Articolo a cura di: Redazione - Studio Legale Calvello

Quando una segnalazione whistleblowing esce dal perimetro aziendale e arriva all’ANAC o all’Autorità giudiziaria, per l’impresa cambia il livello di attenzione richiesto. Non significa automaticamente che sia stata accertata una violazione, né che seguiranno necessariamente una sanzione o un procedimento penale. Significa, però, che fatti nati nel contesto lavorativo possono essere sottoposti alla valutazione di un soggetto esterno, con possibili richieste di informazioni, acquisizione di documenti, attività istruttorie o trasmissione degli atti all’autorità competente.

Per amministratori, direzione, HR e funzioni compliance il problema non consiste soltanto nel comprendere se quanto denunciato sia fondato. Occorre verificare come sia stata gestita la segnalazione interna, quali documenti esistano, chi possa accedervi, quali decisioni siano state adottate e se l’azienda abbia rispettato gli obblighi previsti dal D.Lgs. 24/2023. Una reazione improvvisata può creare problemi ulteriori, soprattutto quando coinvolge il rapporto di lavoro con il segnalante, la riservatezza della sua identità o la conservazione delle evidenze.

Quando una segnalazione whistleblowing può arrivare fuori dall’azienda

Il sistema delineato dal D.Lgs. 24/2023 distingue il canale interno di segnalazione, il canale esterno gestito dall’ANAC, la divulgazione pubblica e la denuncia all’Autorità giudiziaria o contabile. Non si tratta di modalità liberamente intercambiabili: per beneficiare della disciplina prevista per la segnalazione esterna devono ricorrere i presupposti stabiliti dalla legge.

Il canale interno mantiene una funzione centrale perché consente all’organizzazione di conoscere e trattare le violazioni nel contesto in cui si sono verificate. Per questo un’impresa soggetta alla disciplina dovrebbe considerare la gestione del whistleblowing come un processo aziendale effettivo e non come il semplice adempimento consistente nell’attivazione di una piattaforma. Sul punto abbiamo esaminato più estesamente come organizzare e gestire il whistleblowing in azienda.

La segnalazione esterna all’ANAC può essere effettuata nelle condizioni previste dall’art. 6 del D.Lgs. 24/2023. Tra queste rientrano, secondo i presupposti stabiliti dalla norma, l’assenza o la non conformità del canale interno, la segnalazione interna cui non sia stato dato seguito, la presenza di fondati motivi per ritenere che una segnalazione interna non avrebbe efficace seguito oppure potrebbe determinare un rischio di ritorsione, nonché il fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.

Per l’azienda assume quindi particolare rilievo ciò che è avvenuto prima dell’intervento esterno. Se una segnalazione era già arrivata internamente, occorre poter ricostruire la ricezione, l’istruttoria svolta, le interlocuzioni consentite dalla procedura e il seguito dato. I termini e gli adempimenti della gestione interna non dovrebbero essere ricostruiti soltanto quando arriva una richiesta dell’autorità: abbiamo dedicato un approfondimento specifico alle tempistiche nella gestione delle segnalazioni whistleblowing.

Va poi distinta la segnalazione esterna ad ANAC dalla denuncia all’Autorità giudiziaria. Il D.Lgs. 24/2023 contempla espressamente anche la denuncia all’autorità giudiziaria o contabile e lascia ferme le disposizioni di procedura penale. La presenza di un sistema whistleblowing interno, quindi, non impedisce che fatti potenzialmente rilevanti sotto altri profili arrivino alle autorità competenti.

Cosa può accadere dopo che la segnalazione arriva ad ANAC o all’Autorità giudiziaria

Uno degli errori più frequenti è considerare l’arrivo della segnalazione all’esterno come equivalente all’accertamento dell’illecito. Segnalazione, verifica dei fatti e accertamento di una responsabilità sono passaggi diversi. Nel caso del canale esterno, ANAC verifica preliminarmente la procedibilità e l’ammissibilità della segnalazione e può archiviarla quando ricorrono le condizioni previste dalla disciplina applicabile.

Quando la segnalazione è procedibile e ammissibile, il seguito dipende dal suo contenuto e dalle competenze coinvolte. Nell’ambito delle proprie attribuzioni, ANAC può trasmettere la segnalazione e la documentazione agli uffici competenti per materia affinché siano svolte le attività istruttorie previste. Se, invece, emergono illeciti che assumono rilievo penale o erariale, la disciplina adottata dall’Autorità prevede la trasmissione alla competente Autorità giudiziaria. Per l’impresa è quindi sbagliato presumere che ogni segnalazione segua lo stesso percorso.

Anche le conseguenze operative cambiano. L’azienda potrebbe dover ricostruire fatti, rapporti e decisioni, individuare documenti pertinenti e coordinare diverse funzioni interne. In questa fase è opportuno evitare sia una produzione documentale disordinata sia interventi successivi sui documenti che possano rendere meno chiara la cronologia degli eventi. Email, verbali, policy, incarichi, registrazioni consentite dal sistema, documentazione HR e atti dell’istruttoria interna possono assumere rilevanza diversa a seconda dell’oggetto della segnalazione.

Particolare cautela è necessaria nei confronti del segnalante. Il D.Lgs. 24/2023 prevede specifiche misure di protezione e un divieto di ritorsione. Una decisione aziendale riguardante il rapporto con il whistleblower non diventa automaticamente illegittima perché adottata dopo la segnalazione, ma la successione temporale degli eventi e le ragioni della decisione possono assumere notevole importanza. Licenziamenti, sanzioni disciplinari, trasferimenti, modifiche delle mansioni o altri provvedimenti sfavorevoli richiedono quindi una valutazione particolarmente accurata quando riguardano una persona protetta dalla disciplina.

Parallelamente deve essere preservata la riservatezza prevista dalla normativa. La conoscenza della segnalazione non autorizza amministratori, responsabili HR o superiori gerarchici a cercare autonomamente l’identità del segnalante o a diffondere informazioni sulla vicenda. Anche quando l’impresa ritiene l’accusa infondata, la gestione difensiva deve restare separata da qualsiasi comportamento che possa interferire con le tutele riconosciute al whistleblower.

È proprio in questa fase che diventa utile verificare non soltanto il fatto contestato, ma l’intera catena organizzativa: chi gestiva il canale, quali soggetti hanno avuto accesso alla segnalazione, quali attività istruttorie sono state svolte, come sono state documentate e se siano intervenute decisioni nei confronti del segnalante. Quando l’azienda scopre che una segnalazione è arrivata alle autorità, ricostruire tempestivamente questa sequenza consente di affrontare le eventuali richieste esterne partendo da dati e documenti verificabili, anziché da ricostruzioni formulate a posteriori.

Obblighi, rischi e cautele dell’azienda quando interviene un’autorità esterna

Quando l’azienda viene a conoscenza di una segnalazione esterna o riceve una richiesta proveniente dall’ANAC o da un’altra autorità, la prima esigenza è comprendere quale procedimento sia effettivamente in corso, quali fatti siano interessati e quali adempimenti vengano richiesti. Una richiesta di documentazione, un’attività istruttoria, una contestazione relativa alla disciplina whistleblowing e un’indagine dell’Autorità giudiziaria hanno presupposti e conseguenze differenti. Per questo non è corretto trattare qualsiasi comunicazione proveniente dall’esterno come se costituisse già una contestazione definitiva nei confronti dell’impresa.

Dal punto di vista operativo occorre anzitutto preservare la documentazione esistente. Se la vicenda è stata preceduta da una segnalazione interna, devono poter essere ricostruiti il momento della ricezione, il soggetto incaricato della gestione, il seguito dato e le attività compiute. Se, invece, l’azienda apprende per la prima volta dei fatti attraverso l’intervento dell’autorità, può essere necessario individuare rapidamente le funzioni coinvolte e verificare quali documenti aziendali siano pertinenti, evitando iniziative che possano alterare o disperdere le informazioni utili.

Questa verifica può riguardare anche la struttura stessa del sistema whistleblowing. Il D.Lgs. 24/2023 richiede, per i soggetti tenuti all’istituzione del canale interno, modalità idonee a garantire la riservatezza dell’identità del segnalante, della persona coinvolta e delle altre persone menzionate, nonché del contenuto della segnalazione e della relativa documentazione. Diventa quindi rilevante poter dimostrare come il canale sia stato organizzato, chi sia stato incaricato della gestione e quali misure siano state adottate per limitare l’accesso alle informazioni.

Se emergono carenze organizzative, l’azienda dovrebbe valutarle separatamente dalla fondatezza della segnalazione. Una denuncia ritenuta infondata non rende automaticamente corretta una procedura interna inadeguata; allo stesso modo, un problema nella gestione del canale non dimostra di per sé la fondatezza dei fatti denunciati. Sono piani distinti e devono essere esaminati come tali. Quando il problema riguarda il modo in cui l’impresa ha trattato la segnalazione, può essere utile confrontare quanto accaduto con le attività che dovrebbero essere svolte subito dopo la ricezione di una segnalazione whistleblowing.

Un secondo profilo riguarda il rapporto con il segnalante. Il divieto di ritorsione previsto dal D.Lgs. 24/2023 impone particolare attenzione alle decisioni aziendali successive alla segnalazione. Questo non comporta un’immunità generale del lavoratore rispetto a qualsiasi decisione organizzativa o disciplinare, ma rende necessario verificare con precisione le ragioni del provvedimento, la sua documentazione e il rapporto temporale e causale con la segnalazione. Reazioni dettate dall’irritazione per il coinvolgimento dell’autorità, tentativi informali di individuare il whistleblower o pressioni dirette e indirette possono esporre l’impresa a contestazioni ulteriori rispetto ai fatti originariamente segnalati.

Occorre considerare anche il trattamento dei dati personali. Una segnalazione e la relativa istruttoria possono contenere informazioni riguardanti dipendenti, amministratori, clienti, fornitori e terzi, talvolta particolarmente delicate. La necessità di difendere l’azienda o collaborare con un’autorità non consente una circolazione indiscriminata di tali informazioni all’interno dell’organizzazione. Accessi, comunicazioni e conservazione devono essere coerenti con le finalità perseguite e con gli obblighi applicabili, coordinando la disciplina whistleblowing con il GDPR e con le procedure privacy aziendali.

Il D.Lgs. 24/2023 attribuisce inoltre all’ANAC poteri sanzionatori per specifiche violazioni della disciplina, tra cui, nei casi previsti dalla legge, la mancata istituzione dei canali, la mancata adozione delle procedure, la non conformità delle procedure, l’ostacolo alla segnalazione, la violazione dell’obbligo di riservatezza e le condotte ritorsive. La sanzione non è però una conseguenza automatica del fatto che sia stata presentata una segnalazione esterna. Occorre verificare quale condotta venga contestata, quali elementi siano stati acquisiti e quale disciplina sia applicabile al caso concreto.

Per questa ragione, quando arriva una richiesta dell’autorità, intervenire tempestivamente significa soprattutto ricostruire i fatti prima di assumere una posizione: esaminare la procedura whistleblowing, verificare la documentazione disponibile, individuare eventuali criticità e coordinare le funzioni aziendali che devono partecipare alla risposta. L’obiettivo non è predisporre una difesa astratta, ma evitare che decisioni non coordinate rendano più complessa una situazione che deve ancora essere correttamente qualificata.

Un caso pratico: la segnalazione interna non gestita e il successivo intervento esterno

Consideriamo, a titolo esemplificativo e in forma anonimizzata, il caso di una società nella quale un dipendente aveva comunicato fatti relativi alla gestione di alcuni rapporti aziendali. La segnalazione era stata ricevuta internamente, ma la documentazione delle attività successive risultava frammentaria: alcuni approfondimenti erano stati svolti, senza che fosse però immediatamente ricostruibile chi li avesse effettuati, quali verifiche fossero state completate e quale seguito formale fosse stato dato alla segnalazione. Successivamente la questione era stata portata all’esterno e l’azienda aveva dovuto ricostruire quanto accaduto.

Il lavoro non consisteva semplicemente nel valutare se l’accusa iniziale fosse fondata. Era necessario esaminare la procedura whistleblowing, la cronologia delle comunicazioni, i soggetti che avevano avuto accesso alle informazioni e la documentazione relativa alle verifiche già compiute, mantenendo separata l’analisi dei fatti segnalati da quella riguardante la correttezza della gestione interna. Particolare attenzione richiedeva anche il rapporto con il dipendente, perché decisioni aziendali successive alla segnalazione dovevano essere valutate evitando interferenze con la disciplina sulle ritorsioni.

La situazione è stata quindi affrontata ricostruendo documentalmente il percorso della segnalazione, individuando le carenze organizzative emerse e ridefinendo i passaggi interni necessari per la gestione delle informazioni e delle eventuali interlocuzioni esterne. Il caso mostra perché, quando una segnalazione è già arrivata alle autorità, sia rischioso cercare di ricostruire informalmente gli eventi attraverso versioni non coordinate: prima di rispondere è preferibile stabilire con precisione che cosa è accaduto, che cosa risulta dai documenti e quali obblighi gravavano concretamente sull’azienda.

Domande frequenti quando una segnalazione whistleblowing è arrivata alle autorità

Una segnalazione esterna all’ANAC significa che l’azienda ha commesso un illecito?

No. La presentazione di una segnalazione non equivale all’accertamento dei fatti né della responsabilità dell’impresa o delle persone coinvolte. La segnalazione esterna viene sottoposta alle verifiche previste dalla disciplina applicabile e può avere sviluppi differenti in relazione al contenuto, all’ammissibilità e alla competenza dell’Autorità. Per l’azienda è quindi importante non confondere l’esistenza della segnalazione con l’esito dell’eventuale attività istruttoria.

L’azienda può chiedere chi ha effettuato la segnalazione?

La disciplina whistleblowing tutela specificamente la riservatezza dell’identità della persona segnalante, oltre a quella della persona coinvolta e delle persone menzionate nella segnalazione. L’impresa non dovrebbe quindi avviare iniziative informali finalizzate a individuare il whistleblower. La necessità di comprendere e contestare i fatti segnalati deve essere gestita nel rispetto delle regole sulla riservatezza e delle garanzie previste dal D.Lgs. 24/2023.

Cosa deve fare l’azienda se riceve una richiesta di documenti o informazioni?

Occorre innanzitutto identificare l’autorità procedente, l’oggetto della richiesta, i termini indicati e la documentazione effettivamente pertinente. Prima della risposta è opportuno ricostruire cronologicamente i fatti e verificare la coerenza dei documenti disponibili, soprattutto quando la vicenda è stata preceduta da una segnalazione interna. Non è consigliabile modificare retroattivamente procedure o documenti per farli apparire conformi a una situazione diversa da quella realmente esistente al momento dei fatti.

Se la segnalazione è infondata, l’azienda può adottare provvedimenti contro il dipendente?

La sola circostanza che i fatti segnalati non risultino confermati non consente di considerare automaticamente abusiva la segnalazione né di adottare conseguentemente misure sfavorevoli nei confronti del segnalante. Il D.Lgs. 24/2023 disciplina specificamente le condizioni di protezione e il divieto di ritorsione. Eventuali iniziative nei confronti del lavoratore devono quindi essere valutate sulla base dei fatti concretamente accertati e del relativo quadro giuridico, evitando che una decisione aziendale possa essere collegata, direttamente o indirettamente, all’esercizio della segnalazione protetta.

È utile effettuare un audit del sistema whistleblowing dopo l’intervento dell’autorità?

Può essere opportuno quando emergono dubbi sulla conformità del canale, sulla gestione della segnalazione, sulla riservatezza, sulla documentazione dell’istruttoria o sulle responsabilità organizzative. L’audit non deve però servire a ricostruire artificialmente una conformità precedente: deve fotografare ciò che esiste, individuare eventuali carenze e consentire all’azienda di adottare per il futuro le misure necessarie. Nei casi più delicati la verifica dovrebbe coordinare whistleblowing, rapporti di lavoro, protezione dei dati personali e, quando pertinente, Modello 231.

Assistenza all’azienda dopo una segnalazione whistleblowing alle autorità

Quando una segnalazione è già arrivata all’ANAC, all’Autorità giudiziaria o a un’altra autorità competente, intervenire correttamente richiede una valutazione della vicenda concreta. Occorre comprendere quali fatti siano stati segnalati, ricostruire la gestione interna, verificare la documentazione disponibile, preservare la riservatezza e valutare con attenzione eventuali decisioni riguardanti il segnalante o le persone coinvolte.

Noi assistiamo le imprese nella gestione delle segnalazioni whistleblowing e nelle criticità che possono emergere quando la vicenda supera il perimetro aziendale, valutando gli adempimenti richiesti dal D.Lgs. 24/2023 e il coordinamento con gli altri profili giuridici interessati. Quando necessario, l’intervento può comprendere anche la verifica della procedura interna e dell’organizzazione adottata per la gestione delle segnalazioni.

Se la vostra azienda ha ricevuto una segnalazione, ha appreso che la vicenda è stata portata all’esterno oppure ha ricevuto una richiesta collegata a un procedimento whistleblowing, potete richiedere una valutazione sulla gestione del whistleblowing aziendale e delle segnalazioni. Esamineremo la situazione rappresentata per individuare gli aspetti che richiedono un intervento e le modalità con cui affrontarli nel caso concreto.