Ashio whistleblowing software

Sep 15, 2026

Termini di 7 giorni e 3 mesi nel whistleblowing: guida operativa per non sforare

Cover: Termini di 7 giorni e 3 mesi nel whistleblowing: guida operativa per non sforare

Ogni caso di whistleblowing ha un timer legale che parte dalla ricezione: 7 giorni per confermare la presa in carico, 3 mesi per dare un riscontro. Sforare significa sanzione, non semplice ritardo. In questa guida vediamo come rispettare i termini whistleblowing 7 giorni e 3 mesi costruendo un workflow difendibile, con stati, ownership, template pronti e una checklist operativa che tiene insieme eu whistleblowing directive, prassi europee e routine quotidiana del team compliance.

Indice

Perché 7 giorni e 3 mesi sono il cuore della Direttiva UE 2019/1937

La Direttiva UE 2019/1937 ha introdotto due scadenze concatenate che misurano la qualità della gestione di un caso. La prima, il termine acknowledgement direttiva ue 2019/1937, impone all'organizzazione di accusare ricevimento della segnalazione entro sette giorni di calendario. La seconda, il feedback 3 mesi whistleblowing scadenza, impone di comunicare al segnalante l'esito o lo stato di avanzamento dell'indagine entro tre mesi dalla conferma di presa in carico.

Questi due termini non sono clausole accessorie: sono il perno attorno a cui ruotano gli obblighi di diligenza, trasparenza e protezione del segnalante. Le autorità nazionali li usano come primo indicatore per valutare se il canale interno è davvero operativo o solo formalmente esistente. Inoltre, i tre mesi non sono "tutto il tempo che vuoi": si possono prorogare, ma solo con motivazione documentata e comunicazione al segnalante. Una semplice dimenticanza, invece, equivale a inadempimento.

Per i responsabili compliance, la conseguenza pratica è che il workflow deve essere progettato attorno ai timer, non adattato a posteriori. Significa: triage immediato, acknowledgement standard entro la finestra dei sette giorni, promemoria interni ben prima della scadenza dei tre mesi e tracciabilità di ogni passaggio.

Cos'è l'acknowledgement dei 7 giorni e cosa deve contenere (cosa dire e cosa NON dire)

L'acknowledgement non è un'opzione di cortesia: è un obbligo. Entro sette giorni dalla ricezione della segnalazione, l'organizzazione deve confermare al segnalante — idealmente con lo stesso canale usato per l'invio, o con un canale protetto equivalente — che la segnalazione è stata ricevuta, classificata e istruita.

Cosa deve contenere l'acknowledgement

Un acknowledgement conforme riconosce quattro elementi minimi:

  • Conferma di ricezione: data e ora di presa in carico, con un numero di pratica interno che il segnalante potrà richiamare.
  • Canale di dialogo sicuro: istruzioni per riaprire la conversazione, proteggendo l'anonimato se la segnalazione è anonima.
  • Sintesi della comprensione del caso: rilettura, in poche righe, di ciò che è stato segnalato, per evitare che il segnalante scopra mesi dopo che il problema è stato frainteso.
  • Indicazione dei prossimi passi e dei tempi: come verrà gestito il caso, in quali fasi, e la prospettiva del riscontro a tre mesi.

Cosa NON scrivere nell'acknowledgement

Tre categorie di informazioni vanno evitate, perché minano la riservatezza o pregiudicano l'indagine:

  • Giudizi di merito prematuri ("crediamo che la cosa sia infondata", "probabilmente si tratta di un malinteso"): ledono la fiducia e possono configurare una ritorsione psicologica.
  • Identità di indagati o testimoni: anche solo un'allusione indiretta consente al segnalante di risalire a persone, vanificando l'indagine.
  • Promesse di esito ("risolveremo entro due settimane"): creano aspettative non sostenibili e, se disattese, diventano prova di inaffidabilità del canale.

Per i responsabili della conformità che progettano internal reporting channel, il principio è semplice: l'acknowledgement è un atto di processo, non un atto di merito. Documenta che il sistema ha funzionato, non che il sistema ha già deciso.

Il feedback dei 3 mesi: aggiornamenti intermedi, proroghe motivate, contenuti minimi del riscontro

Il feedback 3 mesi whistleblowing scadenza decorre dalla conferma di ricezione e si chiude con una comunicazione formale al segnalante. Può essere un esito finale (archiviazione, indagine confermata, azione correttiva avviata) oppure un aggiornamento intermedio se l'indagine è complessa.

Aggiornamenti intermedi e proroga

La Direttiva consente di prorogare i tre mesi quando la complessità del caso lo richiede, ma a tre condizioni cumulative:

  1. Motivazione scritta: perché l'indagine richiede più tempo (numero di persone da sentire, perizia tecnica, cooperazione con autorità esterne).
  2. Comunicazione preventiva al segnalante: l'estensione non può essere una sorpresa all'ultimo momento.
  3. Documentazione interna: la proroga deve essere visibile nel eu whistleblowing compliance del caso, con data, firmatario e ragione.

Contenuti minimi del riscontro finale

Quando il caso si chiude, il feedback deve contenere:

  • Stato finale: archiviazione, indagine confermata o indagine non confermata.
  • Azioni intraprese o programmate: procedurali, organizzative, formative o disciplinari, descritte in termini generali.
  • Misure di protezione: conferma che il segnalante è tutelato contro ritorsioni, e indicazione del canale a cui segnalare eventuali ritorsioni subite.
  • Limiti di trasparenza: ciò che non può essere comunicato (dettagli su persone coinvolte, prove specifiche, decisioni disciplinari individuali).

Il principio di fondo è che il segnalante ha diritto a sapere che il suo caso è stato preso sul serio, anche se non può sapere come è stato chiuso nel dettaglio. Il riscontro non è un report investigativo: è una dichiarazione di diligenza.

Workflow consigliato: stati, ownership, escalation interna quando i termini si avvicinano

Infographic: Workflow consigliato: stati, ownership, escalation interna quando i termini si avvicinano Un workflow gestione casi whistleblowing template solido si appoggia su cinque stati canonici, ognuno con un proprietario chiaro e una scadenza interna. Ecco una struttura di riferimento adattabile.

I cinque stati del caso

  1. Ricevuto — il sistema ha acquisito la segnalazione. Owner: intake automatico + referente compliance.
  2. Accusato — l'acknowledgement dei 7 giorni è stato inviato. Owner: referente compliance.
  3. In valutazione — triage, classificazione, prima istruttoria. Owner: responsabile caso.
  4. In indagine — audizioni, raccolta documentale, eventuali perizie. Owner: responsabile caso, con escalation al comitato etico.
  5. Chiuso — riscontro finale inviato, archivio immutabile generato. Owner: referente compliance.

Ownership e responsabilità

Ogni stato ha un solo responsabile primario, anche se il caso passa fra più funzioni. Questo evita il classico vuoto di accountability in cui "tutti sapevano, nessuno ha fatto". Il referente compliance è il custode delle scadenze: non conduce l'indagine, ma garantisce che il timer dei 7 giorni e dei 3 mesi sia rispettato. Il responsabile caso è il custode del merito: conduce l'indagine, alimenta il fascicolo e propone l'esito.

Escalation interna quando i termini si avvicinano

Un sistema di escalation si attiva a soglie prestabilite, non "quando qualcuno se ne accorge":

  • A 5 giorni dalla scadenza dell'acknowledgement: se il caso non è ancora "Accusato", il sistema notifica il referente compliance e il backup designato.
  • A 75 giorni dalla ricezione: se il caso è ancora "In indagine", parte la procedura di proroga motivata; si decide se prorogare e si comunica al segnalante.
  • A 85 giorni: controllo finale sulla completezza del fascicolo; il riscontro deve essere in bozza avanzata.

Per i for compliance officers, questa griglia elimina la dipendenza dalla memoria individuale e rende i termini un vincolo di sistema, non un impegno personale.

Template pronti per acknowledgement automatico e promemoria scadenza 3 mesi

I template sono lo scheletro del rispetto dei termini: standardizzano il contenuto, riducono il rischio di omissioni e rendono difendibile il processo in caso di audit.

Template di acknowledgement (invio entro 7 giorni)

Oggetto: Conferma di ricezione della segnalazione n. [ID_pratica]

Gentile segnalante,

confermiamo la ricezione della sua segnalazione in data [data], registrata con numero di pratica [ID].

Il suo contenuto è stato compreso come segue: [sintesi in 2-3 righe, fedele al testo originale].

Il caso è stato assegnato a [funzione/ruolo] e sarà gestito in coerenza con la Direttiva UE 2019/1937 e con la procedura interna di whistleblowing. Entro tre mesi dalla presente riceverà un riscontro sullo stato dell'istruttoria, salvo proroga motivata che Le verrà comunicata preventivamente.

Per riaprire il dialogo in modo sicuro e, se lo desidera, mantenere l'anonimato, utilizzi il canale indicato di seguito: [istruzioni operative].

Cordiali saluti, [Funzione di riferimento]

Template di promemoria scadenza 3 mesi (interno)

Oggetto: Promemoria scadenza caso [ID_pratica] — feedback a 3 mesi

Stato attuale: [In valutazione / In indagine]. Giorni trascorsi dalla ricezione: [N]. Giorni residui al riscontro: [90 - N]. Azione richiesta entro 5 giorni lavorativi: [completare bozza riscontro / avviare proroga motivata]. Owner: [nome e ruolo]. Backup: [nome e ruolo].

Questo promemoria scadenza caso whistleblowing deve uscire automaticamente a 75, 85 e 90 giorni. Non è un promemoria "carino da avere": è la prova che il sistema ha vigilato. Per chi opera su infrastrutture con attenzione alla security, promemoria e template devono viaggiare su canali cifrati e lasciare traccia nel registro attività.

Errori più comuni che fanno sforare (e come prevenirli)

Le sanzioni per inadempimento dei termini arrivano quasi sempre dagli stessi cinque errori ricorrenti. Conoscerli è metà della prevenzione.

1. Acknowledgement generico o tardivo. Spedire un "grazie, abbiamo ricevuto" senza numero di pratica né sintesi del caso non soddisfa il requisito. Soluzione: acknowledgement automatico allo stato "Ricevuto", personalizzato dal referente entro 48 ore.

2. Confondere la data di invio con la data di ricezione. Il timer decorre dalla ricezione nel canale interno, non dall'invio da parte del segnalante. Soluzione: timestamp di sistema non modificabile, con fuso orario esplicito.

3. Nessun backup designato. Se il referente compliance è in ferie o in malattia, l'acknowledgement salta. Soluzione: ruolo di backup con le stesse deleghe, attivato automaticamente quando il titolare è fuori sede.

4. Proroga non comunicata. Estendere l'indagine senza scrivere al segnalante equivale a sforare. Soluzione: workflow di proroga che richiede la comunicazione prima di poter essere chiuso.

5. Riscontro finale "vago". Frasi come "il caso è stato gestito" non dicono nulla. Soluzione: template con sezioni obbligatorie (stato, azioni, protezione, limiti di trasparenza) e divieto di chiudere la pratica senza compilarle tutte.

Checklist operativa di conformità ai termini

Una checklist di chiusura deve poter essere compilata in cinque minuti e deve rispondere a una sola domanda: siamo in regola con 7 giorni e 3 mesi su questo caso?

  • La segnalazione ha un timestamp di ricezione non modificabile.
  • L'acknowledgement dei 7 giorni è stato inviato, contiene numero di pratica, sintesi del caso e riferimento al feedback a 3 mesi.
  • Esiste un proprietario del caso e un backup documentati.
  • A 75 giorni, il sistema ha proposto proroga motivata oppure confermato la chiusura entro i 90 giorni.
  • Il riscontro finale contiene stato, azioni, misure di protezione e limiti di trasparenza.
  • Il fascicolo è archiviato in modo immutabile, con registro delle attività consultabile in caso di audit.
  • Ogni decisione di proroga è motivata per iscritto e comunicata al segnalante prima della scadenza.

Domande frequenti

Da quando decorrono esattamente i 7 giorni per l'acknowledgement? Dal giorno di ricezione della segnalazione nel canale interno, conteggiato in giorni di calendario, non lavorativi. Il timestamp deve essere tecnico e non modificabile.

I 3 mesi si calcolano dalla ricezione o dall'acknowledgement? Dal giorno di ricezione, ma la prassi più difendibile è farli decorrere dall'invio dell'acknowledgement, perché solo a quel punto il segnalante sa ufficialmente che il caso è stato preso in carico. In entrambi i casi, la regola deve essere esplicita nella procedura interna.

È possibile prorogare i 3 mesi senza limiti? No. La proroga è ammessa per la complessità del caso, ma deve essere motivata per iscritto e comunicata al segnalante prima della scadenza. In assenza di comunicazione preventiva, l'inadempimento si configura comunque.

Cosa rischio se sforo i termini? Le sanzioni variano per Stato membro, ma includono multe, perdita di affidabilità del canale (con shift delle segnalazioni verso autorità esterne) e, nei casi più gravi, responsabilità personale degli organi di gestione. Inoltre, lo sforamento documentato diventa prova in un eventuale contenzioso con il segnalante.

Un'azienda sotto i 50 dipendenti è comunque obbligata? La Direttiva UE 2019/1937 fissa la soglia dei 50 dipendenti per gli enti giuridici del settore privato, ma alcuni Stati membri hanno esteso l'obbligo o lo applicano a settori specifici (servizi finanziari, sanità) senza soglia dimensionale. È sempre necessario verificare la normativa nazionale applicabile.

Fonti

Termini di 7 giorni e 3 mesi nel whistleblowing: guida operativa per non sforare | Ashio