Conformità nella pratica
Il canale è la parte facile. Conta la disciplina che gli sta intorno: chi può leggere una segnalazione, in quanto tempo bisogna rispondere, cosa bisogna conservare e dove la legge nazionale chiede più della direttiva.
Ultima verifica: 1 novembre 2026
Checklist
Impostati una volta, permettono a un revisore, a un rappresentante dei lavoratori o all'ispettorato del lavoro di vedere un processo che funziona, non un modulo.
Condividi il link di segnalazione sull'intranet, nel codice etico e all'ingresso delle persone. La tua policy di segnalazione deve nominare il canale, indicare chi riceve le segnalazioni e dire che le ritorsioni sono vietate.
Gli amministratori dell'account gestiscono brand, team e fatturazione e non possono aprire una segnalazione. I gestori dei casi leggono le segnalazioni e non vedono mai una fattura. È questa separazione che rende vera la promessa: solo il team dei casi può leggere una segnalazione.
Una sola persona è un punto critico: ferie, malattia e la scadenza di 7 giorni non si negoziano. Invita un secondo collega, un consulente esterno o entrambi, e tieni aggiornato l'elenco dei ruoli.
La conferma automatica attesta la ricezione appena arriva una segnalazione. Se la disattivi, conferma a mano il giorno stesso. In entrambi i casi la scadenza è sul caso e chi segnala ha un link per seguirlo.
Il termine decorre dalla conferma, non dalla segnalazione. I cambi di stato e i messaggi sul caso documentano cosa è stato comunicato, ed escono con il caso nell'esportazione.
La conservazione si configura per organizzazione: uno, tre o cinque anni. Compare nell'informativa che legge chi segnala. Scegli il periodo richiesto dalla legge nazionale invece di lasciare il valore predefinito.
Ruoli e indipendenza
L'indipendenza è un requisito di legge nella maggior parte degli Stati membri, non una questione di stile. Ne derivano due decisioni: chi ha accesso alle segnalazioni e chi va tenuto fuori da un caso. Entrambe si prendono meglio prima della prima segnalazione che dopo.
In linea di principio, sì. La normativa europea non vieta espressamente che un amministratore delegato sia la persona incaricata di ricevere le segnalazioni e di darvi seguito. Può essere una soluzione pratica, soprattutto nelle organizzazioni più piccole senza una funzione compliance dedicata.
Tuttavia, la funzione di segnalazione designata deve operare in modo imparziale e indipendente, senza conflitti di interesse. La direttiva europea sulla protezione degli informatori riconosce che, nelle organizzazioni più piccole, la funzione può essere cumulata con un altro ruolo aziendale, purché queste garanzie siano mantenute.
Un amministratore delegato può quindi trattare segnalazioni su altre questioni, purché possa agire in modo imparziale e indipendente. Non deve trattare segnalazioni che riguardano la propria condotta, né situazioni in cui i suoi interessi personali o le sue responsabilità creano un conflitto di interesse. In questi casi la segnalazione deve essere trattata da un'altra persona imparziale e adeguatamente qualificata: un altro dipendente, un membro di un organo di supervisione o un consulente esterno.
Ashio separa l'amministrazione dell'account dalla gestione dei casi. L'amministratore dell'account gestisce abbonamento, fatturazione, membri del team e configurazione della piattaforma senza avere automaticamente accesso alle segnalazioni riservate, mentre il ruolo di gestore dà accesso alle segnalazioni e alla gestione dei casi senza richiedere accesso ai dati di fatturazione. L'amministratore delegato può quindi intestarsi l'abbonamento, ricevere le fatture e gestire l'account e, allo stesso tempo, agire come gestore dei casi quando è opportuno.
La nostra raccomandazione: anche se l'amministratore delegato gestisce personalmente le segnalazioni, predisponga un'alternativa prima che arrivi la prima, così che un altro dipendente o un consulente esterno con il ruolo di gestore possa subentrare appena sorge un conflitto di interesse. Questo dà flessibilità alle organizzazioni più piccole e aiuta a mantenere l'imparzialità e la credibilità del processo.
Chi è direttamente coinvolto in una segnalazione non dovrebbe essere incaricato di valutarla o di darvi seguito. Sarebbe un conflitto di interesse e comprometterebbe l'imparzialità del procedimento.
Se l'organizzazione ha un solo gestore designato, deve predisporre una soluzione alternativa per questi casi. A seconda della struttura, può trattarsi di un altro dipendente adeguatamente qualificato, di un membro di un organo di supervisione o di un consulente o fornitore esterno.
La normativa europea consente che la funzione di segnalazione sia supportata da terzi esterni, purché siano mantenute le garanzie necessarie di indipendenza, imparzialità e riservatezza.
Ashio tiene separati i due ruoli, e la soluzione alternativa si prepara nell'elenco del team: una seconda persona con il ruolo di gestore, un dipendente o un consulente esterno, è già presente quando arriva la segnalazione e può prenderla in carico se il gestore abituale è coinvolto. Un ruolo di gestore concesso dopo non raggiunge una segnalazione già inviata.
La nostra raccomandazione: anche se l'organizzazione ha un solo gestore abituale, predisponete la soluzione alternativa prima che arrivi la prima segnalazione. Così ogni segnalazione può essere trattata in modo imparziale.
In Ashio no, ed è proprio per questo che esistono due ruoli. Un amministratore dell'account non può assegnarsi il ruolo di gestore, quindi l'accesso alle segnalazioni richiede sempre una seconda persona che lo confermi.
Ogni cambio di ruolo viene scritto nel registro attività del team insieme a chi lo ha fatto. Così, mesi dopo, si può rispondere alla domanda su chi ha dato accesso alle segnalazioni a chi, senza affidarsi alla memoria.
Un'organizzazione con una sola persona deve prima invitare un collega, perché nessuno può assegnarsi quel ruolo. Se sembra un attrito, è lo stesso attrito di una seconda firma su un pagamento, e serve allo stesso scopo: nessuno può entrare in silenzio.
Sì. Il diritto europeo consente espressamente alle organizzazioni di affidare a terzi esterni la ricezione e il seguito delle segnalazioni. Il considerando 54 della direttiva europea sulla protezione degli informatori cita espressamente avvocati esterni, revisori e fornitori di piattaforme di segnalazione esterne.
Per le organizzazioni più piccole può essere un modo pratico per far trattare le segnalazioni in modo imparziale senza istituire una funzione compliance interna. Al consulente esterno si può affidare la ricezione delle segnalazioni, la comunicazione con gli informatori e il coordinamento del seguito.
Il fornitore esterno deve offrire garanzie adeguate di indipendenza, riservatezza, protezione dei dati e segreto professionale.
Ashio rende semplice la gestione esterna. Invita il tuo avvocato o consulente esterno come membro del team con il ruolo di gestore. Accede alle segnalazioni pertinenti, alle scadenze e allo storico di audit dal proprio account, e ogni sua azione gli viene attribuita.
Due cose si sbagliano facilmente. Il consulente ha bisogno di un mandato: Ashio fornisce il canale di segnalazione e la gestione dei casi, ma non indaga in proprio né agisce come tuo rappresentante legale, quindi l'organizzazione concorda l'ambito con il consulente. E l'accesso è per organizzazione: un consulente che lavora per più entità va invitato separatamente in ciascuna.
Così l'organizzazione può usare competenze esterne mantenendo chiaramente definita la responsabilità del proprio sistema di segnalazione.
La direttiva permette espressamente avvocati e consulenti esterni, ma la legge nazionale di recepimento può aggiungere condizioni, e nominare un consulente non trasferisce a lui le responsabilità legali dell'organizzazione.
Requisiti per paese
Queste sono alcune delle differenze nazionali che possono cambiare il modo in cui configuri e gestisci il canale di segnalazione.
L'ufficio di segnalazione interno deve operare in modo indipendente e senza conflitti di interesse. I gestori possono svolgere altri incarichi, purché non creino conflitti, e devono avere la competenza necessaria.
Tutte le segnalazioni devono essere documentate e i dati sono di regola cancellati tre anni dopo la conclusione della procedura, salvo che una conservazione più lunga sia necessaria e proporzionata secondo la legge applicabile.
Se esiste un consiglio di fabbrica, vanno valutati i suoi diritti di codecisione, soprattutto se il software costituisce un sistema tecnico destinato a controllare il comportamento o il rendimento dei dipendenti.
Le organizzazioni soggette ai requisiti della procedura interna di segnalazione devono istituire una procedura per ricevere e dare seguito alle segnalazioni. La procedura deve indicare la persona, il reparto o il terzo esterno competente a trattarle.
La CNIL richiede di fissare tempi di conservazione adeguati, basati sulla finalità del trattamento e sui principi del GDPR. Non esiste un unico termine fisso valido per ogni caso di segnalazione.
La loi Waserman ha ampliato la tutela degli informatori e rivisto il quadro francese per allinearlo maggiormente alla direttiva europea.
L'organizzazione deve nominare un Responsable del Sistema, la persona responsabile del sistema informativo interno. È nominata dall'organo di governo e deve svolgere le proprie funzioni in modo indipendente e autonomo, senza ricevere istruzioni in quel ruolo.
L'organizzazione deve confermare la ricezione entro 7 giorni di calendario e dare risposta entro 3 mesi dalla ricezione della segnalazione. Nei casi particolarmente complessi il termine può essere prorogato fino a ulteriori 3 mesi.
La nomina e la revoca della persona responsabile devono essere comunicate all'autorità competente entro 10 giorni lavorativi.
Il canale di segnalazione interno deve essere affidato a una persona o a un reparto autonomo con personale specificamente formato. A seconda dell'organizzazione, la funzione può essere svolta internamente o esternamente.
Le segnalazioni devono di regola essere confermate entro 7 giorni e trattate entro 3 mesi. L'ANAC, l'Autorità Nazionale Anticorruzione, è responsabile del canale esterno e ha poteri di vigilanza e di sanzione.
I datori di lavoro soggetti ai requisiti della procedura interna di segnalazione devono designare persone indipendenti per ricevere le segnalazioni e garantirne un'attenta gestione.
La procedura deve prevedere conferma entro 7 giorni e riscontro entro un massimo di 3 mesi dalla conferma.
La legge consente inoltre ai datori di lavoro privati con 50 a 249 dipendenti di condividere risorse per ricevere e istruire le segnalazioni, alle condizioni applicabili.
La procedura interna di segnalazione deve indicare la persona o l'unità organizzativa autorizzata a ricevere le segnalazioni e una persona o unità interna imparziale responsabile del seguito.
Le segnalazioni devono di regola essere confermate entro 7 giorni e ricevere riscontro entro un massimo di 3 mesi, alle condizioni previste dalla legge.
Prima di istituire la procedura interna, l'organizzazione deve consultare il sindacato competente o, in mancanza, i rappresentanti dei lavoratori. Queste consultazioni devono durare tra 5 e 10 giorni.
Le informazioni giuridiche vanno verificate rispetto alla normativa nazionale vigente prima dell'attuazione. Questa panoramica copre alcuni Stati membri dell'UE, non tutti e 27. I requisiti nazionali possono cambiare e dipendere da dimensione, settore e struttura dell'organizzazione.
Questa pagina è orientamento operativo, non consulenza legale. La legge, il consiglio di fabbrica e i tuoi consulenti legali stabiliscono cosa si applica a te. Ogni pagina paese indica la data dell'ultima revisione.
Apri il canale, invita un secondo gestore e lascia che le scadenze si controllino da sole. 14 giorni gratis, senza carta.