Articolo a cura di: Redazione - Studio Legale Calvello

Affidare la gestione delle segnalazioni whistleblowing a un soggetto esterno è una scelta organizzativa che richiede attenzione alle competenze del professionista, alla sua autonomia e alla riservatezza delle informazioni trattate. Per un’azienda, individuare il gestore non significa semplicemente indicare chi riceverà le comunicazioni dei dipendenti: occorre stabilire chi valuterà le segnalazioni, come saranno svolte le verifiche e quali informazioni potranno essere trasmesse agli organi societari. Il D.Lgs. 24/2023 consente di affidare il canale interno a un soggetto esterno, purché autonomo e dotato di personale specificamente formato. La scelta diventa particolarmente delicata quando le segnalazioni possono riguardare amministratori, dirigenti o persone già coinvolte nel sistema dei controlli aziendali. In queste situazioni, una valutazione legale preventiva dell’incarico può evitare incompatibilità e carenze procedurali difficili da correggere dopo la ricezione di una segnalazione.

Chi può essere nominato gestore esterno delle segnalazioni whistleblowing

L’art. 4 del D.Lgs. 24/2023 stabilisce che la gestione del canale interno di segnalazione sia affidata a una persona o a un ufficio interno autonomo, dedicato e con personale specificamente formato, oppure a un soggetto esterno, anch’esso autonomo e dotato di personale specificamente formato. La normativa non riserva questo incarico a una particolare categoria professionale. Un’azienda può quindi valutare l’affidamento a un avvocato, a uno studio professionale o a un’organizzazione esterna che disponga delle competenze e delle condizioni organizzative necessarie.

Il requisito dell’autonomia deve essere verificato concretamente. Il gestore deve poter ricevere le segnalazioni, esaminarle e svolgere il seguito previsto dalla legge senza subire interferenze da parte delle persone eventualmente coinvolte nei fatti segnalati. L’affidamento a un soggetto esterno non assicura automaticamente questa condizione: un consulente che intrattiene altri rapporti professionali con l’impresa potrebbe trovarsi in una situazione di conflitto di interessi, da valutare prima della nomina e anche durante l’esecuzione dell’incarico.

La scelta di un avvocato quale gestore esterno whistleblowing può risultare appropriata quando l’impresa ritiene necessario disporre di competenze giuridiche per qualificare le violazioni segnalate, valutare le implicazioni lavoristiche o societarie e coordinare eventuali approfondimenti con gli organi competenti. L’incarico richiede comunque una specifica organizzazione del servizio: la sola qualifica professionale non sostituisce la formazione prevista dalla disciplina né la predisposizione di modalità operative idonee a tutelare la riservatezza.

Occorre distinguere il gestore delle segnalazioni dal fornitore della piattaforma informatica. Una società può acquistare un software whistleblowing che consente di trasmettere comunicazioni riservate, ma deve comunque individuare il soggetto incaricato di riceverle e darvi seguito. Il fornitore tecnologico e il gestore possono coincidere soltanto quando l’organizzazione del servizio e i rispettivi requisiti lo consentano. La disponibilità di una piattaforma, da sola, non dimostra che la gestione del canale sia conforme alla normativa.

Un’altra questione riguarda il possibile affidamento all’Organismo di Vigilanza previsto dal D.Lgs. 231/2001. Tale soluzione può essere valutata in relazione alla composizione dell’OdV, alle sue competenze, all’effettiva autonomia e all’assenza di conflitti di interesse. Non esiste però un’identità necessaria tra Organismo di Vigilanza e gestore whistleblowing. Le due funzioni possono essere attribuite a soggetti differenti, disciplinando i flussi informativi necessari senza compromettere la riservatezza delle segnalazioni. Per approfondire i criteri generali di individuazione del soggetto incaricato, rinviamo anche a chi può gestire le segnalazioni whistleblowing in azienda.

Come scegliere il professionista esterno e definire correttamente l’incarico

Prima di nominare un gestore esterno whistleblowing, l’impresa dovrebbe esaminare la propria struttura organizzativa, il numero e la distribuzione delle sedi, l’eventuale presenza di un Modello 231 e le funzioni già coinvolte nei controlli interni. La valutazione serve soprattutto a individuare le situazioni nelle quali una segnalazione potrebbe coinvolgere persone che normalmente partecipano alle decisioni aziendali. Se, ad esempio, il professionista incaricato assiste stabilmente un amministratore in questioni personali o professionali, occorre verificare se tale rapporto possa compromettere la gestione imparziale di una segnalazione che lo riguardi.

La verifica deve riguardare anche le capacità operative. Il gestore è tenuto a rilasciare l’avviso di ricevimento entro sette giorni dalla presentazione della segnalazione, a mantenere le interlocuzioni con il segnalante, a dare diligente seguito alle comunicazioni ricevute e a fornire riscontro nei termini stabiliti dall’art. 5 del D.Lgs. 24/2023. L’organizzazione del servizio deve quindi prevedere un presidio effettivo del canale, modalità di accesso riservate, criteri di valutazione delle segnalazioni e procedure per affrontare eventuali assenze o conflitti di interesse.

Nel contratto di affidamento è opportuno precisare quali attività siano comprese nella gestione esterna. La semplice ricezione delle comunicazioni non equivale necessariamente allo svolgimento di un’istruttoria completa. L’incarico dovrebbe disciplinare la valutazione preliminare delle segnalazioni, le interlocuzioni con il segnalante, le eventuali verifiche documentali, il coinvolgimento di altri professionisti quando necessario e le modalità di trasmissione degli esiti agli organi aziendali competenti. Deve essere chiaro chi può autorizzare attività ulteriori e come vengono gestite le situazioni che richiedono un intervento tempestivo.

Particolare attenzione richiede il trattamento dei dati personali. Le segnalazioni possono contenere informazioni su dipendenti, amministratori, collaboratori e soggetti terzi, anche di natura particolarmente delicata. Il D.Lgs. 24/2023, all’art. 13, disciplina i rapporti con il GDPR e prevede che i soggetti esterni che trattano dati personali per conto del titolare siano designati responsabili del trattamento ai sensi dell’art. 28 del Regolamento (UE) 2016/679. Occorre quindi definire istruzioni documentate, misure di sicurezza, limiti di accesso, modalità di conservazione e gestione della documentazione. La qualificazione privacy del rapporto deve corrispondere alle attività effettivamente affidate.

La procedura aziendale deve inoltre indicare come vengono gestite le segnalazioni che riguardano il gestore stesso o soggetti con i quali questi abbia rapporti tali da comprometterne l’imparzialità. La previsione di un percorso alternativo, definito prima che si presenti il problema, permette di evitare che una comunicazione rimanga priva di un destinatario idoneo. Le medesime cautele sono necessarie quando l’azienda decide di sostituire un precedente gestore: il passaggio delle attività e della documentazione deve rispettare la riservatezza delle persone coinvolte e assicurare continuità nella gestione delle segnalazioni pendenti.

La scelta del soggetto esterno va infine coordinata con la procedura whistleblowing già adottata. Quando l’impresa dispone di un canale interno e intende soltanto affidarne la gestione a un professionista, non è sempre necessario sostituire l’intera infrastruttura tecnologica. Può essere sufficiente rivedere gli incarichi, le autorizzazioni di accesso, le informazioni rese ai potenziali segnalanti e le procedure operative. Diverso è il caso di un sistema che presenti carenze strutturali, per il quale può rendersi necessaria una riorganizzazione più ampia. Su questa distinzione si collega anche la valutazione relativa a quando conviene esternalizzare la gestione del whistleblowing.

Obblighi, responsabilità e rischi nell’affidamento esterno del whistleblowing

La nomina di un gestore esterno non trasferisce automaticamente al professionista tutte le responsabilità dell’impresa. Il D.Lgs. 24/2023 attribuisce ai soggetti obbligati il compito di istituire canali interni conformi alla normativa, mentre al gestore competono le attività di ricezione e seguito delle segnalazioni. Questa distinzione assume rilievo quando il sistema presenta carenze organizzative, il professionista non dispone di adeguata autonomia oppure le comunicazioni ricevute non vengono trattate nei termini previsti. L’azienda deve poter dimostrare di avere individuato un soggetto idoneo e di avergli assicurato le condizioni necessarie per svolgere l’incarico.

Le responsabilità devono essere considerate anche alla luce dell’art. 21 del D.Lgs. 24/2023, che prevede sanzioni amministrative pecuniarie applicate dall’ANAC in presenza delle violazioni indicate dalla disposizione. Tra le condotte sanzionabili rientrano la mancata istituzione dei canali di segnalazione, l’assenza di procedure per effettuare e gestire le segnalazioni, l’adozione di procedure non conformi alla normativa e la mancata verifica e analisi delle segnalazioni ricevute. Per tali violazioni, nei casi previsti dall’art. 21, la sanzione amministrativa pecuniaria è compresa tra 10.000 e 50.000 euro. Non ogni irregolarità comporta automaticamente una sanzione: occorre verificare la condotta contestata, il soggetto responsabile e i presupposti applicabili.

Un rischio particolarmente delicato riguarda la riservatezza dell’identità del segnalante. L’art. 12 del D.Lgs. 24/2023 stabilisce specifiche garanzie per impedire che l’identità della persona segnalante e le informazioni dalle quali possa essere ricavata siano divulgate a soggetti non autorizzati, salvo i casi consentiti dalla legge. Il gestore esterno deve quindi operare attraverso strumenti e procedure che limitino l’accesso alle comunicazioni. La trasmissione indiscriminata delle segnalazioni all’amministratore, al responsabile HR o all’Organismo di Vigilanza potrebbe compromettere queste garanzie, anche quando venga effettuata con l’intenzione di informare tempestivamente l’azienda.

La disciplina della riservatezza deve essere coordinata con quella relativa alla protezione dei dati personali. Le informazioni manifestamente non utili al trattamento di una specifica segnalazione non devono essere raccolte oppure, se raccolte accidentalmente, devono essere cancellate immediatamente. La documentazione deve essere conservata per il tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni dalla comunicazione dell’esito finale della procedura, nel rispetto dell’art. 14 del D.Lgs. 24/2023. Nell’affidamento esterno occorre quindi stabilire chi custodisce i documenti, quali soggetti possono consultarli e come vengono gestiti la restituzione o la cancellazione dei dati alla cessazione dell’incarico.

La gestione diventa più complessa quando una segnalazione riguarda possibili reati aziendali o violazioni del Modello organizzativo 231. In queste circostanze il gestore deve valutare le informazioni ricevute nell’ambito delle proprie competenze e attivare, secondo la procedura adottata, gli opportuni flussi verso i soggetti aziendali competenti. Il coordinamento con l’Organismo di Vigilanza non autorizza una comunicazione generalizzata dell’identità del segnalante o dei documenti riservati. Occorre individuare quali informazioni siano necessarie per l’esercizio delle rispettive funzioni e con quali modalità possano essere trasmesse.

Una questione ulteriore si presenta quando la segnalazione riguarda proprio il vertice aziendale oppure un soggetto che partecipa abitualmente alla gestione del canale. In queste situazioni, la presenza di un professionista esterno indipendente può ridurre il rischio di interferenze, ma deve essere accompagnata da una procedura che individui preventivamente i destinatari delle comunicazioni e le modalità di gestione dei conflitti di interesse. Il problema assume caratteristiche specifiche quando la segnalazione whistleblowing riguarda il management aziendale, perché le ordinarie linee gerarchiche potrebbero non essere utilizzabili senza compromettere l’imparzialità delle verifiche.

Per le imprese che hanno già affidato il servizio a un consulente, è opportuno verificare periodicamente se l’incarico corrisponda ancora alla struttura aziendale e alla procedura adottata. Cambiamenti nell’assetto societario, nuovi incarichi professionali assunti dal gestore, modifiche degli organi amministrativi o criticità emerse nella gestione delle segnalazioni possono rendere necessaria una revisione del rapporto. L’intervento deve riguardare le condizioni effettive di funzionamento del canale, evitando che la nomina rimanga un adempimento meramente formale.

Esempio pratico: affidamento delle segnalazioni a un professionista esterno indipendente

Si consideri il caso ipotetico di una società di servizi con circa 120 dipendenti, dotata di un canale whistleblowing informatico e di un Modello organizzativo 231. La gestione delle segnalazioni è inizialmente affidata a un responsabile interno che svolge anche funzioni nell’area delle risorse umane. Durante una verifica organizzativa emerge che tale responsabile potrebbe trovarsi a esaminare comunicazioni riguardanti decisioni alle quali ha personalmente partecipato, con possibili problemi di imparzialità e riservatezza.

In una situazione di questo tipo, l’intervento professionale può consistere nell’esaminare la procedura esistente, verificare le condizioni di autonomia del gestore e valutare l’affidamento dell’incarico a un soggetto esterno. Particolare attenzione deve essere riservata alla definizione dei rapporti con l’Organismo di Vigilanza, alla disciplina degli accessi alla piattaforma e alla gestione delle segnalazioni eventualmente già pendenti. La società può mantenere il proprio canale informatico, se adeguato, modificando gli incarichi e le procedure necessarie per attribuire la gestione a un professionista indipendente.

Il caso illustra come la scelta del gestore esterno possa richiedere una revisione mirata dell’organizzazione aziendale, senza comportare necessariamente la sostituzione dell’intero sistema whistleblowing. Le attività concretamente necessarie dipendono dalle caratteristiche dell’impresa, dagli strumenti già utilizzati e dalle eventuali criticità riscontrate.

FAQ: domande frequenti sulla scelta del gestore esterno whistleblowing

Un’azienda può affidare la gestione delle segnalazioni whistleblowing a un avvocato esterno?

Sì. L’art. 4 del D.Lgs. 24/2023 consente di affidare la gestione del canale interno a un soggetto esterno autonomo e dotato di personale specificamente formato. Un avvocato può assumere l’incarico quando dispone delle competenze necessarie e non sussistono conflitti di interesse incompatibili con la funzione. È opportuno definire contrattualmente le attività affidate, le modalità di gestione delle segnalazioni e gli obblighi di riservatezza.

Il gestore esterno può coincidere con il DPO o con un componente dell’Organismo di Vigilanza?

La coincidenza degli incarichi non è vietata in termini generali, ma richiede una valutazione concreta. Occorre verificare l’autonomia del professionista, le competenze necessarie e l’assenza di conflitti di interesse. Per il DPO devono essere rispettate anche le condizioni previste dall’art. 38 del GDPR. Nel caso dell’Organismo di Vigilanza, bisogna considerare la composizione dell’organo, le funzioni già esercitate e i rapporti con gli amministratori. L’attribuzione di più incarichi alla stessa persona non può essere considerata automaticamente conforme.

È possibile nominare un gestore esterno mantenendo la piattaforma whistleblowing già utilizzata?

Sì, quando la piattaforma esistente presenta caratteristiche tecniche e organizzative adeguate. L’azienda deve verificare che il nuovo gestore possa accedere alle segnalazioni in condizioni di riservatezza, che siano aggiornate le autorizzazioni e che il passaggio di consegne non comprometta la gestione delle comunicazioni pendenti. La sostituzione del professionista incaricato non comporta necessariamente l’acquisto di un nuovo software.

Chi risponde se il gestore esterno non esamina una segnalazione o viola la riservatezza?

Le responsabilità dipendono dalla violazione concretamente verificatasi, dai soggetti coinvolti e dagli obblighi loro applicabili. L’affidamento esterno non elimina gli obblighi organizzativi dell’azienda previsti dal D.Lgs. 24/2023. Il gestore può rispondere delle proprie condotte secondo la disciplina applicabile e il rapporto contrattuale. In presenza di una contestazione occorre distinguere le carenze del sistema aziendale dagli inadempimenti del professionista, verificando anche gli eventuali profili relativi alla protezione dei dati personali.

Come si può sostituire un gestore whistleblowing che non offre sufficienti garanzie di indipendenza?

L’impresa dovrebbe anzitutto verificare le condizioni dell’incarico in essere e le criticità riscontrate. La sostituzione richiede l’individuazione di un nuovo soggetto idoneo, l’aggiornamento della procedura e delle informazioni sul canale interno, la revisione degli accessi e una gestione riservata della documentazione. Particolare attenzione va riservata alle segnalazioni già ricevute, per evitare interruzioni nelle attività istruttorie e nel rispetto dei termini previsti dalla normativa.

Gestore esterno whistleblowing: richiedere una valutazione legale per la propria azienda

La scelta del gestore esterno delle segnalazioni whistleblowing richiede una verifica delle caratteristiche dell’impresa, delle funzioni già coinvolte nei controlli interni e delle condizioni di autonomia del professionista incaricato. Un affidamento non adeguatamente organizzato può creare difficoltà nella gestione delle segnalazioni, nella tutela della riservatezza e nell’individuazione delle responsabilità, soprattutto quando vengono coinvolti amministratori, dirigenti o componenti degli organi di controllo.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza nell’assistenza giuridica, può esaminare le esigenze dell’impresa in relazione alla scelta del gestore esterno, alla definizione dell’incarico professionale, alla verifica delle procedure e al coordinamento con il GDPR e l’eventuale Modello organizzativo 231. La valutazione può riguardare anche la sostituzione di un gestore già nominato o la presenza di criticità nell’organizzazione del servizio.

Se la vostra azienda deve affidare a un professionista esterno la gestione delle segnalazioni whistleblowing, oppure intende verificare l’adeguatezza dell’incarico esistente, potete richiedere una valutazione legale attraverso il modulo dedicato al whistleblowing aziendale. Esamineremo la richiesta per individuare gli aspetti giuridici e organizzativi che richiedono approfondimento e le possibili modalità di assistenza.