Whistleblowing e canali interni di segnalazione: le nuove indicazioni ANAC tra assetti organizzativi e responsabilità degli Enti.

L’intervento si inserisce in una fase ormai matura dell’applicazione della disciplina sul whistleblowing: dopo l’entrata in vigore del decreto nel 2023, gli enti pubblici e privati hanno dovuto non solo istituire o adeguare i canali interni di segnalazione, ma anche confrontarsi, nella prassi, con una serie di questioni interpretative e operative (privacy, conflitti di interesse, raccordo con altri presìdi di controllo, responsabilità del gestore, ecc.).

In quest’ottica, le nuove Linee guida non si limitano a ribadire il dato normativo, ma forniscono un livello di dettaglio applicativo significativamente maggiore rispetto agli orientamenti precedenti, offrendo agli enti uno schema procedurale articolato e una chiave di lettura sistematica della disciplina. Rilevante, inoltre, è il contributo del Garante per la protezione dei dati personali, intervenuto nel procedimento consultivo con un parere specifico, che ha inciso su talune scelte redazionali relative alle misure di riservatezza.

1. L’architettura dei canali interni: requisiti organizzativi e tutela della riservatezza

Il decreto impone agli enti di garantire la possibilità di effettuare segnalazioni in forma scritta e orale. Le Linee guida confermano tale obbligo e ribadiscono che la scelta concreta dello strumento deve essere calibrata sulle caratteristiche dimensionali e organizzative dell’ente.

È espressa una preferenza per le piattaforme informatiche dedicate, in quanto idonee ad assicurare un più elevato livello di protezione dei dati personali lungo l’intero ciclo di vita della segnalazione. Tali strumenti, se correttamente configurati, consentono la separazione logica delle informazioni, la tracciabilità degli accessi e la gestione controllata delle comunicazioni con il segnalante.

Resta ammesso il ricorso alla posta ordinaria, purché siano adottate modalità tali da preservare la riservatezza (ad esempio, protocollazione riservata con doppia busta). Di contro, l’utilizzo della posta elettronica ordinaria o certificata viene considerato, in linea generale, inidoneo a garantire adeguati standard di riservatezza, salvo che siano implementate specifiche misure tecniche individuate nell’ambito della valutazione d’impatto sulla protezione dei dati.

Un ulteriore profilo organizzativo concerne l’obbligo di informativa preventiva alle organizzazioni sindacali in merito all’istituzione o alla modifica sostanziale del canale interno. Le Linee guida chiariscono – e confermano – che tale coinvolgimento deve precedere l’approvazione formale della procedura da parte dell’organo amministrativo e che la sua omissione può integrare una violazione sanzionabile ai sensi dell’art. 21 del decreto.

2. Il gestore delle segnalazioni: autonomia, competenze e conflitti di interesse

Elemento centrale del sistema è la figura del gestore delle segnalazioni, cui è affidata la responsabilità della ricezione, dell’analisi e del seguito delle comunicazioni.

Le Linee guida rafforzano il requisito dell’autonomia e dell’indipendenza, declinandolo in termini di imparzialità, assenza di interferenze gerarchiche e piena autonomia valutativa. A ciò si aggiunge la necessità di adeguate competenze giuridiche e organizzative, nonché una formazione specifica in materia di whistleblowing e protezione dei dati.

Una significativa innovazione è rappresentata dalla previsione espressa di un sostituto del gestore, da individuare preventivamente nella procedura interna, per far fronte a situazioni di conflitto di interessi o di assenza prolungata. La disciplina del conflitto assume così un ruolo strutturale e non meramente eventuale.

Qualora la gestione sia affidata a un organo collegiale, trova applicazione il principio di astensione del componente interessato, senza necessità di comunicazione al vertice aziendale, soluzione volta a preservare la riservatezza del procedimento.

Le Linee guida ammettono inoltre che il gestore possa avvalersi di soggetti di supporto, purché dotati di adeguata formazione e formalmente autorizzati al trattamento dei dati. Tale assetto consente di conciliare indipendenza e sostenibilità organizzativa, soprattutto negli enti di medie e grandi dimensioni.

3. Il procedimento di gestione: dalla ricevibilità all’esito

Particolarmente dettagliata è la ricostruzione delle fasi del procedimento di gestione della segnalazione, che le Linee guida articolano in momenti distinti (cfr. p. 23 LLGG), e dalla cui analisi emerge un modello procedurale improntato a formalizzazione, tracciabilità e distinzione tra funzione istruttoria e funzione decisionale.

• “avviso di ricevimento”: da inviare entro sette giorni (art. 5 comma 1 lett. a) d.lgs n. 24/2023), ha una funzione meramente informativa nei confronti della persona segnalante con riferimento alla ricezione e presa in carico della segnalazione, ma è priva di qualsiasi valutazione sul merito;
• “esame preliminare”: non limitato a un controllo formale, ma esteso alla verifica dei presupposti soggettivi e oggettivi richiesti dal decreto e alla sussistenza di contenuti minimi (descrizione circostanziata dei fatti, elementi identificativi dei soggetti coinvolti, ove noti);
• “istruttoria ed accertamento della segnalazione”: fase centrale, nella quale il gestore può svolgere verifiche, richiedere chiarimenti e coinvolgere strutture interne o consulenti esterni, nel rispetto degli obblighi di riservatezza. Le Linee guida richiamano espressamente gli standard internazionali in materia di internal investigations, riconoscendo la compatibilità di metodologie investigative strutturate (cfr. nota 37 pagina 24 LLGG).
• decisione: archiviazione motivata ovvero trasmissione agli organi competenti per l’adozione di eventuali misure correttive o disciplinari. Al gestore non compete, precisano espressamente le LL.GG., alcuna valutazione sulla responsabilità individuale;
•  “riscontro al segnalante”: da fornire entro tre mesi dalla data dell’avviso di ricevimento come previsto dall’art. 5 del decreto, con comunicazione dell’archiviazione o dell’avvenuta trasmissione agli organi competenti. Il termine non ha natura perentoria, ove giustificate esigenze istruttorie richiedano tempi più lunghi.

4. Whistleblowing e Modello 231: integrazione necessaria e flussi informativi

Le Linee guida dedicano, poi, ampio spazio al coordinamento con il sistema di responsabilità amministrativa degli enti disciplinato dal Decreto Legislativo 8 giugno 2001, n. 231 (cfr. p. 34 ss. LLGG).

Il Modello di organizzazione, gestione e controllo deve ora esplicitamente: i) descrivere il canale interno conforme al decreto whistleblowing; ii) prevedere il divieto di ritorsione e di ostacolo alla segnalazione; iii) aggiornare il sistema disciplinare con possibili sanzioni nei confronti dei responsabili degli illeciti sanzionati da ANAC.

È ammesso il rinvio a una procedura dedicata, ma il Modello deve contenere i principi essenziali richiesti dalla normativa. L’adeguatezza del sistema di segnalazione incide direttamente sull’efficacia esimente del Modello: un assetto non conforme rischia di compromettere la tenuta difensiva dell’ente.

Quanto ai rapporti con l’Organismo di Vigilanza, le Linee guida distinguono tra l’ipotesi in cui esso assuma il ruolo di gestore e quella in cui resti esterno alla gestione operativa. In quest’ultimo caso, l’OdV non può accedere direttamente alla piattaforma di segnalazione, ma deve ricevere flussi informativi strutturati, disciplinati nel Modello o nella procedura whistleblowing, in modo da consentirgli di vigilare sul funzionamento del sistema.

È inoltre raccomandata l’unicità del canale interno per tutte le segnalazioni rientranti nell’ambito del decreto, incluse quelle rilevanti ai fini 231, al fine di evitare duplicazioni e incertezze operative.

5. I gruppi societari: condivisione del canale ed esternalizzazione della funzione

Il decreto consente la condivisione del canale tra enti con non più di 249 dipendenti. Le Linee guida chiariscono che, nei gruppi, tale soluzione può tradursi in una piattaforma comune articolata in sotto-canali riferiti alle singole società, così da preservare autonomia gestionale e riservatezza.

La condivisione richiede un accordo contrattuale che disciplini compiti, responsabilità, misure tecniche e organizzative, nonché gli aspetti privacy, inclusa l’eventuale qualificazione della capogruppo quale responsabile del trattamento ai sensi del GDPR.

Per le società con oltre 249 dipendenti, la condivisione non è ammessa; resta tuttavia possibile l’esternalizzazione della gestione a un soggetto terzo, anche appartenente al gruppo, mediante contratto che definisca in modo puntuale poteri, responsabilità, tempi e modalità operative. In tale ipotesi, la responsabilità per la conformità del sistema permane in capo alla società committente.

L’ANAC mantiene in ogni caso poteri di vigilanza, sia in presenza di canali condivisi sia in caso di esternalizzazione, concentrando il controllo sul corretto funzionamento del sistema e sull’effettivo seguito delle segnalazioni.

6. Formazione e cultura organizzativa

Le Linee guida attribuiscono, infine, alla formazione un ruolo strategico (cfr. pp. 31 e ss.): essa deve riguardare sia i gestori della segnalazione — con aggiornamenti periodici su normativa, privacy e tecniche istruttorie — sia l’intero personale, affinché sia diffusa la conoscenza delle tutele e delle modalità di utilizzo del canale.

Dall’analisi di monitoraggio condotta dall’Autorità è emerso, infatti, come ancora molti Enti non abbiano pianificato né avviato iniziative di sensibilizzazione e di formazione del personale per divulgare le finalità dell’istituto del whistleblowing e la procedura per il suo utilizzo.

Vengono, a questo proposito, forniti alcuni suggerimenti da tener in considerazione per orientare l’attività formativa, la quale deve essere modulata in base al destinatario.

La formazione, precisano le LLGG, non può poi limitarsi a un’esposizione teorica, ma deve includere casi pratici coerenti con il contesto dell’ente, contribuendo a radicare una cultura dell’integrità e della segnalazione responsabile.

7. Considerazioni conclusive

Il nuovo intervento dell’ANAC segna, in defintiva, un passaggio dalla fase istitutiva del whistleblowing a una fase di consolidamento e maturazione del sistema. L’attenzione si sposta dalla mera predisposizione formale del canale alla qualità della gestione, alla prevenzione dei conflitti di interesse, alla strutturazione dei flussi informativi e all’integrazione con il Modello 231.

Ne emerge un quadro nel quale il whistleblowing non è più un adempimento isolato, ma un presidio trasversale di compliance, destinato ad incidere in modo significativo sugli assetti organizzativi e sulla responsabilità degli enti.

È importante, per questo, che le aziende dedichino uno specifico spazio di “autovalutazione” rispetto al grado di implementazione sin qui raggiunto e valutino, conseguentemente, l’opportunità di intervenire sui propri presidi organizzativi (modello e procedura Whistleblowing) per renderli (più) conformi alle nuove LLGG di ANAC.

Linee Guida ANAC c- Whistleblowing canali interni