Una segnalazione gestita male può esporre l’impresa a sanzioni, contenziosi e perdita di fiducia interna. Il problema non nasce soltanto quando manca il canale, ma anche quando la procedura esiste sulla carta e non funziona nella pratica.
Il whistleblowing PMI richiede regole chiare, ruoli definiti e una gestione riservata dei dati. Per molte piccole e medie imprese, il primo passaggio utile è verificare se l’obbligo è già applicabile e se l’organizzazione attuale è coerente con il D.Lgs. 24/2023.
Whistleblowing PMI: quando il canale interno è obbligatorio
Nel settore privato, l’obbligo di attivare un canale interno riguarda gli enti che hanno impiegato, nell’ultimo anno, una media di almeno 50 lavoratori subordinati, a tempo determinato o indeterminato. Per queste aziende, il canale non è un’opzione organizzativa, ma un adempimento previsto dalla legge.
L’applicazione della disciplina alle imprese private tra 50 e 249 dipendenti è divenuta effettiva dal 17 dicembre 2023, come ricorda l’approfondimento sugli obblighi whistleblowing per le PMI.
Imprese obbligate anche sotto i 50 dipendenti
La soglia numerica non è l’unico criterio. Il canale interno è richiesto anche alle imprese con meno di 50 dipendenti quando operano in settori regolati dalla normativa europea, tra cui servizi finanziari, prevenzione del riciclaggio, sicurezza dei trasporti, tutela ambientale e protezione dei consumatori.
L’obbligo riguarda anche le società che hanno adottato un Modello di Organizzazione, Gestione e Controllo ai sensi del D.Lgs. 231/2001. In questo caso, le segnalazioni possono riguardare violazioni del Modello 231 e condotte illecite rilevanti ai fini della responsabilità dell’ente.
La soglia va verificata con dati reali
Non basta guardare al numero di persone presenti in azienda in un singolo mese. Occorre ricostruire la media dei lavoratori subordinati impiegati nell’anno precedente, verificando assunzioni, cessazioni, contratti a termine e variazioni dell’organico.
Una PMI che cresce rapidamente può superare la soglia senza aggiornare le proprie procedure. È un errore frequente. La gestione del personale, le presenze e i dati utilizzati per l’elaborazione delle paghe devono fornire un quadro coerente dell’organico effettivo.
Il canale interno deve essere accessibile e riservato
Un indirizzo e-mail generico, controllato da più persone e privo di regole di accesso, non è un canale adeguato. La segnalazione deve poter essere trasmessa in forma scritta oppure orale, anche tramite incontro diretto richiesto dal segnalante entro un termine ragionevole.
Il canale deve proteggere l’identità del segnalante, della persona coinvolta, delle persone citate e del contenuto della segnalazione. La riservatezza non è una formula inserita nella policy, ma una condizione che deve trovare riscontro nei permessi di accesso, nei sistemi utilizzati e nelle istruzioni operative.
Piattaforma, posta dedicata o incontro personale
Molte imprese utilizzano piattaforme dedicate che permettono di inviare documenti, scambiare messaggi e mantenere una comunicazione protetta con il segnalante. Non esiste un software imposto dalla legge, ma lo strumento scelto deve essere proporzionato ai rischi e alla struttura aziendale.
Una casella e-mail dedicata può essere utilizzata solo se le credenziali, gli accessi e la conservazione dei messaggi sono regolati con precisione. Il personale non autorizzato non deve poter leggere, inoltrare o scaricare la documentazione.
Le linee guida ANAC sui canali di segnalazione sono un riferimento utile per impostare procedure e misure di tutela coerenti con il decreto.
Chi può gestire le segnalazioni
La gestione può essere affidata a una persona interna autonoma e formata, a un ufficio dedicato oppure a un soggetto esterno. Chi riceve la segnalazione deve conoscere la procedura, trattare i dati con riservatezza e mantenere un comportamento imparziale.
Prima dell’attivazione del canale, l’azienda deve consultare le rappresentanze o le organizzazioni sindacali comparativamente più rappresentative. Nelle realtà di gruppo con meno di 249 lavoratori è possibile valutare un canale condiviso, nei limiti previsti dalla normativa, come chiarito anche nell’analisi sul canale whistleblowing condiviso nei gruppi.
Procedura whistleblowing: ricezione, istruttoria e riscontro
Il whistleblowing nelle PMI non si esaurisce con l’attivazione di una piattaforma. Serve una procedura scritta, resa conoscibile ai destinatari, che indichi cosa accade dopo l’invio della segnalazione e chi prende le decisioni nelle diverse fasi.
La persona incaricata deve inviare un avviso di ricevimento entro sette giorni. Non significa anticipare l’esito dell’istruttoria, ma confermare che la comunicazione è stata presa in carico.
Le fasi di una gestione ordinata
Una procedura efficace può seguire un percorso lineare:
- La segnalazione viene ricevuta, protocollata e resa accessibile soltanto al gestore autorizzato.
- Viene svolta una verifica preliminare per accertare se il fatto rientra nel perimetro del D.Lgs. 24/2023.
- Il gestore acquisisce documenti e chiarimenti, limitando le richieste ai dati realmente necessari.
- L’azienda definisce le misure conseguenti, archivia la pratica o avvia gli approfondimenti disciplinari, organizzativi o legali necessari.
L’istruttoria non deve trasformarsi in un’indagine indiscriminata sul personale. Ogni richiesta documentale deve avere un collegamento concreto con i fatti segnalati.
Il riscontro entro tre mesi
Entro tre mesi dall’avviso di ricevimento, il segnalante deve ricevere un riscontro. Se non è stato inviato l’avviso, il termine decorre dalla scadenza dei sette giorni successivi alla presentazione.
Il riscontro può comunicare l’avvio delle verifiche, la chiusura dell’istruttoria o le misure già adottate. Non deve contenere dati riservati, elementi che possano identificare altri soggetti o informazioni che compromettano eventuali verifiche.
Il riscontro entro tre mesi non richiede che l’indagine sia sempre conclusa, ma impone all’azienda di dimostrare che la segnalazione ha ricevuto un seguito concreto.
Chi può segnalare e quali fatti rientrano nella tutela
I dipendenti non sono gli unici soggetti legittimati a segnalare. La protezione può riguardare anche lavoratori autonomi, collaboratori, consulenti, fornitori, volontari, tirocinanti, azionisti, amministratori e persone che esercitano funzioni di direzione o controllo.
La tutela opera anche durante la selezione, nel periodo di prova e dopo la cessazione del rapporto, quando le informazioni sono state acquisite nel contesto lavorativo.
Le violazioni rilevanti
La segnalazione deve riguardare violazioni di disposizioni nazionali o dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’ente. Possono assumere rilievo, ad esempio, violazioni in materia di appalti, sicurezza dei prodotti, ambiente, protezione dei dati, servizi finanziari, concorrenza o frodi.
Nel caso delle aziende con Modello 231, assumono rilievo anche le condotte contrarie al Modello e i reati presupposto previsti dal decreto.
Le contestazioni personali non bastano
Un conflitto individuale su ferie, inquadramento, retribuzione, turni o rapporti con il responsabile non rientra automaticamente nel whistleblowing. Se la questione riguarda soltanto l’interesse personale del lavoratore, deve essere gestita con gli strumenti ordinari del rapporto di lavoro.
Questo non riduce l’importanza del problema segnalato. Significa usare il canale corretto. Una contestazione disciplinare, una richiesta di differenze retributive o una vertenza individuale richiedono documenti, tempi e interlocutori diversi.
Privacy, Modello 231 e documentazione aziendale
La procedura deve indicare quali dati vengono trattati, chi può consultarli, per quanto tempo vengono conservati e con quali misure di sicurezza. L’impresa tratta spesso informazioni delicate, comprese accuse, documenti interni e dati relativi a persone non direttamente coinvolte.
La conservazione della documentazione non può protrarsi oltre il tempo necessario alla gestione della segnalazione e, in ogni caso, non oltre cinque anni dalla comunicazione dell’esito finale della procedura.
Dati limitati e accessi controllati
Il gestore deve raccogliere soltanto i dati pertinenti. Informazioni manifestamente estranee alla segnalazione devono essere eliminate o rese non identificabili. Anche le credenziali del sistema, i log di accesso e le autorizzazioni interne devono essere verificati periodicamente.
Quando il trattamento presenta rischi elevati per diritti e libertà delle persone, l’azienda deve valutare l’eventuale necessità di una valutazione d’impatto sulla protezione dei dati. Informativa privacy, nomine e istruzioni al personale devono essere coerenti con la procedura adottata.
Coerenza con il Modello 231 e i flussi HR
Nelle società dotate di Modello 231, il canale di segnalazione deve essere coordinato con l’Organismo di Vigilanza, il sistema disciplinare, le deleghe aziendali e i protocolli interni. Non è corretto affidare ogni segnalazione al responsabile HR se il fatto lo riguarda o se può incidere sulla sua imparzialità.
La procedura deve collegare ciò che avviene in azienda ai documenti formali. Un regolamento ordinato, ma scollegato dai flussi reali, non protegge l’impresa durante una verifica.
Errori ricorrenti e sanzioni per le imprese
Le criticità più frequenti sono prevedibili: canale attivo ma non comunicato ai lavoratori, procedura senza tempi di risposta, accessi condivisi, assenza di formazione del gestore, mancata consultazione sindacale e archiviazioni prive di motivazione.
Un altro errore consiste nel confondere la riservatezza con l’assenza di istruttoria. Proteggere il segnalante non significa sospendere ogni verifica. Significa svolgerla senza divulgazioni improprie e senza comportamenti ritorsivi.
Le conseguenze previste dal decreto
ANAC può applicare sanzioni amministrative pecuniarie da 10.000 a 50.000 euro quando accerta ritorsioni, ostacoli alla segnalazione, violazioni dell’obbligo di riservatezza, mancata attivazione del canale o gestione non conforme delle segnalazioni.
La sanzione da 500 a 2.500 euro può riguardare il segnalante quando, con dolo o colpa grave, sia accertata la falsità della segnalazione. Ogni situazione richiede una valutazione documentata e proporzionata.
Per imprese con sede a Roma e provincia, oppure nelle Marche, ad Ancona, Pesaro e Urbino, Macerata, Fermo e Ascoli Piceno, l’adeguamento può essere inserito in una verifica più ampia dei processi HR, delle deleghe e della gestione amministrativa. I nostri servizi di consulenza del lavoro aiutano l’azienda a coordinare procedure, rapporti di lavoro e adempimenti con criteri chiari.
Una procedura corretta tutela persone e impresa
Il whistleblowing PMI richiede un canale accessibile, una gestione autonoma e riservata, tempi certi e documentazione coerente. L’obbligo non si risolve con un modulo pubblicato sul sito o con una casella e-mail priva di controlli.
Una procedura costruita sulla reale organizzazione aziendale riduce i rischi di sanzione e permette di affrontare le segnalazioni con ordine, riservatezza e tracciabilità.
Per verificare canale, policy, ruoli e collegamenti con la gestione del personale, puoi Richiedi una consulenza. La conformità nasce dalla coerenza tra regole scritte e attività quotidiane.
Domande frequenti sul whistleblowing nelle PMI
Una PMI con meno di 50 dipendenti deve attivare il canale?
Sì, se ha adottato un Modello 231 oppure se opera in uno dei settori indicati dal D.Lgs. 24/2023. Negli altri casi, l’obbligo ordinario nel settore privato scatta al raggiungimento della media di 50 lavoratori subordinati nell’anno precedente.
Il canale può essere gestito dal consulente esterno?
Sì. La gestione può essere affidata a un soggetto esterno, purché siano rispettati riservatezza, autonomia, formazione e corretta gestione della procedura. L’incarico deve definire compiti, accessi, comunicazioni e responsabilità.
Un dipendente può segnalare direttamente ad ANAC?
La segnalazione esterna ad ANAC è possibile nelle condizioni previste dalla legge, ad esempio quando il canale interno obbligatorio non è attivo, non offre adeguate garanzie, vi è rischio di ritorsione o un pericolo imminente per l’interesse pubblico. Il canale interno resta la via ordinaria quando è disponibile e conforme.
