Articolo a cura di: Redazione - Studio Legale Calvello

La consulenza whistleblowing per aziende comprende le attività necessarie a verificare gli obblighi applicabili, organizzare il canale interno di segnalazione, predisporre le procedure e assicurare una gestione corretta delle comunicazioni ricevute. Per un’impresa, infatti, attivare una piattaforma informatica non significa automaticamente aver adempiuto alle disposizioni del D.Lgs. 24/2023: occorre individuare chi riceve le segnalazioni, disciplinare le verifiche successive, tutelare la riservatezza delle persone coinvolte e rispettare i termini previsti dalla normativa.

Il problema interessa soprattutto le società che devono istituire il sistema per la prima volta, quelle che dispongono di un canale mai sottoposto a verifica e le imprese che intendono affidare a un professionista esterno la gestione delle segnalazioni. Una consulenza legale whistleblowing permette di valutare la situazione aziendale, individuare gli interventi necessari e definire le responsabilità operative, evitando che gli adempimenti rimangano limitati alla produzione di documenti privi di effettiva applicazione.

Quando un’azienda ha bisogno di una consulenza whistleblowing e quali problemi deve risolvere

La prima questione da affrontare riguarda l’effettiva applicabilità degli obblighi previsti dal D.Lgs. 24/2023. Nel settore privato, l’art. 2, comma 1, lettera q), individua diverse categorie di soggetti interessati, considerando, tra gli altri criteri, la media annua di almeno 50 lavoratori subordinati nell’ultimo anno, l’appartenenza a determinati settori regolamentati e l’adozione di modelli di organizzazione e gestione ai sensi del D.Lgs. 231/2001. Per le imprese che adottano il Modello 231, l’ambito delle segnalazioni tutelate e gli obblighi applicabili devono essere verificati anche in relazione alle dimensioni aziendali e alle condizioni stabilite dalla legge.

Non è quindi corretto presumere che ogni impresa con meno di 50 dipendenti sia esclusa dalla disciplina, né che tutte le società siano indistintamente tenute ai medesimi adempimenti. Nell’ambito della nostra consulenza whistleblowing aziendale esaminiamo preliminarmente la struttura dell’impresa, il numero dei lavoratori rilevante ai fini normativi, il settore di attività e l’eventuale presenza di un Modello 231. Questa verifica consente di definire quali obblighi debbano essere rispettati e quali soluzioni organizzative siano proporzionate alla realtà aziendale.

Una seconda esigenza riguarda le imprese che hanno già acquistato una piattaforma whistleblowing, ma non hanno individuato con precisione il soggetto incaricato della gestione oppure utilizzano una procedura generica, non coordinata con l’organizzazione interna. Il D.Lgs. 24/2023 richiede che la gestione del canale sia affidata a una persona o a un ufficio interno autonomo e specificamente formato, oppure a un soggetto esterno dotato dei medesimi requisiti. La scelta deve considerare anche eventuali conflitti di interessi, soprattutto quando una segnalazione potrebbe riguardare dirigenti, responsabili aziendali o persone coinvolte nella gestione del sistema.

La consulenza diventa particolarmente utile quando l’impresa non dispone di un ufficio legale o compliance strutturato, quando il responsabile HR svolge contemporaneamente funzioni potenzialmente incompatibili con la gestione imparziale delle segnalazioni oppure quando il sistema esistente non prevede istruzioni operative per affrontare situazioni delicate. In questi casi occorre stabilire chi possa accedere alle informazioni, come documentare le attività e quali modalità adottare per evitare comunicazioni non autorizzate.

Un’ulteriore situazione si presenta quando l’azienda riceve una segnalazione prima di aver organizzato adeguatamente il proprio sistema. La gestione improvvisata può compromettere la riservatezza del segnalante, determinare ritardi nel riscontro o interferire con eventuali accertamenti interni. Per queste circostanze abbiamo approfondito anche cosa fare dopo aver ricevuto una segnalazione whistleblowing, distinguendo le prime verifiche dalle successive attività istruttorie.

La richiesta di assistenza può nascere anche dalla necessità di superare un audit di compliance, documentare l’esistenza del sistema a un committente o coordinare il whistleblowing con il Modello 231 e l’Organismo di Vigilanza. In tali situazioni il servizio deve essere calibrato sulle esigenze effettive dell’impresa: la predisposizione iniziale del canale, la verifica di una procedura esistente e la gestione continuativa delle segnalazioni costituiscono attività differenti, che possono essere affidate con incarichi distinti oppure integrate in un unico rapporto professionale.

Cosa comprende concretamente il servizio di consulenza whistleblowing: analisi, procedure e gestione delle segnalazioni

Il contenuto della consulenza dipende dallo stato di organizzazione dell’impresa e dall’ampiezza dell’incarico conferito. Un servizio whistleblowing completo per aziende può comprendere una fase iniziale di verifica normativa e organizzativa, la progettazione del canale interno, la predisposizione della documentazione, il supporto alla formazione del personale e l’assistenza nella gestione delle segnalazioni. Non tutte queste attività devono necessariamente essere affidate allo stesso professionista, ma è necessario che siano coordinate e che l’azienda conosca con precisione chi è responsabile di ciascuna funzione.

La prima attività consiste nell’esaminare l’organizzazione aziendale e gli strumenti eventualmente già disponibili. Verifichiamo le procedure interne, le modalità di accesso al canale, i soggetti autorizzati a ricevere le comunicazioni e le regole applicate alla conservazione delle informazioni. Se l’impresa utilizza una piattaforma informatica, occorre valutare se le sue caratteristiche siano adeguate alle esigenze di riservatezza, sicurezza e gestione previste dalla disciplina. La semplice disponibilità di un software non sostituisce infatti la necessità di adottare un assetto organizzativo conforme.

Segue la predisposizione o revisione della procedura whistleblowing aziendale. Il documento deve individuare i soggetti che possono effettuare segnalazioni, le modalità di presentazione, il percorso di gestione, le misure di riservatezza e i criteri per il trattamento delle informazioni. Devono essere disciplinate le segnalazioni scritte e orali secondo le modalità previste dall’art. 4 del D.Lgs. 24/2023, comprese le richieste di incontro diretto entro un termine ragionevole. Le informazioni sul canale devono essere rese disponibili ai soggetti interessati con modalità conformi alla normativa, anche attraverso il sito internet quando presente.

Un aspetto che richiede particolare attenzione riguarda la scelta del gestore. L’impresa può valutare una gestione interna oppure ricorrere a un professionista esterno, purché siano rispettati i requisiti normativi di autonomia e formazione specifica. Quando il servizio comprende anche la gestione esterna delle segnalazioni whistleblowing, l’incarico deve precisare le attività affidate, i rapporti con gli organi aziendali, le modalità di accesso alle informazioni e i limiti delle competenze attribuite. La designazione del gestore non trasferisce automaticamente all’esterno tutti gli obblighi che la normativa pone a carico dell’organizzazione.

La consulenza comprende inoltre il coordinamento con la disciplina sulla protezione dei dati personali. Le segnalazioni possono contenere informazioni particolarmente delicate relative al segnalante, alla persona coinvolta e ad altri soggetti. Occorre quindi verificare le informative, le autorizzazioni al trattamento, i tempi di conservazione e le misure tecniche e organizzative adottate. Quando il gestore esterno tratta dati personali per conto dell’impresa, devono essere valutati i ruoli privacy e, ricorrendone i presupposti, formalizzati gli accordi previsti dall’art. 28 del Regolamento (UE) 2016/679. L’art. 13 del D.Lgs. 24/2023 richiede inoltre una valutazione d’impatto sulla protezione dei dati per i trattamenti connessi al canale.

Se l’incarico comprende la gestione operativa, il professionista deve poter ricevere le segnalazioni, effettuare una prima valutazione, mantenere le interlocuzioni necessarie con il segnalante e svolgere il seguito appropriato secondo le competenze attribuitegli. L’art. 5 del D.Lgs. 24/2023 prevede, tra gli altri adempimenti, l’avviso di ricevimento entro sette giorni dalla presentazione e il riscontro entro tre mesi dalla data dell’avviso o, in mancanza, dalla scadenza del termine di sette giorni. Il riscontro non coincide necessariamente con la conclusione definitiva di ogni accertamento, ma deve riferirsi al seguito dato o che si intende dare alla segnalazione.

La gestione richiede anche criteri per stabilire quando approfondire i fatti, quali informazioni acquisire e quando coinvolgere altre funzioni aziendali senza compromettere la riservatezza. Il gestore non deve necessariamente svolgere personalmente ogni indagine specialistica: a seconda della natura dei fatti, possono rendersi necessari accertamenti contabili, informatici o giuridici affidati a soggetti competenti, con accessi limitati alle informazioni strettamente necessarie. La consulenza whistleblowing continuativa può comprendere il supporto in queste valutazioni, la revisione periodica delle procedure e la formazione del personale incaricato.

Per le società dotate di Modello 231 occorre infine definire il rapporto tra gestore del canale e Organismo di Vigilanza. Le informazioni relative a possibili violazioni del modello devono poter essere trattate secondo procedure coerenti con le rispettive competenze, evitando che l’OdV riceva indiscriminatamente dati riservati o che rimanga privo delle informazioni necessarie allo svolgimento delle proprie funzioni. Il coordinamento deve essere regolato considerando la natura delle segnalazioni, i flussi informativi previsti dal modello e gli eventuali conflitti di interessi.

Obblighi, responsabilità e rischi: come verificare che il servizio whistleblowing sia realmente adeguato

Una consulenza whistleblowing non dovrebbe esaurirsi con la consegna della procedura e l’attivazione del canale interno. L’azienda deve poter dimostrare che il sistema è effettivamente utilizzabile, che le segnalazioni vengono gestite da soggetti competenti e che le misure adottate rispettano le prescrizioni del D.Lgs. 24/2023. La verifica riguarda quindi il funzionamento concreto del servizio, la distribuzione delle responsabilità e la capacità dell’organizzazione di intervenire quando emergono irregolarità.

Il primo controllo riguarda l’indipendenza operativa del gestore. L’art. 4 del D.Lgs. 24/2023 richiede che la gestione del canale sia affidata a un soggetto autonomo e specificamente formato. Questo requisito deve essere valutato rispetto all’organizzazione effettiva dell’impresa. Se il responsabile incaricato partecipa alle decisioni che potrebbero essere oggetto di segnalazione, oppure dipende direttamente dalla persona coinvolta nei fatti, possono emergere conflitti di interessi che rendono necessario individuare modalità alternative di gestione. Nell’ambito della nostra consulenza whistleblowing per aziende esaminiamo anche queste situazioni, distinguendo le incompatibilità concretamente rilevanti dalle semplici sovrapposizioni organizzative.

Un secondo controllo riguarda il rispetto delle garanzie di riservatezza. L’art. 12 del D.Lgs. 24/2023 disciplina la tutela dell’identità del segnalante e limita la possibilità di divulgarla senza il suo consenso espresso, salve le specifiche condizioni previste dalla legge. La protezione riguarda anche le informazioni dalle quali l’identità possa essere ricavata indirettamente. Per questo motivo, la procedura deve stabilire chi può consultare le segnalazioni, come vengono custoditi i documenti e quali informazioni possono essere comunicate alle funzioni aziendali coinvolte negli accertamenti.

Particolare attenzione deve essere riservata alle segnalazioni che coinvolgono amministratori, dirigenti o persone incaricate della gestione del canale. In queste circostanze, la semplice trasmissione della comunicazione ai vertici aziendali potrebbe compromettere l’imparzialità dell’istruttoria o la riservatezza delle informazioni. La procedura dovrebbe prevedere modalità di gestione dei conflitti di interessi e criteri per individuare i soggetti competenti a intervenire. Abbiamo approfondito questa problematica nell’articolo dedicato alle segnalazioni whistleblowing che riguardano il management aziendale.

La consulenza deve considerare anche i termini procedimentali e la documentazione delle attività svolte. L’azienda deve organizzare il servizio in modo che il gestore possa rispettare le scadenze previste dall’art. 5 del D.Lgs. 24/2023, mantenere le interlocuzioni con il segnalante e assicurare un seguito diligente alle comunicazioni ricevute. La conservazione delle segnalazioni deve rispettare l’art. 14 dello stesso decreto: la documentazione può essere mantenuta per il tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni dalla comunicazione dell’esito finale della procedura, nel rispetto degli obblighi di riservatezza e protezione dei dati personali.

Il rischio di una gestione inadeguata non riguarda soltanto l’eventuale perdita di informazioni. Una segnalazione trattata senza criteri definiti può determinare contestazioni sulla riservatezza, sulla correttezza degli accertamenti o sull’adozione di misure ritenute ritorsive. L’art. 17 del D.Lgs. 24/2023 vieta le ritorsioni nei confronti dei soggetti tutelati dalla normativa. Le decisioni aziendali relative al personale devono quindi essere valutate con particolare attenzione quando interessano lavoratori che hanno effettuato segnalazioni protette, evitando di confondere l’esercizio legittimo dei poteri organizzativi e disciplinari con comportamenti vietati dalla legge.

Le conseguenze possono assumere anche carattere sanzionatorio. L’art. 21 del D.Lgs. 24/2023 attribuisce all’ANAC specifici poteri sanzionatori, prevedendo, tra l’altro, sanzioni amministrative pecuniarie da 10.000 a 50.000 euro nelle ipotesi indicate dalla disposizione, comprese determinate violazioni relative all’istituzione dei canali, all’adozione delle procedure, alla gestione delle segnalazioni e alla tutela del segnalante. L’applicazione delle sanzioni richiede l’accertamento dei presupposti previsti dalla normativa e non discende automaticamente da qualsiasi irregolarità organizzativa.

Per le imprese che hanno già istituito il sistema, un audit whistleblowing aziendale può essere finalizzato a verificare la coerenza tra la procedura formalmente adottata e le modalità operative effettivamente utilizzate. L’esame può riguardare l’adeguatezza del canale, la formazione del gestore, le autorizzazioni di accesso, la gestione delle scadenze, la documentazione delle istruttorie e l’aggiornamento delle informazioni rese ai potenziali segnalanti. Eventuali carenze devono essere valutate in relazione alla loro gravità e alle caratteristiche dell’impresa, individuando gli interventi necessari senza presumere che ogni difformità comporti automaticamente una violazione sanzionabile.

Quando l’azienda dispone di un Modello 231, la verifica deve comprendere anche il coordinamento con il sistema di controllo interno. Il D.Lgs. 231/2001, come modificato dalla disciplina sul whistleblowing, richiede che i modelli organizzativi contemplino i canali di segnalazione interna, il divieto di ritorsione e il sistema disciplinare adottato ai sensi del D.Lgs. 24/2023. La consulenza può quindi comprendere l’esame dei flussi informativi verso l’Organismo di Vigilanza e delle procedure che disciplinano le segnalazioni relative a possibili violazioni del modello, mantenendo distinti i compiti del gestore e quelli dell’OdV.

La scelta tra un intervento di adeguamento iniziale, una revisione periodica e un incarico continuativo dipende dalla complessità aziendale e dalla capacità delle risorse interne di assicurare la gestione del sistema. Un’impresa che riceve raramente segnalazioni deve comunque disporre di un canale funzionante e di un gestore in grado di intervenire tempestivamente. Una società con più sedi, numerosi dipendenti o un’organizzazione articolata può invece avere necessità di procedure più strutturate e di un supporto professionale continuativo, anche per coordinare le attività delle diverse funzioni coinvolte.

Esempio pratico: come organizzare una consulenza whistleblowing per un’azienda con procedure incomplete

Consideriamo, a titolo esemplificativo, una società di servizi con circa 120 dipendenti che abbia attivato una piattaforma per le segnalazioni interne, affidandone la gestione a un responsabile amministrativo senza predisporre una procedura completa. L’impresa dispone di uno strumento informatico funzionante, ma non ha definito come gestire le segnalazioni che coinvolgono i dirigenti, quali informazioni comunicare al segnalante e come documentare le attività istruttorie. La direzione decide quindi di richiedere una consulenza per verificare l’adeguatezza del sistema esistente.

In una situazione di questo tipo, l’intervento professionale dovrebbe iniziare dall’esame del canale, delle responsabilità attribuite e della documentazione disponibile. La verifica potrebbe portare alla revisione della procedura, alla definizione di modalità alternative per i casi di conflitto di interessi e alla valutazione dell’affidamento della gestione a un soggetto esterno autonomo e specificamente formato. Occorrerebbe inoltre coordinare le regole di accesso alle segnalazioni con gli obblighi di protezione dei dati personali e predisporre istruzioni operative per il rispetto delle scadenze normative.

L’aspetto più delicato sarebbe la separazione tra le persone incaricate di esaminare i fatti e quelle eventualmente coinvolte nelle vicende segnalate. La riorganizzazione dovrebbe quindi definire preventivamente le competenze e le modalità di comunicazione con la direzione aziendale, limitando la circolazione delle informazioni riservate. L’esempio mostra perché una consulenza whistleblowing completa richieda una valutazione organizzativa e giuridica specifica: la disponibilità della piattaforma costituisce soltanto una componente del sistema che l’impresa deve istituire e mantenere operativo.

Domande frequenti sulla consulenza whistleblowing per aziende

La consulenza whistleblowing comprende anche la gestione delle segnalazioni ricevute?

Dipende dall’incarico conferito. La consulenza può limitarsi alla verifica degli obblighi, alla predisposizione del canale e alla redazione delle procedure oppure comprendere anche la gestione continuativa delle segnalazioni. In quest’ultimo caso devono essere individuati il soggetto incaricato, le attività comprese nel servizio, le modalità di svolgimento delle istruttorie e i rapporti con gli organi aziendali. È opportuno che tali aspetti siano disciplinati espressamente nel contratto professionale.

Un’azienda che possiede già una piattaforma whistleblowing ha comunque bisogno di un consulente?

Non esiste un obbligo generale di affidarsi a un consulente esterno. L’impresa deve però assicurare il rispetto dei requisiti previsti dal D.Lgs. 24/2023, indipendentemente dallo strumento utilizzato. Una piattaforma informatica non sostituisce la procedura, la formazione del gestore, le misure di riservatezza e l’organizzazione delle attività successive alla ricezione delle segnalazioni. Una verifica professionale può essere utile quando l’azienda non dispone delle competenze interne necessarie o intende controllare l’adeguatezza del sistema esistente.

È possibile affidare allo stesso professionista la consulenza iniziale e la gestione esterna del whistleblowing?

Sì, purché il professionista incaricato possieda i requisiti di autonomia e formazione specifica richiesti dalla normativa e non sussistano conflitti di interessi incompatibili con le funzioni affidate. L’incarico deve distinguere le attività di consulenza organizzativa da quelle di gestione delle segnalazioni, precisando responsabilità, modalità di accesso alle informazioni e rapporti con la direzione aziendale. La scelta deve essere valutata considerando anche l’eventuale presenza di un Organismo di Vigilanza.

Quanto costa una consulenza whistleblowing completa per un’azienda?

Il compenso dipende dalle attività richieste, dalle dimensioni dell’impresa, dalla complessità organizzativa e dall’eventuale affidamento della gestione continuativa delle segnalazioni. Un incarico limitato alla revisione di una procedura esistente presenta caratteristiche differenti rispetto a un servizio che comprende analisi iniziale, predisposizione documentale, formazione, coordinamento privacy e gestione esterna. Prima di valutare un preventivo è quindi necessario verificare quali prestazioni siano comprese, quali attività richiedano compensi aggiuntivi e come vengano gestite eventuali istruttorie particolarmente complesse.

La consulenza whistleblowing può essere richiesta anche dopo aver ricevuto una segnalazione?

Sì. L’azienda può richiedere assistenza professionale anche quando una segnalazione è già stata presentata, soprattutto se emergono dubbi sulla competenza del gestore, sulla riservatezza delle informazioni o sulle modalità di accertamento dei fatti. L’intervento deve tenere conto delle attività eventualmente già svolte e delle scadenze applicabili. L’assistenza successiva alla ricezione della segnalazione non elimina eventuali irregolarità pregresse, ma può contribuire a individuare le misure necessarie per una gestione corretta della situazione.

Consulenza whistleblowing per aziende: richiedi una valutazione allo Studio Legale Calvello

La predisposizione di un sistema whistleblowing richiede una valutazione degli obblighi applicabili, dell’organizzazione aziendale e delle modalità con cui saranno effettivamente gestite le segnalazioni. La stessa attenzione è necessaria quando l’impresa dispone già di un canale interno, ma deve verificarne la conformità, aggiornare le procedure oppure valutare l’affidamento del servizio a un gestore esterno.

Lo Studio Legale Calvello dell’Avvocato Claudio Calvello, con oltre 25 anni di esperienza professionale, offre assistenza giuridica alle imprese nella valutazione degli adempimenti whistleblowing, nell’organizzazione delle procedure e nell’esame delle problematiche connesse alla gestione delle segnalazioni, anche in rapporto alla disciplina GDPR e al Modello 231.

Se la vostra azienda deve istituire il canale interno, verificare un sistema già adottato o valutare un servizio di gestione esterna, potete richiedere una valutazione per la consulenza whistleblowing aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare le esigenze giuridiche e organizzative dell’impresa e valutare le possibili modalità di assistenza professionale.