Articolo a cura di: Redazione - Studio Legale Calvello

Affidare la gestione del whistleblowing a un soggetto esterno può essere una scelta opportuna quando l’azienda non dispone di personale adeguatamente formato, deve prevenire conflitti di interesse oppure vuole assicurare una gestione delle segnalazioni sufficientemente autonoma rispetto alla propria struttura gerarchica. L’esternalizzazione, però, non è automaticamente la soluzione migliore per ogni impresa e non trasferisce al professionista incaricato tutti gli obblighi che la normativa pone a carico dell’organizzazione.

Il D.Lgs. 24/2023 consente di affidare la gestione del canale interno a un soggetto esterno, purché autonomo e dotato di personale specificamente formato. Per l’imprenditore, il problema consiste nel valutare quando conviene esternalizzare la gestione del whistleblowing, quali attività affidare al gestore esterno e come disciplinare responsabilità, riservatezza e rapporti con gli organi aziendali. Una scelta organizzativa inadeguata può compromettere la gestione delle segnalazioni, esporre informazioni riservate e determinare contestazioni sull’effettivo funzionamento del sistema.

Quando conviene esternalizzare la gestione del whistleblowing aziendale

La convenienza dell’esternalizzazione dipende anzitutto dall’organizzazione dell’impresa e dalla possibilità di individuare al proprio interno un soggetto che possieda effettive competenze, autonomia operativa e condizioni di imparzialità. L’art. 4 del D.Lgs. 24/2023 prevede che la gestione del canale interno sia affidata a una persona o a un ufficio interno autonomo, con personale specificamente formato, oppure a un soggetto esterno in possesso degli stessi requisiti. La legge non impone quindi di ricorrere a un gestore esterno, ma consente questa soluzione quando risulta adeguata alle caratteristiche dell’organizzazione.

Nelle imprese di dimensioni contenute, il problema emerge frequentemente quando la gestione delle segnalazioni viene attribuita al responsabile delle risorse umane, a un dirigente amministrativo oppure a un’altra figura che svolge contemporaneamente funzioni operative. La semplice appartenenza all’organizzazione non determina automaticamente un conflitto di interessi. Occorre però verificare se il soggetto incaricato possa trovarsi a esaminare comportamenti riguardanti persone dalle quali dipende gerarchicamente, decisioni alle quali ha partecipato o attività sulle quali esercita responsabilità dirette.

Un responsabile HR, ad esempio, potrebbe ricevere una segnalazione relativa a condotte di un dirigente con il quale collabora abitualmente. In una società familiare, il soggetto incaricato potrebbe essere chiamato a valutare fatti che coinvolgono direttamente i soci amministratori. In situazioni simili, affidare la gestione a un professionista esterno può ridurre le interferenze organizzative e rendere più credibile l’autonomia del procedimento, purché l’incaricato sia realmente indipendente rispetto ai soggetti coinvolti.

La gestione whistleblowing in outsourcing può risultare conveniente anche quando l’azienda non riceve frequentemente segnalazioni e non dispone di risorse interne sufficientemente preparate per affrontare un’istruttoria complessa. La scarsa frequenza delle segnalazioni non elimina infatti la necessità di rispettare i termini previsti dalla legge, mantenere interlocuzioni riservate con il segnalante e valutare correttamente le informazioni ricevute. Un’impresa che non dispone di un ufficio compliance strutturato può incontrare difficoltà proprio nel momento in cui emerge una segnalazione particolarmente delicata.

Esistono però situazioni nelle quali mantenere una gestione interna può essere ragionevole. Un’organizzazione dotata di una funzione compliance autonoma, personale formato e procedure consolidate potrebbe già disporre delle condizioni necessarie. In questi casi, il ricorso all’esterno va valutato confrontando l’effettiva qualità dei presidi disponibili, i costi organizzativi e l’esposizione a possibili conflitti di interesse. Non è sufficiente presumere che un professionista esterno sia sempre più indipendente di un soggetto interno.

Un ulteriore elemento riguarda la fiducia nel sistema di segnalazione. Se i dipendenti ritengono che le comunicazioni possano essere conosciute dalla direzione o dai responsabili coinvolti nei fatti, potrebbero esitare a utilizzare il canale interno. L’affidamento a un soggetto esterno, accompagnato da informazioni chiare sulle modalità di accesso e sulla tutela della riservatezza, può contribuire a superare alcune di queste difficoltà. La fiducia dipende comunque dal funzionamento concreto del sistema, non dalla sola qualifica esterna del gestore. Sul punto abbiamo approfondito anche come aumentare la fiducia nel sistema whistleblowing aziendale.

Come organizzare l’outsourcing del whistleblowing e scegliere il gestore esterno

Quando l’impresa decide di esternalizzare il whistleblowing, deve distinguere la disponibilità del canale di segnalazione dalla sua effettiva gestione. Acquistare una piattaforma informatica non significa necessariamente avere affidato a un professionista la ricezione, l’esame e il seguito delle segnalazioni. Il fornitore del software può limitarsi a mettere a disposizione l’infrastruttura tecnologica, mentre la gestione delle comunicazioni rimane affidata a personale aziendale oppure a un diverso soggetto incaricato.

Prima di scegliere il servizio, verifichiamo quindi quali attività debbano essere effettivamente esternalizzate. L’incarico può comprendere la ricezione delle segnalazioni, il rilascio dell’avviso di ricevimento, il mantenimento delle interlocuzioni con il segnalante, la valutazione preliminare dei fatti, lo svolgimento delle verifiche necessarie e la predisposizione del riscontro. Occorre stabilire anche come saranno gestite le segnalazioni orali e le eventuali richieste di incontro diretto, poiché il sistema deve rispettare le modalità previste dall’art. 4 del D.Lgs. 24/2023.

Il soggetto esterno deve essere autonomo e avvalersi di personale specificamente formato. La scelta richiede una verifica delle competenze giuridiche e organizzative, delle procedure adottate per proteggere le informazioni e della capacità di affrontare segnalazioni che possono coinvolgere amministratori, dirigenti o persone con responsabilità rilevanti. La qualifica di avvocato o consulente, considerata isolatamente, non sostituisce la verifica dei requisiti richiesti per la gestione del canale. È necessario esaminare anche eventuali incarichi già svolti per la società, perché alcuni rapporti professionali potrebbero determinare conflitti di interesse rispetto a specifiche segnalazioni.

L’accordo con il gestore esterno dovrebbe individuare con precisione le prestazioni comprese nel servizio, le modalità di accesso al canale, i tempi di intervento, i referenti aziendali autorizzati e le procedure da seguire quando una segnalazione riguarda soggetti normalmente coinvolti nelle decisioni organizzative. Particolare attenzione richiede la distinzione tra attività di gestione della segnalazione e decisioni che rimangono di competenza dell’impresa, come l’adozione di provvedimenti organizzativi o disciplinari.

Occorre inoltre disciplinare il trattamento dei dati personali. Le segnalazioni possono contenere informazioni relative al segnalante, alla persona coinvolta e ad altri soggetti menzionati. Il D.Lgs. 24/2023 prevede specifiche garanzie di riservatezza e richiama l’applicazione della normativa sulla protezione dei dati personali. Quando il soggetto esterno tratta i dati per conto dell’azienda, il rapporto deve essere regolato secondo l’art. 28 del GDPR, tenendo conto delle attività concretamente affidate e dei ruoli privacy effettivamente ricoperti.

Il contratto deve quindi coordinarsi con le istruzioni sul trattamento dei dati, le misure di sicurezza, le autorizzazioni di accesso e le modalità di conservazione della documentazione. È opportuno verificare anche l’eventuale utilizzo di fornitori tecnologici ulteriori, le condizioni di accesso ai sistemi e le procedure previste alla cessazione dell’incarico. Una gestione esternalizzata non adeguatamente regolata può creare incertezze sulla disponibilità delle segnalazioni e sulla continuità del servizio quando viene sostituito il professionista incaricato.

Per l’azienda è altrettanto importante conoscere il perimetro economico dell’affidamento. Un compenso annuale potrebbe comprendere la disponibilità continuativa del gestore e le attività ordinarie, ma prevedere condizioni differenti per istruttorie particolarmente complesse, audizioni o approfondimenti specialistici. Prima di assumere un impegno contrattuale, consigliamo di verificare quali prestazioni siano incluse e quali richiedano un incarico aggiuntivo. La valutazione non dovrebbe limitarsi al canone, ma considerare la capacità del servizio di intervenire concretamente quando arriva una segnalazione.

La scelta del gestore esterno deve infine essere coordinata con la procedura aziendale già adottata e con le informazioni messe a disposizione dei potenziali segnalanti. Un affidamento contrattuale non accompagnato dall’aggiornamento delle procedure e dalla corretta organizzazione degli accessi rischia di lasciare una distanza tra il servizio formalmente acquistato e il sistema effettivamente utilizzato nell’impresa.

Responsabilità dell’azienda, riservatezza e controlli nella gestione esternalizzata delle segnalazioni

L’affidamento del whistleblowing a un professionista esterno non esaurisce gli obblighi dell’impresa. Il soggetto incaricato assume le responsabilità connesse alle attività affidategli, ma l’organizzazione deve continuare ad assicurare che il sistema di segnalazione sia conforme al D.Lgs. 24/2023 e concretamente funzionante. Esternalizzare la gestione delle segnalazioni non significa trasferire integralmente al fornitore la responsabilità dell’azienda per l’istituzione e il corretto funzionamento del canale interno. Questo aspetto deve essere considerato soprattutto quando l’impresa intende affidare all’esterno l’intero procedimento, dalla ricezione della comunicazione fino alla conclusione dell’istruttoria.

La prima verifica riguarda il rispetto degli obblighi procedurali. L’art. 5 del D.Lgs. 24/2023 prevede, tra l’altro, che il gestore rilasci al segnalante un avviso di ricevimento entro sette giorni dalla ricezione della segnalazione, mantenga le interlocuzioni necessarie, dia diligente seguito alle comunicazioni ricevute e fornisca riscontro entro tre mesi dalla data dell’avviso di ricevimento oppure, in mancanza di tale avviso, dalla scadenza del termine di sette giorni dalla presentazione della segnalazione. L’azienda deve quindi verificare che il servizio esterno disponga di procedure idonee a rispettare questi termini, anche durante periodi di assenza del professionista incaricato o in presenza di più segnalazioni contemporanee.

Il rispetto delle scadenze non esaurisce la corretta gestione. Dare seguito a una segnalazione significa compiere le verifiche necessarie per valutarne la fondatezza, secondo la natura dei fatti rappresentati e nei limiti delle competenze del gestore. Non è sufficiente inviare una risposta formale priva di un’effettiva attività di esame. Occorre distinguere le comunicazioni che rientrano nell’ambito di applicazione della normativa da quelle estranee al sistema whistleblowing, individuare gli approfondimenti necessari e documentare le attività svolte. Le modalità di intervento dipendono dal contenuto della segnalazione e dalle informazioni concretamente disponibili.

Un problema particolarmente delicato riguarda i rapporti tra il gestore esterno e gli organi aziendali. Il professionista potrebbe avere bisogno di acquisire documenti, richiedere chiarimenti o segnalare la necessità di adottare misure organizzative. Queste attività devono svolgersi senza comunicare informazioni riservate a persone non autorizzate. La procedura dovrebbe individuare preventivamente i referenti ai quali il gestore può rivolgersi e prevedere modalità alternative quando una segnalazione riguarda proprio tali soggetti. Per le situazioni nelle quali sono coinvolti amministratori o dirigenti, abbiamo esaminato le specifiche criticità nell’articolo dedicato a chi deve intervenire quando una segnalazione whistleblowing riguarda il management.

La tutela della riservatezza costituisce un ulteriore criterio di valutazione dell’outsourcing. L’art. 12 del D.Lgs. 24/2023 disciplina la protezione dell’identità del segnalante e degli altri elementi dai quali essa possa essere ricavata, direttamente o indirettamente. Il gestore esterno deve quindi operare attraverso sistemi di accesso controllato, limitando la conoscenza delle informazioni ai soggetti legittimati. La trasmissione indiscriminata delle segnalazioni alla direzione aziendale, anche quando prevista da prassi organizzative precedenti, potrebbe risultare incompatibile con tali obblighi.

Particolare attenzione richiede la conservazione della documentazione. L’art. 14 del D.Lgs. 24/2023 stabilisce che le segnalazioni e la relativa documentazione siano conservate per il tempo necessario al loro trattamento e comunque non oltre cinque anni dalla comunicazione dell’esito finale della procedura, nel rispetto degli obblighi di riservatezza e della disciplina sulla protezione dei dati personali. Il contratto con il gestore esterno deve consentire all’azienda di verificare come vengono custoditi i documenti, chi può consultarli e quali operazioni devono essere effettuate alla scadenza dei termini di conservazione.

Quando l’impresa ha adottato un Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001, è necessario coordinare la gestione esterna del whistleblowing con le funzioni dell’Organismo di Vigilanza. Il gestore delle segnalazioni e l’OdV possono essere soggetti distinti, con competenze e responsabilità differenti. Le procedure devono stabilire quali informazioni possano essere trasmesse all’Organismo di Vigilanza, con quali modalità e nel rispetto delle garanzie di riservatezza. L’eventuale coinvolgimento dell’OdV nella gestione del canale richiede una valutazione dei requisiti di autonomia, delle competenze disponibili e dei possibili conflitti di interesse.

La gestione esternalizzata deve essere verificabile anche sotto il profilo dell’effettiva esecuzione delle prestazioni. L’azienda può prevedere controlli periodici sul funzionamento del servizio, sulla formazione del personale incaricato, sull’aggiornamento delle procedure e sul rispetto dei termini, senza pretendere di conoscere indiscriminatamente l’identità dei segnalanti o il contenuto riservato delle comunicazioni. Il controllo organizzativo deve essere compatibile con l’autonomia del gestore e con le garanzie previste dalla normativa.

In caso di irregolarità, l’art. 21 del D.Lgs. 24/2023 attribuisce all’ANAC poteri sanzionatori in relazione alle violazioni previste dalla disposizione, comprese determinate carenze nell’istituzione dei canali e nell’adozione delle procedure, nonché l’omessa attività di verifica e analisi delle segnalazioni ricevute. La responsabilità deve essere accertata in relazione alla specifica condotta contestata. La presenza di un contratto di outsourcing non costituisce, di per sé, una prova sufficiente della conformità del sistema e non esclude automaticamente possibili conseguenze per i soggetti responsabili delle violazioni.

Per questo motivo, quando valutiamo un servizio whistleblowing esterno, consideriamo anche la capacità del professionista di documentare le attività svolte, segnalare tempestivamente eventuali criticità organizzative e collaborare con l’impresa nella revisione delle procedure. La continuità dell’assistenza assume particolare rilievo quando cambiano i referenti aziendali, vengono modificati i processi interni oppure emergono segnalazioni che richiedono approfondimenti giuridici specialistici.

Un esempio pratico: esternalizzare il whistleblowing in una società con una struttura amministrativa ridotta

Consideriamo il caso ipotetico di una società con circa ottanta dipendenti, nella quale la gestione del canale whistleblowing sia stata inizialmente affidata al responsabile amministrativo. La persona incaricata possiede una buona conoscenza dell’organizzazione, ma collabora direttamente con gli amministratori e partecipa ad alcune decisioni gestionali. La società si rende conto che eventuali segnalazioni relative alla direzione o alle procedure amministrative potrebbero determinare situazioni di conflitto di interessi e decide di valutare l’affidamento del servizio a un professionista esterno.

Prima di procedere, vengono esaminati l’assetto organizzativo, la procedura esistente, le modalità di accesso al canale e le competenze richieste al futuro gestore. L’intervento comprende la definizione dell’incarico esterno, l’individuazione dei referenti autorizzati, la disciplina dei rapporti con gli organi societari e l’aggiornamento delle istruzioni relative alla riservatezza. Particolare attenzione viene riservata alle modalità da seguire qualora una segnalazione riguardi un amministratore o una persona normalmente coinvolta nelle comunicazioni con il gestore.

La società mantiene la responsabilità delle decisioni organizzative di propria competenza, mentre il professionista esterno assume la gestione delle segnalazioni secondo le attribuzioni concordate. L’esempio mostra come la convenienza dell’esternalizzazione possa dipendere soprattutto dalla necessità di separare la gestione delle comunicazioni riservate dalle ordinarie relazioni gerarchiche, senza dover necessariamente sostituire l’intera infrastruttura tecnologica già utilizzata dall’impresa.

Domande frequenti sull’esternalizzazione della gestione del whistleblowing

Un’azienda può esternalizzare completamente la gestione delle segnalazioni whistleblowing?

Sì. L’art. 4 del D.Lgs. 24/2023 consente di affidare la gestione del canale interno a un soggetto esterno autonomo e dotato di personale specificamente formato. L’incarico può comprendere la ricezione delle segnalazioni, le interlocuzioni con il segnalante, le verifiche necessarie e il riscontro previsto dalla normativa. Rimangono però in capo all’organizzazione gli obblighi di propria competenza, compresa l’istituzione di un sistema conforme e l’adozione delle eventuali misure aziendali conseguenti agli accertamenti.

È possibile affidare a un professionista esterno soltanto la gestione delle segnalazioni, mantenendo la piattaforma aziendale?

Sì, purché la piattaforma consenta al soggetto incaricato di operare nel rispetto delle garanzie di riservatezza e delle modalità previste dalla normativa. Non è necessariamente richiesto sostituire il software già utilizzato. Occorre però verificare le autorizzazioni di accesso, le misure di sicurezza, i rapporti con il fornitore tecnologico e le modalità attraverso le quali il gestore può ricevere e trattare le comunicazioni senza interferenze da parte di soggetti non autorizzati.

Il gestore esterno può essere lo stesso professionista che assiste abitualmente l’azienda?

La presenza di un precedente rapporto professionale non determina automaticamente l’impossibilità di assumere l’incarico. È però necessario verificare concretamente l’autonomia del soggetto, le attività già svolte e l’eventuale presenza di conflitti di interesse. Se il professionista ha partecipato direttamente a decisioni o operazioni che potrebbero essere oggetto di segnalazione, la sua posizione richiede particolare attenzione. La scelta deve consentire una gestione imparziale anche quando le comunicazioni riguardano amministratori o dirigenti.

Chi risponde se il gestore esterno non rispetta i termini previsti per le segnalazioni?

La responsabilità dipende dalla violazione concretamente verificatasi, dalle attribuzioni del soggetto incaricato e dagli obblighi che la normativa pone a carico dei diversi soggetti coinvolti. Il gestore esterno deve eseguire correttamente le attività affidate, mentre l’impresa deve assicurare un’organizzazione adeguata del sistema. L’esternalizzazione non esclude automaticamente possibili contestazioni nei confronti dell’azienda. Per questo motivo è opportuno disciplinare contrattualmente le prestazioni, i tempi di intervento e le modalità di verifica del servizio.

Quando è opportuno passare dalla gestione interna del whistleblowing a quella esterna?

Il passaggio merita una valutazione quando emergono conflitti di interesse, manca personale adeguatamente formato, il gestore interno non dispone di sufficiente autonomia oppure l’organizzazione incontra difficoltà nel garantire continuità e riservatezza. La decisione può essere opportuna anche prima che si verifichino problemi concreti, nell’ambito di una revisione delle procedure aziendali. Occorre però organizzare correttamente il subentro, soprattutto se esistono segnalazioni ancora in corso, evitando interruzioni del servizio o accessi non autorizzati alla documentazione.

Richiedere una valutazione legale per esternalizzare la gestione del whistleblowing

La scelta di affidare la gestione delle segnalazioni whistleblowing a un professionista esterno richiede una valutazione dell’organizzazione aziendale, delle competenze disponibili, dei possibili conflitti di interesse e delle procedure già adottate. Un servizio esternalizzato deve essere strutturato in modo coerente con gli obblighi del D.Lgs. 24/2023, con le garanzie di riservatezza e con gli eventuali rapporti tra gestore delle segnalazioni e Organismo di Vigilanza.

Lo Studio Legale Calvello dell’Avvocato Claudio Calvello assiste le imprese nella valutazione delle soluzioni organizzative per il whistleblowing, nell’affidamento esterno della gestione delle segnalazioni e nella verifica delle procedure applicabili. Esaminiamo le caratteristiche della società e le esigenze concrete per individuare le attività che possono essere affidate all’esterno e le condizioni da disciplinare nell’incarico professionale.

Se la vostra azienda sta valutando l’esternalizzazione del whistleblowing, intende sostituire il gestore attuale oppure necessita di verificare l’adeguatezza del sistema esistente, potete richiedere una valutazione per la gestione esterna delle segnalazioni whistleblowing attraverso il modulo dedicato. Esamineremo la richiesta per valutare le possibili modalità di assistenza in relazione alla situazione rappresentata.