Gestore esterno whistleblowing e canale di segnalazione ai sensi del D.Lgs. 24/2023

Lo Studio affianca l’impresa sul whistleblowing in due modi: progetta o adegua il canale interno di segnalazione richiesto dal D.Lgs. 24/2023 e assume l’incarico di gestore esterno whistleblowing, ricevendo le segnalazioni, istruendole e dando riscontro nei termini di legge. Il servizio si rivolge agli enti con almeno 50 dipendenti e a quelli con Modello 231.

Indice

• A chi si rivolge: obbligo del canale e scelta del gestore esterno whistleblowing
• Che cosa comprende il servizio: dal canale interno all’incarico di gestore esterno whistleblowing
• Come lavora lo Studio: le fasi dell’adeguamento e l’attività del gestore esterno whistleblowing
• Termini di legge, tempi di attivazione e che cosa riceve l’ente
• Perché affidare le segnalazioni a un avvocato penalista
• Situazioni tipiche e risposta del gestore esterno whistleblowing
• Il punto dell’Avv. Soardi
• Domande frequenti sul whistleblowing in azienda
• Richiedere un confronto
• Dove riceve lo Studio

A chi si rivolge: obbligo del canale e scelta del gestore esterno whistleblowing

Il D.Lgs. 24/2023 impone il canale interno di segnalazione ai soggetti privati che hanno impiegato nell’ultimo anno una media di almeno 50 lavoratori subordinati e, a prescindere dal numero, agli enti con Modello organizzativo ai sensi del D.Lgs. 231/2001 (art. 3). Per questi ultimi l’art. 6 co. 2-bis del decreto 231 chiede al Modello di prevedere i canali di segnalazione, il divieto di ritorsione e il sistema disciplinare collegato.

Il servizio si rivolge a tre situazioni ricorrenti:

• l’impresa che ha superato i 50 dipendenti e non ha un canale, o ne ha uno fatto di un modulo online senza procedura;
• l’ente con Modello 231 che deve allineare il canale già previsto alle regole del D.Lgs. 24/2023 su termini e riservatezza;
• il gruppo che vuole un canale condiviso fra più società, nei limiti dimensionali fissati dall’art. 4, con un unico gestore che tenga separate le posizioni.

Il gestore esterno non è obbligatorio.

L’art. 4 consente di affidare la gestione a una persona o a un ufficio interno autonomo, dedicato e formato, oppure a un soggetto esterno. Un’impresa con una funzione compliance strutturata può tenere tutto dentro. Il gestore esterno è una scelta ragionevole quando nessuno all’interno ha l’autonomia richiesta, quando la segnalazione più probabile riguarda chi dovrebbe riceverla, o quando l’ente vuole che i fatti siano valutati da chi sa riconoscere un reato presupposto 231. La pagina informativa sul whistleblowing e la tutela del segnalante spiega la disciplina.

Che cosa comprende il servizio: dal canale interno all’incarico di gestore esterno whistleblowing

Progettazione e adeguamento del canale interno. Lo Studio consegna la procedura di segnalazione (chi riceve, come, in quali tempi, con quali garanzie); la scelta e la configurazione dello strumento, che deve tutelare l’identità del segnalante e ammettere la forma scritta e orale come richiede l’art. 4; l’informativa ai lavoratori e alle altre persone legittimate a segnalare; l’informativa privacy e, dove serve, la valutazione d’impatto ex art. 35 del Regolamento (UE) 2016/679; il coordinamento con il Modello organizzativo 231 e con il sistema disciplinare, perché la violazione delle regole sul whistleblowing deve avere una sanzione interna; la formazione di chi riceve e di chi può segnalare.

Incarico di gestore esterno delle segnalazioni. Lo Studio riceve le segnalazioni, rilascia l’avviso di ricevimento entro sette giorni, dialoga con il segnalante, istruisce i fatti, chiude con un riscontro motivato entro tre mesi dall’avviso (art. 5), tutela la riservatezza del segnalante e delle persone coinvolte (art. 12), tiene il registro entro i termini di conservazione dell’art. 14 e riferisce agli organi dell’ente secondo la procedura: all’Organismo di Vigilanza per ciò che tocca il Modello 231, all’organo amministrativo per le decisioni organizzative e disciplinari.

Il primo è un progetto con una data di consegna. Il secondo è un incarico annuale, rinnovato o revocato con delibera dell’organo amministrativo.

Come lavora lo Studio: le fasi dell’adeguamento e l’attività del gestore esterno whistleblowing

L’adeguamento segue sette fasi.

Le fasi, in ordine

1. Verifica del perimetro: media dei lavoratori dell’ultimo anno, presenza del Modello 231, appartenenza a un gruppo, settori regolati indicati dall’art. 3.
2. Analisi dell’esistente: procedura, strumento, informative, clausole del Modello; elenco degli scostamenti rispetto agli artt. 4, 5, 12 e 17 del D.Lgs. 24/2023.
3. Redazione della procedura e scelta dello strumento: chi riceve, in quale forma, come si gestisce una segnalazione anonima o estranea all’ambito del decreto.
4. Coordinamento con il Modello 231, con il regolamento dell’Organismo di Vigilanza, con il sistema disciplinare e con la documentazione privacy, coinvolgendo il DPO se nominato.
5. Informativa e formazione: comunicazione ai lavoratori, sessione per l’organo amministrativo e per i responsabili di funzione, istruzioni per chi riceve.
6. Attivazione: delibera dell’organo amministrativo, lettera di incarico al gestore, pubblicazione dell’informativa, prova del canale.
7. Gestione a regime: registro, relazione periodica, aggiornamento della procedura quando cambiano l’organizzazione o la norma.

Il percorso di una segnalazione, passo per passo

Quando lo Studio è gestore esterno whistleblowing, ogni segnalazione percorre lo stesso tracciato, documentato passo per passo. La segnalazione arriva attraverso il canale, in forma scritta o, su richiesta del segnalante, in un incontro. Entro sette giorni parte l’avviso di ricevimento. Segue una prima lettura: se chi segnala rientra fra le persone tutelate dall’art. 3; i fatti riguardano violazioni comprese nell’ambito del decreto o del Modello 231; ci sono elementi sufficienti per aprire un’istruttoria, oppure servono integrazioni da chiedere attraverso lo stesso canale.

L’istruttoria consiste nell’acquisizione dei documenti, nell’audizione delle persone informate, nella verifica con le funzioni aziendali che possono fornire dati senza conoscere il segnalante, e nella qualificazione giuridica di ciò che emerge. Se il fatto ha un possibile rilievo penale, il gestore lo dice all’ente e propone la strada: un’indagine interna più ampia, un provvedimento disciplinare, una denuncia, una condotta riparatoria ai sensi dell’art. 17 D.Lgs. 231/2001. Entro tre mesi dall’avviso il segnalante riceve il riscontro: archiviazione, esito dell’istruttoria, o ragione per cui è ancora in corso. Tutto finisce nel registro, conservato entro i limiti dell’art. 14.

In alcuni enti la prassi è di far transitare ogni segnalazione dall’Organismo di Vigilanza prima ancora del gestore. Non sempre conviene: l’OdV riceve i flussi informativi previsti dal Modello, mentre la segnalazione whistleblowing ha un regime di riservatezza proprio, e mescolare i due canali espone l’identità del segnalante a troppe persone. Lo Studio propone di norma un flusso in cui l’OdV riceve l’esito qualificato, non il nome. Quando lo Studio svolge anche l’incarico di Organismo di Vigilanza esterno per lo stesso ente, la separazione dei due ruoli si scrive nella procedura prima dell’incarico.

Termini di legge, tempi di attivazione e che cosa riceve l’ente

I termini che governano il servizio sono due, fissati dall’art. 5 del D.Lgs. 24/2023: sette giorni dalla ricezione per l’avviso al segnalante, tre mesi dall’avviso per il riscontro. Il tempo per costruire un canale nuovo dipende dalla presenza di un Modello 231 e dalla rapidità con cui l’ente delibera.

Al termine dell’adeguamento l’ente riceve:

• la procedura di gestione delle segnalazioni, approvata dall’organo amministrativo;
• il canale attivo e collaudato, con le istruzioni di accesso;
• l’informativa per i lavoratori e per i terzi legittimati;
• l’informativa privacy e, se necessaria, la valutazione d’impatto;
• la clausola di aggiornamento del Modello 231 e del sistema disciplinare;
• il verbale della formazione con i materiali;
• la lettera di incarico del gestore.

Nell’incarico di gestione l’ente riceve, per ogni segnalazione, la traccia documentale delle fasi e, a cadenza concordata, una relazione senza dati identificativi, utile all’Organismo di Vigilanza per la relazione annuale. Il compenso viene definito con preventivo scritto prima dell’incarico, in base all’attività prevista e nel rispetto dei parametri forensi di cui al D.M. 55/2014; per il gestore si distingue di norma una quota fissa annuale da una componente legata alle segnalazioni istruite.

Perché affidare le segnalazioni a un avvocato penalista

Una segnalazione è un racconto di fatti, e i fatti vanno qualificati prima di decidere che cosa farne. Chi riceve la notizia di una fattura per operazioni inesistenti, di un infortunio non registrato, di un pagamento a un funzionario pubblico o di un accesso abusivo a un sistema informatico deve sapere se quel fatto è un illecito disciplinare, un reato della persona fisica, un reato presupposto ai sensi del D.Lgs. 231/2001. Da quella qualificazione dipendono l’urgenza dell’istruttoria, le persone da coinvolgere, la scelta di denunciare e la possibilità di attivare le condotte riparatorie che l’art. 17 del decreto 231 premia con l’esclusione delle sanzioni interdittive.

Il secondo motivo è il segreto professionale: l’istruttoria condotta da un avvocato produce documenti coperti dal segreto, e questo protegge l’ente finché non ha deciso se e come procedere. Il terzo è la gestione delle ritorsioni. L’art. 17 del D.Lgs. 24/2023 vieta ogni atto ritorsivo verso il segnalante e ne prevede la nullità; l’art. 21 affida all’ANAC il potere di sanzionare chi compie ritorsioni, ostacola la segnalazione, viola la riservatezza o non ha istituito o gestito il canale. Chi sa come si costruisce un’accusa sa anche quali atti dell’ente, dopo la segnalazione, verrebbero letti come ritorsione.

Resta un punto aperto: il decreto non nomina l’Organismo di Vigilanza fra i possibili gestori e non lo esclude. Lo Studio preferisce tenere distinte le due funzioni e, quando l’ente vuole unificarle, scrive nella procedura come si tutela la riservatezza. L’articolo sugli aspetti procedurali del whistleblowing e quello sul rapporto fra whistleblowing e Modello organizzativo approfondiscono i nodi qui accennati.

Situazioni tipiche e risposta del gestore esterno whistleblowing

Situazione	Cosa facciamo	Esito atteso
Impresa oltre i 50 dipendenti senza canale	Verifica del perimetro ex art. 3, procedura, strumento, informativa, formazione, delibera di attivazione	Canale conforme agli artt. 4 e 5, con gestore nominato e registro attivo
Ente con Modello 231 e canale datato	Analisi degli scostamenti, aggiornamento della procedura, del Modello e del sistema disciplinare ex art. 6 co. 2-bis D.Lgs. 231/2001	Modello allineato al D.Lgs. 24/2023, con flusso definito verso l’OdV
Gruppo con più società	Valutazione dei limiti alla condivisione del canale, procedura di gruppo, unico gestore con posizioni separate	Un canale, più enti, riservatezza garantita per ciascuno
Segnalazione ricevuta e nessuno sa come trattarla	Assunzione dell’incarico di gestore, avviso entro 7 giorni, istruttoria, riscontro entro 3 mesi	Segnalazione chiusa nei termini, con esito documentato e qualificazione dei fatti
Fatto segnalato con possibile rilievo penale	Qualificazione, valutazione dell’esposizione 231, proposta fra indagine interna, denuncia, condotte riparatorie	Decisione informata dell’organo amministrativo, con traccia difendibile
Segnalante che lamenta una ritorsione	Verifica dell’atto contestato, parere sull’art. 17, indicazioni all’ente prima di ogni provvedimento	Riduzione del rischio di nullità dell’atto e di sanzione ANAC ex art. 21

Il punto dell’Avv. Soardi

Ho visto canali whistleblowing costruiti in un pomeriggio: un indirizzo email, una pagina sull’intranet, una riga nel Modello. Formalmente c’è tutto. Poi arriva la prima segnalazione seria e si scopre che l’indirizzo lo legge la stessa persona di cui si parla, che nessuno ha annotato la data di ricezione e che i tre mesi sono passati senza che qualcuno abbia scritto una riga al segnalante. Il canale, a quel punto, ha prodotto il risultato opposto a quello per cui esiste: ha avvisato l’ente di un problema e ha lasciato una prova che l’ente non ha fatto nulla.

Preferisco incarichi in cui la procedura è breve e le persone che la applicano sono poche e formate. E dico sempre all’organo amministrativo che il gestore serve a qualificare i fatti, non a filtrarli: se una segnalazione è fondata, lo saprà entro tre mesi, e sarà meglio saperlo da me che da un pubblico ministero.

Domande frequenti sul whistleblowing in azienda

Un’impresa con 30 dipendenti e Modello 231 deve avere il canale?

Sì. L’art. 3 del D.Lgs. 24/2023 estende l’obbligo agli enti con Modello organizzativo ai sensi del D.Lgs. 231/2001, a prescindere dal numero dei lavoratori, e l’art. 6 co. 2-bis del decreto 231 chiede che il Modello preveda i canali, il divieto di ritorsione e il sistema disciplinare. Un Modello senza canale conforme è un Modello incompleto.

Che cosa succede se il gestore esterno whistleblowing non risponde entro tre mesi?

Il termine dell’art. 5 è un obbligo del gestore verso il segnalante. Il mancato riscontro espone l’ente alle sanzioni ANAC dell’art. 21 e apre al segnalante la strada del canale esterno gestito dall’ANAC. Per questo lo Studio calendarizza ogni segnalazione dal giorno dell’avviso di ricevimento.

Il gestore esterno whistleblowing può essere anche l’Organismo di Vigilanza?

Il decreto non lo vieta e non lo prevede. Lo Studio preferisce tenere separate le due funzioni, perché l’OdV riceve flussi informativi con un regime diverso da quello della riservatezza del segnalante. Se l’ente le unifica, la procedura deve dire chi conosce l’identità del segnalante e come la protegge.

Le segnalazioni anonime vanno gestite?

La procedura deve stabilirlo, e lo Studio propone di trattarle quando contengono elementi circostanziati e verificabili. Le protezioni dell’art. 17 operano a favore di chi viene identificato, ma un fatto vero resta un fatto vero, e ignorarlo perché senza firma lascia l’ente esposto sul piano 231.

Che cosa può fare l’ente contro chi segnala in mala fede?

Le tutele del decreto presuppongono che il segnalante avesse fondati motivi di ritenere vere le informazioni al momento della segnalazione. Chi segnala fatti che sa falsi non è protetto, e l’art. 21 prevede sanzioni ANAC anche per questo caso. Prima di ogni provvedimento, però, l’ente deve documentare la mala fede.

Il canale serve solo ai dipendenti?

No. L’art. 3 include fra i segnalanti tutelati, oltre ai lavoratori subordinati, collaboratori, professionisti, consulenti, volontari, tirocinanti, azionisti e persone con funzioni di amministrazione, direzione o controllo, anche prima e dopo il rapporto. Il canale deve quindi essere raggiungibile da chi non ha accesso all’intranet aziendale.

Richiedere un confronto

Un ente che deve costruire il canale, aggiornarlo o affidare la gestione delle segnalazioni può chiedere un primo confronto per inquadrare la situazione: quanti lavoratori, se esiste un Modello 231, che cosa c’è già e che cosa manca. Lo Studio risponde al telefono +39 035 236659 e all’indirizzo info@studiosoardi.com. Gli altri servizi per le imprese sono nella pagina dei servizi dello Studio e nell’area compliance. Il primo confronto viene fissato subito ed è a pagamento: il compenso viene indicato prima dell’incontro. Per le imprese già assistite l’Avv. Soardi è raggiungibile 24 ore su 24, 7 giorni su 7.

Dove riceve lo Studio

Soardi Studio Legale riceve a Bergamo, in Via dei Partigiani 5 (24121), e a Brescia, in Via Armando Diaz 1b. Lo Studio opera con regolarità su tutto il territorio nazionale, con incontri in presenza o da remoto.

Avv. Stefano Soardi – testo redatto il 21 settembre 2026