Articolo a cura di: Redazione - Studio Legale Calvello

Il whistleblowing è obbligatorio per numerose aziende private, ma non esclusivamente per quelle con almeno 50 dipendenti. Il D.Lgs. 24/2023 prevede l’istituzione di un canale interno di segnalazione anche per determinate imprese con un organico inferiore, in particolare quando adottano un Modello organizzativo 231 o operano in specifici settori regolamentati. Per amministratori e responsabili aziendali, il primo problema consiste quindi nello stabilire se l’obbligo sussista effettivamente, considerando dimensioni, attività esercitata e organizzazione societaria.

La mancata istituzione del canale, così come l’adozione di un sistema che non rispetti i requisiti normativi, può esporre l’impresa a contestazioni e sanzioni dell’ANAC. Non basta predisporre un indirizzo email o dichiarare che i dipendenti possono rivolgersi alla direzione: occorre verificare la riservatezza delle comunicazioni, l’autonomia del soggetto incaricato e la concreta possibilità di gestire le segnalazioni secondo la legge. Quando l’applicabilità della disciplina è incerta, una valutazione legale preventiva consente di individuare gli adempimenti effettivamente richiesti ed evitare soluzioni organizzative inadeguate.

Quali aziende private sono obbligate ad attivare un canale whistleblowing

L’articolo 2, comma 1, lettera q), del D.Lgs. 24/2023 individua tre principali categorie di soggetti privati ai quali si applica la disciplina. La distinzione è particolarmente importante perché l’obbligo di whistleblowing non dipende sempre dal raggiungimento della soglia dei 50 lavoratori. Un’impresa di dimensioni contenute può essere soggetta alla normativa, mentre per un’altra occorre verificare la presenza di specifici presupposti prima di affermare che il canale interno sia obbligatorio.

La prima categoria comprende i soggetti privati che hanno impiegato, nell’ultimo anno, una media di almeno 50 lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato. Il parametro previsto dalla legge è la media annua, non il numero di persone presenti in azienda nel giorno in cui viene effettuata la verifica. Per questo motivo, una società che oscilla frequentemente intorno alla soglia, oppure utilizza personale stagionale, deve esaminare i dati occupazionali secondo i criteri applicabili, senza limitarsi a consultare l’organico corrente.

La seconda categoria riguarda le imprese che operano nei settori disciplinati dagli atti dell’Unione europea richiamati dalle parti I.B e II dell’allegato al decreto, anche quando non raggiungono la soglia dimensionale. Si tratta, tra gli altri, di ambiti relativi ai servizi, prodotti e mercati finanziari, alla prevenzione del riciclaggio e del finanziamento del terrorismo, alla sicurezza dei trasporti e alla tutela dell’ambiente. Non è sufficiente appartenere genericamente a un settore economico per rientrare automaticamente in questa categoria: occorre verificare se l’attività concretamente svolta sia assoggettata alle disposizioni richiamate dal decreto.

La terza categoria comprende i soggetti privati che rientrano nell’ambito di applicazione del D.Lgs. 231/2001 e adottano un Modello di organizzazione e gestione previsto da tale decreto, anche se nell’ultimo anno non hanno raggiunto la media di 50 lavoratori subordinati. È il caso, ad esempio, di una società con un organico limitato che abbia adottato un Modello 231 per organizzare i propri presidi di prevenzione dei reati. In tale situazione, l’assenza di 50 dipendenti non costituisce, da sola, un’esenzione dall’obbligo di predisporre il canale interno.

Per le società che non raggiungono la soglia dimensionale e non rientrano nei settori specificamente individuati dalla normativa, la presenza di un Modello 231 assume quindi un rilievo diretto. Occorre distinguere l’adozione del Modello, che non è imposta indistintamente a tutte le imprese, dall’obbligo di istituire il canale di segnalazione quando ricorrono i presupposti del D.Lgs. 24/2023. Un’impresa che non abbia adottato un Modello 231 non diventa automaticamente obbligata al whistleblowing soltanto perché è esposta a rischi di commissione di reati aziendali.

La verifica richiede particolare attenzione nelle società appartenenti a gruppi, nelle imprese con più stabilimenti e nelle organizzazioni che hanno subito fusioni, acquisizioni o riorganizzazioni. Il numero complessivo dei lavoratori di un gruppo non può essere utilizzato indiscriminatamente al posto del dato riferito al singolo soggetto giuridico. Allo stesso modo, l’esistenza di un sistema di segnalazione predisposto dalla capogruppo non dimostra automaticamente che ogni società controllata abbia adempiuto ai propri obblighi. La normativa consente, a determinate condizioni, la condivisione del canale e delle risorse per la ricezione e la gestione delle segnalazioni tra soggetti privati che hanno impiegato nell’ultimo anno una media non superiore a 249 lavoratori subordinati, ma tale possibilità deve essere organizzata rispettando le responsabilità e le garanzie applicabili a ciascuna impresa.

Come verificare la soglia dei dipendenti e l’obbligo per le aziende con Modello 231

Per stabilire se un’azienda debba attivare il whistleblowing, noi riteniamo necessario partire da una ricostruzione documentata della sua situazione effettiva. Il primo controllo riguarda la media dei lavoratori subordinati nell’ultimo anno, considerando i rapporti a tempo indeterminato e determinato secondo i criteri indicati dalla normativa e dalle indicazioni applicative dell’ANAC. Una fotografia dell’organico al 31 dicembre, da sola, può non essere sufficiente. Per le imprese con assunzioni frequenti, contratti stagionali o variazioni dell’attività, il calcolo deve essere verificabile attraverso la documentazione aziendale e i dati occupazionali pertinenti.

La soglia dimensionale non deve essere confusa con altre nozioni utilizzate nella disciplina delle imprese. Il numero dei dipendenti rilevante per il whistleblowing non coincide necessariamente con i criteri adottati per classificare una società come microimpresa, piccola o media impresa, né con il numero dei collaboratori complessivamente coinvolti nell’attività. Per questo motivo, un’azienda che ritiene di essere esonerata perché qualificata come PMI potrebbe comunque essere obbligata a istituire il canale interno.

Il secondo controllo riguarda l’attività esercitata. Una società con meno di 50 lavoratori deve verificare se opera nei settori contemplati dalle disposizioni europee richiamate dal D.Lgs. 24/2023. L’esame non può fermarsi alla denominazione dell’attività o al codice ATECO: possono essere rilevanti autorizzazioni, servizi effettivamente prestati e discipline settoriali applicabili. La valutazione deve individuare la disposizione che determina l’assoggettamento dell’impresa alla disciplina, evitando di attribuire l’obbligo a intere categorie economiche senza un adeguato fondamento normativo.

Il terzo controllo riguarda il Modello 231. L’articolo 6, comma 2-bis, del D.Lgs. 231/2001, come modificato dal D.Lgs. 24/2023, richiede che i modelli organizzativi prevedano canali di segnalazione interna, il divieto di ritorsione e un sistema disciplinare conforme alla disciplina applicabile. Una società che abbia adottato il Modello prima dell’entrata in vigore delle nuove disposizioni deve quindi verificare se le procedure originarie siano ancora adeguate. La presenza di una casella email destinata all’Organismo di Vigilanza o di una procedura generica per comunicare irregolarità non è sufficiente, di per sé, a dimostrare la conformità del sistema.

Un’ulteriore distinzione riguarda l’ambito delle segnalazioni tutelate. Per i soggetti privati con almeno 50 lavoratori, non appartenenti ai settori speciali e privi di Modello 231, la disciplina riguarda le violazioni riconducibili agli ambiti del diritto dell’Unione europea individuati dal decreto. Per le imprese con Modello 231, la disciplina comprende anche le condotte illecite rilevanti ai sensi del D.Lgs. 231/2001 e le violazioni del Modello, secondo le distinzioni previste dalla legge. Questo incide sulla redazione della procedura e sulle informazioni da fornire ai potenziali segnalanti: non tutte le imprese hanno necessariamente il medesimo perimetro di segnalazioni tutelate.

Le scadenze originarie di adeguamento sono già trascorse: il 15 luglio 2023 per i soggetti ai quali si applicava immediatamente la nuova disciplina e il 17 dicembre 2023 per i soggetti privati che avevano impiegato nell’ultimo anno una media fino a 249 lavoratori subordinati, secondo quanto previsto dal regime transitorio. Un’impresa che oggi accerti di essere obbligata ma non abbia ancora istituito un canale conforme deve affrontare una situazione di mancato adeguamento, senza presumere che l’assenza di segnalazioni ricevute escluda la violazione.

La ricostruzione dei presupposti dell’obbligo dovrebbe essere conservata insieme alla documentazione organizzativa aziendale, soprattutto quando la conclusione sia che il canale non è obbligatorio. Questa verifica diventa particolarmente utile quando intervengono modifiche dell’organico, l’adozione di un Modello 231 o cambiamenti dell’attività. Per le imprese che hanno già avviato un percorso di conformità, il controllo dell’obbligo deve essere collegato alla verifica dell’effettiva operatività del sistema, secondo le indicazioni approfondite nella nostra guida al whistleblowing aziendale e ai relativi obblighi.

Obblighi, responsabilità e sanzioni per le aziende che non istituiscono il canale whistleblowing

Una volta accertato che l’impresa rientra nell’ambito di applicazione del D.Lgs. 24/2023, l’adempimento non si esaurisce nella semplice attivazione di uno strumento per ricevere le segnalazioni. L’articolo 4 richiede che il canale interno garantisca, anche mediante strumenti di crittografia, la riservatezza dell’identità della persona segnalante, della persona coinvolta e di quella comunque menzionata nella segnalazione, nonché del contenuto della comunicazione e della relativa documentazione. Il canale whistleblowing deve quindi essere concretamente utilizzabile e organizzato in modo da impedire accessi non autorizzati alle informazioni riservate.

La normativa consente di affidare la gestione del canale a una persona o a un ufficio interno autonomo, composto da personale specificamente formato, oppure a un soggetto esterno dotato dei medesimi requisiti. La scelta dipende dalle caratteristiche dell’organizzazione, dalle competenze disponibili e dalla possibilità di assicurare un’effettiva autonomia nella gestione delle segnalazioni. Per una società di dimensioni contenute, ad esempio, può risultare problematico attribuire tale funzione a un dirigente che partecipa direttamente alle decisioni aziendali potenzialmente oggetto di segnalazione. In questi casi occorre valutare preventivamente i conflitti di interessi e predisporre modalità alternative di gestione quando il soggetto incaricato risulti coinvolto nei fatti segnalati.

La presenza di un Organismo di Vigilanza non esonera automaticamente l’impresa dall’organizzare il canale secondo il D.Lgs. 24/2023. L’OdV può essere coinvolto nella gestione delle segnalazioni, purché siano rispettati i requisiti normativi, ma il suo incarico ordinario di vigilanza sul Modello 231 non coincide necessariamente con tutte le attività richieste al gestore del whistleblowing. Quando il sistema è già stato predisposto nell’ambito del Modello organizzativo, occorre verificare l’adeguatezza delle procedure, dei flussi informativi e delle misure di riservatezza. Per comprendere le diverse soluzioni organizzative è possibile consultare il nostro approfondimento su chi può gestire le segnalazioni whistleblowing in azienda.

Un altro adempimento riguarda le modalità di presentazione delle segnalazioni. Il canale deve consentire comunicazioni scritte, anche mediante modalità informatiche, e orali. Su richiesta della persona segnalante, deve essere possibile organizzare un incontro diretto entro un termine ragionevole. L’impresa deve inoltre fornire informazioni chiare sulle procedure e sui presupposti per effettuare segnalazioni interne ed esterne, rendendole facilmente visibili nei luoghi di lavoro e accessibili alle persone legittimate. Quando l’azienda dispone di un proprio sito internet, le informazioni devono essere pubblicate anche in un’apposita sezione del sito.

L’istituzione del canale richiede anche il rispetto delle disposizioni in materia di protezione dei dati personali. Le segnalazioni possono contenere informazioni relative a dipendenti, amministratori, fornitori e altri soggetti, comprese categorie particolari di dati e informazioni riguardanti presunti illeciti. Il sistema deve quindi essere progettato secondo i principi del GDPR, prevedendo adeguate misure tecniche e organizzative, la corretta attribuzione dei ruoli privacy e la valutazione d’impatto sulla protezione dei dati nei termini richiesti dall’articolo 13 del D.Lgs. 24/2023. Non è sufficiente che il fornitore della piattaforma dichiari genericamente la conformità del proprio software: l’impresa deve verificare anche l’organizzazione complessiva del trattamento.

Le responsabilità non terminano con l’attivazione del canale. L’articolo 5 del decreto disciplina le attività successive alla ricezione delle segnalazioni, comprese la conferma di ricevimento entro sette giorni e la comunicazione di un riscontro nei termini previsti dalla legge. La mancata predisposizione di un’organizzazione capace di rispettare tali obblighi può compromettere l’effettività del sistema. Le imprese devono pertanto distinguere il momento dell’istituzione del canale dalla sua gestione continuativa, approfondita anche nel nostro articolo sulle tempistiche obbligatorie nella gestione delle segnalazioni whistleblowing.

Quanto alle conseguenze dell’inadempimento, l’articolo 21 del D.Lgs. 24/2023 attribuisce all’ANAC specifici poteri sanzionatori. Sono previste sanzioni amministrative pecuniarie da 10.000 a 50.000 euro, tra le altre ipotesi, quando viene accertata la mancata istituzione dei canali di segnalazione, la mancata adozione di procedure conformi o la mancata effettuazione delle attività di verifica e analisi delle segnalazioni ricevute. La stessa fascia sanzionatoria è prevista per ulteriori violazioni individuate dalla disposizione, tra cui determinate condotte ritorsive e l’ostacolo alle segnalazioni. L’applicazione concreta richiede comunque l’accertamento dei presupposti della specifica violazione e l’individuazione del soggetto responsabile.

Per le imprese che hanno adottato un Modello 231, la mancanza di un sistema whistleblowing conforme può assumere rilievo anche nella valutazione dell’adeguatezza dell’assetto organizzativo. Ciò non significa che ogni irregolarità comporti automaticamente una responsabilità dell’ente ai sensi del D.Lgs. 231/2001: tale responsabilità richiede i presupposti previsti dalla relativa disciplina. La carenza deve però essere esaminata nel quadro complessivo dei controlli interni e delle procedure di prevenzione, soprattutto quando il Modello risulta formalmente aggiornato ma non concretamente attuato.

Se un’azienda accerta di essere obbligata al whistleblowing e di non avere ancora predisposto un canale conforme, occorre intervenire sulla situazione esistente. L’adeguamento successivo non determina automaticamente l’estinzione di eventuali violazioni già commesse, ma permette di affrontare le carenze organizzative individuate. La verifica dovrebbe riguardare tanto l’effettiva applicabilità dell’obbligo quanto le modalità con cui il sistema viene istituito, documentato e reso operativo, evitando interventi meramente formali che lascino irrisolti i problemi di riservatezza e gestione.

Esempio pratico: una società con meno di 50 dipendenti che ha adottato il Modello 231

Consideriamo, a titolo esemplificativo, una società di servizi con 32 lavoratori subordinati che abbia adottato un Modello organizzativo ai sensi del D.Lgs. 231/2001. La direzione ritiene inizialmente di non essere obbligata ad attivare il whistleblowing, poiché l’organico aziendale è inferiore a 50 dipendenti. Nel Modello è già prevista la possibilità di inviare comunicazioni all’Organismo di Vigilanza attraverso una casella email ordinaria, senza però una procedura specificamente adeguata al D.Lgs. 24/2023.

La verifica giuridica deve anzitutto accertare l’effettiva adozione del Modello 231 e la conseguente applicabilità della disciplina whistleblowing. Una volta confermato l’obbligo, l’attenzione si concentra sulle caratteristiche del canale esistente: modalità di accesso alla casella, soggetti autorizzati a leggere le comunicazioni, tutela della riservatezza e procedure di gestione. La sola presenza di un indirizzo email destinato all’OdV non consente di presumere che tali requisiti siano soddisfatti.

In una situazione del genere, l’intervento professionale consiste nell’individuare le carenze rispetto alla normativa, valutare se sia opportuno mantenere una gestione interna oppure affidarla a un soggetto esterno e predisporre gli adeguamenti necessari. Particolare attenzione deve essere riservata al coordinamento tra gestore delle segnalazioni e Organismo di Vigilanza, evitando sovrapposizioni di competenze e accessi indiscriminati alle informazioni riservate. La procedura whistleblowing deve poi essere integrata nell’organizzazione aziendale e raccordata con il Modello 231, prevedendo responsabilità, modalità operative e misure di tutela coerenti con le disposizioni applicabili.

L’esempio mostra perché il numero dei dipendenti non può essere considerato l’unico criterio per stabilire se un’impresa debba istituire il canale interno. La presenza del Modello 231 modifica la valutazione e rende necessario verificare anche i presidi già adottati, distinguendo quelli effettivamente utilizzabili da quelli che richiedono una revisione.

Domande frequenti sull’obbligo di whistleblowing per le aziende

Un’azienda con meno di 50 dipendenti deve obbligatoriamente avere un canale whistleblowing?

Non sempre. L’obbligo può sussistere anche sotto la soglia dei 50 lavoratori quando l’impresa opera nei settori specificamente individuati dal D.Lgs. 24/2023 oppure rientra nell’ambito del D.Lgs. 231/2001 e ha adottato un Modello organizzativo 231. In assenza di tali presupposti, la normativa generale non impone automaticamente l’istituzione del canale. È comunque necessario verificare eventuali obblighi derivanti da discipline settoriali applicabili.

Se una società ha adottato il Modello 231, può utilizzare il canale già previsto per l’Organismo di Vigilanza?

Sì, purché il sistema esistente soddisfi tutti i requisiti applicabili del D.Lgs. 24/2023. Occorre verificare la riservatezza delle segnalazioni, l’autonomia e la formazione dei soggetti incaricati, le modalità di comunicazione e le procedure di gestione. Una semplice casella email dell’OdV non dimostra automaticamente la conformità. Può quindi essere necessario adeguare il canale e aggiornare il Modello organizzativo.

Una società appartenente a un gruppo può utilizzare il canale whistleblowing della capogruppo?

La normativa consente ai soggetti privati che hanno impiegato nell’ultimo anno una media non superiore a 249 lavoratori subordinati di condividere il canale interno e le risorse destinate alla ricezione e alla gestione delle segnalazioni. La soluzione deve però rispettare gli obblighi applicabili alle singole società, la riservatezza delle informazioni e le disposizioni sulla protezione dei dati personali. L’utilizzo della piattaforma della capogruppo non costituisce, da solo, prova dell’adempimento.

Un’azienda che non ha mai ricevuto segnalazioni può essere sanzionata per non avere istituito il canale?

Sì. Quando ricorrono i presupposti dell’obbligo, la mancata istituzione del canale costituisce una violazione autonoma rispetto all’effettiva ricezione di segnalazioni. L’articolo 21 del D.Lgs. 24/2023 prevede sanzioni amministrative pecuniarie da 10.000 a 50.000 euro per le ipotesi specificamente individuate dalla disposizione, tra cui la mancata istituzione dei canali di segnalazione. L’eventuale sanzione presuppone l’accertamento della violazione da parte dell’autorità competente.

Se l’azienda scopre soltanto oggi di essere obbligata al whistleblowing, come deve procedere?

Occorre verificare da quando sussiste l’obbligo e individuare gli adempimenti mancanti. Successivamente devono essere valutate le caratteristiche del canale da istituire, la scelta del gestore, le procedure interne, le misure di riservatezza e gli adempimenti privacy. Se l’impresa ha adottato un Modello 231, è necessario verificare anche il relativo coordinamento. L’adeguamento tardivo non elimina automaticamente eventuali responsabilità pregresse, ma consente di affrontare le irregolarità organizzative ancora esistenti.

Whistleblowing obbligatorio: richiedere una valutazione legale per la propria azienda

Stabilire se un’impresa sia obbligata a istituire un canale whistleblowing richiede una verifica che tenga conto del numero dei lavoratori, dell’attività esercitata, dell’eventuale adozione di un Modello 231 e dell’organizzazione societaria. Un errore nella valutazione può comportare la mancata attivazione di un sistema obbligatorio oppure l’adozione di procedure che non rispettano pienamente i requisiti normativi.

Lo Studio Legale Calvello dell’Avvocato Claudio Calvello, con oltre 25 anni di esperienza professionale, offre assistenza alle imprese nella verifica degli obblighi whistleblowing, nell’analisi dei canali già esistenti e nell’individuazione degli interventi necessari per adeguare l’organizzazione aziendale al D.Lgs. 24/2023, anche in coordinamento con il Modello 231 e l’Organismo di Vigilanza.

Se la vostra azienda deve accertare l’obbligatorietà del whistleblowing, non ha ancora istituito il canale interno oppure nutre dubbi sulla conformità delle procedure adottate, potete richiedere una valutazione legale sul whistleblowing aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare le questioni giuridiche e organizzative che richiedono un approfondimento professionale.