Scenario illustrativo: persone e organizzazioni sono ipotetiche. Non è un incarico o un risultato attribuito allo studio.
LA RISPOSTA IN BREVE
Prima va verificata l’applicabilità del d.lgs. 24/2023 alla specifica organizzazione. Quando la disciplina si applica, il canale interno deve essere progettato con le garanzie previste: una casella condivisa senza controlli non è una soluzione sufficiente.
La situazione.
Scenario illustrativo. Una società attiva l’indirizzo segnalazioni nel proprio dominio e lo assegna a risorse umane, amministrazione e assistenza informatica. Una persona vi descrive un possibile illecito e allega documenti con nomi di colleghi. Il messaggio finisce nel normale sistema di ticket, che invia notifiche a un gruppo ampio. Un dirigente coinvolto nei fatti può vedere oggetto, mittente e stato della pratica.
PRIMA DI DECIDERE
Tre fatti da mettere a fuoco.
- 01
Occorre accertare ambito soggettivo, oggettivo e organizzativo della disciplina, non soltanto la dimensione dichiarata dell’impresa.
- 02
Identità, contenuto e allegati circolano in un sistema ordinario con accessi incompatibili con la gestione riservata della segnalazione.
- 03
Tra i soggetti che ricevono notifiche è presente una persona coinvolta nei fatti, con un possibile conflitto nella gestione.
Valuta insieme questi elementi prima di scegliere le azioni.
Come impostare la valutazione.
La disciplina whistleblowing richiede un’impostazione distinta dai normali reclami al personale o all’assistenza. Le linee guida ANAC sui canali interni chiariscono il quadro organizzativo da considerare insieme al decreto. La scelta dello strumento deve riguardare anche la separazione degli accessi, le modalità di comunicazione e la gestione di eventuali conflitti, non semplicemente l’apertura di un nuovo indirizzo facilmente memorizzabile.
Proteggere il segnalante non significa rendere visibili senza limiti i dati delle altre persone citate. Il canale deve contenere documenti pertinenti e accessibili a chi è legittimato a gestirli, con le garanzie previste per tutti i soggetti coinvolti. Anche metadati, ticket, notifiche e registrazioni tecniche possono esporre l’identità. Non va quindi promessa un’anonimità assoluta senza aver verificato come funzionano gli strumenti e come il procedimento può svilupparsi.
Cosa fare, in pratica.
- 01
Verificare applicabilità del decreto e assetto del canale con chi presidia la conformità, individuando il gestore e una procedura per segnalazioni che lo riguardino o presentino conflitti.
- 02
Separare il canale dai sistemi ordinari di ticket e definire accessi rigorosi, modalità di autenticazione e gestione degli allegati; provare il percorso completo con una segnalazione fittizia.
- 03
Valutare il trattamento e i rischi, inclusi fornitore, misure tecniche, registri e informazione agli interessati; considerare gli adempimenti specifici previsti dalla disciplina senza limitarli al testo della pagina web.
- 04
Gestire l’incidente già avvenuto ricostruendo destinatari e copie, contenendo le notifiche e valutando gli obblighi conseguenti; non cancellare indiscriminatamente gli elementi necessari a capire l’accaduto.
L’errore da evitare.
Considerare protetta la segnalazione perché l’indirizzo contiene la parola riservato, lasciando invariati instradamenti, accessi e notifiche del sistema aziendale.
Tre verifiche da portare con te.
- Applicabilità e gestore del canale sono stati verificati?
- Notifiche, log e assistenza tecnica rispettano la riservatezza richiesta?
- Sono gestiti conflitti, allegati, tempi e informazioni ai soggetti coinvolti?
Il canale è un processo riservato, non una semplice casella. Le persone coinvolte devono poter comprendere come comunicare e chi gestirà davvero le informazioni.
Fonti e riferimenti.
Collegamenti alle fonti istituzionali utilizzate per il quadro di riferimento. Controlla versione, ambito e regole complementari applicabili.