Articolo a cura di: Redazione - Studio Legale Calvello

Quando un’azienda riceve una segnalazione attraverso il proprio canale interno di whistleblowing, la gestione non può essere lasciata a tempi indefiniti. Il D.Lgs. 24/2023 stabilisce termini precisi per alcuni passaggi e impone al gestore di dare un diligente seguito alla segnalazione. Per l’impresa, quindi, il problema non consiste soltanto nel capire se i fatti segnalati siano fondati: occorre anche organizzare correttamente la presa in carico, le interlocuzioni con il segnalante, gli eventuali approfondimenti e il riscontro, preservando nel frattempo la riservatezza delle persone coinvolte.

I due riferimenti temporali da conoscere sono immediati: sette giorni per l’avviso di ricevimento e tre mesi per il riscontro alla segnalazione. Questi termini, però, non significano che l’intera indagine interna debba necessariamente essere conclusa entro tre mesi. È proprio la distinzione tra avviso di ricevimento, diligente seguito, istruttoria e riscontro a creare alcuni dei problemi operativi più frequenti, soprattutto quando la segnalazione è complessa o richiede verifiche che coinvolgono più funzioni aziendali.

Sette giorni e tre mesi: quali sono le tempistiche per gestire una segnalazione whistleblowing

L’art. 5 del D.Lgs. 24/2023 disciplina le attività che devono essere svolte dalla persona, dall’ufficio interno o dal soggetto esterno cui è affidata la gestione del canale di segnalazione interna. Il primo termine riguarda l’avviso di ricevimento: il gestore deve rilasciarlo alla persona segnalante entro sette giorni dalla data di ricezione della segnalazione. Non si tratta ancora di una valutazione sulla fondatezza dei fatti né dell’esito dell’istruttoria. L’avviso serve a confermare che la segnalazione è stata ricevuta e presa in carico attraverso il sistema predisposto dall’organizzazione.

Da quel momento la gestione entra nella fase sostanziale. Il gestore deve mantenere le interlocuzioni con il segnalante e, quando necessario, può chiedere chiarimenti o integrazioni. Deve soprattutto assicurare il cosiddetto “diligente seguito”, espressione che non coincide con una semplice registrazione della segnalazione: occorre valutare il contenuto ricevuto e attivare gli approfondimenti concretamente necessari, nel rispetto delle competenze del gestore e dell’assetto organizzativo dell’ente.

Il secondo termine riguarda il riscontro. Il D.Lgs. 24/2023 prevede che questo sia fornito entro tre mesi dalla data dell’avviso di ricevimento. Se l’avviso non è stato inviato, il termine decorre invece dalla scadenza dei sette giorni successivi alla presentazione della segnalazione. Per un’azienda che riceve numerose segnalazioni, o che deve affrontare un caso particolarmente articolato, è quindi opportuno disporre di un sistema che consenta di registrare con precisione la data di ricezione, quella dell’avviso e le successive attività compiute.

Le tempistiche non dovrebbero essere considerate come scadenze da affrontare soltanto negli ultimi giorni disponibili. Una segnalazione può richiedere l’acquisizione di documenti, l’analisi di comunicazioni o dati aziendali, interlocuzioni con il segnalante e verifiche presso le funzioni interessate. In alcune situazioni possono emergere anche profili lavoristici, societari, penali, di protezione dei dati personali o relativi al modello organizzativo 231. Per questo la procedura interna dovrebbe stabilire fin dall’inizio chi compie le diverse attività e come vengono documentati i passaggi, senza ampliare inutilmente il numero delle persone che vengono a conoscenza dell’identità del segnalante o del contenuto della segnalazione.

Per l’organizzazione complessiva del sistema abbiamo approfondito questi aspetti nella nostra guida al whistleblowing in azienda e alla gestione delle segnalazioni. Quando, invece, il problema nasce dalla ricezione di un caso concreto, è utile distinguere le scadenze previste dalla legge dalle attività che devono essere avviate immediatamente, come spieghiamo nell’approfondimento dedicato a cosa fare subito dopo aver ricevuto una segnalazione whistleblowing.

Il termine di tre mesi non coincide necessariamente con la conclusione dell’indagine interna

Uno degli errori interpretativi più rilevanti consiste nel considerare i tre mesi come un termine entro il quale ogni verifica debba necessariamente essere terminata e la segnalazione definitivamente chiusa. La disciplina parla invece di termine per fornire riscontro alla persona segnalante. La distinzione è importante perché la complessità dell’istruttoria può rendere impossibile, e talvolta inopportuno, arrivare a un esito definitivo entro quel momento.

Le indicazioni ANAC sulla gestione dei canali interni chiariscono il significato operativo del riscontro. Se l’istruttoria è conclusa, il gestore può comunicare l’archiviazione della segnalazione oppure l’avvenuto accertamento della sua fondatezza e la trasmissione agli organi o alle funzioni competenti per i successivi provvedimenti. Se le verifiche non sono ancora terminate, il riscontro può invece avere carattere interlocutorio, dando conto delle attività intraprese e di quelle che si intendono proseguire. In questo caso, una volta completata l’istruttoria, deve essere comunicato al segnalante anche l’esito finale, secondo quanto previsto dalle indicazioni applicabili alla gestione del canale.

Questo significa che il termine dei tre mesi non autorizza il gestore ad accelerare artificialmente un’indagine complessa pur di dichiararla conclusa. Allo stesso tempo, non consente di lasciare la segnalazione priva di seguito fino alla scadenza. La gestione deve poter documentare una sequenza coerente di attività: esame iniziale, eventuali richieste di integrazione, verifiche necessarie, interlocuzioni e decisioni sulla prosecuzione dell’istruttoria. In presenza di fatti delicati, la qualità dell’accertamento deve essere conciliata con il rispetto delle tempistiche previste dalla disciplina.

La questione diventa particolarmente delicata quando l’accertamento richiede l’intervento di soggetti diversi dal gestore. Quest’ultimo cura la gestione della segnalazione nell’ambito delle proprie attribuzioni, ma può essere necessario coinvolgere funzioni o organi competenti per specifiche verifiche, adottando cautele che impediscano una circolazione indiscriminata delle informazioni. La necessità di approfondire i fatti non fa venir meno gli obblighi di riservatezza previsti dal D.Lgs. 24/2023 né quelli derivanti dalla disciplina sulla protezione dei dati personali.

La gestione delle scadenze deve quindi essere progettata insieme alla procedura, non aggiunta successivamente come semplice calendario. Occorre stabilire chi controlla i termini, come vengono registrate le attività, quando deve essere sollecitato un approfondimento, quali informazioni possono essere comunicate al segnalante e come procedere quando l’istruttoria prosegue oltre il primo riscontro. Questo diventa ancora più importante nelle organizzazioni che ricevono più segnalazioni whistleblowing contemporaneamente, perché la sovrapposizione delle istruttorie aumenta il rischio di ritardi, errori nella gestione documentale e accessi non correttamente delimitati.

Ritardi, mancato riscontro e gestione delle scadenze: quali rischi corre l’azienda

Il rispetto dei termini previsti dal D.Lgs. 24/2023 non dipende soltanto dal comportamento materiale del gestore nel momento in cui arriva una segnalazione. L’azienda deve avere predisposto un sistema che renda concretamente possibile rispettare le scadenze. Se il canale viene controllato in modo discontinuo, non è chiaro chi debba sostituire il gestore in caso di assenza oppure manca un sistema per registrare ricezione, avviso, interlocuzioni e riscontro, anche una procedura formalmente corretta può diventare difficile da applicare quando arriva un caso reale.

Il D.Lgs. 24/2023 attribuisce ad ANAC poteri sanzionatori anche quando viene accertato che non è stata svolta l’attività di verifica e analisi delle segnalazioni ricevute. La disciplina prevede inoltre sanzioni amministrative pecuniarie, ricorrendone i presupposti, quando non sono stati istituiti i canali di segnalazione, non sono state adottate procedure per effettuare e gestire le segnalazioni oppure tali procedure non sono conformi alla normativa. Il singolo ritardo deve quindi essere valutato nel suo contesto: non è corretto affermare che ogni superamento di una scadenza determini automaticamente una sanzione, ma una gestione sistematicamente tardiva o sostanzialmente inattiva può rivelare un problema più ampio nell’organizzazione del canale.

Se l’azienda si accorge di avere superato il termine dei sette giorni per l’avviso di ricevimento o quello previsto per il riscontro, il problema non dovrebbe essere affrontato cercando di ricostruire formalmente una tempestività che non c’è stata. Occorre verificare che cosa sia accaduto, documentare correttamente le attività effettivamente compiute e riprendere senza ulteriori ritardi la gestione della segnalazione. Sarà poi necessario comprendere perché la procedura non abbia funzionato: il problema può derivare dalla mancata sorveglianza del canale, dall’assenza del gestore, da responsabilità interne non definite, da notifiche tecniche non correttamente configurate o da un’istruttoria avviata ma non adeguatamente tracciata.

Le tempistiche assumono rilievo anche rispetto alla possibilità per il segnalante di ricorrere al canale esterno. Il D.Lgs. 24/2023 consente infatti la segnalazione esterna ad ANAC al ricorrere delle condizioni stabilite dalla legge, tra le quali rientra anche l’ipotesi in cui sia già stata effettuata una segnalazione interna e questa non abbia avuto seguito. Una gestione interna inefficiente può quindi produrre conseguenze che vanno oltre il semplice ritardo amministrativo e incidere sul percorso successivo della segnalazione.

Per questa ragione noi consigliamo di distinguere sempre il controllo delle scadenze dalla valutazione sostanziale dei fatti. Il primo dovrebbe essere organizzato in modo da rendere immediatamente visibili i termini da rispettare; la seconda richiede invece autonomia, competenza e il tempo necessario per svolgere verifiche proporzionate alla complessità del caso. Quando il numero delle segnalazioni, la struttura dell’impresa o la delicatezza delle vicende rendono difficile assicurare internamente entrambe le attività, può essere valutato l’affidamento della gestione a un soggetto esterno, fermo restando che l’assetto deve essere costruito nel rispetto dei requisiti previsti dalla normativa.

Un caso pratico: segnalazione complessa e istruttoria ancora aperta alla scadenza dei tre mesi

Consideriamo il caso, a titolo esemplificativo e in forma anonimizzata, di una società che riceva attraverso il canale interno una segnalazione relativa a condotte attribuite a un responsabile aziendale. Dopo l’avviso di ricevimento inviato nei termini, dall’esame iniziale emerge la necessità di acquisire documentazione e verificare circostanze che coinvolgono più funzioni interne. L’istruttoria non può essere risolta con una semplice richiesta di chiarimenti e, avvicinandosi la scadenza dei tre mesi, alcuni accertamenti risultano ancora in corso.

In una situazione di questo tipo, il problema non si risolve chiudendo formalmente la segnalazione soltanto per rispettare la scadenza. Occorre verificare le attività già compiute, quelle ancora necessarie e le informazioni che possono essere comunicate senza compromettere la riservatezza o interferire con gli approfondimenti. Il gestore può quindi fornire entro il termine previsto un riscontro interlocutorio sulle attività intraprese e su quelle ancora da svolgere, proseguendo poi l’istruttoria e comunicandone successivamente l’esito finale.

L’aspetto che richiede maggiore attenzione è la continuità documentale dell’intera gestione: dalla data di ricezione della segnalazione alle richieste di integrazione, dalle verifiche effettuate al riscontro trasmesso. Se il caso coinvolge soggetti che normalmente parteciperebbero alla gestione o presenta possibili conflitti di interessi, diventa necessario valutare anche chi possa intervenire senza compromettere autonomia e riservatezza. Per le situazioni nelle quali i fatti segnalati coinvolgono i vertici dell’organizzazione abbiamo dedicato uno specifico approfondimento a chi deve intervenire quando una segnalazione whistleblowing riguarda il management.

Domande frequenti sulle tempistiche delle segnalazioni whistleblowing

Entro quanto tempo bisogna confermare la ricezione di una segnalazione whistleblowing?

Il gestore del canale interno deve rilasciare al segnalante un avviso di ricevimento entro sette giorni dalla data di ricezione della segnalazione. L’avviso non equivale alla valutazione della fondatezza dei fatti e non richiede che l’istruttoria sia già iniziata o conclusa: serve a confermare la ricezione della segnalazione nell’ambito del canale predisposto dall’organizzazione.

Entro tre mesi l’azienda deve avere concluso l’indagine?

Non necessariamente. Il termine previsto dal D.Lgs. 24/2023 riguarda il riscontro da fornire al segnalante. Se entro quel momento l’istruttoria non è conclusa, il riscontro può avere carattere interlocutorio e indicare le attività intraprese e quelle che si intendono proseguire. Al termine degli accertamenti dovrà poi essere comunicato l’esito finale secondo le modalità applicabili alla gestione della segnalazione.

Da quando decorrono i tre mesi se non è stato inviato l’avviso di ricevimento?

Se l’avviso di ricevimento è stato trasmesso, i tre mesi decorrono dalla data dell’avviso. In mancanza dell’avviso, il D.Lgs. 24/2023 individua come riferimento la scadenza del termine di sette giorni dalla presentazione della segnalazione. L’omissione dell’avviso, quindi, non consente di spostare in avanti il termine per fornire il riscontro.

Cosa dovrebbe fare un’azienda che si accorge di avere superato una scadenza?

È opportuno verificare immediatamente lo stato della segnalazione, ricostruire le attività effettivamente compiute e proseguire la gestione senza ulteriori ritardi. Occorre anche individuare la causa del mancato rispetto del termine e valutare se sia necessario modificare la procedura, il sistema di controllo delle scadenze o l’organizzazione del gestore. La situazione concreta deve essere esaminata prima di stabilire quali conseguenze possano derivare dal ritardo.

È possibile affidare a un soggetto esterno la gestione delle segnalazioni e delle relative scadenze?

Sì. Il D.Lgs. 24/2023 consente di affidare la gestione del canale a un soggetto esterno autonomo e con personale specificamente formato. L’esternalizzazione può essere valutata, in particolare, quando l’impresa non dispone internamente di una struttura adeguata a gestire con continuità ricezione, interlocuzioni, istruttoria e scadenze. L’affidamento esterno deve comunque essere organizzato nel rispetto dei requisiti normativi, della riservatezza e della disciplina applicabile al trattamento dei dati personali.

Assistenza nella gestione delle tempistiche e delle segnalazioni whistleblowing

Quando una segnalazione è già stata ricevuta, il rispetto dei sette giorni e dei tre mesi rappresenta soltanto una parte del problema. Occorre valutare che cosa comunicare al segnalante, quali verifiche avviare, chi può partecipare all’istruttoria, come documentare le attività e come procedere quando gli accertamenti non possono essere conclusi entro il termine previsto per il riscontro. Un errore nella gestione delle scadenze può inoltre rendere necessario riesaminare la procedura interna per evitare che la stessa criticità si ripeta nelle segnalazioni successive.

Lo Studio Legale Calvello assiste le imprese nell’organizzazione del canale interno, nella gestione delle segnalazioni e delle relative istruttorie e nella valutazione dell’affidamento della gestione a un soggetto esterno. Se la vostra azienda ha ricevuto una segnalazione, presenta criticità nella gestione delle scadenze oppure intende riorganizzare il sistema esistente, potete richiedere una valutazione in materia di whistleblowing aziendale e gestione esterna delle segnalazioni. Esamineremo la situazione rappresentata per individuare gli obblighi applicabili e le modalità di intervento coerenti con il caso concreto.