Nel lavoro, io considero il whistleblowing uno strumento di igiene organizzativa prima ancora che un adempimento normativo. Serve quando una persona vede una violazione, un abuso o una pratica opaca e ha bisogno di segnalarla senza esporsi più del necessario. In Italia la disciplina è stata rafforzata dal d.lgs. 24/2023 e oggi riguarda sia il settore pubblico sia molte realtà private, con effetti molto concreti su HR, compliance e gestione dei rischi.
Le informazioni che contano per orientarsi senza confusione
- Il whistleblowing non è una semplice lamentela interna: tutela segnalazioni che riguardano violazioni e interessi collettivi o l’integrità dell’ente.
- Nel privato l’obbligo di canale interno riguarda in generale chi ha almeno 50 lavoratori medi annui, ma vale anche sotto soglia in alcuni settori sensibili e per chi adotta il modello 231.
- La segnalazione può passare da canale interno, canale esterno, divulgazione pubblica o denuncia, ma i casi d’uso non sono intercambiabili.
- L’identità del segnalante e i dettagli che possono identificarlo sono coperti da riservatezza; la documentazione si conserva al massimo per 5 anni.
- Nel canale esterno, il riscontro arriva in 3 mesi, estendibili a 6 mesi se ci sono ragioni motivate.
Che cosa significa davvero il whistleblowing
Se lo guardo in modo semplice, il whistleblowing è il meccanismo che consente di far emergere una violazione conosciuta nel contesto lavorativo senza trasformare il segnalante in un bersaglio facile. La logica non è “fare denuncia a tutti i costi”, ma proteggere l’interesse pubblico o l’integrità dell’organizzazione quando qualcosa non torna.
Per questo la domanda giusta non è solo “che cos’è”, ma anche “che cosa non è”: non sostituisce un reclamo personale su ferie, stipendio o conflitti con il superiore diretto. Quando la questione riguarda solo il rapporto individuale di lavoro, la disciplina speciale non si applica; quando invece entrano in gioco frodi, corruzione, falsificazioni, violazioni di legge o condotte che minano la correttezza dell’ente, il quadro cambia del tutto.
Nel linguaggio HR, io lo tratto come una procedura di emersione precoce del rischio: se funziona, intercetta problemi prima che diventino contenzioso, danno reputazionale o intervento ispettivo. E qui si apre il tema più pratico: chi può usare questo strumento e per quali fatti.
Chi può segnalare e quali fatti rientrano nella tutela
La platea tutelata è più ampia del classico dipendente. In pratica, il decreto guarda a chi opera dentro un contesto lavorativo e può subire ritorsioni proprio perché conosce i fatti dall’interno.
- dipendenti ed ex dipendenti;
- collaboratori autonomi, liberi professionisti e consulenti;
- volontari e tirocinanti, retribuiti o non retribuiti;
- azionisti e persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza;
- facilitatori, colleghi e persone legate al segnalante da rapporti stabili che possono subire conseguenze indirette.
Nel privato, l’obbligo di canale interno riguarda in generale gli enti con almeno 50 lavoratori medi nell’ultimo anno; sotto quella soglia restano dentro i settori sensibili e chi adotta il modello organizzativo 231, cioè il sistema interno di prevenzione e controllo previsto dal d.lgs. 231/2001.
Quanto ai fatti, la soglia non è la “semplice scorrettezza” percepita a pelle, ma comportamenti, atti od omissioni che ledono l’interesse pubblico o l’integrità dell’ente. In pratica rientrano, per esempio, illeciti amministrativi, contabili, civili o penali, violazioni del modello 231, irregolarità negli appalti, problemi di privacy, violazioni ambientali e altre aree coperte dalla normativa nazionale o europea.
Un altro punto importante: non serve arrivare con prove definitive come in un processo. La normativa richiede un ragionevole e fondato motivo per ritenere vere le informazioni e per considerarle rientranti nell’ambito della disciplina. Il motivo personale che spinge a segnalare, da solo, non elimina la tutela se il fatto ha sostanza.
Fuori perimetro restano le contestazioni puramente personali e alcune materie già disciplinate da regole speciali, oltre ai casi legati alla sicurezza nazionale. Questa distinzione è decisiva, perché evita di usare il canale sbagliato e di indebolire una segnalazione che avrebbe invece bisogno di essere gestita con precisione.
Capito chi può parlare e su quali fatti, il passo successivo è vedere come si muove concretamente una segnalazione.
Come funziona il percorso di segnalazione nella pratica
La sequenza corretta non è sempre la stessa, ma nella maggior parte dei casi il percorso più ordinato parte dal canale interno. Se questo canale non esiste, non funziona, non è conforme o espone a rischi, allora entrano in gioco le altre opzioni.
| Canale | Quando usarlo | Cosa aspettarsi |
|---|---|---|
| Interno | Quando l’ente ha una procedura attiva, sicura e accessibile | È il percorso più lineare e spesso il primo da provare |
| Esterno presso ANAC | Se il canale interno non esiste, non è attivo, non è conforme, non ha dato seguito o c’è rischio di ritorsione | Il ricevimento viene avvisato entro 7 giorni e il riscontro arriva in 3 mesi, estendibili a 6 con motivazione |
| Divulgazione pubblica | Solo in casi più delicati, per esempio se i canali precedenti non hanno funzionato o c’è un pericolo imminente | Va usata con prudenza perché espone di più e richiede condizioni specifiche |
| Denuncia all’autorità giudiziaria o contabile | Quando il fatto ha rilievo penale, contabile o richiede un canale formale diverso | È un percorso distinto, ma coerente con la logica di tutela |
La tempistica non è un dettaglio secondario. Nel canale esterno, il segnalante riceve un avviso di ricezione entro 7 giorni e poi un riscontro entro 3 mesi, salvo ragioni motivate che possono portare il termine a 6 mesi. Questo dice molto su come la disciplina voglia evitare sia il silenzio sia la gestione improvvisata.
La mia lettura è semplice: l’azienda seria non aspetta che il problema esca all’esterno. Se il canale interno è credibile, rapido e riservato, la maggior parte dei casi dovrebbe fermarsi lì. Ed è proprio la qualità delle tutele a fare la differenza tra una procedura utile e un adempimento di facciata.
Ed è qui che entrano in gioco le garanzie vere, quelle che fanno decidere a una persona se fidarsi oppure no.
Quali tutele concrete proteggono chi segnala
La tutela centrale è la riservatezza. Non si protegge solo il nome del segnalante, ma anche tutto ciò che potrebbe identificarlo indirettamente: dettagli del racconto, documenti, riferimenti interni, elementi del contesto. In altre parole, un sistema fatto bene deve evitare che la segnalazione diventi una caccia alla fonte.
Le segnalazioni interne ed esterne e la relativa documentazione si conservano per il tempo necessario al trattamento e comunque non oltre 5 anni dalla comunicazione dell’esito finale. Anche l’accesso documentale va gestito con attenzione, perché la segnalazione non può essere trattata come un documento ordinario senza prima verificare cosa vada oscurato o limitato.
Ritorsioni da evitare
La normativa considera ritorsione qualsiasi atto o omissione collegato alla segnalazione che provochi un danno ingiusto. Gli esempi più chiari sono licenziamento, sospensione, demansionamento, mancata promozione, cambio di sede, tagli alla formazione, note negative, sanzioni disciplinari, intimidazioni, discriminazioni e mancato rinnovo di un contratto a termine.
Il punto che in HR si sottovaluta spesso è l’onere della prova: se la persona dimostra di aver segnalato e di aver subito una misura sfavorevole, spetta al datore di lavoro dimostrare che quella misura non c’entra nulla con la segnalazione. Per questo i processi vanno tracciati bene e i passaggi decisionali devono essere difendibili.
Leggi anche: Assunzione pensionato - Agevolazioni e costi: la guida completa
Quando la protezione si riduce
La tutela non è automatica in ogni circostanza. Se il segnalante viene poi condannato, anche in primo grado, per diffamazione o calunnia legate alla segnalazione, o se emerge dolo o colpa grave, le garanzie possono cadere e possono scattare anche conseguenze disciplinari. Inoltre, il materiale anonimo o fuori ambito viene trattato come segnalazione ordinaria, con una protezione diversa e più debole.
Qui, più che altrove, la qualità della procedura è determinante: una segnalazione seria ha bisogno di riservatezza, ma anche di rigore. E questo ci porta al punto che interessa davvero a chi guida persone e processi: come si costruisce un sistema che stia in piedi.
Che cosa deve fare un ufficio HR per non improvvisare
Se guardo il tema dal lato HR, la domanda non è se il canale esista sulla carta, ma se sia davvero utilizzabile. Un canale mal progettato spinge fuori i casi invece di trattenerli dentro; uno ben progettato riduce il rischio legale, tutela la privacy e abbassa il costo degli errori.
- attivare un canale interno facilmente accessibile e separato dagli indirizzi email ordinari;
- garantire la possibilità di segnalare in forma scritta e orale;
- designare un gestore indipendente e un sostituto in caso di conflitto di interessi o assenza prolungata;
- definire tempi, flussi e responsabilità con una procedura scritta;
- fare una DPIA, cioè una valutazione d’impatto sulla protezione dei dati, se il canale è digitale;
- formare manager e responsabili, perché il rischio spesso nasce dopo la segnalazione, non al momento della segnalazione.
Le linee guida più recenti hanno chiarito anche un aspetto molto concreto: una semplice casella PEO o PEC non basta, soprattutto se non è accompagnata da misure di sicurezza adeguate. In pratica, il flusso deve proteggere identità, tracciabilità e contenuto della segnalazione senza ambiguità.
Io consiglio anche di coinvolgere le rappresentanze sindacali prima dell’attivazione o di modifiche sostanziali della procedura, perché oggi questo passaggio è parte della conformità, non un gesto opzionale. Se l’ente sbaglia qui, il problema non è solo formale: la fiducia interna si incrina subito.
Per il settore privato, l’obbligo di canale interno riguarda in generale chi ha almeno 50 lavoratori medi nell’ultimo anno; sotto quella soglia restano comunque dentro i settori sensibili e chi ha adottato il modello 231. Se l’azienda sbaglia qui, ANAC può arrivare a sanzioni da 10.000 a 50.000 euro per ritorsioni, ostacoli o canali non conformi.
Ma anche con un canale corretto, ci sono errori ricorrenti che rovinano tutto in fretta.
Gli errori che fanno perdere credibilità al sistema
Qui vedo quasi sempre gli stessi problemi: canale difficile da trovare, messaggi che finiscono nella posta ordinaria, tempi di risposta vaghi, nessun riscontro al segnalante, gestione affidata a persone troppo vicine alla linea gerarchica coinvolta. In un contesto così, la procedura esiste ma non funziona.
- chiedere al dipendente di usare email ordinarie o chat non presidiate;
- mischiare segnalazione e reclamo personale, senza filtro iniziale;
- lasciare il gestore senza autonomia o senza sostituto;
- non documentare bene le decisioni, poi non saperle difendere;
- trattare chi segnala come un problema relazionale invece che come una fonte di rischio da valutare.
Il vero errore, però, è culturale: pensare che i casi emersi indichino per forza un clima patologico. Spesso indicano il contrario, cioè che le persone hanno capito dove e come alzare la mano in modo utile. E questo è un segnale migliore di quanto sembri.
Se la procedura è sana, le segnalazioni non sono rumore: sono informazioni da leggere bene. E da qui arrivo alla parte finale, che per me è anche la più utile per chi lavora nelle organizzazioni.
Quando il whistleblowing diventa un indicatore di salute organizzativa
Una buona organizzazione non si misura solo dall’assenza di problemi visibili, ma dalla capacità di intercettarli presto. Se le segnalazioni arrivano, vengono trattate con serietà e producono correzioni concrete, il sistema sta lavorando; se invece tutto tace ma la sfiducia cresce, la situazione è spesso più fragile di quanto sembri.
Per questo io considero il whistleblowing uno strumento di maturità, non di sfiducia. Serve a proteggere le persone, ma anche a proteggere l’ente da errori, contenziosi e abusi che, lasciati crescere, costano sempre molto di più di una procedura ben fatta.
Se stai valutando il tema in ottica HR, il passo più utile non è chiederti se introdurre un canale, ma se oggi il tuo canale è abbastanza sicuro, chiaro e credibile da essere davvero usato.
