerati automaticamente coincidenti: occorre definire le rispettive attribuzioni e le modalità con cui possono essere trasmesse le informazioni rilevanti, nel rispetto della riservatezza prevista dal D.Lgs. 24/2023. L’aggiornamento del sistema whistleblowing non comporta necessariamente la revisione integrale del Modello 231, ma può richiedere modifiche mirate alle procedure e ai flussi informativi.

Quando l’azienda scopre di non avere istituito il canale obbligatorio, di utilizzare una procedura non conforme o di avere affidato le segnalazioni a un soggetto privo dei requisiti necessari, l’intervento deve partire dall’individuazione delle irregolarità. È opportuno verificare gli obblighi applicabili, esaminare la documentazione esistente e predisporre le misure correttive, conservando evidenza delle decisioni e delle attività effettuate. La regolarizzazione successiva non cancella automaticamente eventuali violazioni già commesse, ma consente di affrontare le carenze organizzative e di ricondurre il sistema alle prescrizioni normative applicabili.

Un esempio pratico: azienda con canale whistleblowing attivo ma procedura non conforme

Consideriamo il caso ipotetico di una società manifatturiera con circa 120 dipendenti che abbia attivato una piattaforma informatica per ricevere segnalazioni interne, senza però predisporre una procedura completa e senza formalizzare adeguatamente l’incarico del soggetto responsabile della gestione. La direzione ritiene di avere assolto agli obblighi normativi perché i lavoratori possono accedere al sistema, ma una verifica della documentazione mostra che non sono state disciplinate le segnalazioni orali, le modalità di riscontro, i possibili conflitti di interessi e le autorizzazioni al trattamento dei dati personali.

In una situazione di questo tipo, l’intervento professionale dovrebbe partire dall’esame del sistema esistente, evitando di sostituire automaticamente strumenti che potrebbero essere tecnicamente idonei. Occorrerebbe verificare le funzionalità della piattaforma, integrare le modalità di segnalazione mancanti, predisporre una procedura conforme al D.Lgs. 24/2023 e individuare un gestore dotato dei requisiti richiesti. Particolare attenzione andrebbe riservata alla separazione degli accessi e alla gestione delle segnalazioni riguardanti i vertici aziendali, soprattutto quando le funzioni interne sono concentrate in poche persone.

La regolarizzazione richiederebbe inoltre di completare la documentazione privacy, effettuare gli adempimenti relativi alle rappresentanze o organizzazioni sindacali, rendere disponibili le informazioni sul canale e organizzare la formazione dei soggetti incaricati. Il risultato da perseguire sarebbe un sistema nel quale responsabilità, procedure e strumenti risultino coerenti e verificabili. L’esempio mostra perché avere acquistato un software whistleblowing non equivale necessariamente ad avere adempiuto agli obblighi di legge e perché la valutazione deve riguardare il funzionamento complessivo dell’organizzazione.

Domande frequenti sull’adeguamento whistleblowing aziendale

Un’azienda che non ha ancora attivato il whistleblowing può mettersi in regola?

Sì. Se l’impresa è soggetta all’obbligo e non ha ancora istituito il canale interno, deve procedere all’adeguamento senza ulteriori ritardi. Occorre verificare i requisiti applicabili, individuare il gestore, predisporre la procedura e attivare strumenti conformi alla normativa. La regolarizzazione tardiva non esclude automaticamente eventuali responsabilità per precedenti inadempimenti, ma permette di intervenire sulle carenze esistenti. È opportuno documentare le attività svolte e le decisioni adottate.

È sufficiente acquistare una piattaforma whistleblowing per rispettare la legge?

No. La piattaforma costituisce uno strumento per ricevere e gestire le segnalazioni, ma la conformità richiede anche una procedura adeguata, un soggetto incaricato della gestione con i requisiti previsti dalla legge, misure di riservatezza, modalità di segnalazione scritta e orale e il rispetto degli obblighi di informazione e protezione dei dati personali. L’azienda deve inoltre assicurare che le segnalazioni ricevute siano effettivamente esaminate e gestite nei termini previsti dal D.Lgs. 24/2023.

Chi risponde se il canale whistleblowing aziendale non è conforme?

Le responsabilità dipendono dalla violazione accertata e dal soggetto al quale la normativa attribuisce lo specifico obbligo. L’art. 21 del D.Lgs. 24/2023 prevede sanzioni amministrative applicate dall’ANAC nei confronti dei responsabili delle violazioni individuate dalla disposizione. L’affidamento della gestione a un professionista esterno non determina automaticamente il trasferimento di tutti gli obblighi dell’impresa. È quindi necessario definire correttamente gli incarichi e verificare le responsabilità connesse all’organizzazione del sistema.

Un’azienda con un Modello 231 deve aggiornare anche il whistleblowing?

Quando l’impresa ha adottato un Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001, deve verificare che il sistema di segnalazione sia coerente con il D.Lgs. 24/2023 e con le disposizioni applicabili al proprio assetto organizzativo. Potrebbe essere necessario aggiornare il canale interno, le procedure, il sistema disciplinare e i flussi informativi verso l’Organismo di Vigilanza. Non è sempre richiesta una revisione integrale del Modello 231: l’estensione degli interventi dipende dalle carenze riscontrate.

Quanto tempo occorre per mettere in regola un’azienda con il whistleblowing?

Non esiste una durata uniforme per tutti gli interventi. I tempi dipendono dalle dimensioni dell’impresa, dalla presenza di un canale già attivo, dalla documentazione disponibile e dalla necessità di individuare un gestore interno o esterno. Incidono anche gli adempimenti relativi alle rappresentanze o organizzazioni sindacali, la configurazione degli strumenti e la formazione del personale incaricato. Quando l’obbligo è già applicabile, l’azienda deve organizzare l’adeguamento tempestivamente, senza considerare i tempi tecnici di implementazione come una proroga dei termini stabiliti dalla legge.

Come richiedere una valutazione legale per mettere in regola la propria azienda con il whistleblowing

Se la vostra azienda non ha ancora istituito un canale whistleblowing, utilizza una procedura non aggiornata oppure non è certa di rispettare gli obblighi del D.Lgs. 24/2023, è opportuno verificare la situazione prima che eventuali carenze emergano in occasione di una segnalazione o di un controllo. La conformità dipende dall’effettiva organizzazione del sistema, dalle modalità di gestione delle comunicazioni e dalle garanzie previste per le persone coinvolte.

Lo Studio Legale Calvello dell’Avvocato Claudio Calvello, con oltre 25 anni di esperienza professionale, presta assistenza alle imprese nella valutazione degli obblighi whistleblowing, nella predisposizione e revisione delle procedure aziendali, nell’individuazione delle modalità di gestione delle segnalazioni e nel coordinamento con gli adempimenti GDPR e, quando pertinente, con il Modello organizzativo 231.

Per sottoporre la situazione della vostra impresa al nostro esame, potete richiedere una valutazione legale per l’adeguamento whistleblowing aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare gli aspetti che richiedono una verifica professionale e le possibili modalità di intervento.