Il whistleblowing aziendale è uno strumento fondamentale per prevenire le violazioni, tutelare le persone segnalanti e rafforzare i sistemi di controllo interno. Per le imprese che rientrano nel campo di applicazione del D.Lgs. 24/2023, che recepisce la Direttiva (UE) 2019/1937, la normativa prevede specifici obblighi in materia di canali di segnalazione, riservatezza e gestione delle comunicazioni.

Ma quali aziende sono obbligate ad adottare un sistema di whistleblowing? Quali violazioni possono essere segnalate e quali sanzioni rischia chi non si adegua? Conoscere gli obblighi previsti dalla normativa è il primo passo per capire se la propria azienda deve attivare un canale di segnalazione e come organizzarlo correttamente.

Che cos’è il whistleblowing e come funziona in azienda?

Con il termine whistleblowing si indica la segnalazione di violazioni che possono compromettere l’interesse pubblico o l’integrità di un’organizzazione pubblica o privata. Le informazioni devono essere state acquisite nel contesto lavorativo e possono riguardare violazioni già commesse, fondati sospetti oppure condotte che, sulla base di elementi concreti, potrebbero verificarsi. Il termine inglese whistleblowing richiama l’immagine di chi fischia per dare l’allarme e, in ambito organizzativo, identifica il processo attraverso cui una persona segnala informazioni su possibili illeciti o violazioni al soggetto competente.

La disciplina tutela chi effettua la segnalazione in presenza delle condizioni previste dalla legge, con particolare riferimento alla riservatezza dell’identità e al divieto di ritorsioni. In pratica, l’impresa attiva uno o più canali interni, affida la gestione delle segnalazioni a un soggetto dedicato e fornisce al segnalante un riscontro entro i termini previsti dalla legge.

Il whistleblowing rappresenta una componente del sistema di compliance aziendale: non consiste soltanto nell’attivazione di una piattaforma o di un indirizzo dedicato, ma richiede responsabilità definite, un processo organizzato e modalità di gestione coerenti con la normativa applicabile.

Quali aziende sono obbligate ad adottare il whistleblowing?

L’obbligo di adottare un sistema di whistleblowing aziendale dipende da diversi fattori, tra cui il numero di lavoratori, il settore di attività e l’eventuale adozione di un Modello di organizzazione e gestione ai sensi del D.Lgs. 231/2001. Il riferimento normativo è il D.Lgs. 24/2023, che disciplina i canali di segnalazione e le relative tutele per gli enti pubblici e privati rientranti nel suo ambito di applicazione.

Nel settore privato, sono tenute a istituire un canale interno di segnalazione le imprese che hanno impiegato, nell’ultimo anno, una media di almeno 50 lavoratori subordinati, con contratti a tempo indeterminato o determinato. La soglia dimensionale, quindi, non è l’unico criterio da considerare per stabilire se un’impresa debba dotarsi di un sistema di segnalazione. Occorre valutare congiuntamente le caratteristiche dell’organizzazione, l’attività svolta e gli eventuali obblighi derivanti dal Modello 231, verificando anche quali violazioni possano essere segnalate attraverso il canale interno. È necessario predisporre una procedura coerente con gli obblighi applicabili, individuare un gestore autonomo e adeguatamente formato e garantire la riservatezza delle informazioni. Una verifica preventiva del perimetro normativo consente di definire le misure necessarie ed evitare di adottare procedure incomplete o non coerenti con la situazione aziendale.

Whistleblowing per le aziende con meno di 50 dipendenti: quando è obbligatorio?

Anche le imprese con meno di 50 dipendenti possono essere obbligate ad adottare un canale interno di whistleblowing. L’obbligo ricorre, in particolare, quando l’organizzazione opera in uno dei settori specificamente individuati dal decreto in relazione agli atti dell’Unione europea oppure quando si tratta di un ente soggetto al D.Lgs. 231/2001 che ha adottato un Modello di organizzazione e gestione, secondo le condizioni previste dalla legge.

Per gli enti dotati di Modello 231 con meno di 50 lavoratori, il perimetro ordinario delle segnalazioni interne è circoscritto alle condotte illecite rilevanti ai sensi del decreto 231 e alle violazioni del Modello organizzativo. Non è quindi corretto presumere che tutte le imprese sotto la soglia dimensionale siano esenti dall’obbligo, né che per tutte si applichino le stesse regole.

Per stabilire se sia necessario attivare il sistema, l’impresa deve verificare la propria situazione concreta, considerando il numero medio dei lavoratori subordinati, il settore di attività e l’eventuale adozione del Modello 231. In caso di dubbio, una valutazione specialistica può aiutare a individuare gli obblighi applicabili e a progettare un sistema di segnalazione proporzionato alle caratteristiche dell’organizzazione.

Quali obblighi prevede il D.Lgs. 24/2023 per le imprese?

Il D.Lgs. 24/2023 stabilisce gli obblighi che le imprese rientranti nel suo ambito di applicazione devono rispettare per gestire le segnalazioni di violazioni conosciute nel contesto lavorativo. Tra i principali adempimenti rientrano l’istituzione di un canale interno di segnalazione, la definizione di una procedura per la ricezione e il seguito delle segnalazioni, la tutela della riservatezza e l’individuazione di un soggetto incaricato della gestione.

Le modalità organizzative devono essere coerenti con la dimensione dell’impresa, il settore in cui opera e le specifiche disposizioni applicabili. La disciplina richiede inoltre che le persone potenzialmente interessate siano informate in modo chiaro sulle modalità di segnalazione, sulle procedure disponibili e sulle condizioni per accedere alle tutele. Il sistema deve consentire la presentazione di segnalazioni scritte e orali e prevedere, su richiesta della persona segnalante, la possibilità di un incontro diretto entro un termine ragionevole. La gestione deve garantire autonomia e formazione adeguata del soggetto incaricato, oltre a un seguito diligente delle segnalazioni e al rispetto delle scadenze previste dalla legge.

Quali violazioni possono essere segnalate?

Il whistleblowing non riguarda indistintamente qualsiasi problema o controversia che si verifichi sul luogo di lavoro. Le violazioni segnalabili dipendono dal campo di applicazione del D.Lgs. 24/2023 e dalla tipologia di organizzazione. Nel settore privato, possono rientrare nella disciplina, nei casi previsti dalla legge, le violazioni di specifiche disposizioni del diritto dell’Unione europea, comprese quelle relative a determinati ambiti come la protezione dei dati personali, la sicurezza dei prodotti e la tutela dell’ambiente, nonché le condotte che ledono gli interessi finanziari dell’Unione europea o incidono sul mercato interno.

Rientrano inoltre nel perimetro previsto per i soggetti interessati le condotte illecite rilevanti ai sensi del D.Lgs. 231/2001 e le violazioni del relativo Modello di organizzazione e gestione. È quindi importante evitare di applicare un’unica classificazione a tutte le imprese senza aver prima verificato i requisiti normativi pertinenti. La corretta individuazione delle violazioni segnalabili è essenziale per predisporre istruzioni chiare e consentire alle persone di comprendere quando utilizzare il canale. In fase di adeguamento, l’impresa deve quindi definire il perimetro applicabile alla propria situazione e descriverlo nella procedura interna, senza estendere automaticamente la disciplina a qualsiasi contestazione individuale o problematica lavorativa.

Come deve essere organizzato il canale interno di segnalazione?

Il canale interno di whistleblowing deve essere progettato in modo da tutelare la riservatezza dell’identità della persona segnalante, della persona coinvolta e di chiunque sia menzionato nella segnalazione, nonché del contenuto e della relativa documentazione. La gestione può essere affidata a una persona o a un ufficio interno autonomo, con personale specificamente formato, oppure a un soggetto esterno autonomo e adeguatamente formato. La scelta deve consentire una gestione imparziale e ridurre il rischio di conflitti di interesse.

L’impresa deve inoltre predisporre una procedura che disciplini la ricezione, le eventuali richieste di integrazione, il seguito delle segnalazioni e le comunicazioni alla persona segnalante, nel rispetto dei termini previsti dal decreto. Prima dell’attivazione del canale interno devono essere sentite le rappresentanze o le organizzazioni sindacali individuate dalla normativa. Una piattaforma informatica può agevolare la gestione delle segnalazioni, ma deve essere inserita in un processo organizzativo definito, con accessi limitati ai soggetti autorizzati, adeguate misure di protezione dei dati e responsabilità chiaramente assegnate.

Chi può effettuare una segnalazione whistleblowing?

La possibilità di effettuare una segnalazione whistleblowing non è riservata esclusivamente ai dipendenti dell’impresa. Il D.Lgs. 24/2023 riconosce le tutele previste dalla disciplina a diverse categorie di persone che acquisiscono informazioni sulle violazioni nel proprio contesto lavorativo, anche quando il rapporto con l’organizzazione non è di tipo subordinato. Tra i soggetti che possono rientrare nell’ambito di protezione figurano:

• lavoratori dipendenti, sia del settore pubblico sia di quello privato;
• lavoratori autonomi, liberi professionisti e consulenti che svolgono attività per l’organizzazione;
• collaboratori e lavoratori di fornitori che operano nel contesto lavorativo interessato;
• volontari e tirocinanti, anche quando l’attività non è retribuita;
• azionisti e persone che ricoprono funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza.

Le tutele possono applicarsi anche a persone il cui rapporto lavorativo non è ancora iniziato o è già terminato. Rientrano infatti nell’ambito previsto dalla legge, alle condizioni stabilite dal decreto, anche le informazioni acquisite durante la selezione o in altre fasi preliminari all’instaurazione del rapporto, nel periodo di prova e dopo la sua cessazione. La protezione può inoltre estendersi ai facilitatori, ossia alle persone che assistono il segnalante nel processo di segnalazione in un contesto lavorativo e in modo riservato, nonché ad altri soggetti individuati dalla normativa, come le persone legate al segnalante da particolari rapporti o gli enti di sua proprietà, nei casi previsti dalla legge.

Per le imprese, conoscere le categorie potenzialmente tutelate è importante per definire correttamente le informazioni da fornire e le modalità di accesso al canale interno. La procedura deve essere chiara e accessibile ai soggetti interessati, evitando di limitare impropriamente la possibilità di segnalazione ai soli dipendenti o di estendere le tutele al di fuori delle condizioni stabilite dal D.Lgs. 24/2023.

Quali tutele spettano al segnalante whistleblowing?

Il D.Lgs. 24/2023 prevede specifiche tutele per il segnalante whistleblowing, con l’obiettivo di consentire alle persone di segnalare violazioni senza subire conseguenze negative per aver utilizzato correttamente i canali previsti dalla legge. Le principali garanzie riguardano la riservatezza dell’identità, il divieto di ritorsione e la protezione delle persone che, in presenza delle condizioni stabilite dalla normativa, effettuano una segnalazione interna o esterna, oppure una divulgazione pubblica. La riservatezza riguarda l’identità della persona segnalante, il contenuto della segnalazione e le informazioni da cui tale identità può essere ricavata, direttamente o indirettamente. L’accesso ai dati deve essere limitato ai soggetti autorizzati e la loro divulgazione è consentita soltanto nei casi e con le modalità previsti dalla legge.

Riservatezza e divieto di ritorsione: le principali tutele

Queste misure contribuiscono a ridurre il rischio che la persona segnalante subisca pressioni o conseguenze negative in ambito professionale. Un’altra garanzia fondamentale è il divieto di ritorsione. Non sono ammesse misure pregiudizievoli collegate alla segnalazione, come il licenziamento, la sospensione, la mancata promozione, il demansionamento o altri comportamenti che possano danneggiare la persona nel contesto lavorativo.

La normativa contempla anche ulteriori forme di ritorsione, la cui valutazione dipende dalle circostanze concrete e dal collegamento con la segnalazione. Per beneficiare delle tutele, la persona deve avere, al momento della segnalazione, fondati motivi per ritenere vere le informazioni sulle violazioni e che queste rientrino nell’ambito di applicazione della disciplina. Deve inoltre utilizzare un canale previsto dalla legge e rispettare le relative condizioni. Le protezioni non richiedono che la violazione segnalata venga necessariamente confermata: una segnalazione che si rivela infondata non comporta automaticamente la perdita delle tutele o una sanzione per chi l’ha effettuata.

Diverso è il caso in cui venga accertata, anche con sentenza di primo grado, la responsabilità penale della persona segnalante per i reati di diffamazione o calunnia, oppure la sua responsabilità civile, per lo stesso titolo, nei casi di dolo o colpa grave. In queste circostanze, il decreto prevede la perdita delle tutele e specifiche conseguenze disciplinari, secondo quanto stabilito dalla legge. Per le imprese, garantire queste protezioni significa predisporre procedure che impediscano accessi non autorizzati alle segnalazioni, assicurino una gestione imparziale e consentano di prevenire e affrontare eventuali ritorsioni.

Come gestire le segnalazioni: tempi, procedure e privacy

La corretta gestione delle segnalazioni whistleblowing richiede procedure definite, responsabilità chiare e misure adeguate a proteggere le informazioni ricevute. Le imprese soggette al D.Lgs. 24/2023 devono organizzare il processo in modo da garantire la riservatezza del segnalante e delle altre persone coinvolte, assicurare un seguito diligente alle segnalazioni e rispettare le scadenze previste dalla normativa.

È inoltre necessario disciplinare l’accesso alla documentazione, il trattamento dei dati personali e la conservazione delle informazioni, evitando che soggetti non autorizzati possano consultarle o divulgarle. La procedura interna deve indicare come presentare una segnalazione, chi è responsabile della sua gestione e quali passaggi vengono seguiti dopo la ricezione. Il gestore deve poter svolgere le proprie attività con autonomia e imparzialità, mantenere il dialogo con la persona segnalante quando necessario e fornire le comunicazioni previste dalla legge. La gestione deve essere documentata in modo adeguato, nel rispetto degli obblighi di riservatezza e delle regole applicabili alla protezione dei dati personali.

Entro quanto tempo bisogna rispondere a una segnalazione?

Il D.Lgs. 24/2023 stabilisce termini precisi per la gestione delle segnalazioni attraverso il canale interno. Il soggetto incaricato deve confermare la ricezione, seguire la segnalazione e fornire un riscontro alla persona segnalante entro le scadenze previste. In particolare, la procedura deve rispettare questi termini:

• Entro sette giorni dalla ricezione: il gestore invia alla persona segnalante l’avviso di ricevimento della segnalazione.
• Durante la gestione: il gestore mantiene, se necessario, le interlocuzioni con il segnalante e può richiedere ulteriori informazioni o integrazioni utili all’istruttoria.
• Entro tre mesi: il gestore fornisce un riscontro alla persona segnalante a decorrere dall’avviso di ricevimento oppure, in mancanza di tale avviso, dalla scadenza del termine di sette giorni dalla presentazione della segnalazione.

Il riscontro entro tre mesi non coincide necessariamente con la conclusione definitiva di tutti gli accertamenti. Può riguardare le attività svolte, quelle programmate o il seguito dato alla segnalazione, nel rispetto dei limiti di riservatezza e delle disposizioni applicabili.

Come devono essere protetti e conservati i dati delle segnalazioni?

La gestione del whistleblowing e della privacy richiede particolare attenzione perché le segnalazioni possono contenere dati personali del segnalante, delle persone coinvolte e di altri soggetti menzionati, oltre a informazioni riservate relative all’organizzazione. L’impresa deve adottare misure tecniche e organizzative adeguate per impedire accessi non autorizzati, divulgazioni indebite o utilizzi dei dati incompatibili con le finalità della procedura.

L’accesso alle segnalazioni e alla relativa documentazione deve essere consentito esclusivamente ai soggetti autorizzati e nei limiti delle rispettive competenze. Il trattamento dei dati personali deve rispettare il Regolamento generale sulla protezione dei dati (GDPR) e le disposizioni specifiche del D.Lgs. 24/2023, tenendo conto dei principi di necessità, proporzionalità e limitazione della conservazione. Anche la scelta di una piattaforma informatica deve essere valutata in relazione alla sicurezza del sistema, alla gestione delle autorizzazioni e alla protezione delle informazioni trattate.

La normativa stabilisce inoltre che le segnalazioni e la relativa documentazione siano conservate per il tempo necessario alla gestione e, comunque, non oltre cinque anni dalla comunicazione dell’esito finale della procedura di segnalazione. Il termine massimo non implica, quindi, che ogni documento debba essere conservato obbligatoriamente per cinque anni: la durata effettiva deve essere commisurata alle finalità e agli obblighi applicabili. Per assicurare la conformità, l’impresa deve integrare le regole di conservazione nella procedura interna, definire chi può consultare i dati e verificare che gli strumenti utilizzati offrano garanzie adeguate. La protezione delle informazioni è infatti un elemento essenziale per preservare la riservatezza, rafforzare la fiducia nel canale e ridurre i rischi connessi alla gestione delle segnalazioni.

Quando si può utilizzare il canale esterno ANAC?

Il canale esterno di segnalazione ANAC consente di segnalare determinate violazioni direttamente all’Autorità Nazionale Anticorruzione, ma il suo utilizzo è subordinato alle condizioni previste dal D.Lgs. 24/2023. La possibilità di ricorrere al canale esterno dipende dalla tipologia di violazione e dalla presenza di specifici presupposti stabiliti dalla legge. Non è quindi un’alternativa liberamente utilizzabile in qualsiasi circostanza, né riguarda indistintamente tutte le controversie che possono insorgere in ambito lavorativo. Le modalità operative sono illustrate nelle Linee guida ANAC sul whistleblowing.

Il ricorso al canale esterno è consentito quando ricorre almeno una delle condizioni previste dalla normativa, tra cui:

• assenza del canale interno obbligatorio, mancata attivazione oppure presenza di un canale non conforme ai requisiti stabiliti dalla legge;
• mancato seguito a una precedente segnalazione interna, quando non sono state intraprese le attività richieste o non è stato fornito il riscontro previsto;
• fondati motivi per ritenere inefficace la segnalazione interna oppure per temere il rischio di ritorsioni in caso di utilizzo del canale interno;
• fondato motivo di ritenere che la violazione costituisca un pericolo imminente o palese per il pubblico interesse.

Quali sono le condizioni per ricorrere direttamente all’ANAC?

La legge non impone quindi, in ogni situazione, di segnalare prima all’interno dell’organizzazione. In presenza dei presupposti previsti dal decreto, la persona può utilizzare direttamente il canale esterno ANAC. È tuttavia necessario verificare che la segnalazione riguardi violazioni comprese nell’ambito di applicazione della disciplina e che sussistano le condizioni richieste per questa modalità.

La divulgazione pubblica, ad esempio attraverso la stampa o altri mezzi capaci di raggiungere un numero elevato di persone, segue invece regole specifiche e può essere effettuata con le tutele previste dalla legge soltanto in presenza dei relativi presupposti. Non deve quindi essere confusa con la segnalazione esterna all’ANAC. Le informazioni sulle modalità di segnalazione, sui canali disponibili e sui relativi presupposti devono essere chiare e facilmente reperibili dalle persone interessate.

Quali sanzioni sono previste per le aziende inadempienti?

Il D.Lgs. 24/2023 prevede sanzioni amministrative per le violazioni degli obblighi in materia di whistleblowing. L’Autorità Nazionale Anticorruzione (ANAC) può applicare sanzioni pecuniarie da 10.000 a 50.000 euro nei casi previsti dall’articolo 21 del decreto, tra cui la mancata istituzione dei canali di segnalazione, l’assenza o la non conformità delle procedure, la violazione dell’obbligo di riservatezza e l’adozione di misure ritorsive nei confronti delle persone segnalanti. In particolare, l’intervento di ANAC può riguardare le seguenti violazioni:

• Mancata attivazione del canale interno: l’organizzazione non istituisce un sistema di segnalazione pur essendo soggetta all’obbligo previsto dalla normativa.
• Procedure non conformi: il sistema adottato non rispetta i requisiti applicabili in materia di gestione delle segnalazioni e tutela della riservatezza.
• Violazione della riservatezza: l’identità della persona segnalante o le informazioni protette vengono divulgate in violazione delle disposizioni applicabili.
• Ritorsioni e ostacoli alla segnalazione: vengono adottate misure pregiudizievoli nei confronti del segnalante oppure si tenta di impedire o ostacolare la presentazione di una segnalazione.
• Mancata gestione delle segnalazioni: l’organizzazione non svolge le attività di verifica e analisi richieste dalla disciplina.

Le conseguenze per l’impresa non si limitano, tuttavia, all’eventuale sanzione pecuniaria. Un sistema di whistleblowing aziendale inadeguato può evidenziare carenze nei controlli interni, nella gestione dei rischi e nei processi di compliance.

Per ridurre il rischio di inadempienze, le aziende devono verificare non soltanto la presenza di un canale interno, ma anche la sua effettiva conformità alla normativa, l’autonomia del soggetto incaricato della gestione, la protezione dei dati e il rispetto delle tempistiche previste. Una revisione periodica delle procedure consente di individuare eventuali criticità e di mantenere il sistema aggiornato rispetto agli obblighi applicabili.

Come adeguare l’azienda alla normativa sul whistleblowing?

Per adeguarsi al D.Lgs. 24/2023, un’impresa deve verificare gli obblighi applicabili alla propria organizzazione e predisporre un sistema di whistleblowing aziendale conforme alla normativa. Per verificare la conformità del sistema, è utile partire da alcuni aspetti fondamentali:

• Verifica degli obblighi normativi: individuare se l’impresa rientra nel campo di applicazione del decreto, considerando il numero di lavoratori, l’attività svolta e l’eventuale presenza di un Modello organizzativo 231.
• Definizione delle procedure: stabilire come presentare le segnalazioni, chi è incaricato di gestirle e quali attività devono essere svolte dopo la ricezione.
• Scelta del canale interno: individuare una soluzione che consenta di ricevere e gestire le segnalazioni nel rispetto dei requisiti di riservatezza e accessibilità previsti dalla normativa.
• Individuazione del gestore: affidare la gestione a una persona o a un ufficio interno autonomo e adeguatamente formato oppure a un soggetto esterno in possesso dei requisiti richiesti.
• Protezione dei dati personali: definire le modalità di accesso, trattamento e conservazione delle informazioni contenute nelle segnalazioni.
• Monitoraggio e aggiornamento: verificare periodicamente l’efficacia delle procedure e adeguarle in caso di modifiche normative o organizzative.

Un ulteriore aspetto riguarda il coordinamento del canale whistleblowing con il Modello 231 e con gli altri presidi di controllo aziendale. Quando presente, il modello deve essere coerente con le procedure di segnalazione e con il sistema disciplinare applicabile. È inoltre importante informare i soggetti interessati sulle modalità di utilizzo del canale e sulle tutele previste, affinché il sistema sia effettivamente accessibile e comprensibile.

Perché affidarsi a una consulenza whistleblowing per la propria azienda?

Affidarsi a una consulenza whistleblowing può aiutare l’impresa a interpretare correttamente gli obblighi applicabili, individuare eventuali carenze e organizzare un sistema adeguato alle proprie esigenze. Il supporto di un consulente consente di affrontare in modo coordinato gli aspetti normativi, organizzativi e procedurali, riducendo il rischio di adottare soluzioni incomplete o non coerenti con la disciplina vigente.

Il servizio può comprendere, in funzione delle esigenze aziendali, l’analisi degli obblighi applicabili, la revisione o la predisposizione delle procedure interne, il supporto nella scelta del canale di segnalazione e la verifica del coordinamento con il Modello 231 e con gli altri processi di compliance. L’obiettivo è realizzare un sistema di whistleblowing conforme alla normativa, sostenibile per l’organizzazione e gestibile nel tempo.

Se la tua azienda deve attivare un canale di segnalazione o desidera verificare la conformità di quello esistente, Just Consulting può aiutarti a valutare gli adempimenti necessari e a individuare gli interventi più adatti alla tua organizzazione. Contatta Just Consulting per approfondire le esigenze della tua impresa e valutare un percorso di adeguamento al whistleblowing.