Whistleblowing aziendale

Il D.Lgs. 24/2023 ha recepito la Direttiva UE 2019/1937 e ha reso obbligatorio, per una platea molto ampia di organizzazioni, un canale di segnalazione interna che protegga chi segnala violazioni. Non è un adempimento formale da archiviare in una cartella: è una procedura che deve funzionare davvero il giorno in cui arriva la prima segnalazione, e che l’ANAC può verificare.

Emmess accompagna le organizzazioni sull’intero percorso: analisi degli obblighi, scelta e configurazione del canale, redazione della procedura, formazione del personale, integrazione con il Modello 231 e con il sistema privacy. Dove serve, assumiamo anche il ruolo di gestore esterno delle segnalazioni.

Che cosa facciamo, in concreto

Il whistleblowing si chiude in poche settimane se lo si affronta nell’ordine giusto. Questo è il lavoro che facciamo, e potete prenderlo tutto o solo il pezzo che vi manca.

• Analisi degli obblighi e gap analysis. Verifichiamo se e a che titolo rientrate, esaminiamo le procedure già in essere e produciamo un elenco puntuale di che cosa manca, con i tempi per metterlo a posto. La prima verifica non ha costo e non vi impegna a nulla.
• Progettazione e scelta del canale. Piattaforma informatica con crittografia e possibilità di segnalazione anonima, oppure soluzione mista; flussi di gestione, matrice dei ruoli, registro delle segnalazioni, conservazione e cancellazione.
• Redazione della procedura. Policy completa, informativa ai lavoratori e ai terzi, istruzioni operative per il gestore, modelli di avviso di ricevimento e di riscontro, criteri di ammissibilità della segnalazione.
• Integrazione con il Modello 231. Aggiornamento della parte generale, dei flussi informativi verso l’Organismo di Vigilanza e del sistema disciplinare, come richiede l’articolo 6 comma 2-bis del D.Lgs. 231/01. Dove c’è un sistema di gestione anticorruzione, allineiamo la procedura ai requisiti della ISO 37001.
• Impianto privacy del canale. Base giuridica, informativa dedicata, designazione del fornitore della piattaforma a responsabile del trattamento, tempi di conservazione e valutazione d’impatto. È la parte che più spesso manca del tutto.
• Formazione differenziata. Per i lavoratori (che cosa si può segnalare, come, quali tutele si hanno), per i responsabili (che cosa non si deve fare) e per il gestore (istruttoria, riservatezza, rapporti con l’ANAC). Le sessioni si integrano con i percorsi di formazione su privacy e GDPR.
• Gestore esterno delle segnalazioni. Assumiamo noi il ruolo, con presidio continuo, istruttoria documentata e reportistica periodica alla direzione e all’OdV. È la scelta di chi vuole indipendenza reale, soprattutto nelle organizzazioni piccole dove tutti si conoscono.

Per un’organizzazione di media dimensione il percorso completo — analisi, procedura, configurazione del canale, formazione — sta in quattro-sei settimane. Se il Modello 231 va aggiornato in parallelo, si allunga di poco.

Chi è obbligato ad adeguarsi

La soglia dei cinquanta dipendenti è solo una delle quattro porte d’ingresso, ed è quella che fa perdere di vista le altre tre. Un ente con venti persone e un Modello 231 è obbligato esattamente come un’azienda con duecento.

Le aziende tra 50 e 249 dipendenti possono condividere il canale e la sua gestione con altre organizzazioni: è una possibilità prevista espressamente dal decreto e, per i gruppi e i consorzi, riduce sensibilmente i costi.

Che cosa chiede la norma

Il canale deve garantire la riservatezza dell’identità del segnalante, della persona coinvolta o menzionata e del contenuto della segnalazione, con strumenti idonei anche sul piano informatico. La segnalazione può essere scritta o orale — e su richiesta del segnalante va previsto un incontro diretto.

La gestione va affidata a un soggetto gestore, interno o esterno, autonomo e formato in modo specifico. I tempi non sono discrezionali: sono scritti nel decreto, e sono il primo punto che si controlla in caso di verifica.

Accanto al canale interno esistono il canale esterno gestito dall’ANAC e, a determinate condizioni, la divulgazione pubblica. È un punto che conviene conoscere: se il canale interno non c’è, non funziona o non dà riscontro, il segnalante è legittimato a rivolgersi direttamente all’Autorità.

Il divieto di ritorsione è assoluto e coperto da un’inversione dell’onere della prova: licenziamento, demansionamento, mancata promozione, trasferimento, cambio di mansioni, note negative, mancato rinnovo di un contratto a termine. Spetta al datore di lavoro dimostrare che il provvedimento è estraneo alla segnalazione.

Whistleblowing e privacy: il punto che si sottovaluta

Un canale di segnalazione tratta dati personali particolarmente delicati, spesso relativi a condanne penali e reati. Servono quindi una base giuridica corretta, un’informativa dedicata, la designazione a responsabile del trattamento del fornitore della piattaforma, tempi di conservazione definiti e — nella quasi totalità dei casi — una valutazione d’impatto (DPIA). È esattamente il terreno su cui lavoriamo ogni giorno con gli incarichi di DPO esterno e consulenza GDPR: la procedura whistleblowing e il sistema privacy vanno costruiti insieme, non uno dopo l’altro.

Sanzioni

L’ANAC applica sanzioni amministrative da 10.000 a 50.000 euro quando accerta ritorsioni, quando la segnalazione è stata ostacolata o si è tentato di ostacolarla, quando è stato violato l’obbligo di riservatezza. Lo stesso intervallo si applica a chi non ha istituito il canale, non ha adottato le procedure o le ha adottate in modo non conforme, oppure non ha svolto l’attività di verifica e analisi delle segnalazioni ricevute.

Una sanzione da 500 a 2.500 euro è prevista a carico del segnalante quando ne sia accertata la responsabilità penale per diffamazione o calunnia, o la responsabilità civile a titolo di dolo o colpa grave.

Perché sceglierci

Il whistleblowing non vive da solo: sta al centro fra il Modello 231, l’anticorruzione, la privacy e la sicurezza delle informazioni. Emmess presidia tutti questi ambiti con lo stesso gruppo di lavoro, quindi la procedura che vi consegniamo parla la stessa lingua degli altri documenti aziendali invece di contraddirli.

Abbiamo referenze su enti pubblici e società partecipate — dove la disciplina è più stringente e la vigilanza dell’ANAC più attenta — e sull’industria privata. In entrambi i casi, la parte difficile non è scrivere la procedura: è farla usare senza che le persone abbiano paura di usarla.

Che il metodo regga lo dicono i rinnovi, non noi: nel 2025 il 98,97% dei contratti è stato rinnovato dai clienti.

Domande frequenti sul whistleblowing

La mia azienda ha 30 dipendenti ma ha il Modello 231. Deve adeguarsi?
Sì. L’obbligo di attivare il canale interno riguarda anche gli enti con MOG 231 sotto i 50 dipendenti, con un ambito circoscritto alle violazioni rilevanti ai sensi del decreto 231 e del modello.

Posso usare una semplice casella di posta elettronica?
Tecnicamente il decreto non impone una piattaforma, ma impone un risultato: riservatezza garantita, accesso limitato al solo gestore, tracciabilità dei termini di 7 giorni e 3 mesi. Una casella di posta condivisa non regge nessuna di queste tre cose. Con una piattaforma dedicata il costo è contenuto e la prova di conformità è immediata.

Le segnalazioni anonime vanno gestite?
Il decreto non le equipara a quelle nominative, ma vanno trattate secondo la procedura interna e, se il segnalante anonimo viene poi identificato e subisce ritorsioni, le tutele si applicano comunque. Conviene quindi prevederle e registrarle.

Il segnalante è protetto anche se la segnalazione risulta infondata?
Sì, purché al momento della segnalazione avesse ragionevole motivo di ritenere vere le informazioni. La tutela cade in caso di responsabilità penale per calunnia o diffamazione, o di dolo o colpa grave.

Quanto tempo serve per essere in regola?
Per un’organizzazione di media dimensione, dalle quattro alle sei settimane: analisi, procedura, configurazione del canale, formazione. Se il Modello 231 va aggiornato in parallelo, il percorso si allunga di poco.