Ashio whistleblowing software

D.Lgs. 24/2023: tutti gli obblighi whistleblowing per le aziende italiane

Cover: D.Lgs. 24/2023: tutti gli obblighi whistleblowing per le aziende italiane

Il D.Lgs. 24/2023 non è una semplice traduzione della Direttiva europea: ha introdotto obblighi specifici per le imprese italiane, con sanzioni che arrivano fino a 50.000 euro per le violazioni più gravi. Comprendere i d.lgs. 24/2023 whistleblowing obblighi è oggi prioritario per qualsiasi organizzazione che voglia evitare contestazioni da parte di ANAC e tutelarsi davvero da rischi reputazionali e legali. In questa guida analizziamo cosa cambia in concreto per le aziende italiane, le scadenze già operative, i settori obbligati, le tutele per i segnalanti e il rapporto con la eu whistleblowing directive.

Indice

Campo di applicazione: soglie dimensionali e settori obbligati

Il recepimento direttiva whistleblowing Italia è entrato in vigore il 30 marzo 2023 e ha completato la sua attuazione il 15 luglio 2023, data in cui sono scattati gli obblighi attivi per i soggetti del settore privato. Il decreto non ha reso il canale obbligatorio per tutte le imprese: ha introdotto una soglia dimensionale precisa che funziona da spartiacque tra chi deve adeguarsi e chi è esente.

Nel settore privato, l'obbligo di istituire un canale interno di segnalazione si applica alle imprese con almeno 50 dipendenti (calcolati come media nell'ultimo anno), alle aziende che operano in settori regolamentati come servizi finanziari, assicurazioni, antiriciclaggio e sicurezza dei trasporti, e a chiunque sia soggetto alla normativa europea su abusi di mercato o sicurezza dei prodotti. Le società che superano la soglia solo temporaneamente, ad esempio a causa di assunzioni stagionali, devono comunque dotarsi di un canale permanente.

Nel settore pubblico, l'obbligo è ancora più ampio: si applica a tutte le amministrazioni pubbliche, agli enti pubblici economici, agli organismi di diritto pubblico e alle società a controllo pubblico, indipendentemente dal numero di dipendenti. ANAC ha chiarito che il calcolo dei 50 dipendenti va effettuato a livello di impresa e non di singola sede operativa: una multinazionale con più filiali sotto soglia in Italia deve comunque adeguarsi se il totale nazionale supera il limite.

Una particolarità tutta italiana riguarda le società a partecipazione pubblica e gli enti di diritto privato controllati da pubbliche amministrazioni: per questi soggetti valgono sia le regole del settore pubblico sia, in subordine, quelle del settore privato se più restrittive. Questo significa che un ente partecipato deve valutare il regime più sfavorevole e applicarlo integralmente, senza poter scegliere il perimetro più favorevole.

Obbligo di istituzione del canale interno entro le scadenze

Infographic: Obbligo di istituzione del canale interno entro le scadenze L'istituzione di un canale segnalazione obbligatorio Italia è il cuore operativo della normativa. Il decreto prevede che le imprese obbligate attivino canali interni che garantiscano la riservatezza sull'identità del segnalante, del facilitatore e delle persone coinvolte, e che consentano la gestione strutturata dei casi con tracciamento di ogni fase.

Le scadenze si sono articolate in tre momenti:

  • 15 luglio 2023: obbligo attivo per i soggetti del settore privato con almeno 250 dipendenti e per l'intero settore pubblico.
  • 15 dicembre 2023: obbligo attivo per i soggetti del settore privato con più di 50 dipendenti (la fascia attualmente più numerosa tra le PMI italiane).
  • 17 dicembre 2021: termine già scaduto per i soggetti del settore pubblico che gestiscono fondi europei PNRR.

Il canale interno deve rispettare requisiti tecnici precisi: deve essere gestito da una persona o da un ufficio interno autonomo, deve consentire segnalazioni scritte (e idealmente anche orali), deve prevedere un riscontro al segnalante entro 7 giorni dall'invio e un aggiornamento sullo stato della pratica entro 3 mesi. Le segnalazioni anonime sono ammesse e trattate alla stregua di quelle nominative, purché sia possibile avviare un'istruttoria.

Un aspetto spesso sottovalutato riguarda la modalità di gestione del canale. Il decreto non impone una soluzione tecnologica specifica, ma richiede garanzie strutturali di riservatezza, tracciabilità e integrità delle informazioni. Nella pratica, le aziende possono scegliere tra tre opzioni:

  • Soluzione interna sviluppata ad hoc: richiede competenze tecniche significative per garantire crittografia e segregazione dei dati.
  • Piattaforma SaaS specializzata: più rapida da implementare, ma impone una due diligence accurata sul fornitore, soprattutto su localizzazione dei dati e certificazioni di sicurezza.
  • Gestione esternalizzata a un soggetto esterno: possibile solo se il soggetto esterno garantisce gli stessi standard di autonomia e riservatezza richiesti al gestore interno.

Per le organizzazioni che operano in settori ad alta intensità normativa come banche, assicurazioni e sanità, la scelta della piattaforma deve considerare anche l'integrazione con i sistemi di compliance già esistenti e la capacità di produrre evidenze documentali pronte per gli audit di vigilanza. Approfondire l'evoluzione normativa europea è utile per capire dove si collocano gli eu whistleblowing compliance nel contesto italiano.

Ruolo, formazione e indipendenza del gestore

Il gestore delle segnalazioni è la figura cardine attorno a cui ruota l'efficacia dell'intero sistema. ANAC ha chiarito che il gestore deve possedere tre requisiti cumulativi: autonomia decisionale, competenza tecnica e indipendenza funzionale rispetto al management operativo dell'azienda.

In concreto, il gestore riceve le segnalazioni, valuta la loro ammissibilità, avvia l'istruttoria, mantiene i rapporti con il segnalante e trasmette gli esiti alle funzioni competenti (internal audit, legale, HR, organi di vertice). La sua posizione deve essere tale da resistere a pressioni interne: non può essere licenziato, demansionato o trasferito per l'attività svolta come gestore, e deve disporre di risorse adeguate in termini di tempo, personale di supporto e accesso alle informazioni.

La formazione del gestore non è un optional. Il decreto richiede che il gestore e il personale che lo supporta ricevano una formazione specifica sulle tematiche di whistleblowing, sulle tecniche di gestione dei casi, sulla protezione dei dati personali e sulle dinamiche relazionali con i segnalanti. ANAC ha più volte richiamato l'attenzione su questo punto nelle proprie FAQ, sottolineando che una formazione solo formale non è sufficiente: serve un addestramento continuativo, aggiornato almeno annualmente.

Una criticità ricorrente nelle PMI italiane riguarda l'identificazione stessa del gestore: molte aziende sotto i 250 dipendenti concentrano questa funzione sul responsabile compliance o sul direttore HR, creando conflitti di interesse evidenti. La soluzione più diffusa è l'individuazione di un comitato ristretto (2-3 persone) con composizione mista, oppure l'affidamento a una figura esterna che riporti direttamente al consiglio di amministrazione o all'organo di controllo. Per i responsabili della conformità che devono impostare questa funzione da zero, è utile partire da una checklist strutturata come quella pensata for compliance officers.

Tutele del segnalante e divieto di ritorsioni

Il D.Lgs. 24/2023 ha introdotto un sistema di tutele ampio, che non si limita al divieto di ritorsioni ma include misure di sostegno concreto per il segnalante. Le tutele si applicano a condizione che il segnalante agisca in buona fede e che la segnalazione riguardi violazioni riconducibili al perimetro del decreto (illeciti amministrativi, contabili, civili, penali, violazioni del diritto UE).

Le ritorsioni vietate sono elencate in modo tassativo e coprono l'intero arco delle relazioni lavorative: licenziamento, sospensione, demansionamento, mancata promozione, trasferimento ingiustificato, cambiamento di mansioni, riduzione dello stipendio, discriminazione, molestie, danno reputazionale, inserimento in liste nere di settore, conclusione anticipata di contratti di fornitura, revoca di licenze o autorizzazioni. L'elenco è aperto: qualsiasi comportamento che possa arrecare danno al segnalante nel contesto lavorativo può configurare una ritorsione.

Le tutele accessorie comprendono:

  • Inversione dell'onere della prova: se il segnalante dimostra di aver subito una ritorsione dopo la segnalazione, spetta al datore di lavoro dimostrare che la misura adottata era basata su ragioni estranee alla segnalazione.
  • Nullità degli atti ritorsivi: qualsiasi atto assunto in violazione del divieto è nullo e i soggetti che lo hanno posto in essere sono soggetti alle sanzioni disciplinari previste dai contratti collettivi.
  • Misure di sostegno: assistenza legale gratuita, supporto psicologico, misure di protezione della reputazione.
  • Tutele speciali per i facilitatori: chi assiste il segnalante nel processo di segnalazione gode delle stesse tutele.

Le tutele si estendono anche ai segnalanti anonici, purché la loro identità venga successivamente accertata in sede di procedimento. Questa è una delle novità più rilevanti rispetto alla disciplina previgente: il legislatore italiano ha compreso che l'anonimato è spesso l'unico modo per far emergere illeciti in contesti organizzativi chiusi.

Sanzioni ANAC: tipologie e importi aggiornati

Il Decreto Legislativo 24/2023 sanzioni prevede un sistema articolato che distingue tra violazioni degli obblighi di istituzione e gestione del canale, ritorsioni contro i segnalanti e violazioni degli obblighi di riservatezza. ANAC è l'autorità competente per l'accertamento e l'irrogazione delle sanzioni amministrative.

Le sanzioni principali sono:

  • Da 10.000 a 50.000 euro: per l'adozione di atti ritorsivi nei confronti del segnalante, applicabile sia al datore di lavoro sia ai soggetti che materialmente pongono in essere la ritorsione.
  • Da 10.000 a 50.000 euro: per la violazione dell'obbligo di riservatezza sull'identità del segnalante e delle persone coinvolte.
  • Da 5.000 a 25.000 euro: per la mancata istituzione del canale interno o per la sua gestione non conforme ai requisiti del decreto (assenza di gestore autonomo, mancata formazione, mancata tracciabilità).
  • Da 500 a 2.500 euro: per la mancata trasmissione della relazione annuale sulle segnalazioni ricevute.

Una novità rilevante riguarda la sanzione accessoria della pubblicazione del provvedimento sanzionatorio sul sito ANAC: per le violazioni più gravi, ANAC può disporre la pubblicazione della sanzione irrogata, con conseguenze reputazionali spesso più dannose della sanzione economica stessa.

ANAC ha avviato le prime ispezioni a partire dal 2024, concentrandosi inizialmente sui settori a più alta densità di obblighi (sanità, servizi finanziari, enti pubblici) e sulle segnalazioni pervenute dai cittadini. Le aziende che hanno ricevuto contestazioni hanno potuto beneficiare di termini brevi per l'adeguamento, ma l'approccio diventa progressivamente più rigido con il consolidarsi della prassi amministrativa.

Gli obblighi datore di lavoro whistleblowing non si esauriscono nella gestione del canale: il datore deve anche informare i lavoratori dell'esistenza del canale e delle tutele previste, mediante comunicazioni visibili nei luoghi di lavoro e nei canali intranet aziendali. La mancata informazione è di per sé una violazione sanzionabile.

Rapporto con la Direttiva UE 2019/1937 e altre normative

Il D.Lgs. 24/2023 è lo strumento principale del recepimento direttiva whistleblowing Italia, ma non opera in isolamento. Il sistema normativo italiano si compone di tre livelli che interagiscono tra loro:

  • Livello europeo: la Direttiva UE 2019/1937 fissa i principi minimi (riservatezza, divieto di ritorsioni, termini di riscontro, tutele del segnalante) e gli ambiti di applicazione settoriale.
  • Livello nazionale: il D.Lgs. 24/2023 recepisce la direttiva e la integra con sanzioni, autorità competente (ANAC) e adattamenti specifici per l'ordinamento italiano.
  • Livello settoriale: le normative di settore (antiriciclaggio, servizi finanziari, sanità, pubblico impiego) aggiungono obblighi specifici che si cumulano con quelli generali.

L'interazione con la Direttiva NIS2 è un ambito in evoluzione: le aziende che operano in settori essenziali o importanti devono coordinare il canale whistleblowing con i requisiti di gestione degli incidenti di sicurezza previsti dalla nis2. Una segnalazione relativa a un data breach, ad esempio, può essere gestita dal canale whistleblowing per la componente di illecito, ma deve contemporaneamente attivare le procedure di notifica al CSIRT Italia previste dalla normativa NIS2.

Un altro punto di intersezione riguarda il Regolamento UE 2016/679 (GDPR): il canale whistleblowing tratta dati personali e deve essere progettato in conformità con i principi di minimizzazione, limitazione della conservazione e protezione by design. La base giuridica più appropriata è generalmente il legittimo interesse del datore di lavoro, ma in alcuni casi può rendersi necessario il consenso del segnalante per trattamenti ulteriori (ad esempio, comunicazione a terzi).

Infine, il rapporto con le normative anticorruzione e antiriciclaggio (D.Lgs. 231/2001, D.Lgs. 231/2007) crea un'area di sovrapposizione importante: molte segnalazioni rilevanti ai fini del whistleblowing riguardano fatti che costituiscono anche reati presupposto della responsabilità amministrativa degli enti. In questi casi, il canale whistleblowing può essere configurato come componente del più ampio sistema di prevenzione dei reati, con effetti positivi sia sull'efficacia della segnalazione sia sull'esimente della responsabilità dell'ente.

Verifica la conformità della tua azienda con il check-up guidato di Ashio.

Fonti

D.Lgs. 24/2023: tutti gli obblighi whistleblowing per le aziende italiane | Ashio