Attivare un canale di segnalazione: cosa sfugge alla maggior parte delle aziende

La maggior parte delle aziende che attivano un canale di segnalazione fa bene la parte visibile: c'è un modulo o un indirizzo e-mail, pubblicato da qualche parte. Le lacune stanno di solito in tutto ciò che lo circonda. Chi legge ciò che arriva? Chi altro può vederlo? Chi può usare il canale? E che cosa deve essere successo entro il 7° giorno ed entro il 3° mese? Nessuno nota queste lacune finché non arriva una segnalazione vera, e a quel punto fanno già parte del problema.

Ecco le dieci più frequenti. Per ciascuna: cosa succede di solito, perché non basta e cosa fare invece. I riferimenti normativi rimandano alla Direttiva europea sul whistleblowing (Direttiva (UE) 2019/1937). Le aziende del Regno Unito non vi sono soggette, ma resta la descrizione più completa di un canale che funziona (vedi UK vs UE: cosa è realmente richiesto e dove). Alla fine trovate una verifica da applicare al vostro canale, con il modo di controllare ogni punto.

1. Nessuno in particolare ne è responsabile

Cosa succede di solito: le segnalazioni arrivano in una casella di posta condivisa, o genericamente «all'HR», e tutti danno per scontato che se ne stia occupando qualcun altro.

Perché non basta: la Direttiva richiede una persona o un ufficio imparziale designato per dare seguito alle segnalazioni (art. 9(1)(c)). Una casella di posta non è una persona. Una segnalazione che resta non letta per due settimane perché tre persone pensavano ciascuna che se ne fosse occupato un altro ha già mancato il primo termine.

Cosa fare: designate la persona prima di pubblicare il canale ovunque. Meglio ancora, designate un piccolo gruppo di due o tre persone, così che ferie e malattie non lascino segnalazioni senza seguito. Vedi Designare chi gestisce le segnalazioni.

2. Nessuno ha verificato chi altro può vedere le segnalazioni

Cosa succede di solito: l'elenco di chi gestisce le segnalazioni è breve, ma le segnalazioni arrivano comunque ad altri. Un amministratore IT può aprire qualsiasi casella di posta. L'e-mail di notifica contiene la segnalazione completa. Lo strumento per i moduli conserva gli invii in uno spazio a cui può accedere mezza azienda.

Perché non basta: l'articolo 9(1)(a) richiede che il canale sia progettato e gestito in modo sicuro, così che il personale non autorizzato non possa accedere alle segnalazioni. L'articolo 16 tutela l'identità del segnalante nei confronti di chiunque non sia coinvolto nella gestione della segnalazione. Deve garantirlo il sistema stesso, non la prudenza di chi ha accesso.

Cosa fare: seguite una segnalazione di prova dall'invio all'archiviazione ed elencate chi potrebbe raggiungerla a ogni passaggio, compresi amministratori, backup e notifiche e-mail. Vedi «Email e PEC sono un canale whistleblowing conforme?» e «Si può usare Google Moduli come canale whistleblowing?».

3. Si accettano solo segnalazioni scritte

Cosa succede di solito: un modulo web o un indirizzo e-mail costituisce l'intero canale.

Perché non basta: in Italia le Linee guida ANAC (par. 2.2) chiedono agli enti di garantire sia la forma scritta sia quella orale, quindi un canale solo testuale non basta. La Direttiva in sé sarebbe più flessibile, perché consente segnalazioni scritte, orali o in entrambe le forme (articolo 9(2)), ma anche i Paesi Bassi impongono un canale orale, mentre la Germania ammette un canale solo scritto purché sia possibile un incontro di persona su richiesta. E nella pratica, alcune persone non metteranno mai per iscritto una preoccupazione. La voce pone inoltre un problema specifico: una registrazione può identificare qualcuno anche quando il suo nome non compare nella segnalazione.

Cosa fare: aggiungete un'opzione vocale, decidete come proteggere le registrazioni e indicate nella vostra policy come chiedere un incontro e chi lo condurrà. Vedi Segnalazioni vocali e anonimizzazione, spiegate in modo semplice.

4. Solo i dipendenti sanno che esiste

Cosa succede di solito: il link si trova nella intranet o nel manuale del dipendente.

Perché non basta: la tutela della Direttiva va ben oltre il personale dipendente: lavoratori autonomi, personale dei fornitori, volontari e tirocinanti, azionisti e amministratori non esecutivi, candidati e ex dipendenti (art. 4). Se ciascuno di questi gruppi possa usare il vostro canale interno dipende in parte dal diritto nazionale (art. 8(2)), ma tutti possono rivolgersi direttamente a un'autorità. Se non trovano il vostro canale, segnaleranno fuori dall'azienda.

Cosa fare: pubblicate il canale in un punto raggiungibile anche da chi è esterno all'azienda, come il vostro sito web, e decidete esplicitamente a quali gruppi è aperto. Vedi Chi è protetto dalla Direttiva.

5. I termini dipendono dalla memoria di qualcuno

Cosa succede di solito: le date dell'avviso di ricevimento e del riscontro finiscono nell'agenda di qualcuno, o da nessuna parte.

Perché non basta: la Direttiva fissa due termini. Il ricevimento va confermato entro 7 giorni (art. 9(1)(b)). Il riscontro deve seguire entro un termine ragionevole, e comunque non oltre 3 mesi dall'avviso di ricevimento (art. 9(1)(f)). Il riscontro ha inoltre un significato preciso: comunicare al segnalante quali misure sono state adottate o sono previste, e perché (art. 5(13)). «Ce ne stiamo occupando» non conta.

Cosa fare: rendete automatico l'avviso di ricevimento, lasciate che il sistema tenga traccia della scadenza dei 3 mesi e vi avvisi prima che arrivi, e preparate un riscontro che dica cosa sta succedendo davvero. Vedi Il termine di 7 giorni/3 mesi per il riscontro, spiegato.

6. Un segnalante anonimo non si può ricontattare

Cosa succede di solito: il canale riceve una segnalazione anonima, ma nulla torna indietro. Un modulo web non ha una funzione di risposta, e un account email anonimo viene spesso abbandonato dopo un solo messaggio.

Perché non basta: i termini della Direttiva presuppongono un dialogo. L'avviso di ricevimento arriva entro 7 giorni (art. 9(1)(b)), il seguito è diligente (art. 9(1)(d)), il che di solito significa fare domande al segnalante, e il riscontro arriva entro 3 mesi (art. 9(1)(f)). Questi obblighi valgono per le segnalazioni anonime che accettate come per quelle identificate. Un canale che può raggiungere il segnalante solo tramite i suoi recapiti lo costringe a scegliere tra anonimato e riscontro, e molti sceglieranno di non segnalare.

Cosa fare: date a ogni segnalante un modo per tornare al proprio caso che non dipenda dai suoi recapiti, per esempio un riferimento del caso con cui leggere i messaggi e rispondere. Se il vostro canale non lo consente, ditelo chiaramente dove si segnala, e offrite un recapito facoltativo. Vedi Segnalazione anonima o identificata.

7. I segnalanti non sanno come rivolgersi alle autorità

Cosa succede di solito: la policy spiega come segnalare internamente e si ferma lì.

Perché non basta: l'articolo 9(1)(g) richiede informazioni chiare e facilmente accessibili sulle procedure di segnalazione esterna alle autorità competenti. Le aziende spesso le omettono, perché sembra di indirizzare le persone altrove. Ma sono una parte obbligatoria della procedura, e un segnalante che si fida del vostro canale di solito lo userà comunque per primo.

Cosa fare: indicate le autorità competenti per ciascun paese in cui operate, e inserite queste informazioni nella vostra policy e accanto al canale. Vedi Segnalazione interna, esterna e pubblica, spiegate.

8. Non c'è un piano per una segnalazione che riguarda chi gestisce le segnalazioni

Cosa succede di solito: ogni segnalazione va alla stessa persona, compresa una segnalazione che riguarda lei, il suo responsabile o il suo stesso team.

Perché non basta: l'articolo 9(1)(c) richiede che chi dà seguito alla segnalazione sia imparziale. Nessuno è imparziale di fronte a una segnalazione che lo riguarda, per quanto buone siano le sue intenzioni.

Cosa fare: indicate nella vostra policy un contatto alternativo, come un membro del vertice aziendale, il presidente del consiglio di amministrazione o un consulente esterno, e invitate i segnalanti a rivolgersi direttamente a lui se la loro segnalazione riguarda chi gestisce le segnalazioni. Decidetelo adesso. Se aspettate che arrivi una segnalazione del genere, quella persona l'avrà già vista.

9. Le rappresentanze dei lavoratori non sono state consultate (UE)

Cosa succede di solito: la direzione sceglie il canale e lo attiva senza coinvolgere nessun altro.

Perché non basta: l'articolo 8(1) prevede che i canali interni siano istituiti previa consultazione delle parti sociali e, ove previsto dal diritto nazionale, d'intesa con esse. In Italia, l'art. 4 del D.Lgs. 24/2023 richiede di sentire le rappresentanze sindacali. In Germania il consiglio aziendale ha diritti di codeterminazione sul funzionamento del canale, e in Francia il CSE deve essere consultato prima che la procedura sia definita. Saltare questo passaggio può esporre il canale a contestazioni, anche se tutto il resto è corretto.

Cosa fare: verificate cosa richiede la legge del vostro paese prima dell'attivazione, e prevedete il tempo necessario. Vedi Il D.Lgs. 24/2023 italiano, spiegato, oltre ai casi di Germania e Francia.

10. Non c'è una regola su quanto a lungo conservare i documenti

Cosa succede di solito: segnalazioni e fascicoli vengono conservati a tempo indeterminato, o cancellati quando qualcuno decide di fare pulizia.

Perché non basta: l'articolo 18 richiede di registrare ogni segnalazione, conservandola non oltre il tempo necessario e proporzionato. L'articolo 17 aggiunge la normativa sulla protezione dei dati: i dati personali non necessari non devono essere conservati. Tenere tutto per sempre e cancellare troppo presto sono entrambi errori. Serve anche un modo per sospendere la cancellazione quando un caso rischia di finire in tribunale.

Cosa fare: fissate periodi di conservazione in base a come si chiude il caso, cancellate automaticamente alla scadenza e prevedete un modo per bloccare un caso. Vedi Scegliere una politica di conservazione.

Verificate il vostro canale

Per ogni domanda, la seconda riga indica come scoprirlo. Se non sapete rispondere, contatela come un «no».

1. Sapete indicare chi leggerà la prossima segnalazione, e chi lo sostituisce?

   Chiedete chi ha aperto l'ultima segnalazione, e chi lo avrebbe fatto durante le sue ferie.

2. Avete elencato tutte le persone che possono tecnicamente vedere una segnalazione?

   Inviate una segnalazione di prova e seguitela: casella o modulo, notifiche, fogli di calcolo, amministratori che possono reimpostare password o cercare nella posta, backup.

3. Si può segnalare oralmente, e chiedere un incontro diretto?

   Rileggete la vostra procedura come chi non vuole scrivere nulla. C'è un numero da chiamare, e una persona designata per gli incontri? In Italia entrambe le forme vanno garantite.

4. Un collaboratore esterno, un fornitore o un ex dipendente riesce a trovare il canale?

   Cercatelo sul vostro sito pubblico senza aver effettuato l'accesso.

5. I termini di 7 giorni e 3 mesi sono monitorati, con un avviso prima che uno scada?

   Per l'ultima segnalazione, trovate la data dell'avviso di ricevimento e la scadenza del riscontro.

6. Potete ricontattare un segnalante anonimo?

   Inviate una segnalazione di prova senza recapiti e provate a fargli una domanda.

7. La vostra policy spiega come rivolgersi alle autorità?

   Verificate che indichi l'autorità competente per ogni Paese in cui operate, come l'ANAC in Italia.

8. La vostra policy dice dove va una segnalazione su chi gestisce le segnalazioni?

   Verificate che il contatto alternativo sia indicato e raggiungibile senza passare da quella persona.

9. Le rappresentanze dei lavoratori sono state consultate, dove il vostro Paese lo richiede?

   Trovate il verbale o la comunicazione della consultazione con le RSU/RSA o le organizzazioni sindacali.

10. Avete periodi di conservazione per i casi chiusi, e un modo per sospenderne uno?

    Trovate il caso chiuso più vecchio che ancora conservate, e la regola che giustifica la sua conservazione.

Ogni «no» è una lacuna da colmare prima della prossima segnalazione, non dopo.

Usate un indirizzo email o un modulo? È lì che cominciano quasi tutte queste lacune. Ripassate le verifiche specifiche in «Email e PEC sono un canale whistleblowing conforme?» o «Si può usare Google Moduli come canale whistleblowing?», con una soluzione per ogni lacuna che trovate.

Quando farlo

Se siete nell'UE con 50 o più lavoratori, il canale è già un obbligo di legge (vedi La soglia dei 50 dipendenti, spiegata). Sotto questa soglia, o nel Regno Unito, non c'è una data fissa. Il momento giusto per essere pronti è prima della prima segnalazione seria, perché un canale messo insieme dopo che una preoccupazione è già emersa in modo informale tende ad avere la maggior parte delle lacune elencate sopra.

Come Provoxis colma queste lacune

Tre di questi punti sono decisioni che potete prendere solo voi: chi gestisce le segnalazioni (1), dove va una segnalazione su chi le gestisce (8) e chi consultate (9). Il resto lo colma Provoxis:

Ogni azione su un caso è annotata nel registro di controllo, e le segnalazioni sono ospitate nell'UE (o nel Regno Unito per i clienti britannici), cifrate a riposo e in transito. L'attivazione è in autonomia con una checklist guidata, il prezzo è un canone mensile fisso (vedi prezzi) e c'è una prova gratuita di 30 giorni.

Base giuridica

Tutti i riferimenti rimandano alla Direttiva (UE) 2019/1937.

• Art. 4: chi tutela la Direttiva, comprese persone esterne al personale del datore di lavoro.
• Art. 5(13): cosa si intende per «riscontro».
• Art. 6(2): l'obbligo di accettare segnalazioni anonime è lasciato agli Stati membri.
• Art. 8(1): l'istituzione dei canali interni previa consultazione delle parti sociali, ove previsto dal diritto nazionale.
• Art. 8(2): a chi i canali interni devono, e possono, essere aperti.
• Art. 9(1)(a)–(g): progettazione sicura, avviso di ricevimento entro 7 giorni, una persona o un ufficio imparziale designato, un seguito diligente, riscontro entro 3 mesi e informazioni sulla segnalazione esterna.
• Art. 9(2): segnalazione scritta, orale o entrambe; quella orale per telefono o messaggistica vocale, e un incontro di persona su richiesta. In Italia, le Linee guida ANAC (par. 2.2) richiedono entrambe le forme.
• Art. 16: riservatezza dell'identità del segnalante.
• Art. 17 e 18: trattamento dei dati personali e conservazione della documentazione delle segnalazioni.