Designare chi gestisce le segnalazioni

Un canale da solo non basta — la legge richiede una persona

È possibile mettere in piedi un modulo di invio e non avere comunque un canale conforme, perché la Direttiva non richiede solo un posto dove far arrivare le segnalazioni — richiede qualcuno responsabile di ciò che succede dopo. L'art. 9(1)(c) richiede "la designazione di una persona o di un ufficio imparziale competente per dare seguito alle segnalazioni... che manterrà le comunicazioni con la persona segnalante e, se necessario, chiederà ulteriori informazioni a tale persona e le fornirà riscontri". Un modulo senza nessuno chiaramente responsabile soddisfa la lettera di "abbiamo un canale" perdendo di vista a cosa serve davvero il canale.

La stessa persona o lo stesso ufficio può sia ricevere le segnalazioni sia darvi seguito — la Direttiva non richiede due ruoli distinti — ma chiunque sia deve essere nominato, imparziale e effettivamente dotato delle risorse per svolgere il lavoro di seguito, non solo assegnato nominalmente.

Interno o esternalizzato — entrambi sono esplicitamente ammessi

Questa è una decisione reale e aperta, non qualcosa verso cui la Direttiva vi spinge in un senso particolare. L'art. 8(5) è esplicito nel dire che i canali di segnalazione "possono essere gestiti internamente da una persona o da un ufficio designato a tale scopo o forniti esternamente da un terzo". Entrambe le opzioni sono legittime:

• Interno. Qualcuno all'interno dell'azienda — spesso HR, l'ufficio legale o un responsabile della conformità — gestisce direttamente le segnalazioni. Conosce già il contesto dell'organizzazione, le sue persone e la sua storia, il che rende il seguito più rapido e informato. Il compromesso è l'indipendenza: quanto più piccola è l'azienda, tanto più difficile è trovare qualcuno senza alcuna vicinanza a chi potrebbe finire per essere oggetto di una segnalazione.
• Esternalizzato. Un ombudsman esterno, uno studio legale o un fornitore specializzato gestisce le segnalazioni (o almeno la valutazione iniziale) al posto del personale interno. Questo garantisce una distanza reale dalle dinamiche interne e dalle linee gerarchiche, al costo di avere qualcuno meno familiare con il contesto dell'organizzazione che deve mettersi al passo su ogni caso.

Nessuna delle due scelte riguarda il software usato per gestire il canale — un'azienda può usare una piattaforma costruita appositamente e comunque gestire ogni caso internamente, oppure usare la stessa piattaforma e instradare i casi verso un gestore esterno. Lo strumento e la decisione sulla gestione sono cose separate.

Cosa esclude "imparziale" nella pratica

"Imparziale" è la parola chiave dell'art. 9(1)(c), e ha un'implicazione pratica che vale la pena considerare prima che una segnalazione reale la metta alla prova: chi viene designato non dovrebbe essere qualcuno che finirebbe per indagare sulla propria stessa condotta, o su quella del proprio diretto superiore. In un'azienda appena sopra la soglia dei 50 dipendenti, questo è spesso davvero difficile — un piccolo team dirigenziale significa un bacino limitato di persone senza alcun conflitto plausibile. È spesso esattamente il momento in cui le aziende decidono di coinvolgere un gestore esterno almeno per i casi in cui è probabile un conflitto interno, anche se la maggior parte delle segnalazioni continua a essere gestita internamente.

Quante persone dovrebbero davvero avere accesso

C'è un secondo equilibrio da trovare, distinto dall'imparzialità: quanto è ampio il gruppo designato. Più piccolo è generalmente meglio per la riservatezza — il requisito dell'art. 9(1)(a) che un canale "impedisca l'accesso al personale non autorizzato" è più facile da garantire davvero quante meno persone sono nell'elenco. Ma un unico gestore nominato è un singolo punto di fallimento: malattia, ferie, un conflitto di interessi su un caso specifico, o semplicemente il sovraccarico possono tutti lasciare segnalazioni davvero senza attenzione. Un gruppo designato di due o tre persone, con una chiara copertura di riserva, è un limite minimo più realistico di una sola persona per la maggior parte delle aziende che superano la soglia.

Come si inserisce Provoxis in questa decisione

Provoxis non prende questa decisione al posto vostro — chi siano i vostri gestori è una scelta organizzativa che l'azienda deve fare indipendentemente dalla piattaforma sottostante, che ricada su una sola persona, un piccolo team interno o un fornitore esterno aggiunto come gestore sulla piattaforma. Ciò che Provoxis fa è imporre il confine una volta che quella decisione è presa: solo il personale che un'azienda ha esplicitamente aggiunto come gestori o amministratori può vedere i dettagli di un segnalante identificato, il registro di controllo annota ogni volta che uno di loro apre una segnalazione, e l'accesso non è qualcosa che possa persistere silenziosamente tramite una password condivisa o una vecchia regola di inoltro come può accadere con una casella di posta condivisa.

Base giuridica

• Art. 9(1)(c), Direttiva (UE) 2019/1937 — il requisito di designare una persona o un ufficio imparziale competente a dare seguito alle segnalazioni.
• Art. 8(5) — i canali di segnalazione interna possono essere gestiti internamente da una persona o un ufficio designato, o forniti esternamente da un terzo.
• Art. 9(1)(a) — il requisito che i canali siano progettati e gestiti in modo da impedire l'accesso al personale non autorizzato, la base per mantenere deliberatamente ristretto il gruppo designato.