Articolo a cura di: Redazione - Studio Legale Calvello

La crescita di un’azienda modifica anche il modo in cui devono essere gestiti i rischi interni. Aumentano i dipendenti, si formano nuovi livelli gerarchici, entrano nuovi responsabili, vengono aperte sedi o reparti, si moltiplicano fornitori e collaboratori e alcune decisioni non passano più direttamente dall’imprenditore. In questo passaggio possono emergere irregolarità, conflitti e segnalazioni che una struttura più piccola riusciva a intercettare informalmente. Il whistleblowing diventa quindi un tema organizzativo concreto, oltre che un adempimento normativo quando ricorrono i presupposti previsti dal D.Lgs. 24/2023.

Per un’impresa che cresce il primo errore consiste nel considerare il sistema di segnalazione come qualcosa da predisporre una volta per tutte. Occorre invece verificare se la crescita abbia fatto entrare l’azienda nell’ambito di applicazione della disciplina, se il canale esistente sia ancora adeguato alla nuova organizzazione e se chi riceve le segnalazioni possa effettivamente gestirle con autonomia, riservatezza e competenza. La questione diventa particolarmente delicata quando l’impresa si avvicina o supera la soglia dimensionale rilevante oppure quando una segnalazione coinvolge proprio le persone che, nella precedente struttura, avrebbero dovuto occuparsene.

Perché la crescita dell’azienda può cambiare il rischio whistleblowing

In una piccola impresa la circolazione delle informazioni è spesso diretta. Il titolare conosce personalmente buona parte dei dipendenti, le funzioni sono concentrate e un problema può arrivare rapidamente alla direzione. Con l’aumento dell’organico questa configurazione cambia: compaiono responsabili intermedi, deleghe, funzioni HR e amministrative più articolate, nuove sedi o unità operative. La direzione può quindi avere una conoscenza meno immediata di ciò che accade nei singoli reparti.

Questo non significa che la crescita determini automaticamente un aumento delle violazioni o delle segnalazioni whistleblowing. Significa piuttosto che aumenta la complessità organizzativa nella quale una condotta potenzialmente rilevante può verificarsi, essere conosciuta e successivamente segnalata. Una procedura concepita per un’impresa di dimensioni ridotte può non essere più adeguata quando il numero delle persone coinvolte e i livelli decisionali aumentano.

Il problema è particolarmente evidente nelle aziende cresciute rapidamente. Può accadere, ad esempio, che il canale sia stato predisposto quando l’organizzazione aveva una struttura molto semplice e che il gestore individuato allora sia diventato, nel frattempo, responsabile di una funzione aziendale coinvolta nelle materie dalle quali possono provenire le segnalazioni. In una situazione del genere non basta verificare che esista formalmente un canale: occorre controllare se l’assetto concreto consenta ancora una gestione imparziale e riservata.

Lo stesso vale quando l’espansione avviene attraverso nuove sedi, acquisizioni, riorganizzazioni o la creazione di società appartenenti allo stesso gruppo. La crescita può produrre procedure differenti, canali paralleli o prassi non coordinate. In questi casi diventa necessario stabilire con precisione chi riceve la segnalazione, chi può accedere alle informazioni, come viene svolta l’istruttoria e come si gestiscono eventuali conflitti di interesse.

Il rischio più frequente non deriva quindi soltanto dall’assenza del sistema, ma dalla distanza tra il sistema formalmente previsto e l’organizzazione che l’azienda è diventata. Una procedura che funzionava con poche decine di persone può richiedere una revisione quando cambiano dimensioni, responsabilità e flussi informativi. Per un quadro generale degli obblighi e delle modalità di gestione abbiamo dedicato una specifica guida al whistleblowing aziendale e alla gestione delle segnalazioni.

Il superamento dei 50 dipendenti e gli altri casi in cui la crescita incide sugli obblighi dell’azienda

Uno dei momenti da controllare con maggiore attenzione è l’aumento dell’organico. Il D.Lgs. 24/2023 ricomprende, tra i soggetti del settore privato interessati dalla disciplina, quelli che hanno impiegato nell’ultimo anno la media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato. Non è quindi corretto limitarsi a osservare quanti dipendenti risultino presenti in azienda in un determinato giorno.

Per il calcolo della media occorre fare riferimento, secondo le indicazioni ANAC, all’ultimo anno solare precedente a quello in corso, con la specifica disciplina prevista per le imprese di nuova costituzione. Per un’azienda che sta aumentando rapidamente il personale è quindi opportuno verificare il dato con criterio corretto, evitando sia di anticipare automaticamente un obbligo sulla base di una semplice fotografia dell’organico, sia di accorgersi tardivamente che i presupposti normativi sono già maturati.

La soglia dei cinquanta lavoratori, peraltro, non esaurisce l’ambito di applicazione della disciplina. Il D.Lgs. 24/2023 contempla anche soggetti privati operanti in determinati settori individuati dalla normativa europea, indipendentemente dal raggiungimento della soglia dimensionale, nonché enti che rientrano nell’ambito del D.Lgs. 231/2001 e adottano i relativi modelli di organizzazione e gestione, secondo le condizioni stabilite dalla disciplina whistleblowing. Per questo la domanda “abbiamo meno di cinquanta dipendenti, quindi siamo esclusi?” non può essere risolta sulla base del solo numero dei lavoratori.

Quando ricorrono i presupposti normativi, l’azienda deve istituire un canale interno che consenta le segnalazioni garantendo la riservatezza dell’identità della persona segnalante, della persona coinvolta e degli altri soggetti indicati dalla normativa, nonché del contenuto della segnalazione e della relativa documentazione. La gestione deve essere affidata a una persona o a un ufficio interno autonomo dedicato e con personale specificamente formato oppure a un soggetto esterno, anch’esso autonomo e dotato di personale formato.

È proprio durante la crescita che questa scelta può richiedere una nuova valutazione. Il soggetto che appariva idoneo quando l’impresa aveva una struttura elementare può trovarsi successivamente a ricoprire funzioni operative o decisionali incompatibili con una gestione serena di determinate segnalazioni. L’aumento dei livelli gerarchici può anche rendere più probabile che una segnalazione riguardi un responsabile, un dirigente o una funzione con cui il gestore interno intrattiene rapporti organizzativi diretti.

In questi casi l’esternalizzazione della gestione delle segnalazioni può essere valutata come soluzione organizzativa, ma non costituisce una risposta automaticamente necessaria per ogni azienda in crescita. La scelta dipende dalla struttura dell’impresa, dalla disponibilità di funzioni interne effettivamente autonome, dalla frequenza e complessità delle segnalazioni e dai possibili conflitti di interesse. Per le PMI prive di una funzione legale interna strutturata abbiamo esaminato specificamente questi aspetti nell’articolo sul whistleblowing nelle PMI senza ufficio legale.

La verifica dovrebbe quindi accompagnare l’evoluzione dell’impresa: non soltanto per stabilire se sia sorto un obbligo prima inesistente, ma anche per comprendere se canale, procedura e gestore siano ancora coerenti con le dimensioni e con l’assetto organizzativo attuale. È su questo secondo profilo che spesso emergono le criticità più difficili da individuare attraverso un controllo meramente documentale.

Quando il sistema whistleblowing deve essere rivisto mentre l’azienda cresce

Una volta verificato se l’impresa rientra nell’ambito di applicazione del D.Lgs. 24/2023, il controllo non dovrebbe fermarsi all’esistenza formale del canale. La crescita può rendere inadeguato un assetto che, al momento della sua introduzione, era coerente con le dimensioni e con l’organizzazione aziendale. Occorre quindi verificare periodicamente chi può utilizzare il canale, chi riceve le segnalazioni, quali persone possono accedere ai dati, come viene gestita l’istruttoria e cosa accade quando la segnalazione riguarda un soggetto vicino al gestore.

Un primo punto riguarda l’autonomia del gestore. In un’impresa di dimensioni contenute può essere stata individuata una figura interna che, con la successiva crescita, ha assunto ulteriori responsabilità operative, gerarchiche o gestionali. Se una segnalazione riguarda la sua funzione, un superiore diretto, un componente del management con cui collabora stabilmente o un procedimento nel quale è personalmente coinvolto, può emergere un conflitto che deve essere affrontato prima di procedere all’istruttoria. Il problema è ancora più evidente nelle aziende prive di una funzione HR o compliance sufficientemente strutturata; abbiamo approfondito questo profilo nell’articolo dedicato alle aziende senza HR strutturato e alla gestione delle segnalazioni whistleblowing.

La revisione deve riguardare anche il funzionamento materiale del canale. Il D.Lgs. 24/2023 richiede che sia assicurata la riservatezza dell’identità del segnalante, della persona coinvolta e della persona comunque menzionata nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione. In un’organizzazione cresciuta nel tempo diventa quindi necessario controllare le autorizzazioni di accesso, le credenziali, i flussi documentali, le modalità di conservazione e l’effettiva separazione delle informazioni rispetto alle normali attività aziendali.

Questo profilo si collega direttamente alla protezione dei dati personali. Le informazioni contenute in una segnalazione possono riguardare dipendenti, amministratori, collaboratori o terzi e possono comprendere dati particolarmente delicati. L’impresa deve coordinare la disciplina whistleblowing con il GDPR, definendo ruoli e autorizzazioni, tempi di conservazione, misure di sicurezza e rapporti con eventuali fornitori esterni. Se l’espansione aziendale ha comportato l’introduzione di nuovi software, servizi cloud o soggetti che intervengono nel processo, devono essere riesaminati anche i relativi rapporti privacy e, quando ricorrono i presupposti, gli accordi previsti dall’art. 28 GDPR.

Un altro indicatore della necessità di revisione è l’aumento del numero o della complessità delle segnalazioni. Gestire occasionalmente una segnalazione non equivale a doverne trattare diverse nello stesso periodo, magari riferite a persone o fatti collegati. Occorre evitare accessi non necessari alle informazioni, sovrapposizioni nelle istruttorie e ricostruzioni frammentarie dei fatti. Il problema specifico è approfondito nella nostra analisi sulla gestione contemporanea di più segnalazioni whistleblowing.

Anche la formazione deve seguire l’evoluzione dell’organizzazione. L’ingresso di nuovi dipendenti e responsabili rende insufficiente una comunicazione effettuata anni prima a un gruppo di persone ormai diverso da quello attuale. Chi può utilizzare il canale deve poter comprendere come accedervi e quali sono le sue finalità; chi partecipa alla gestione deve invece conoscere i limiti di accesso alle informazioni, gli obblighi di riservatezza e le procedure da seguire. La crescita aziendale richiede quindi un controllo sostanziale del sistema: non basta che la procedura esista, deve continuare a funzionare nell’organizzazione reale.

Un caso pratico: l’azienda cresce, ma il sistema di segnalazione rimane quello originario

Consideriamo il caso realistico e anonimizzato di una società che, dopo una fase di rapida espansione, abbia aumentato il proprio organico, introdotto nuovi responsabili di funzione e articolato maggiormente la struttura interna. Il sistema whistleblowing era stato organizzato in una fase precedente, quando i rapporti gerarchici erano più semplici e il numero delle persone coinvolte nell’attività aziendale era inferiore.

La criticità emerge quando occorre verificare se il gestore individuato originariamente sia ancora adeguato alla nuova configurazione. Nel frattempo quella persona ha assunto ulteriori compiti aziendali e mantiene rapporti operativi frequenti con alcuni responsabili che potrebbero essere interessati da future segnalazioni. Il canale esiste e la procedura è formalmente presente, ma la crescita ha modificato le condizioni sulle quali era stata costruita la scelta iniziale.

In una situazione di questo tipo il nostro intervento non si limiterebbe a sostituire automaticamente il gestore. Occorrerebbe prima ricostruire il funzionamento effettivo del sistema: struttura societaria, ruoli interni, modalità di ricezione delle segnalazioni, soggetti autorizzati all’accesso, possibili conflitti di interesse, gestione della documentazione e coordinamento con gli adempimenti privacy. Solo dopo questa verifica sarebbe possibile valutare se mantenere una gestione interna riorganizzandola oppure affidarla a un soggetto esterno.

L’aspetto che richiede maggiore attenzione è proprio la distanza tra la procedura scritta e i rapporti aziendali reali. Se una segnalazione arrivasse prima di avere individuato questa criticità, l’impresa dovrebbe affrontare il problema mentre i termini e gli obblighi previsti dalla disciplina sono già operativi. Per questo, quando l’azienda attraversa una crescita rilevante o una riorganizzazione, verificare preventivamente il sistema whistleblowing consente di individuare le modifiche organizzative necessarie prima che sia una segnalazione concreta a metterle alla prova. Quando invece la segnalazione è già arrivata, occorre concentrarsi immediatamente sulla sua corretta presa in carico, secondo modalità che abbiamo esaminato nell’articolo su cosa fare dopo aver ricevuto una segnalazione whistleblowing.

Domande frequenti sulla crescita aziendale e sul whistleblowing

Se l’azienda supera i 50 dipendenti deve automaticamente attivare il whistleblowing?

Il superamento della soglia dimensionale è un elemento da verificare secondo i criteri previsti dal D.Lgs. 24/2023. Per i soggetti del settore privato rileva, nei casi previsti dalla normativa, la media di almeno cinquanta lavoratori subordinati impiegati nell’ultimo anno. L’ambito di applicazione, però, non dipende esclusivamente dalla soglia dei 50 lavoratori: devono essere considerate anche le ulteriori ipotesi contemplate dal decreto, comprese quelle relative a determinati settori e al D.Lgs. 231/2001. Per questo è opportuno verificare la situazione concreta dell’impresa anziché basarsi sul solo numero dei dipendenti presenti in un determinato momento.

Un sistema whistleblowing già esistente deve essere modificato quando l’azienda cresce?

Non necessariamente. La crescita, da sola, non impone di sostituire il canale o il gestore. Può però rendere necessaria una verifica dell’assetto esistente. Se sono cambiati organigramma, sedi, responsabilità, livelli gerarchici o modalità di trattamento delle segnalazioni, occorre controllare che canale, procedura e gestione siano ancora adeguati alla struttura effettiva dell’impresa e continuino a rispettare i requisiti previsti dalla normativa.

La gestione delle segnalazioni può essere affidata a un soggetto esterno?

Sì. Il D.Lgs. 24/2023 consente di affidare la gestione del canale a un soggetto esterno autonomo e con personale specificamente formato. Per un’azienda in crescita questa possibilità può essere presa in considerazione quando la struttura interna non dispone di una funzione adeguatamente autonoma oppure quando l’evoluzione dell’organizzazione rende più frequenti possibili conflitti di interesse. La gestione esterna non è però una soluzione obbligatoria per ogni impresa: la scelta deve essere valutata rispetto alla struttura e alle esigenze concrete dell’azienda.

Cosa succede se la crescita rende il gestore interno incompatibile con alcune segnalazioni?

Il problema deve essere affrontato prima che comprometta la gestione di un caso concreto. Se il gestore ha assunto incarichi o responsabilità che possono interferire con la sua autonomia rispetto a determinate segnalazioni, occorre riesaminare l’organizzazione del sistema e prevedere modalità idonee a gestire i possibili conflitti. La questione diventa particolarmente delicata quando la segnalazione riguarda il vertice aziendale; sul punto abbiamo dedicato uno specifico approfondimento a chi deve intervenire quando una segnalazione whistleblowing riguarda il management.

Whistleblowing e azienda in crescita: richiedere una valutazione del sistema esistente

Quando un’impresa aumenta l’organico, introduce nuovi livelli decisionali, apre altre sedi o modifica la propria struttura societaria, può essere opportuno verificare se il sistema whistleblowing sia ancora coerente con l’organizzazione attuale. Obbligo di istituire il canale, scelta del gestore, autonomia, riservatezza e gestione delle segnalazioni devono essere valutati sulla situazione concreta dell’azienda, evitando di applicare automaticamente soluzioni predisposte per strutture differenti.

Assistiamo le imprese nella verifica e nell’organizzazione del sistema whistleblowing, nella valutazione delle procedure esistenti e nella gestione esterna delle segnalazioni. Se la vostra azienda sta crescendo e volete verificare se l’assetto attuale sia adeguato oppure se siano necessari interventi organizzativi, potete richiedere una valutazione sul whistleblowing aziendale e sulla gestione esterna delle segnalazioni attraverso il modulo dedicato. Esamineremo la richiesta per individuare gli aspetti che richiedono una verifica rispetto alla struttura effettiva dell’impresa.