Indagine interna su una segnalazione di whistleblowing: procedura in 7 fasi senza rompere l'anonimato

Ricevere la prima segnalazione vera è il momento in cui il canale whistleblowing passa dalla teoria alla pratica: ogni decisione presa nelle prime 48 ore determina se l'indagine interna whistleblowing procedura reggerà in un eventuale contenzioso o davanti all'ANAC. Questa guida accompagna HR e compliance officer passo per passo attraverso una procedura di indagine interna su una segnalazione whistleblowing, dal triage iniziale fino all'archiviazione, senza perdere la catena di custodia, i termini di legge e l'anonimato del segnalante. L'obiettivo è offrire un metodo difendibile davanti a un auditor, a un avvocato o a un giudice, con particolare attenzione alla documentazione di ogni passaggio della procedura di indagine interna whistleblowing.

Indice

Punti chiave
Triage della segnalazione: cosa valutare nelle prime 24 ore
Valutazione del rischio e classificazione della gravità
Piano di indagine: chi coinvolgere, chi tenere fuori
Come comunicare con il segnalante anonimo senza esporlo
Raccolta prove: documenti, testimonianze, log di sistema
Come gestire i colloqui con il segnalato senza pregiudicare l'esito
Redazione del rapporto finale e chiusura del caso
Archiviazione e conservazione: quanto a lungo e come
Domande frequenti
Fonti

Punti chiave

Le Delibera ANAC sulle linee guida whistleblowing ribadiscono che la gestione delle segnalazioni interne è un'istruttoria di parte, non un'indagine penale, e deve seguire procedure tracciabili e proporzionate.
Il D.Lgs. 24/2023 fissa due termini non derogabili: avviso di ricevimento al segnalante entro 7 giorni e riscontro definitivo entro 3 mesi.
Ogni decisione rilevante (apertura, archiviazione, audizione, sospensione) va verbalizzata in un registro attività immutabile, con data, ora, autore e motivazione.
L'anonimato si tutela in modo tecnico, non solo formale: nessun IP, nessun cookie, nessuna email richiesta al segnalante.
Il rapporto finale deve contenere fatti, prove, conclusioni e raccomandazioni, separando chiaramente le evidenze dalle opinioni.

Triage della segnalazione: cosa valutare nelle prime 24 ore

Triage della segnalazione: cosa valutare nelle prime 24 ore Il triage è la lettura strutturata della segnalazione entro le prime 24 ore dal ricevimento, con l'obiettivo di classificarla e decidere se avviare l'istruttoria. In questa fase si stabiliscono la gravità apparente, l'urgenza e il perimetro soggettivo, evitando di entrare nel merito. Il responsabile della gestione – di norma il soggetto responsabile della gestione delle segnalazioni designato ai sensi del D.Lgs. 24/2023 – legge integralmente la segnalazione, verifica la completezza dei fatti narrati e identifica immediatamente tre elementi: la tipologia di illecito (discriminazione, frode, violazione normativa, pericolo per la sicurezza), i soggetti coinvolti e l'esistenza di un rischio imminente per persone o per l'integrità dell'azienda. È buona prassi annotare subito l'orario di apertura del fascicolo e l'identità del soggetto che ha effettuato la prima lettura, così da costruire da subito una catena di custodia documentale che potrà essere esibita in caso di ispezione.

Se la segnalazione è anonima, occorre subito valutare se contiene elementi sufficienti per procedere: descrizioni di fatti, date, luoghi, ruoli, documenti citati. Una segnalazione anonima troppo generica non va archiviata d'impulso: si contatta il segnalante attraverso il canale sicuro, chiedendo precisazioni senza mai tentare di identificarlo. Il sistema di ricezione deve essere progettato per garantire che questa comunicazione non lasci tracce riconducibili all'autore; una soluzione conforme al GDPR, con crittografia end-to-end e nessuna raccolta di IP, è descritta nella pagina dedicata alla segnalazione anonima del fornitore scelto. In ogni caso, entro 7 giorni dal ricevimento, il segnalante deve ricevere un avviso di presa in carico: è un termine di legge, non una cortesia, e la sua violazione è sanzionabile dall'ANAC.

Quando scatta l'escalation immediata?

L'escalation immediata si attiva quando dalla segnalazione emergono rischi gravi per l'integrità fisica delle persone, per la sicurezza pubblica, per la continuità operativa o quando vi è il fondato sospetto di una distruzione di prove in corso. In questi casi il gestore informa senza ritardo la direzione, l'ufficio legale e, se ricorre un obbligo di legge, le autorità competenti. La valutazione del rischio non può mai essere rinviata "a dopo il triage": se il triage stesso rivela una situazione urgente, la fase successiva – la classificazione – deve avvenire in giornata.

Valutazione del rischio e classificazione della gravità

La valutazione del rischio è l'analisi strutturata della segnalazione per assegnare un livello di gravità – bassa, media, alta, critica – e per definire le risorse da allocare all'indagine. Si considerano almeno quattro dimensioni: la rilevanza giuridica del fatto, l'entità del danno potenziale, la vulnerabilità del segnalante e la probabilità che le prove siano ancora disponibili. Una discriminazione documentata su un singolo episodio è diversa da una frode milionaria con documentazione da occultare: la prima può essere gestita internamente con tempi distesi, la seconda richiede un team allargato, strumenti forensi e il supporto immediato dell'ufficio legale. La gravità assegnata va poi riverificata in corso d'opera, perché nuovi elementi emersi durante l'istruttoria possono portare a una riclassificazione formale, che a sua volta deve essere verbalizzata.

L'ANAC, nelle Linee guida n. 1/2025, richiede che la gravità sia esplicitamente documentata in un verbale, con i criteri utilizzati e il soggetto che ha effettuato la valutazione. Questo verbale entra a far parte del fascicolo e dimostra, in caso di ispezione, che la decisione di aprire o archiviare non è stata discrezionale ma basata su parametri oggettivi. La classificazione non è un'etichetta fine a sé stessa: determina chi sarà coinvolto nell'indagine, quali poteri avrà il team e con quali tempi dovrà operare.

Quali criteri usare per assegnare la gravità?

I criteri minimi da applicare sono: potenziale sanzionatorio (sanzioni ANAC previste dal D.Lgs. 24/2023 per la violazione degli obblighi di gestione), numero di persone coinvolte, reversibilità del danno, esistenza di precedenti interni e presenza di indizi di attività in corso. Una matrice di scoring 3×3 (impatto × probabilità × urgenza) è sufficiente per le PMI e produce un punteggio riproducibile; nulla vieta di adottare modelli più articolati, purché siano documentati e applicati con coerenza tra le segnalazioni.

Piano di indagine: chi coinvolgere, chi tenere fuori

Il piano di indagine è il documento interno che definisce obiettivi, perimetro, ruoli, tempi e risorse dell'istruttoria, da approvare prima di iniziare qualunque attività istruttoria. Definisce le domande a cui l'indagine deve rispondere, le fonti da consultare, le persone da sentire e l'ordine cronologico delle attività. Serve anche a dimostrare che l'indagine è stata condotta secondo un metodo e non in modo estemporaneo: in caso di contestazione, il piano datato e firmato è la prova che il processo era organizzato.

La composizione del team dipende dalla gravità e dal tipo di illecito. In una PMI con 150 dipendenti e una prima segnalazione grave, le figure tipiche sono il gestore delle segnalazioni, un referente HR se la questione riguarda rapporti di lavoro, il responsabile dell'ufficio legale o un avvocato esterno, e – quando la materia lo richiede – un consulente tecnico (forense, contabile, giuslavorista). La regola fondamentale è che nessun soggetto coinvolto o potenzialmente coinvolto nei fatti segnalati può partecipare all'indagine: il conflitto d'interessi, anche solo apparente, inficia l'intero procedimento. Anche i soggetti che hanno un rapporto gerarchico diretto con il segnalato vanno tenuti fuori, salvo casi eccezionali e motivati.

Quando la complessità organizzativa cresce, o quando l'indagine si ripete, diventa utile avere a disposizione un sistema che mantenga il registro delle attività in modo immutabile e tracci ogni accesso al fascicolo. Per le realtà che non hanno mai gestito un'indagine strutturata, può essere utile consultare risorse specializzate for compliance officers che illustrano come organizzare questo tipo di infrastruttura: per le realtà che non hanno mai gestito un'indagine strutturata, l'affidamento a uno strumento dedicato è spesso preferibile alla costruzione di un processo interamente manuale basato su email e fogli di calcolo, perché riduce il rischio di errori procedurali e garantisce la tenuta documentale richiesta dall'ANAC.

Come comunicare con il segnalante anonimo senza esporlo

La comunicazione con il segnalante anonimo deve avvenire esclusivamente attraverso il Canale di segnalazione interno e mai su canali alternativi, per non rompere l'anonimato e per mantenere la catena documentale. Ogni domanda posta, ogni risposta ricevuta, ogni file scambiato va archiviata con data e identificativo univoco. Il segnalante non deve mai essere contattato al di fuori del sistema, nemmeno per rassicurarlo: una telefonata "per capire meglio" è sufficiente per violare la riservatezza e per identificare indirettamente l'autore.

Nella pratica, l'istruttore chiede precisazioni solo su quanto necessario a procedere: date, nomi di reparto, descrizione di fatti, disponibilità di documenti. Evita domande che possano sembrare un tentativo di identificazione ("da quale ufficio scrivi?", "chi altri lo sa?"). Quando la comunicazione bidirezionale è gestita da una piattaforma che non raccoglie IP, cookie, fingerprint del browser e non richiede email, il rischio di identificazione indiretta si riduce drasticamente; i requisiti tecnici di un sistema conforme a questo standard sono descritti nella documentazione sulla Sicurezza & conformità GDPR del fornitore. La documentazione di ogni scambio è parte integrante del fascicolo e va conservata secondo i criteri che vedremo nella sezione finale.

Raccolta prove: documenti, testimonianze, log di sistema

La raccolta prove è l'insieme delle attività volte ad acquisire, conservare e classificare ogni elemento utile a sostenere le conclusioni dell'indagine, nel rispetto della catena di custodia. Si distinguono tre categorie: prove documentali (email, contratti, fatture, report, registri di accesso), prove testimoniali (dichiarazioni di colleghi, fornitori, clienti) e log di sistema (accessi, transazioni, timestamp di modifica). Ogni prova va identificata con un codice univoco, datata, assegnata a un custode e mai modificata nella sua forma originale: si lavora sempre su copie, mai sugli originali.

La catena di custodia è l'elenco cronologico di chi ha avuto accesso a ciascuna prova, in quale data, con quale finalità. Qualsiasi interruzione nella catena – un file lasciato su una scrivania, un'email inoltrata per sbaglio, un accesso non documentato – può rendere la prova inutilizzabile in un eventuale contenzioso. Le aziende che adottano un canale interno di segnalazione con funzionalità di tracciamento strutturato possono avere un vantaggio organizzativo nella tenuta documentale: ogni operazione sui documenti e sulle segnalazioni è tracciata automaticamente, con timestamp e identità dell'operatore, e questo registro può essere esibito in audit senza dover ricostruire ex post cosa è accaduto.

Come si conserva la catena di custodia sui file digitali?

Si conserva utilizzando funzioni di hash crittografico (SHA-256 o superiore) per identificare in modo univoco ciascun file al momento dell'acquisizione, conservando l'hash insieme al file e registrando ogni successiva operazione in un log firmato. I file originali restano in un archivio in sola lettura, mentre le copie di lavoro sono marcate come tali. Solo i soggetti autorizzati accedono all'archivio, e ogni accesso è registrato: questa è la differenza tra un fascicolo "archiviato da qualche parte" e un fascicolo processualmente solido.

Come gestire i colloqui con il segnalato senza pregiudicare l'esito

I colloqui con il segnalato vanno condotti dopo aver completato la raccolta documentale preliminare, con domande aperte, senza formulare accuse e senza rivelare l'identità del segnalante. L'obiettivo non è "cogliere in fallo", ma raccogliere la versione dei fatti del segnalato e dargli la possibilità di produrre prove a sua discolpa. La condotta dell'istruttore deve essere improntata a equità, riservatezza e proporzionalità: ogni domanda che esuli dal perimetro dell'indagine è illegittima e potrebbe configurare un comportamento persecutorio.

Il segnalato ha diritto a essere informato dell'esistenza dell'indagine e della sua natura, ma non necessariamente dell'identità del segnalante, che per legge è protetta anche quando la segnalazione si rivela infondata. Le dichiarazioni raccolte vanno verbalizzate, firmate dal dichiarante e dall'istruttore, e conservate nel fascicolo. La presenza di un rappresentante sindacale o di un legale di fiducia del segnalato è un diritto nei casi previsti dal contratto collettivo o dallo statuto dei lavoratori: ignorarlo espone l'azienda a un vizio procedurale.

Cosa non si deve mai chiedere al segnalato?

Non si deve mai chiedere "chi te lo ha detto?", né fare domande volte a identificare indirettamente il segnalante, né anticipare il contenuto della segnalazione in modo che il segnalato possa "preparare" una versione coerente. Queste condotte violano la riservatezza e possono configurare una ritorsione ai sensi del D.Lgs. 24/2023, con conseguenze sia per l'istruttore sia per l'azienda.

Redazione del rapporto finale e chiusura del caso

Il rapporto finale è il documento che chiude l'indagine, riassume fatti, prove, conclusioni e raccomandazioni, e viene trasmesso agli organi decisionali per le determinazioni di competenza. Deve essere autosufficiente: chi lo legge tra sei mesi, senza conoscere la segnalazione originaria, deve poter comprendere cosa è accaduto, come è stato accertato e perché si è giunti a una determinata conclusione. La struttura raccomandata prevede: premessa con riferimento alla segnalazione e al perimetro, sintesi dei fatti, metodo di indagine, prove raccolte, versione del segnalato, analisi, conclusioni, raccomandazioni.

Le conclusioni devono distinguere con chiarezza ciò che è stato accertato (prove documentali, ammissioni, log) da ciò che è rimasto indeterminato. Le raccomandazioni devono essere concrete, datate e assegnate a un responsabile: non "migliorare i controlli interni", ma "entro il 30 giugno il responsabile amministrativo deve introdurre una doppia firma sui pagamenti sopra i 5.000 €". Il rapporto finale entra a far parte del fascicolo e, nei casi previsti, va comunicato al segnalante entro il termine di 3 mesi previsto dal D.Lgs. 24/2023.

Cosa fare se l'indagine non porta a prove sufficienti?

Se l'indagine non raggiunge la soglia di prova necessaria, si redige un rapporto che documenta le attività svolte, le ipotesi vagliate e la motivazione dell'archiviazione per insufficienza di elementi. Questa archiviazione non è una sconfitta: è una decisione legittima, a condizione che sia motivata e tracciata. L'ANAC, nelle Linee guida n. 1/2025, valorizza esplicitamente la qualità dell'istruttoria anche quando l'esito è l'archiviazione: ciò che conta è che il processo sia documentato, proporzionato e difendibile.

Archiviazione e conservazione: quanto a lungo e come

L'archiviazione del fascicolo deve rispettare i termini previsti dal D.Lgs. 24/2023 e dal GDPR, garantendo integrità, riservatezza e accessibilità controllata per tutta la durata della conservazione. Il D.Lgs. 24/2023 prevede che le segnalazioni e la relativa documentazione siano conservate per il tempo necessario al trattamento della segnalazione e comunque non oltre 5 anni a decorrere dalla data della comunicazione dell'esito finale. Il GDPR impone parallelamente che i dati personali non siano conservati più a lungo del necessario e che siano adottate misure tecniche e organizzative adeguate a proteggerli.

In pratica, il fascicolo va conservato in un archivio a sola lettura, con accessi tracciati, separato dalle altre banche dati aziendali, e protetto da crittografia. I dati identificativi del segnalante, se presenti, vanno conservati separatamente dal corpo della segnalazione e accessibili solo ai soggetti autorizzati. Per le organizzazioni che gestiscono un canale interno di segnalazione strutturato, è opportuno verificare che il sistema adottato offra queste garanzie: il registro attività è immutabile, l'esportazione è in formati standard a prova di audit, e la conservazione è gestita secondo i requisiti di legge. Trascorsi i termini, il fascicolo va cancellato in modo sicuro, con verbale di avvenuta distruzione.

Domande frequenti

Quali sono i termini di legge per rispondere al segnalante?

Il D.Lgs. 24/2023 prevede un avviso di ricevimento della segnalazione entro 7 giorni dal suo invio e un riscontro definitivo sull'esito dell'istruttoria entro 3 mesi. Questi termini decorrono dalla data di ricezione e decorrono anche per le segnalazioni anonime: l'anonimato non sospende gli obblighi del gestore. Il mancato rispetto dei termini è sanzionabile dall'ANAC.

Cosa si intende per "indagine di parte" secondo le Linee guida ANAC 2025?

Le Linee guida ANAC n. 1/2025 qualificano l'investigazione interna come un'istruttoria di parte, condotta dall'organizzazione con regole proprie, e non come un'indagine penale. Questo significa che l'azienda non ha poteri coercitivi, ma ha l'onere di condurre un'istruttoria completa, proporzionata e tracciabile, le cui conclusioni possono essere trasmesse alle autorità competenti ma non le sostituiscono.

Si può svolgere l'indagine senza avvocato?

Sì, è possibile condurre l'indagine internamente quando la materia è circoscritta e l'azienda ha competenze adeguate, ma è raccomandabile il supporto legale ogni volta che l'esito può avere effetti sul rapporto di lavoro, su sanzioni disciplinari o su procedimenti civili. In materia di whistleblowing, l'articolo 5 del D.Lgs. 24/2023 richiede che la gestione delle segnalazioni sia affidata a una persona o a un ufficio autonomo e con personale specificamente formato, condizione che spesso rende opportuno l'affiancamento di un legale esterno.

Come si dimostra l'assenza di ritorsioni in caso di contestazione?

L'assenza di ritorsioni si dimostra producendo il registro delle decisioni assunte sul segnalante (cambiamenti di ruolo, valutazioni, sanzioni) nel periodo successivo alla segnalazione, confrontato con l'andamento ordinario. Il registro attività immutabile del canale di segnalazione, con timestamp e identità degli operatori, è la prova principe: ogni accesso al fascicolo è tracciato, e l'eventuale ritorsione si manifesterebbe come anomalia documentale.

Quando è obbligatorio segnalare all'ANAC?

È obbligatorio segnalare all'ANAC quando la segnalazione interna non ha avuto seguito, quando il segnalante ritiene che vi sia un pericolo imminente per l'interesse pubblico, o quando sussistono le condizioni previste dall'articolo 6 del D.Lgs. 24/2023. La segnalazione esterna all'ANAC è un diritto del segnalante, non un obbligo di comunicazione da parte del gestore, ma l'azienda deve essere pronta a fornire la documentazione richiesta in caso di ispezione.