Articolo a cura di: Redazione - Studio Legale Calvello

Per una PMI, organizzare il whistleblowing può essere più complesso di quanto suggerisca la sola attivazione di una piattaforma. Quando manca un ufficio legale o una funzione compliance strutturata, occorre stabilire chi riceve le segnalazioni, chi può accedere alle informazioni, come viene svolta l’istruttoria e come si gestiscono riservatezza, conflitti di interesse e protezione dei dati personali. Il problema diventa ancora più concreto quando arriva effettivamente una segnalazione e l’impresa deve decidere rapidamente come procedere senza coinvolgere persone che non dovrebbero conoscerne il contenuto.

Il D.Lgs. 24/2023 consente di affidare la gestione del canale a un soggetto esterno, purché autonomo e specificamente formato. Per una piccola o media impresa priva di risorse interne specializzate, l’esternalizzazione può quindi rappresentare una soluzione organizzativa, ma deve essere costruita correttamente: non basta acquistare un software o indicare formalmente un nominativo. Occorre definire responsabilità, procedure, flussi informativi e modalità di gestione delle segnalazioni, coordinando la disciplina whistleblowing con gli obblighi in materia di privacy e, quando presente, con il modello organizzativo 231.

Whistleblowing nelle PMI: il problema non è soltanto avere un canale di segnalazione

Il primo passaggio consiste nel verificare se l’impresa rientra effettivamente nell’ambito di applicazione della disciplina. Nel settore privato, l’obbligo di predisporre un canale interno riguarda, tra gli altri, i soggetti che nell’ultimo anno hanno impiegato una media di almeno cinquanta lavoratori subordinati. La disciplina comprende anche imprese operanti in determinati settori individuati dalla normativa e soggetti che adottano modelli di organizzazione e gestione ai sensi del D.Lgs. 231/2001, secondo le condizioni previste dal D.Lgs. 24/2023.

Per questo motivo, la semplice domanda «siamo sotto i cinquanta dipendenti?» non è sempre sufficiente per escludere l’applicazione della normativa. Prima di organizzare il sistema occorre individuare correttamente la posizione dell’impresa, verificando dimensioni, settore di attività ed eventuale adozione del modello 231. Per una trattazione più ampia degli obblighi e della gestione delle segnalazioni abbiamo predisposto una guida sul whistleblowing aziendale e sulla gestione delle segnalazioni.

Una volta accertato l’obbligo, la PMI deve affrontare un problema tipicamente organizzativo. Nelle imprese di dimensioni maggiori possono esistere uffici legali, compliance, internal audit o altre funzioni dotate di personale specializzato. In una PMI, invece, le stesse persone possono ricoprire più ruoli e avere rapporti diretti con amministratori, responsabili HR e dipendenti. Questa struttura rende particolarmente delicata la scelta del gestore: una segnalazione potrebbe riguardare proprio il soggetto incaricato di riceverla oppure una persona con la quale quest’ultimo intrattiene rapporti gerarchici o professionali molto stretti.

Il D.Lgs. 24/2023 richiede che la gestione del canale sia affidata a una persona o a un ufficio interno autonomo dedicato e con personale specificamente formato oppure a un soggetto esterno dotato delle medesime caratteristiche. La PMI, quindi, non deve necessariamente costituire un proprio ufficio legale per adempiere alla disciplina, ma deve individuare una soluzione che assicuri concretamente autonomia, competenza e corretta gestione delle informazioni.

Questo aspetto assume particolare rilievo nelle imprese nelle quali il titolare, l’amministratore e il responsabile del personale concentrano gran parte delle funzioni decisionali. Se, ad esempio, una segnalazione riguarda proprio il management, il sistema deve essere in grado di funzionare senza esporre il segnalante o la persona coinvolta a circolazioni improprie delle informazioni. Il problema è approfondito anche nel nostro articolo dedicato a chi deve intervenire quando una segnalazione whistleblowing riguarda il management.

Gestore interno o gestore esterno: come organizzare il whistleblowing quando la PMI non ha risorse specializzate

L’assenza di un ufficio legale non comporta automaticamente che la gestione debba essere esternalizzata. La scelta dipende dalla struttura concreta dell’impresa, dalle competenze disponibili, dall’autonomia effettivamente assicurabile al gestore e dalla capacità di affrontare una segnalazione senza creare conflitti di interesse. In alcune PMI può essere possibile individuare una funzione interna adeguata; in altre, concentrare la gestione su un dipendente che svolge contemporaneamente attività HR, amministrative o direttamente collegate al management può rendere il sistema più difficile da governare.

Quando le risorse interne non consentono una gestione adeguatamente autonoma, il D.Lgs. 24/2023 permette di affidare il canale whistleblowing a un soggetto esterno autonomo e specificamente formato. L’esternalizzazione non deve però essere confusa con la semplice fornitura della piattaforma informatica. Il software costituisce lo strumento attraverso il quale può essere ricevuta e amministrata la segnalazione; il gestore è invece il soggetto chiamato a svolgere le attività previste dalla normativa, mantenere le interlocuzioni con la persona segnalante e dare seguito alla segnalazione nei limiti delle proprie attribuzioni.

Quando affidiamo all’esterno la gestione delle segnalazioni, è quindi necessario disciplinare con precisione l’incarico. Devono risultare chiari i compiti del gestore, le modalità di ricezione delle segnalazioni, i soggetti che possono accedere alle informazioni, i flussi verso l’impresa e le procedure da seguire quando la vicenda richiede ulteriori approfondimenti. Particolare attenzione deve essere riservata ai casi nei quali la segnalazione coinvolga amministratori, titolari o altri soggetti che normalmente riceverebbero informazioni dal gestore: il sistema deve prevedere in anticipo come evitare che il canale perda la propria autonomia proprio nel momento in cui questa diventa necessaria.

Anche il trattamento dei dati personali deve essere organizzato fin dall’origine. Una segnalazione può contenere dati del segnalante, della persona coinvolta e di altri soggetti menzionati, nonché informazioni appartenenti a categorie particolari o relative a fatti potenzialmente rilevanti sotto il profilo penale. L’impresa rimane quindi chiamata a valutare ruoli privacy, autorizzazioni, misure di sicurezza, tempi di conservazione e rapporti con i fornitori utilizzati per il canale. Quando il soggetto esterno tratta i dati per conto dell’impresa, deve essere considerata anche la disciplina del responsabile del trattamento ai sensi dell’art. 28 GDPR.

Per una PMI, l’obiettivo organizzativo è evitare due estremi: costruire un sistema sproporzionatamente complesso rispetto alla struttura aziendale oppure ridurre il whistleblowing a una casella e-mail o a una piattaforma lasciata senza una vera procedura di gestione. Una soluzione proporzionata può essere relativamente snella, ma deve essere in grado di funzionare quando arriva una segnalazione reale. A quel punto occorre sapere chi la prende in carico, come vengono rispettati i termini previsti dalla normativa, quali verifiche possono essere effettuate, chi può essere coinvolto nell’istruttoria e quali informazioni possono essere comunicate all’interno dell’impresa.

La distinzione diventa particolarmente importante quando l’azienda ha già ricevuto una segnalazione. In quel momento non è opportuno improvvisare ruoli e procedure che avrebbero dovuto essere definiti in precedenza. Nel nostro approfondimento su cosa fare dopo aver ricevuto una segnalazione whistleblowing esaminiamo specificamente le prime attività che l’impresa deve valutare. Per una PMI senza ufficio legale, predisporre preventivamente un sistema coerente con la propria struttura permette soprattutto di sapere chi deve fare cosa quando il canale viene realmente utilizzato, evitando che la segnalazione venga gestita attraverso i normali flussi aziendali e perda le garanzie previste dalla disciplina whistleblowing.

Obblighi, responsabilità e rischi: cosa deve presidiare concretamente una PMI

Una volta individuato il gestore, il sistema deve essere tradotto in una procedura effettivamente utilizzabile. Il D.Lgs. 24/2023 richiede che il canale interno consenta segnalazioni in forma scritta e orale e che sia progettato in modo da garantire la riservatezza dell’identità della persona segnalante, della persona coinvolta e di quella comunque menzionata nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione. Per una PMI questo significa limitare gli accessi alle persone realmente autorizzate ed evitare che documenti, notifiche o comunicazioni confluiscano nei normali circuiti aziendali.

La gestione deve rispettare anche precise scansioni temporali. Il gestore rilascia alla persona segnalante un avviso di ricevimento entro sette giorni dalla presentazione della segnalazione, mantiene le interlocuzioni con essa, dà diligente seguito alla segnalazione e fornisce riscontro entro tre mesi dalla data dell’avviso di ricevimento oppure, in mancanza dell’avviso, entro tre mesi dalla scadenza del termine di sette giorni dalla presentazione. Per una PMI priva di personale dedicato, questi termini rendono particolarmente rischioso affidare il canale a qualcuno che se ne occupi soltanto occasionalmente o senza una procedura che assicuri continuità anche durante assenze, ferie o altri impedimenti.

Il rispetto dei termini, peraltro, rappresenta soltanto una parte della gestione. Ricevere una segnalazione non significa considerare automaticamente provati i fatti descritti. Occorre valutarne il contenuto, verificare se rientra nell’ambito della disciplina, individuare gli approfondimenti necessari e preservare contemporaneamente i diritti delle persone coinvolte. Le tempistiche previste per la gestione delle segnalazioni whistleblowing devono quindi essere coordinate con un’istruttoria proporzionata alla natura e alla complessità dei fatti segnalati.

Un ulteriore profilo riguarda la riservatezza. In una piccola organizzazione può essere relativamente semplice intuire l’identità del segnalante sulla base della funzione ricoperta, dei fatti descritti o delle persone coinvolte. Per questo la tutela non può dipendere soltanto dalla piattaforma utilizzata. Occorre valutare quali informazioni siano realmente necessarie per svolgere le verifiche e come condividerle senza diffondere elementi che consentano indirettamente di identificare il segnalante. Anche la documentazione dell’istruttoria deve essere gestita con accessi selettivi e tempi di conservazione coerenti con quanto previsto dalla disciplina.

La normativa prevede infatti che le segnalazioni e la relativa documentazione siano conservate per il tempo necessario al loro trattamento e comunque non oltre cinque anni dalla comunicazione dell’esito finale della procedura, nel rispetto degli obblighi di riservatezza e della normativa in materia di protezione dei dati personali. I dati manifestamente non utili alla trattazione di una specifica segnalazione non devono essere raccolti oppure, se acquisiti accidentalmente, devono essere cancellati senza ritardo.

Una gestione inadeguata può assumere rilievo anche sul piano sanzionatorio. Il D.Lgs. 24/2023 attribuisce ad ANAC poteri sanzionatori in relazione, tra l’altro, alla mancata istituzione dei canali di segnalazione, alla mancata adozione delle procedure per effettuare e gestire le segnalazioni o all’adozione di procedure non conformi, nonché quando venga accertato che non è stata svolta l’attività di verifica e analisi delle segnalazioni ricevute. La presenza formale di un canale, quindi, non esaurisce gli obblighi dell’impresa.

Nelle PMI senza ufficio legale assume particolare rilievo la capacità di distinguere la normale gestione del canale dai casi che richiedono competenze ulteriori. Una segnalazione può far emergere questioni lavoristiche, societarie, penali, privacy o connesse al modello 231. Il gestore non deve necessariamente possedere internamente ogni competenza specialistica, ma l’organizzazione deve prevedere come attivare gli approfondimenti necessari senza compromettere la riservatezza della procedura. È proprio in questa fase che una gestione esterna strutturata può consentire all’impresa di evitare decisioni improvvisate, mantenendo separato il flusso whistleblowing dalle ordinarie comunicazioni aziendali.

Un caso pratico: una PMI senza ufficio legale riceve la prima segnalazione

Consideriamo, a titolo di esempio realistico e anonimizzato, una PMI nella quale la gestione amministrativa e del personale è concentrata in poche persone e non esiste un ufficio legale interno. L’impresa aveva predisposto un canale di segnalazione, ma la procedura non definiva con sufficiente precisione come comportarsi nel caso in cui i fatti segnalati coinvolgessero soggetti vicini alla direzione. Alla ricezione della prima segnalazione è emersa quindi la necessità di stabilire immediatamente chi potesse conoscerne il contenuto e chi dovesse rimanere estraneo alla gestione.

L’intervento ha richiesto innanzitutto di delimitare il flusso delle informazioni, verificare le modalità di presa in carico e organizzare gli approfondimenti senza diffondere la segnalazione tra le normali funzioni aziendali. L’elemento più delicato non era la disponibilità della piattaforma, che risultava già attiva, ma la gestione concreta della segnalazione in una struttura nella quale ruoli e rapporti gerarchici erano molto ravvicinati. È stato quindi necessario organizzare la procedura individuando i soggetti legittimati a intervenire e separando le informazioni necessarie all’istruttoria da quelle che non dovevano circolare all’interno dell’impresa.

Il caso mostra perché, soprattutto nelle PMI, il sistema dovrebbe essere progettato pensando alla segnalazione concreta prima ancora che questa arrivi. Se l’impresa scopre soltanto al momento della prima segnalazione che il gestore è in conflitto di interessi, che non è chiaro chi possa svolgere le verifiche o che troppe persone possono accedere alla documentazione, la gestione diventa inevitabilmente più complessa. Quando manca una struttura interna adeguata, definire preventivamente il ruolo di un gestore esterno e le modalità di eventuale assistenza specialistica permette di predisporre un percorso operativo utilizzabile anche nelle situazioni più delicate.

FAQ sul whistleblowing nelle PMI senza ufficio legale

Una PMI è obbligata ad avere un ufficio legale per gestire il whistleblowing?

No. Il D.Lgs. 24/2023 non impone all’impresa di costituire un ufficio legale interno. La gestione del canale può essere affidata a una persona o a un ufficio interno autonomo e con personale specificamente formato oppure a un soggetto esterno dotato dei requisiti richiesti. Il punto da verificare è quindi se la soluzione scelta dall’azienda consenta una gestione autonoma, riservata e adeguata delle segnalazioni.

Una PMI può affidare completamente all’esterno la gestione delle segnalazioni whistleblowing?

La gestione del canale può essere affidata a un soggetto esterno autonomo e specificamente formato. L’incarico deve però essere organizzato in modo preciso, definendo attività del gestore, flussi informativi, accessi, modalità di interlocuzione con il segnalante e rapporti con l’impresa. Esternalizzare la gestione non significa trasferire indistintamente all’esterno ogni decisione che compete all’organizzazione aziendale: occorre stabilire quali attività spettino al gestore e come debbano essere coinvolte, quando necessario, le funzioni competenti dell’impresa.

È sufficiente acquistare una piattaforma whistleblowing per essere in regola?

No. La piattaforma può essere uno degli strumenti utilizzati per assicurare la riservatezza e organizzare il canale, ma non sostituisce la procedura né il gestore. L’impresa deve disciplinare la ricezione e la presa in carico delle segnalazioni, gli accessi alle informazioni, l’istruttoria, le interlocuzioni con il segnalante, i termini, la conservazione della documentazione e il trattamento dei dati personali. Un software tecnicamente adeguato non risolve, da solo, eventuali carenze organizzative.

Cosa succede se la segnalazione riguarda il titolare o un amministratore della PMI?

È una delle situazioni nelle quali l’organizzazione preventiva del canale assume maggiore importanza. Se il soggetto normalmente coinvolto nei flussi informativi è anche la persona interessata dalla segnalazione, occorre evitare che possa accedere impropriamente all’identità del segnalante o ad altre informazioni riservate. La procedura dovrebbe quindi prevedere anticipatamente modalità alternative di gestione. Il problema è particolarmente delicato nelle imprese di piccole dimensioni, dove le funzioni aziendali sono concentrate in poche persone; abbiamo esaminato specificamente anche i problemi che sorgono quando la segnalazione whistleblowing riguarda il titolare.

Quando può essere opportuno scegliere un gestore whistleblowing esterno?

La valutazione dipende dall’organizzazione concreta dell’impresa. Un gestore esterno può essere preso in considerazione quando mancano risorse interne con adeguata autonomia e formazione, quando esistono possibili conflitti di interesse o quando l’impresa vuole mantenere la gestione delle segnalazioni separata dalle normali funzioni amministrative e del personale. La scelta non dovrebbe dipendere soltanto dalle dimensioni aziendali, ma dalla capacità effettiva della struttura interna di gestire correttamente anche una segnalazione complessa o riguardante il management.

Whistleblowing nella vostra PMI: richiedete una valutazione sulla gestione del canale

Se la vostra impresa deve istituire o riorganizzare il canale whistleblowing, non dispone di un ufficio legale interno oppure vuole valutare l’affidamento delle segnalazioni a un gestore esterno, è opportuno esaminare la struttura aziendale prima di definire la soluzione. Numero e organizzazione dei dipendenti, eventuale modello 231, ruoli interni, possibili conflitti di interesse, strumenti utilizzati e modalità di gestione delle segnalazioni incidono sulla configurazione del sistema.

Lo Studio Legale Calvello assiste le imprese nell’organizzazione del whistleblowing e nella gestione esterna delle segnalazioni, con particolare attenzione alla riservatezza, alla corretta istruttoria e al coordinamento con la disciplina sulla protezione dei dati personali. Per sottoporci la situazione della vostra azienda potete richiedere una valutazione sul whistleblowing aziendale e sulla gestione esterna delle segnalazioni attraverso il modulo dedicato.