Chi è obbligato ad attivare il canale di whistleblowing in Italia: Criteri dimensionali, Modello 231 e PA

Il perimetro applicativo del Decreto Legislativo n. 24/2023 nell'ordinamento nazionale

L'approvazione del Decreto Legislativo 10 marzo 2023, n. 24, ha abrogato le previgenti frammentarie disposizioni contenute nell'articolo 54-bis del Decreto Legislativo 30 marzo 2001, n. 165, e nei commi 2-ter e 2-quater dell'articolo 6 del Decreto Legislativo 8 giugno 2001, n. 231. Il legislatore delegato ha realizzato un testo unico organico volto a proteggere le persone che segnalano violazioni delle disposizioni normative nazionali ed europee che ledono l'interesse pubblico o l'integrità dell'amministrazione pubblica o dell'ente privato.

L'articolo 3 del decreto individua i destinatari delle tutele e i soggetti tenuti a predisporre i canali interni di segnalazione. La norma abbandona la tradizionale dicotomia rigida tra dipendente pubblico e lavoratore subordinato privato, estendendo la platea attiva a lavoratori autonomi, liberi professionisti, consulenti, tirocinanti, volontari, azionisti, soggetti con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza, nonché ai candidati durante la fase selettiva e ai lavoratori durante il periodo di prova o successivamente allo scioglimento del rapporto contrattuale.

A fronte di un perimetro soggettivo di tutela così ampio, il legislatore ha calibrato gli obblighi d'istituzione dei presidi interni distinguendo tra settore pubblico e settore privato, modulando le condizioni di operatività attraverso precisi criteri temporali, dimensionali e merceologici.

Il settore privato : I tre criteri autonomi di assoggettamento

Nel comparto economico privatistico, l'articolo 2, comma 1, lettera c), del D.Lgs. 24/2023 sancisce che l'obbligo di attivare canali interni di segnalazione scatta al verificarsi di almeno una tra le seguenti tre condizioni giuridiche tassative, le quali operano in via del tutto autonoma e disgiunta tra loro :

Criterio dimensionale : Media di almeno 50 lavoratori subordinati nell'ultimo anno solare

Sono tenuti all'adempimento tutti i datori di lavoro privati che abbiano impiegato, nell'anno solare precedente a quello in corso, una media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato. Il riferimento temporale mobile all'anno solare precedente implica che l'obbligo debba essere verificato annualmente da parte degli organi di governo societario, calcolando l'organico medio secondo i rigorosi parametri del diritto del lavoro italiano.

Criterio dell'attività regolamentata : Servizi finanziari, antiriciclaggio e trasporti

I soggetti che rientrano nell'ambito di applicazione degli atti dell'Unione europea specificati nelle parti I.B e II dell'allegato al decreto legislativo sono tenuti a istituire il canale interno indipendentemente dal numero di lavoratori subordinati occupati. Questa deroga dimensionale vincola immediatamente :

• Istituti di credito, banche commerciali, banche di credito cooperativo e succursali di enti creditizi esteri operanti sul territorio dello Stato ;
• Imprese di investimento, società di intermediazione mobiliare (SIM), società di gestione del risparmio (SGR), SICAV e SICAF vigilate da Banca d'Italia e Consob ;
• Imprese di assicurazione e riassicurazione, nonché intermediari assicurativi soggetti alla vigilanza dell'IVASS ;
• Fondi pensione e forme pensionistiche complementari sottoposti al controllo della COVIP ;
• Soggetti obbligati al rispetto della disciplina di contrasto al riciclaggio e al finanziamento del terrorismo di cui al D.Lgs. 21 novembre 2007, n. 231 (compresi confidi, istituti di pagamento e operatori professionali in valute virtuali) ;
• Operatori del trasporto aereo, marittimo, ferroviario e stradale soggetti a normative di sicurezza comunitarie e audit di navigabilità continua ;
• Enti operanti nella tutela dell'ambiente, sicurezza delle operazioni in mare nel settore degli idrocarburi e gestione degli stabilimenti a rischio di incidente rilevante (normativa Seveso III).

Un intermediario finanziario iscritto all'albo ex articolo 106 del Testo Unico Bancario con soli quattro dipendenti è pertanto tenuto, per espresso comando di legge, a dotarsi di un canale informatico conforme, con crittografia end-to-end e gestione autonoma delle segnalazioni, senza possibilità di invocare esenzioni dimensionali.

Criterio di conformità organizzativa : Adozione del Modello 231

L'articolo 2, comma 1, lettera c), numero 2, del decreto stabilisce che sono obbligati all'istituzione del canale i soggetti che adottano i modelli di organizzazione e gestione previsti dal Decreto Legislativo 8 giugno 2001, n. 231, anche qualora nell'ultimo anno non abbiano raggiunto la media di cinquanta lavoratori subordinati.

Questa previsione ha un impatto rilevantissimo sul tessuto economico italiano. Migliaia di piccole e medie imprese, consorzi e società cooperative che hanno implementato un Modello 231 per prevenire la commissione di reati presupposto (frodi tributarie, infortuni sul lavoro, delitti contro la pubblica amministrazione) si trovano pienamente assoggettate alla disciplina del whistleblowing, pur disponendo di un organico ridotto. Per tali soggetti, tuttavia, la portata oggettiva delle segnalazioni interne ammissibili è circoscritta alle condotte illecite rilevanti ai sensi del D.Lgs. 231/2001 ovvero alle violazioni dei protocolli del modello stesso.

Metodologia di calcolo dell'organico medio : Applicazione dell'art. 27 D.Lgs. 81/2015

La corretta quantificazione della media dei cinquanta lavoratori subordinati rappresenta un passaggio tecnico-giuridico fondamentale per evitare contestazioni ispettive e nullità procedurali. Né il D.Lgs. 24/2023 né la Direttiva europea hanno introdotto una nozione autonoma di lavoratore, rinviando alle disposizioni giuslavoristiche nazionali.

L'Autorità Nazionale Anticorruzione, d'intesa con il Ministero del Lavoro e delle Politiche Sociali, ha chiarito al paragrafo 2.3 delle Linee Guida n. 311/2023 che il computo deve essere eseguito applicando le regole generali stabilite dall'articolo 27 del Decreto Legislativo 15 giugno 2015, n. 81 :

Lavoratori conteggiati a tempo pieno e indeterminato

I dipendenti assunti con contratto a tempo indeterminato e orario pieno contano come un'unità lavorativa intera (1,0) per l'intero periodo di durata del rapporto nell'anno solare di riferimento.

Lavoratori a tempo parziale (Part-Time)

Ai sensi dell'articolo 9 del D.Lgs. 81/2015, i lavoratori con contratto a tempo parziale sono computati in proporzione all'orario di lavoro concordato nel contratto individuale rispetto all'orario normale a tempo pieno previsto dal Contratto Collettivo Nazionale di Lavoro (CCNL) applicato. Ad esempio, due lavoratori part-time al 50% equivalgono esattamente a un lavoratore full-time.

Lavoratori a tempo determinato

I lavoratori con contratto a termine sono computati in base al numero di mesi di lavoro effettivamente svolti nel corso dell'anno solare precedente. Le frazioni di mese uguali o superiori a sedici giorni di calendario vengono arrotondate a un mese intero, mentre i periodi inferiori a quindici giorni non vengono considerati. Il totale dei mesi lavorati da tutti i contratti a termine nell'anno viene sommato e diviso per dodici.

Lavoratori intermittenti o a chiamata

I lavoratori con contratto di lavoro intermittente ex articoli 13-18 del D.Lgs. 81/2015 vengono computati nell'organico aziendale in proporzione all'orario di lavoro effettivamente prestato nell'arco di ciascun semestre dell'anno solare considerato.

Categorie espressamente escluse dal computo dei 50 lavoratori

Ai fini esclusivi della determinazione della soglia di assoggettamento al whistleblowing, non devono essere conteggiati :

• I lavoratori somministrati con contratto di somministrazione di lavoro a tempo determinato o indeterminato (in quanto computati esclusivamente nell'organico dell'agenzia per il lavoro somministratrice) ;
• I tirocinanti, stagisti curricolari ed extracurricolari inseriti mediante convenzioni formative regionali ;
• I collaboratori coordinati e continuativi (Co.Co.Co.) e i prestatori d'opera occasionale ex art. 2222 del Codice Civile ;
• I soci lavoratori di cooperative qualora intrattengano esclusivamente un rapporto mutualistico associativo senza formale contratto di lavoro subordinato ;
• I lavoratori autonomi con partita IVA, agenti di commercio, mandatari e subappaltatori esterni.

È essenziale evidenziare che, sebbene le categorie sopra elencate non concorrano al superamento della soglia numerica dei 50 lavoratori, esse acquisiscono la facoltà di effettuare segnalazioni e godono della protezione integrale contro le ritorsioni una volta che l'azienda sia risultata obbligata per altre vie.

Tabella comparativa di assoggettamento per tipologia di ente privato

La tabella seguente sintetizza le condizioni d'obbligo e il relativo perimetro di segnalazione applicabile alle diverse tipologie di imprese private :

Il perimetro del settore pubblico : Amministrazioni, enti partecipati e società in house

A differenza del comparto privato, nel settore pubblico il criterio dimensionale del personale occupato non opera come presupposto generale di esonero. L'articolo 2, comma 1, lettera b), del D.Lgs. 24/2023 impone l'istituzione del canale a una vasta compagine di enti istituzionali :

Le pubbliche amministrazioni di cui all'art. 1, comma 2, D.Lgs. 165/2001

Tutte le amministrazioni dello Stato, ivi compresi gli istituti e scuole di ogni ordine e grado, le istituzioni universitarie, le aziende e amministrazioni dello Stato a ordinamento autonomo, le Regioni, le Province, i Comuni, le Comunità montane e loro consorzi e associazioni, le istituzioni universitarie, gli Istituti Autonomi Case Popolari, le Camere di Commercio, Industria, Artigianato e Agricoltura, tutti gli enti pubblici non economici nazionali, regionali e locali, nonché le amministrazioni, le aziende e gli enti del Servizio Sanitario Nazionale.

Autorità indipendenti, enti pubblici economici e concessionari

Rientrano espressamente nell'obbligo le autorità amministrative indipendenti di garanzia, vigilanza e regolazione (ANAC, AGCM, Garante Privacy, ARERA, ART, AGCOM), gli enti pubblici economici e i concessionari di pubblici servizi, indipendentemente dalla forma societaria assunta dal gestore.

Società a controllo pubblico e società in house

Il decreto assoggetta indistintamente le società in house e le società a controllo pubblico ai sensi dell'articolo 2, comma 1, lettera m), del Decreto Legislativo 19 agosto 2016, n. 175 (Testo Unico in materia di società a partecipazione pubblica), anche quando quotate su mercati regolamentati.

Regimi di semplificazione per i piccoli Comuni

Al fine di non gravare in modo sproporzionato sulle strutture amministrative minori, l'articolo 4, comma 3, del D.Lgs. 24/2023 consente ai Comuni diversi dai capoluoghi di provincia con popolazione inferiore a 15.000 abitanti di condividere il canale interno di segnalazione e la relativa gestione. La condivisione può avvenire mediante convenzione ai sensi dell'articolo 30 del Testo Unico Enti Locali (TUEL) ovvero nell'ambito delle Unioni di Comuni, ferma restando l'imputazione formale degli atti di riscontro ai singoli sindaci o responsabili anticorruzione convenzionati.

I gruppi aziendali e la complessa gestione dei canali centralizzati

Una delle problematiche applicative più delicate emerse all'indomani dell'approvazione del decreto legislativo riguarda la facoltà dei gruppi multinazionali e delle holding italiane di adottare un unico canale centralizzato di segnalazione a livello di capogruppo.

L'orientamento interpretativo consolidato della Commissione Europea (conferme espresse del 2 giugno 2021 e del 1° dicembre 2021) e ribadito dall'ANAC al punto 2.5 delle Linee Guida n. 311/2023 stabilisce criteri inderogabili fondati sull'autonomia giuridica dei singoli datori di lavoro :

Società controllate con almeno 250 lavoratori subordinati

Le società controllate o collegate residenti in Italia che impiegano una media pari o superiore a 250 lavoratori non possono in alcun caso avvalersi del canale centralizzato di gruppo in via esclusiva. Ciascuna sussidiaria ha l'obbligo giuridico inderogabile di istituire e mantenere un canale interno locale, autonomo, riservato e dotato di un gestore indipendente che assicuri il rispetto della lingua italiana e della tempestività delle risposte.

Società controllate da 50 a 249 lavoratori : Condivisione delle risorse

L'articolo 4, comma 4, del decreto consente ai soggetti del settore privato che hanno impiegato nell'ultimo anno una media di lavoratori subordinati non superiore a 249 di condividere il canale interno di segnalazione e la relativa gestione. Tuttavia, come chiarito da ANAC, l'esternalizzazione della raccolta delle segnalazioni a una piattaforma comune di gruppo o all'ufficio compliance della controllante estera richiede il soddisfacimento di tre condizioni sostanziali :

• Il canale comune deve essere chiaramente accessibile ai lavoratori della filiale locale nella lingua nazionale del segnalante ;
• L'istruttoria condotta dalla casa madre non può surrogare la responsabilità della controllata italiana nell'adozione delle misure correttive e nel riscontro al segnalante entro tre mesi ;
• Qualora la holding riceva una segnalazione di competenza della filiale, essa non può divulgare l'identità del segnalante senza il consenso espresso e documentato di quest'ultimo.

L'installazione acritica di un form online ospitato sui server statunitensi della controllante capogruppo, privo di configurazione sui requisiti del D.Lgs. 24/2023 e delle prescrizioni del Garante Privacy italiano, costituisce condotta sanzionabile per mancata istituzione di canale conforme.

L'obbligo di consultazione preventiva delle rappresentanze sindacali

L'articolo 4, comma 1, del D.Lgs. 24/2023 introduce un adempimento procedurale spesso trascurato dagli organi dirigenziali ma sanzionato con severità : l'obbligo di sentire previamente le rappresentanze sindacali prima di attivare il canale interno.

La norma prescrive che l'ente proceda all'istituzione del canale di segnalazione interna sentito il parere delle :

• Rappresentanze Sindacali Aziendali (RSA) costituite ai sensi dell'art. 19 della Legge 300/1970 ;
• Rappresentanze Sindacali Unitarie (RSU) elette dai lavoratori nell'unità produttiva ;
• In mancanza di RSA o RSU, le organizzazioni sindacali comparativamente più rappresentative a livello nazionale firmatarie del CCNL applicato nell'impresa.

La natura giuridica dell'interpello sindacale si configura come un obbligo di informativa e confronto, non già come un diritto di veto o un vincolo di accordo preventivo. L'azienda deve trasmettere ai rappresentanti sindacali una documentazione tecnica esauriente sulle caratteristiche dello strumento scelto, sui protocolli di crittografia, sulle garanzie di anonimato e sulle modalità di trattamento dei dati personali.

Decorso un termine congruo per la formulazione di osservazioni da parte del sindacato, l'organo amministrativo può procedere formalmente all'adozione della procedura, avendo cura di verbalizzare l'avvenuto interpello. L'omissione di questo passaggio espone l'azienda all'impugnazione per condotta antisindacale ex art. 28 dello Statuto dei Lavoratori e alla decadenza probatoria dei rilievi ispettivi.

I soggetti gestori del canale interno : Autonomia, imparzialità e competenze

L'individuazione del soggetto cui affidare la gestione del canale interno costituisce uno dei punti cardine della conformità aziendale. L'articolo 4, comma 2, del decreto stabilisce che la gestione del canale interno può essere affidata a :

Ufficio interno dedicato con personale autonomo e specificamente formato

Qualora l'ente opti per una gestione interna, la funzione deve essere attribuita a una persona fisica o a un ufficio collegiale dotato di autonomia e indipendenza rispetto alla gerarchia aziendale. I profili professionali comunemente designati sono il Responsabile della Prevenzione della Corruzione e della Trasparenza (RPCT) negli enti pubblici, ovvero il Responsabile dell'Audit Interno, il Compliance Officer o il Dipartimento Affari Legali nelle aziende private.

È categoricamente sconsigliato, per evidente conflitto di interessi strutturale, affidare la gestione delle segnalazioni alla Direzione Risorse Umane (HR) o all'Ufficio Personale : tali figure, chiamate a gestire i rapporti gerarchici quotidiani e i procedimenti disciplinari ordinari, non offrono le necessarie garanzie di terzietà e riservatezza nei confronti di colleghi o dirigenti segnalati.

L'Organismo di Vigilanza (ODV) ex D.Lgs. 231/2001

Nei soggetti che adottano il Modello 231, la gestione del canale può essere attribuita all'Organismo di Vigilanza. Questa attribuzione è particolarmente opportuna quando l'ODV presenta una composizione mista o prevalentemente esterna, garantendo una terzietà assoluta. Tuttavia, quando l'azienda supera i 50 dipendenti e le segnalazioni possono riguardare anche materie estranee al perimetro del reato 231 (ad esempio violazioni ambientali o contabili comunitarie), l'ODV deve coordinare la gestione o essere affiancato da procedure integrate che ne definiscano le competenze istruttorie.

Soggetto esterno professionale (Outsourcing)

Il D.Lgs. 24/2023 autorizza pienamente l'affidamento all'esterno della gestione del canale a professionisti indipendenti qualificati (studi legali specializzati, avvocati fiduciari, revisori legali indipendenti o società di compliance specializzate). L'esternalizzazione assicura :

• Totale estraneità del gestore alle dinamiche relazionali, alle pressioni interne e alle carriere aziendali ;
• Immediata applicazione del segreto professionale forense alle comunicazioni con i segnalanti ;
• Competenza specialistica nell'istruttoria preliminare e nell'audizione di testimoni ;
• Integrazione contrattuale con la nomina a Responsabile del Trattamento dei dati ex art. 28 RGPD.

Il sistema sanzionatorio dell'Autorità Nazionale Anticorruzione (ANAC)

L'articolo 21 del D.Lgs. 24/2023 attribuisce in via esclusiva all'ANAC il potere di irrogare sanzioni amministrative pecuniarie nei confronti di persone fisiche e persone giuridiche, sia nel settore pubblico che nel settore privato. Il catalogo sanzionatorio è così strutturato :

Le sanzioni applicate da ANAC colpiscono direttamente il patrimonio del responsabile persona fisica o dell'ente, senza possibilità di rivalsa sulle coperture assicurative aziendali D&O quando l'omissione sia qualificata come colpa grave o dolo organizzativo.

Check-list operativa di verifica dell'assoggettamento

Al fine di verificare lo stato di conformità della propria organizzazione, i collegi sindacali, i consiglieri di amministrazione e i compliance manager devono condurre la seguente ricognizione operativa :

• Verifica occupazionale : Calcolare la media annuale dei lavoratori subordinati impiegati nell'anno solare precedente secondo i criteri di cui all'art. 27 del D.Lgs. 81/2015 ;
• Ricognizione Modello 231 : Accertare se la società o enti controllati abbiano deliberato l'adozione di un Modello di Organizzazione e Gestione ex D.Lgs. 231/2001 ;
• Mappatura regolamentare UE : Verificare se l'oggetto sociale o l'attività prevalente rientri nei settori vigilati dei mercati finanziari, dell'antiriciclaggio, della sicurezza dei trasporti o della tutela ambientale ;
• Informativa sindacale : Formalizzare la convocazione di RSA/RSU o delle organizzazioni sindacali per l'interpello preventivo ex art. 4, comma 1 ;
• Scelta della piattaforma : Selezionare una soluzione informatica indipendente che garantisca crittografia a chiave pubblica, tutela del canale vocale e assenza di tracciamento IP ;
• Nomina del gestore e DPIA : Deliberare l'atto di incarico al gestore indipendente ed eseguire la Valutazione di Impatto sulla Protezione dei Dati (DPIA ex art. 35 RGPD) in raccordo con il DPO ;
• Pubblicità e diffusione : Pubblicare le istruzioni operative nella bacheca aziendale e nella sezione dedicata del sito web aziendale con indicazione chiara del canale esterno ANAC.

Domande frequenti (FAQ)