Whistleblowing e Modello 231: quando una segnalazione diventa un test dell’organizzazione

Un canale di segnalazione non misura soltanto la capacità di intercettare gli illeciti. Rivela come un’impresa gestisce il dissenso, distribuisce le responsabilità e reagisce quando le proprie regole vengono messe alla prova. Il vero test della compliance comincia dopo la segnalazione

Immaginiamo che un dipendente segnali una prassi apparentemente consolidata: un responsabile autorizza sistematicamente pagamenti a un consulente senza verificare le prestazioni rese; le procedure di acquisto vengono aggirate per affidare incarichi a un fornitore già individuato; oppure alcune anomalie nella gestione dei rapporti con la pubblica amministrazione vengono ignorate perché considerate funzionali al raggiungimento degli obiettivi aziendali.

L’impresa dispone di un Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001, ha nominato un Organismo di Vigilanza e ha attivato una piattaforma di whistleblowing. Sulla carta, il sistema sembra completo.

Ma che cosa accade quando la segnalazione riguarda proprio un dirigente influente, un processo gestito da una funzione strategica o una condotta che potrebbe mettere in discussione risultati economici già approvati?

La risposta a questa domanda dice molto più della semplice esistenza di una procedura.

Il whistleblowing è un test di tenuta dell’organizzazione: verifica se i principi dichiarati dall’impresa sono effettivamente capaci di orientare i comportamenti, anche quando applicarli comporta costi, conflitti interni o decisioni scomode.

È in questa prospettiva che il sistema di segnalazione deve essere letto non come un adempimento autonomo, ma come una componente essenziale della governance aziendale e dell’effettività del Modello 231.

1. Il quadro normativo: il collegamento tra whistleblowing e responsabilità dell’ente

Il riferimento centrale è il D.Lgs. 10 marzo 2023, n. 24, che ha recepito nell’ordinamento italiano la Direttiva (UE) 2019/1937, disciplinando la protezione delle persone che segnalano violazioni di disposizioni normative nazionali o dell’Unione europea nell’ambito del contesto lavorativo.

La disciplina non riguarda esclusivamente le amministrazioni pubbliche o le grandi imprese: nel settore privato, gli obblighi si applicano anche agli enti che adottano un Modello 231, indipendentemente dal numero di lavoratori impiegati, ferma restando la necessità di verificare il perimetro applicativo previsto dalla legge.

Il punto di raccordo con la responsabilità amministrativa degli enti è rappresentato dall’art. 6, comma 2-bis, del D.Lgs. 231/2001, che impone ai Modelli organizzativi di prevedere, in coerenza con la disciplina del D.Lgs. 24/2023:

• canali di segnalazione interna conformi ai requisiti normativi;
• il divieto di ritorsione nei confronti del segnalante;
• il divieto di ostacolare o tentare di ostacolare la segnalazione;
• un sistema disciplinare idoneo a sanzionare le violazioni rilevanti.

Il D.Lgs. 24/2023 disciplina, inoltre, le modalità di gestione delle segnalazioni, le garanzie di riservatezza, le misure di protezione e il ruolo dell’Autorità nazionale anticorruzione (ANAC).

La disciplina prevede anche un sistema sanzionatorio. In particolare, l’art. 21 del D.Lgs. 24/2023 attribuisce ad ANAC il potere di applicare sanzioni amministrative pecuniarie, entro i limiti previsti dalla disposizione, per violazioni quali la mancata istituzione dei canali, l’assenza di procedure conformi, l’ostacolo alle segnalazioni e le ritorsioni.

Il rapporto con il Modello 231 è quindi diretto: il sistema di segnalazione deve essere coerente con il modello organizzativo e con il relativo sistema disciplinare, non semplicemente affiancato a essi.

Occorre tuttavia evitare un equivoco: una segnalazione non determina automaticamente la responsabilità dell’ente ai sensi del D.Lgs. 231/2001. Perché questa possa configurarsi devono ricorrere i presupposti previsti dalla legge, inclusi la commissione di un reato presupposto e i criteri di imputazione all’ente di cui agli artt. 5 e seguenti del decreto.

Il whistleblowing svolge una funzione diversa ma complementare: consente di intercettare tempestivamente fatti che potrebbero evidenziare una violazione, una carenza organizzativa o un rischio che richiede approfondimenti.

2. Il canale esiste. Ma l’organizzazione è davvero pronta ad ascoltare?

Una piattaforma informatica può garantire modalità riservate di trasmissione delle segnalazioni. Ma non può, da sola, assicurare che l’organizzazione sia in grado di gestirle correttamente.

Il primo elemento da verificare è l’indipendenza della gestione. Chi riceve la segnalazione deve poter operare in modo imparziale e con un livello di autonomia adeguato. Se la denuncia riguarda il responsabile della funzione che gestisce ordinariamente il canale, devono esistere meccanismi che impediscano alla persona coinvolta di accedere alla segnalazione o di condizionarne l’istruttoria.

Il secondo elemento è la riservatezza. L’identità del segnalante e le informazioni da cui essa può essere ricavata devono essere protette secondo le condizioni e le modalità previste dal D.Lgs. 24/2023. L’accesso alle informazioni deve essere limitato alle persone autorizzate e alle effettive esigenze di gestione.

Il terzo elemento è la capacità di approfondimento. Una segnalazione circostanziata non può essere archiviata perché scomoda, perché riguarda una persona con elevata seniority o perché mette in discussione un risultato aziendale.

Infine, è essenziale che la gestione sia tracciabile: devono poter essere ricostruiti gli atti compiuti, le verifiche svolte, le decisioni assunte e le relative motivazioni, nel rispetto della riservatezza e della protezione dei dati personali.

Questi elementi richiedono una procedura chiara, ruoli definiti, tempi di gestione, regole sui conflitti di interesse e modalità di comunicazione con il segnalante.

La domanda da porre all’impresa, dunque, non è soltanto «Abbiamo un canale di whistleblowing?», ma piuttosto: «Se domani arrivasse una segnalazione contro una figura apicale, saremmo in grado di gestirla senza interferenze?»

3. Tre casi pratici che rivelano la maturità del Modello 231

Caso 1 – La segnalazione riguarda un dirigente che porta risultati

Un dipendente segnala che un direttore commerciale avrebbe autorizzato il ricorso a intermediari senza adeguate verifiche, in relazione a rapporti d’affari che coinvolgono soggetti pubblici.

La prima reazione di un’organizzazione poco matura potrebbe essere quella di minimizzare i fatti: il dirigente è strategico, gli obiettivi sono stati raggiunti e nessuno vuole compromettere il rapporto con un cliente importante.

Un’organizzazione strutturata dovrebbe invece attivare una valutazione preliminare indipendente, verificare l’eventuale conflitto di interessi, preservare la documentazione pertinente e affidare gli approfondimenti a soggetti non coinvolti.

Se emergono elementi concreti, occorre valutare le misure correttive e disciplinari appropriate, oltre all’eventuale aggiornamento della mappatura dei rischi e dei protocolli del Modello 231.

Il punto critico: il sistema è realmente efficace soltanto se le regole vengono applicate anche alle persone che contribuiscono maggiormente ai risultati economici.

Caso 2 – La segnalazione viene gestita dall’ufficio coinvolto

Un lavoratore segnala anomalie nella selezione di un fornitore. La segnalazione viene inoltrata alla funzione acquisti, che è direttamente coinvolta nei fatti descritti, oppure a un responsabile gerarchicamente dipendente dalla persona segnalata.

Anche senza divulgare formalmente il nome del segnalante, la gestione potrebbe comprometterne la riservatezza e l’imparzialità dell’istruttoria.

Il problema non è soltanto tecnico. È organizzativo: chi decide quali verifiche svolgere? Chi controlla che non vengano trascurati elementi rilevanti? Chi interviene se il soggetto coinvolto influenza l’indagine?

La procedura dovrebbe prevedere criteri di escalation e percorsi alternativi per le segnalazioni che riguardano il gestore del canale, componenti degli organi di controllo, dirigenti o altre figure potenzialmente in conflitto di interessi.

Il punto critico: una procedura non è adeguata se funziona soltanto quando la segnalazione riguarda persone prive di potere decisionale.

Caso 3 – Dopo la segnalazione cambiano le condizioni di lavoro

Una dipendente segnala possibili irregolarità in un processo aziendale. Nei mesi successivi viene esclusa da un progetto, perde responsabilità oppure riceve una valutazione professionale negativa.

Non ogni decisione sfavorevole successiva a una segnalazione costituisce automaticamente una ritorsione. Tuttavia, la successione temporale e l’assenza di motivazioni verificabili possono costituire segnali che richiedono un approfondimento.

L’impresa deve poter dimostrare che le decisioni organizzative e gestionali siano state assunte sulla base di ragioni effettive, documentate e indipendenti dalla segnalazione.

L’art. 17 del D.Lgs. 24/2023 vieta le ritorsioni nei confronti delle persone protette dalla disciplina e prevede specifiche garanzie probatorie: nei casi previsti dalla legge, se la persona dimostra di avere effettuato una segnalazione e di avere subito un pregiudizio, si presume che quest’ultimo sia conseguenza della segnalazione, salvo prova contraria nei termini stabiliti dalla norma.

La prevenzione richiede quindi attenzione anche alle decisioni HR successive alla segnalazione: valutazioni, trasferimenti, assegnazioni di incarichi, promozioni e provvedimenti disciplinari devono essere gestiti con particolare rigore, senza trasformare questa cautela in un’immunità da ogni ordinaria decisione organizzativa.

Il punto critico: proteggere il segnalante significa impedire che il dissenso venga punito, non impedire all’impresa di adottare decisioni legittime e adeguatamente motivate.

4. Il ruolo dell’Organismo di Vigilanza: ricevere informazioni non basta

Il rapporto tra whistleblowing e Organismo di Vigilanza (OdV) è uno dei punti più delicati dell’intero sistema.

L’art. 6 del D.Lgs. 231/2001 attribuisce all’OdV un ruolo centrale nella vigilanza sul funzionamento e sull’osservanza del Modello e nella verifica del suo aggiornamento. Le segnalazioni possono costituire una fonte informativa particolarmente rilevante per l’esercizio di queste funzioni.

Ciò non significa, tuttavia, che l’OdV debba necessariamente coincidere con il gestore del canale di segnalazione. I due ruoli devono essere coordinati, ma possono essere distinti: la scelta deve essere coerente con la struttura dell’ente, l’indipendenza richiesta, le competenze disponibili e le garanzie di riservatezza.

La vera criticità è assicurare che le informazioni rilevanti raggiungano i soggetti che devono utilizzarle per valutare i rischi e l’efficacia del Modello, senza esporre indebitamente il segnalante o diffondere dati personali non necessari.

Si pensi a una segnalazione che evidenzi l’aggiramento sistematico delle procedure di autorizzazione dei pagamenti. Anche quando gli approfondimenti non consentano di accertare un illecito, il fatto potrebbe rivelare una debolezza dei controlli interni.

L’OdV dovrebbe poter valutare, nell’ambito delle proprie competenze, se tale debolezza richieda ulteriori verifiche, un approfondimento sui protocolli esistenti o una proposta di aggiornamento del Modello.

La segnalazione, in altre parole, non è soltanto un fatto da gestire: può diventare un’informazione da utilizzare per migliorare il sistema preventivo.

Per questa ragione, i flussi informativi tra gestore del canale, OdV, organi di controllo e funzioni aziendali devono essere progettati prima che si verifichi un caso concreto. Stabilire le regole soltanto dopo aver ricevuto una segnalazione rischia di generare sovrapposizioni, ritardi e interferenze.

5. La segnalazione come strumento di aggiornamento del Modello 231

Uno degli errori più frequenti consiste nel considerare conclusa la gestione di una segnalazione nel momento in cui l’istruttoria viene chiusa.

In realtà, anche quando non emergano elementi sufficienti per accertare una violazione, le informazioni raccolte possono offrire indicazioni utili sulla tenuta dei presidi organizzativi.

Occorre distinguere almeno tre possibili esiti.

Primo: la segnalazione non trova riscontro. Se le verifiche non confermano i fatti descritti, la pratica può essere conclusa secondo la procedura applicabile, documentando le attività svolte e le ragioni della decisione. L’assenza di riscontri non autorizza a presumere la malafede del segnalante.

Secondo: emerge una violazione delle procedure interne. Potrebbe non sussistere alcun reato presupposto, ma l’istruttoria può evidenziare carenze autorizzative, conflitti di interesse non gestiti o inosservanza dei protocolli. In questi casi, l’impresa deve valutare le misure correttive appropriate, anche ai fini del Modello 231.

Terzo: emergono fatti potenzialmente rilevanti sul piano penale o della responsabilità dell’ente. L’impresa dovrà valutare, con il supporto delle competenze necessarie, le iniziative conseguenti, la conservazione delle evidenze, le eventuali comunicazioni dovute e l’opportunità di intervenire sui controlli preventivi.

Un esempio chiarisce il punto. Una segnalazione relativa a un pagamento anomalo potrebbe non consentire di dimostrare una condotta illecita, ma rivelare che lo stesso soggetto può richiedere un pagamento, autorizzarlo e verificarne l’esecuzione senza controlli indipendenti.

In questo caso, limitarsi a chiudere la segnalazione significherebbe perdere l’occasione di individuare una vulnerabilità del sistema.

La risposta organizzativa potrebbe consistere nell’introduzione di una segregazione delle responsabilità, nella revisione delle soglie autorizzative, nel rafforzamento delle verifiche sui fornitori o nell’aggiornamento dei protocolli relativi ai processi sensibili.

Il collegamento con il Modello 231 deve essere concreto: le modifiche non vanno effettuate automaticamente per ogni segnalazione, ma quando la valutazione dei fatti evidenzi un rischio o una carenza che lo giustifichi.

6. Riservatezza, privacy e divieto di ritorsione: il sistema deve proteggere tutte le persone coinvolte

La credibilità del whistleblowing dipende anche dalla capacità dell’impresa di tutelare il segnalante senza sacrificare i diritti delle altre persone coinvolte.

Il D.Lgs. 24/2023 impone specifici obblighi di riservatezza sull’identità del segnalante, sulla persona coinvolta e sui soggetti menzionati nella segnalazione, secondo le condizioni previste dalla legge. La disciplina deve essere coordinata con il Regolamento (UE) 2016/679 (GDPR), con particolare riguardo alla liceità del trattamento, alla minimizzazione dei dati, alla limitazione degli accessi e ai tempi di conservazione.

L’art. 12 del D.Lgs. 24/2023 disciplina la riservatezza; l’art. 13 contiene disposizioni sul trattamento dei dati personali. Il sistema deve quindi prevedere ruoli e autorizzazioni adeguati, misure di sicurezza e informazioni trasparenti agli interessati, nei limiti consentiti dalla normativa applicabile.

È importante evitare due errori opposti.

Il primo consiste nel divulgare informazioni sulla segnalazione a un numero eccessivo di persone, magari con l’intento di coinvolgere tutte le funzioni aziendali. Una circolazione indiscriminata delle informazioni può compromettere la riservatezza e l’efficacia degli approfondimenti.

Il secondo consiste nel considerare il soggetto segnalato automaticamente responsabile dei fatti descritti. La segnalazione costituisce una fonte di informazioni da verificare, non una prova definitiva di colpevolezza. Le verifiche devono essere imparziali e rispettare i diritti delle persone coinvolte.

Anche il sistema disciplinare deve essere coerente con questi principi. L’art. 21 del D.Lgs. 24/2023 prevede sanzioni per le violazioni individuate dalla norma, comprese le ritorsioni e gli ostacoli alla segnalazione, nonché le ipotesi di violazione degli obblighi di riservatezza e le altre fattispecie espressamente previste.

Le imprese devono inoltre evitare che il timore di conseguenze professionali scoraggi l’utilizzo del canale. Una procedura formalmente corretta, ma accompagnata da una cultura aziendale che penalizza chi solleva problemi, rischia di rimanere inutilizzata proprio nei momenti in cui sarebbe più necessaria.

7. Come capire se il sistema funziona davvero: cinque verifiche per l’impresa

Per trasformare il whistleblowing in un presidio effettivo, può essere utile verificare periodicamente alcuni aspetti organizzativi.

1. Accessibilità del canale. I destinatari conoscono le modalità di segnalazione e sanno quali violazioni possono essere segnalate? Le informazioni sono facilmente reperibili e comprensibili?
2. Indipendenza nella gestione. Esistono regole per gestire le segnalazioni che riguardano il gestore del canale, l’OdV, gli amministratori o i responsabili delle funzioni coinvolte?
3. Tracciabilità delle attività. È possibile ricostruire le verifiche svolte, le decisioni assunte e le relative motivazioni, nel rispetto della riservatezza?
4. Protezione dalle ritorsioni. L’impresa sa intercettare e valutare eventuali decisioni sfavorevoli successive alla segnalazione, senza presumere automaticamente né l’esistenza né l’assenza di un collegamento?
5. Apprendimento organizzativo. Le criticità emerse vengono considerate nella valutazione dei rischi, nell’aggiornamento delle procedure e nella formazione, quando pertinente?

A queste verifiche può affiancarsi un monitoraggio periodico di indicatori come i tempi di presa in carico, il rispetto delle scadenze, le tipologie di criticità rilevate e la percentuale di azioni correttive completate.

È però necessario interpretare i dati con prudenza. Un numero ridotto di segnalazioni non dimostra necessariamente che l’impresa sia priva di criticità; allo stesso modo, un numero elevato non indica automaticamente una compliance insufficiente. I risultati devono essere letti nel contesto della dimensione aziendale, dell’esposizione ai rischi e della fiducia riposta nel sistema.

L’obiettivo non è massimizzare il numero di segnalazioni, ma assicurare che quelle ricevute siano gestite in modo tempestivo, imparziale e conforme alla legge e che le informazioni rilevanti contribuiscano, quando necessario, a migliorare l’organizzazione.

Conclusioni: la compliance si misura dalla qualità della risposta

Il whistleblowing rappresenta uno dei punti in cui la distanza tra regole scritte e comportamenti reali diventa più evidente.

Un’impresa può disporre di un Modello 231 articolato, di procedure aggiornate e di una piattaforma tecnologicamente avanzata. Se, però, una segnalazione viene ignorata perché riguarda una figura influente, gestita da soggetti in conflitto di interessi o seguita da conseguenze penalizzanti per chi ha parlato, la qualità effettiva del sistema preventivo merita di essere rimessa in discussione.

Al contrario, un’organizzazione capace di ascoltare, verificare, proteggere la riservatezza, correggere le vulnerabilità e documentare le proprie decisioni dimostra di considerare la compliance una responsabilità concreta, non una formalità documentale.

Per le imprese, la sfida non è quindi soltanto istituire un canale conforme al D.Lgs. 24/2023, ma integrarlo con il Modello 231, i controlli interni, la gestione delle risorse umane e i processi decisionali.

È proprio quando emerge una criticità che si misura la qualità della governance: non dalla promessa che tutto funzioni, ma dalla capacità di riconoscere ciò che non funziona e intervenire in modo adeguato.

Perché un Modello 231 credibile non è quello che non riceve mai segnalazioni. È quello che sa che cosa fare quando una segnalazione mette in discussione il modo in cui l’impresa opera.