Ashio whistleblowing software

Case study: come una banca europea ha attivato il canale whistleblowing in 10 giorni

Cover: Case study: come una banca europea ha attivato il canale whistleblowing in 10 giorni

Le banche e le assicurazioni europee hanno finestre di conformità sempre più strette: il DORA, il D.Lgs. 24/2023 e gli obblighi EBA si sovrappongono, e i consigli di amministrazione rispondono in prima persona quando il canale di segnalazione interno non è attivo o non è conforme. Questo case study racconta come un istituto bancario europeo di medie dimensioni — circa 1.800 dipendenti, operante in quattro Paesi — sia passato da zero a un whistleblowing software per settore finanziario pienamente operativo in dieci giorni lavorativi, senza fermare i sistemi AML e GRC già in produzione. La scelta è caduta su Ashio, una piattaforma pensata per banche, assicurazioni e fintech che cercano conformità senza un progetto IT pluriennale.

Indice

Contesto normativo: DORA, EBA e normativa nazionale

L'istituto in questione era esposto simultaneamente a tre livelli regolatori. Il primo era la Direttiva UE 2019/1937, recepita in Italia con il D.Lgs. 24/2023, che impone a tutte le entità giuridiche con almeno 50 dipendenti di dotarsi di un canale interno di segnalazione, con termini tassativi di 7 giorni per l'accettazione e 3 mesi per il riscontro al segnalante. Il secondo era il DORA — Digital Operational Resilience Act, in vigore dal 17 gennaio 2025, che estende la resilienza operativa digitale ai processi di gestione degli incidenti ICT e, indirettamente, ai meccanismi di whistleblowing banche obblighi connessi alla continuità di servizio. Il terzo erano le linee guida EBA sulla governance interna, che richiedono tracciabilità completa, conservazione dei log e segregazione dei ruoli tra chi riceve la segnalazione e chi la gestisce.

In aggiunta, la banca doveva rispettare la normativa nazionale di settore — per gli istituti vigilati, l'obbligo di dotarsi di un canale di segnalazione conforme alla Circolare 285 di Banca d'Italia e alle disposizioni CONSOB sulle segnalazioni di violazioni in materia di abusi di mercato. Il risultato era un puzzle di obblighi convergenti, ciascuno con la propria base legale, le proprie scadenze e i propri requisiti di audit. Una soluzione interna basata su caselle di posta condivise o fogli Excel non era più difendibile: la documentazione prodotta durante l'audit di gruppo aveva già evidenziato la criticità, e il CdA aveva dato un termine di trenta giorni per la messa a regime.

Sfida: integrare il canale con i sistemi AML e GRC esistenti

La vera difficoltà non era implementare un form di segnalazione: era farlo senza creare un silos isolato. La banca aveva già investito in una piattaforma GRC per la gestione dei rischi e in un sistema AML per le segnalazioni di operazioni sospette. Il canale di whistleblowing doveva alimentare lo stesso cruscotto dei casi aperti, rispettare le stesse regole di segnalazioni mercati finanziari già tracciate dall'ufficio compliance e consentire al responsabile AML di essere automaticamente avvisato quando una segnalazione interna menzionava riciclaggio, evasione o violazioni di mercato.

L'IT interno aveva valutato due opzioni. La prima era costruire un modulo custom sopra la piattaforma GRC esistente: un progetto stimato in sei-nove mesi, con dipendenza dal fornitore del GRC per ogni patch normativa. La seconda era adottare una piattaforma verticale specializzata, più veloce da deployare ma con il rischio percepito di dover gestire un'integrazione fragile via API. Il canale segnalazione assicurazioni e banche doveva, inoltre, supportare il multilingua perché l'istituto opera in mercati dove si parlano quattro lingue europee, e doveva garantire anonimato tecnico contro ogni tentativo di re-identificazione — non solo a livello di interfaccia, ma di architettura.

Soluzione: implementazione di Ashio in 10 giorni

Infographic: Soluzione: implementazione di Ashio in 10 giorni La banca ha scelto Ashio per tre ragioni convergenti: la conformità by design rispetto a DORA e D.Lgs. 24/2023, l'hosting in data center svizzeri certificati ISO 27001 — coerente con la sicurezza e conformità GDPR richiesta dal gruppo — e un modello di integrazione che non richiedeva progetto IT. Il piano di lavoro è stato articolato in dieci giorni lavorativi, con un team misto composto da un referente compliance, un referente IT e un referente HR.

Giorni 1-2: setup e governance. Creazione dell'organizzazione su Ashio, configurazione dei gruppi di gestione (compliance officer, AML officer, HR per le segnalazioni di molestie, internal audit in sola lettura), definizione delle policy di triage e dei template di risposta. Il modello di governance conforme a ISO 37002 ha permesso di documentare ruoli, responsabilità e flussi in poche ore, senza dover reinventare la struttura da zero.

Giorni 3-5: branding e localizzazione. Personalizzazione del portale di segnalazione con il logo e i colori dell'istituto, configurazione delle lingue (italiano, inglese, francese e tedesco) e traduzione dei testi della procedura interna di gestione. Le pagine di segnalazione non contengono tracker di alcun tipo, come richiesto dalla policy di anonimato.

Giorni 6-8: integrazione con AML e GRC. Sfruttando le API documentate di Ashio, il team IT ha configurato un webhook che inoltra in tempo reale le nuove segnalazioni al case management GRC esistente, con arricchimento automatico dei metadati (data, tipologia, paese) e tagging in base a parole chiave regolamentate (riciclaggio, manipolazione di mercato, frode assicurativa, violazione della sicurezza informatica). Quando una segnalazione contiene indicatori AML, un alert viene generato verso la piattaforma di transaction monitoring tramite il flusso già esistente.

Giorni 9-10: test, formazione e go-live. Esecuzione di test end-to-end con segnalazioni simulate, formazione dei gestori e dei referenti AML su triage, accettazione entro 7 giorni e riscontro entro 3 mesi, e pubblicazione del canale sulla intranet aziendale e sui documenti informativi per il pubblico, come richiesto dalla normativa.

L'intero deploy non ha richiesto modifiche all'infrastruttura di rete aziendale: Ashio gira come SaaS conforme in data center svizzeri, e l'integrazione con i sistemi interni avviene solo in uscita dal perimetro bancario tramite webhook cifrati.

Risultati: tasso di adozione, qualità delle segnalazioni, audit

A tre mesi dal go-live i numeri raccontano una storia chiara. Il tasso di adozione è stato superiore alle aspettative: il 92% dei dipendenti era a conoscenza del canale — dato rilevato tramite survey anonima interna — e le segnalazioni sono state numericamente in linea con i benchmark di settore, ma qualitativamente molto più ricche rispetto al passato, quando le stesse segnalazioni arrivavano via email o via hotline telefonica e si perdevano tra i canali non strutturati.

Sul piano della qualità, il dato più rilevante è la percentuale di segnalazioni classificate come "utilizzabili" dal team compliance dopo il triage: passate da circa il 40% con il sistema precedente a oltre l'80% con Ashio, grazie al flusso strutturato di raccolta che guida il segnalante nella descrizione dei fatti senza però imporre campi obbligatori che scoraggerebbero l'anonimato. Il tempo medio di prima presa in carico è stato di 28 ore, ben dentro il termine di 7 giorni previsto dalla Direttiva.

Sul piano dell'audit, il registro attività immutabile di Ashio ha permesso di produrre in poche ore la reportistica richiesta dall'auditor esterno, dimostrando per ogni segnalazione: data di arrivo, operatore che ha eseguito il triage, eventuali escalation, stato di lavorazione, scadenze rispettate. Per gli istituti assicurativi, lo stesso modello è documentato nella pagina dedicata al whistleblowing software per assicurazioni, con adattamenti specifici alle normative IVASS e Solvency II.

Lezioni apprese per altri istituti finanziari

Da questo case study emergono cinque lezioni utili per qualsiasi banca, assicuratore o fintech che stia valutando un whistleblowing software per settore finanziario.

  1. Non confondere velocità di deploy con frettolosità. Dieci giorni bastano perché il modello è già conforme by design; tutto il tempo va speso nella governance interna, non nell'infrastruttura tecnica.
  2. L'integrazione con AML e GRC è un requisito, non un nice-to-have. Una segnalazione di riciclaggio che non arriva al transaction monitoring è una segnalazione persa. Il webhook è il minimo sindacabile.
  3. L'anonimato deve essere architetturale, non cosmetico. Pagina senza tracker, chiavi nel browser del segnalante, server che vede solo testo cifrato: sono dettagli che fanno la differenza quando un segnalante decide se fidarsi.
  4. Il multilingua è compliance. Operare in più mercati europei significa pubblicare il canale in tutte le lingue rilevanti; la Direttiva UE non ammette deroghe.
  5. Il valore reale è nei termini di 7 giorni e 3 mesi. Un sistema che non forza la scadenza e non la dimostra all'audit non è un sistema: è un'idea.

Queste lezioni hanno un corollario operativo: scegliere una piattaforma specializzata è quasi sempre più rapido, più sicuro e meno costoso rispetto a costruire un modulo interno, a patto che la piattaforma sia certificata, ospitata in giurisdizioni europee e progettata per integrarsi con l'ecosistema di compliance esistente. Il caso descritto lo dimostra: 10 giorni, zero fermi IT, audit passato al primo colpo.

Fonti

Case study: come una banca europea ha attivato il canale whistleblowing in 10 giorni | Ashio