Il D.Lgs. 24/2023 impone a molte SRL un canale di segnalazione interno conforme. Vediamo chi è obbligato, come si struttura il canale, quali termini vanno rispettati e cosa rischia chi non si adegua.
Indice dei contenuti
Il D.Lgs. 10 marzo 2023 n. 24, che ha attuato in Italia la Direttiva UE 2019/1937, ha spostato il whistleblowing dal perimetro delle grandi organizzazioni a quello di una platea molto più ampia di imprese private. Diverse SRL di dimensioni medie, e anche alcune microimprese, si trovano oggi tra i soggetti obbligati senza esserne pienamente consapevoli. Le scadenze sono maturate tra il 2023 e la fine dello stesso anno: nel 2026 chi non ha ancora attivato il canale non è in ritardo su un adempimento futuro, è già inadempiente.
Con whistleblowing si indica la segnalazione, da parte di chi lavora in un'organizzazione o vi gravita attorno, di violazioni di disposizioni normative nazionali o dell'Unione europea che ledono l'interesse pubblico o l'integrità dell'ente, apprese nel contesto lavorativo. Non è una denuncia penale né un reclamo individuale: le rivendicazioni personali di natura contrattuale o le vertenze di lavoro restano fuori dall'ambito oggettivo del decreto.
La logica della norma è preventiva. Un'irregolarità intercettata all'interno costa meno di un'ispezione, di un procedimento sanzionatorio o di un processo penale a carico dell'ente. Per questo il legislatore ha imposto un canale strutturato e ha circondato il segnalante di tutele forti, fino alla nullità degli atti ritorsivi.
Le persone che possono attivare le tutele sono individuate dall'art. 3 del decreto e vanno ben oltre i dipendenti: lavoratori subordinati e autonomi, collaboratori, liberi professionisti e consulenti, volontari e tirocinanti anche non retribuiti, azionisti e soci, persone con funzioni di amministrazione, direzione, controllo o vigilanza. La protezione copre anche il periodo di prova, la fase precedente all'instaurazione del rapporto e il periodo successivo alla sua cessazione, quando le informazioni sono state acquisite durante il rapporto stesso. In una SRL, quindi, può segnalare anche un socio non operativo o un consulente esterno.
Il collegamento con la responsabilità dell'amministratore è diretto. L'organo amministrativo che non attiva il canale, pur essendovi tenuto, espone la società a una sanzione ANAC e sé stesso a una possibile azione di responsabilità per il danno che ne deriva.
L'errore più diffuso è ridurre l'obbligo alla sola soglia dei 50 dipendenti. Il decreto individua tre criteri alternativi: basta soddisfarne uno per rientrare tra i soggetti obbligati del settore privato.
| Tipologia di SRL | Soglia dimensionale | Canale interno obbligatorio | Ambito oggettivo delle segnalazioni | Decorrenza dell'obbligo |
|---|---|---|---|---|
| SRL con oltre 249 lavoratori | Media superiore a 249 nell'ultimo anno | Sì | Violazioni di diritto nazionale e UE rilevanti ex art. 1; se presente il modello 231, anche gli illeciti 231 | 15 luglio 2023 |
| SRL da 50 a 249 lavoratori | Media da 50 a 249 nell'ultimo anno | Sì | Violazioni di diritto nazionale e UE rilevanti ex art. 1; se presente il modello 231, anche gli illeciti 231 | 17 dicembre 2023 |
| SRL sotto i 50 lavoratori con modello 231 | Irrilevante | Sì | Limitato alle condotte illecite rilevanti ex D.Lgs. 231/2001 e alle violazioni del modello | 17 dicembre 2023 |
| SRL sotto i 50 lavoratori nei settori dell'allegato | Irrilevante | Sì | Violazioni degli atti UE dell'allegato (finanza, antiriciclaggio, trasporti, ambiente) | 17 dicembre 2023 |
| SRL sotto i 50 lavoratori, nessun modello 231, fuori dai settori dell'allegato | Media inferiore a 50 | No | Nessun obbligo di canale interno; il segnalante può rivolgersi direttamente all'ANAC | Non applicabile |
L'ultima riga merita attenzione. L'assenza dell'obbligo di canale interno non equivale ad assenza di tutele: il lavoratore di una SRL non obbligata può comunque segnalare all'ANAC attraverso il canale esterno e beneficia integralmente del divieto di ritorsione. La società che lo penalizza risponde comunque.
Le SRL soggette alla disciplina antiriciclaggio, in particolare, rientrano nel criterio settoriale a prescindere dal numero di dipendenti: se la vostra società opera come soggetto obbligato ai sensi del D.Lgs. 231/2007, il tema si intreccia con gli obblighi antiriciclaggio già in essere e conviene coordinare le due procedure.
Il testo dell'art. 2, comma 1, lett. q), n. 1) del D.Lgs. 24/2023 parla di "media di almeno cinquanta lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato" impiegati nell'ultimo anno; i criteri settoriale e 231 sono ai nn. 2) e 3) della stessa lettera. Tre elementi vanno letti con attenzione.
Si tratta di una media, non di un dato puntuale. Una SRL della ristorazione o della logistica che sale a 60 dipendenti nei mesi di picco e scende a 35 nel resto dell'anno può restare sotto soglia. Al contrario, chi si mantiene stabilmente sopra i 50 non può invocare una riduzione temporanea dell'organico.
Contano i soli rapporti di lavoro subordinato. Restano fuori dal computo i collaboratori autonomi, i liberi professionisti, gli agenti e in generale i rapporti che non hanno natura subordinata con la società. Questi soggetti possono comunque segnalare e sono protetti, ma non concorrono a determinare la soglia.
Il riferimento è l'ultimo anno. Le Linee guida ANAC approvate con delibera n. 311 del 12 luglio 2023 restano il riferimento operativo per l'interpretazione del decreto. Sul trattamento dei lavoratori a tempo parziale e dei somministrati la norma non detta un criterio espresso: in questi casi il metodo di calcolo prescelto va documentato e conservato, perché la verifica di soglia è il primo elemento che viene chiesto in caso di controllo. Eventuali aggiornamenti delle Linee guida successivi a quella delibera vanno verificati prima di consolidare il calcolo.
Il dato utile per il conteggio si ricava dalle risultanze del Libro unico del lavoro e dai flussi contributivi mensili. Per un quadro degli adempimenti collegati, si veda la guida ai contributi INPS della SRL.
Il canale non è una casella di posta elettronica generica né un modulo pubblicato sul sito. L'art. 4 del decreto fissa requisiti precisi che riguardano insieme la tecnologia, l'organizzazione e la documentazione.
L'attivazione avviene sentite le rappresentanze o le organizzazioni sindacali di cui all'art. 51 del D.Lgs. 81/2015. Si tratta di un passaggio procedurale spesso trascurato, che va tracciato: la consultazione non richiede il consenso sindacale, ma deve essere effettivamente svolta e documentata.
| Requisito | Contenuto operativo | Riferimento |
|---|---|---|
| Modalità scritta | Segnalazione in forma scritta, anche con modalità informatica (piattaforma dedicata, portale, applicativo) | Art. 4, comma 3 |
| Modalità orale | Linee telefoniche o sistemi di messaggistica vocale; su richiesta del segnalante, incontro diretto fissato entro un termine ragionevole | Art. 4, commi 3 e 4 |
| Riservatezza tecnica | Protezione dell'identità del segnalante, della persona coinvolta e di chiunque sia menzionato, oltre che del contenuto e degli allegati, anche mediante strumenti di crittografia | Art. 4, comma 1 |
| Gestione autonoma | Affidamento a persona o ufficio interno autonomo con personale specificamente formato, oppure a soggetto esterno autonomo con personale formato | Art. 4, comma 2 |
| Procedura scritta e informazione | Adozione di una procedura interna, resa nota con avviso visibile nei luoghi di lavoro e accessibile anche a chi non frequenta i locali aziendali e, per i soggetti dotati di sito internet, pubblicata in una sezione dedicata dello stesso | Artt. 4 e 5, comma 2 |
| Condivisione del canale | Ammessa la condivisione del canale e della relativa gestione tra soggetti privati con media non superiore a 249 lavoratori | Art. 4, comma 6 |
| Protezione dei dati personali | Trattamento conforme al Reg. UE 2016/679, con base giuridica dell'obbligo di legge, informativa dedicata, designazione dei soggetti autorizzati e valutazione d'impatto | Art. 13 e Reg. UE 2016/679 |
| Conservazione | Segnalazioni e documentazione conservate per il tempo necessario e comunque non oltre 5 anni dalla comunicazione dell'esito finale della procedura | Art. 14 |
La possibilità di condividere il canale tra più imprese fino a 249 lavoratori è la soluzione più efficiente per i gruppi di SRL di dimensioni contenute e per le reti di impresa: un'unica piattaforma e un unico gestore, con costi ripartiti. Attenzione però a non usare la condivisione per accentrare la gestione in capo alla capogruppo quando le società controllate superano la soglia: in quel caso ciascuna resta titolare del proprio obbligo.
Il requisito della modalità orale è quello più spesso mancante nelle implementazioni improvvisate. Una piattaforma che accetti solo segnalazioni scritte non è conforme.
La scelta del gestore è la decisione più delicata dell'intero impianto. Il decreto ammette tre configurazioni: una persona interna dedicata, un ufficio interno autonomo, un soggetto esterno autonomo. In tutti i casi il personale deve essere specificamente formato, e l'autonomia va intesa rispetto alle funzioni che potrebbero formare oggetto di segnalazione.
Nelle SRL strutturate la gestione viene assegnata a una funzione compliance, all'internal audit o a un referente dedicato. Il limite è pratico: in una società di 60 dipendenti la funzione compliance spesso non esiste, e chi la surroga (il responsabile del personale, il direttore amministrativo) potrebbe essere proprio la persona su cui la segnalazione verte.
Nelle SRL dotate di modello 231 l'Organismo di Vigilanza è la scelta più naturale, per la posizione di autonomia e indipendenza che gli è propria. Va tenuto presente che l'OdV, se non monocratico e composto da soggetti a tempo parziale, non sempre garantisce la reattività richiesta dai termini di legge: il rispetto dei sette giorni per l'avviso di ricevimento richiede un presidio continuativo.
L'affidamento a uno studio professionale o a un provider specializzato risolve i problemi di indipendenza e di competenza tecnica. Il contratto deve disciplinare la nomina a responsabile del trattamento ai sensi dell'art. 28 del Reg. UE 2016/679, i tempi di riscontro, il perimetro dell'istruttoria e le modalità di interlocuzione con l'organo amministrativo.
Qualunque sia la configurazione, i poteri del gestore vanno definiti nella procedura interna e, dove opportuno, richiamati nello statuto o nei regolamenti interni. Un gestore senza potere di accesso ai documenti e di audizione delle persone coinvolte non può svolgere l'attività di verifica e analisi che la norma gli impone.
L'art. 5 del decreto scandisce il procedimento con termini perentori nella sostanza, perché il loro mancato rispetto legittima il segnalante a rivolgersi all'ANAC e concorre a integrare la violazione sanzionabile.
| Fase | Termine | Decorrenza | Riferimento |
|---|---|---|---|
| Avviso di ricevimento al segnalante | 7 giorni | Data di ricezione della segnalazione | Art. 5, comma 1, lett. a) |
| Interlocuzione con il segnalante | Nel corso dell'istruttoria, con eventuali richieste di integrazione | Dalla presa in carico | Art. 5, comma 1, lett. b) |
| Verifica e analisi della segnalazione | Entro il termine utile a fornire il riscontro | Dalla presa in carico | Art. 5, comma 1, lett. c) |
| Riscontro al segnalante | 3 mesi | Data dell'avviso di ricevimento o, se l'avviso non è stato dato, scadenza dei 7 giorni dalla presentazione | Art. 5, comma 1, lett. d) |
| Incontro diretto su richiesta | Entro un termine ragionevole | Richiesta del segnalante | Art. 4, comma 4 |
| Conservazione della documentazione | Non oltre 5 anni | Comunicazione dell'esito finale della procedura | Art. 14 |
Il riscontro non deve necessariamente comunicare l'esito dell'accertamento nel dettaglio. Può consistere nell'informazione sull'archiviazione, sull'avvio di un'istruttoria interna, sul rinvio ad autorità competenti o sull'adozione di misure correttive. Ciò che non è ammesso è il silenzio.
Sul fronte della riservatezza, l'art. 12 stabilisce che l'identità del segnalante e ogni informazione dalla quale essa possa essere desunta, direttamente o indirettamente, non possono essere rivelate senza il consenso espresso della persona. Il vincolo si estende oltre il nome: mansione, sede, dettagli circostanziali che rendano identificabile chi ha segnalato vanno oscurati nella documentazione che circola all'interno. Nel procedimento disciplinare avviato sulla base della segnalazione, l'identità non può essere rivelata se la contestazione è fondata su accertamenti ulteriori e distinti; se invece la contestazione si fonda in tutto o in parte sulla segnalazione, l'identità può essere rivelata solo con il consenso espresso del segnalante, informato per iscritto.
Le protezioni si attivano quando il segnalante, al momento della segnalazione, aveva fondato motivo di ritenere che le informazioni fossero vere e rientrassero nell'ambito oggettivo del decreto. Non serve che la segnalazione risulti poi fondata: serve la buona fede al momento in cui viene fatta. Chi segnala informazioni che sapeva essere false resta fuori dalla tutela.
L'art. 17 vieta le ritorsioni e ne tipizza un elenco ampio, che comprende licenziamento, sospensione, retrocessione di grado e mancata promozione, mutamento di funzioni e cambiamento del luogo di lavoro, riduzione dello stipendio, sospensione della formazione, note di merito negative, adozione di misure disciplinari, coercizione e intimidazione, discriminazione, mancata conversione di un contratto a termine, mancato rinnovo, danni reputazionali, inserimento in liste che ostacolino il reperimento di occupazione, risoluzione anticipata di un contratto di fornitura, revoca di licenze o autorizzazioni, richiesta di sottoposizione ad accertamenti medici o psichiatrici.
Due meccanismi rendono la tutela effettiva. Il primo è l'inversione dell'onere della prova prevista dall'art. 17 comma 2: nei procedimenti giudiziari o amministrativi si presume che le misure adottate siano ritorsive, e spetta a chi le ha adottate dimostrare che sono state motivate da ragioni estranee alla segnalazione. Il secondo è la nullità degli atti assunti in violazione del divieto, sancita dall'art. 19: il licenziamento ritorsivo non è semplicemente illegittimo, è nullo, con le conseguenze reintegratorie che ne discendono.
Il segnalante che subisce una ritorsione può comunicarla all'ANAC, che valuta e può irrogare la sanzione al responsabile. La comunicazione all'ANAC non preclude la tutela giudiziaria: i due percorsi sono autonomi e cumulabili.
L'art. 22 rende nulle le rinunce e le transazioni aventi ad oggetto i diritti e le tutele previsti dal decreto, salvo che siano effettuate nelle sedi protette indicate dall'art. 2113 quarto comma del codice civile. Chi pensa di risolvere una posizione con un accordo transattivo che comprenda la rinuncia alle tutele whistleblowing sta costruendo un atto inefficace.
Il canale interno è il percorso ordinario, ma non è l'unico. L'art. 6 consente la segnalazione esterna all'ANAC in quattro situazioni alternative: quando il canale interno non è obbligatorio o non è attivo o non è conforme; quando il segnalante ha già effettuato una segnalazione interna e questa non ha avuto seguito; quando ha fondato motivo di ritenere che la segnalazione interna non avrebbe efficace seguito o determinerebbe un rischio di ritorsione; quando ritiene che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.
La conseguenza pratica è rilevante per la SRL. Un canale interno inesistente o mal funzionante non impedisce la segnalazione, la sposta fuori dall'azienda. L'ANAC entra allora in contatto con la società da una posizione di autorità procedente, e la mancata attivazione del canale diventa essa stessa oggetto di accertamento.
Anche l'ANAC opera con termini definiti: avviso di ricevimento entro sette giorni dalla ricezione e riscontro entro tre mesi, elevabili a sei mesi in presenza di ragioni giustificate e motivate.
La divulgazione pubblica, disciplinata dall'art. 15, è il livello ulteriore: rendere pubbliche le informazioni tramite stampa, mezzi elettronici o mezzi di diffusione capaci di raggiungere un numero elevato di persone. Il segnalante conserva le tutele solo se ricorre una delle condizioni previste, tra cui l'aver già effettuato una segnalazione interna e poi esterna, ovvero una segnalazione direttamente esterna, senza ricevere riscontro nei termini di legge (art. 15, comma 1, lett. a), il pericolo imminente o palese per il pubblico interesse, il fondato motivo di ritenere che la segnalazione esterna comporti rischio di ritorsione o non abbia efficace seguito. Il rispetto scrupoloso dei termini interni, quindi, ha anche una funzione difensiva: un riscontro tempestivo riduce lo spazio per una divulgazione pubblica protetta.
L'art. 21 attribuisce all'ANAC il potere di irrogare sanzioni amministrative pecuniarie. Le forbici sono ampie e l'importo concreto dipende dalla gravità della violazione, dalle dimensioni dell'ente e dalle circostanze del caso.
| Tipologia di violazione accertata | Destinatario | Importo |
|---|---|---|
| Ritorsioni commesse nei confronti del segnalante | Responsabile della condotta | Da 10.000 a 50.000 euro |
| Segnalazione ostacolata o tentativo di ostacolarla | Responsabile della condotta | Da 10.000 a 50.000 euro |
| Violazione dell'obbligo di riservatezza di cui all'art. 12 | Responsabile della condotta | Da 10.000 a 50.000 euro |
| Mancata istituzione dei canali di segnalazione | Ente obbligato | Da 10.000 a 50.000 euro |
| Mancata adozione delle procedure, o procedure non conformi agli artt. 4 e 5 | Ente obbligato | Da 10.000 a 50.000 euro |
| Omessa attività di verifica e analisi delle segnalazioni ricevute | Ente obbligato | Da 10.000 a 50.000 euro |
| Accertata responsabilità civile della persona segnalante per dolo o colpa grave ex art. 16 comma 3 (ipotesi in cui vengono meno le tutele). La sanzione non si applica se la persona è stata condannata, anche in primo grado, per diffamazione o calunnia (art. 21 comma 1 lett. c) | Persona segnalante | Da 500 a 2.500 euro |
Le tre ipotesi relative all'ente rientrano tutte nell'unica fattispecie dell'art. 21, comma 1, lett. b): ANAC irroga una sola sanzione da 10.000 a 50.000 euro, ma la pluralità delle carenze pesa nella graduazione dell'importo verso il massimo edittale. Restano autonome le sanzioni della lett. a) per ritorsioni, ostacolo alla segnalazione e violazione della riservatezza. Il rischio economico non si esaurisce nella sanzione ANAC. Un modello 231 privo della parte whistleblowing indebolisce l'esimente in sede penale, con conseguenze potenzialmente ben più costose delle sanzioni amministrative. E l'atto ritorsivo dichiarato nullo comporta reintegrazione e risarcimento sul piano civilistico.
Va aggiunta la dimensione della continuità aziendale. Gli assetti organizzativi adeguati richiesti dall'art. 2086 del codice civile e dal Codice della crisi d'impresa comprendono i presidi di compliance: una carenza strutturale in questo ambito può essere valutata anche nel giudizio sull'adeguatezza degli assetti.
Un ultimo profilo riguarda l'organizzazione del lavoro. La diffusione del lavoro da remoto impone di rendere il canale accessibile anche a chi non frequenta i locali aziendali: l'avviso affisso in bacheca non basta più. L'art. 5, comma 2, richiede che le informazioni sul canale, sulle procedure e sui presupposti per le segnalazioni esterne siano esposte e rese facilmente visibili nei luoghi di lavoro, accessibili anche ai soggetti dell'art. 3, comma 2, che non frequentano i locali aziendali, e che siano inoltre pubblicate in una sezione dedicata del sito internet, per i soggetti che ne dispongono. Se la vostra SRL ha personale in modalità agile, coordinate la procedura con quanto previsto negli accordi individuali di smart working.
Sono obbligate le SRL che nell'ultimo anno hanno impiegato una media di almeno 50 lavoratori subordinati a tempo determinato o indeterminato. L'obbligo scatta anche sotto i 50 dipendenti in due casi: se la società rientra nell'ambito degli atti dell'Unione europea elencati nell'allegato al D.Lgs. 24/2023 (servizi, prodotti e mercati finanziari, prevenzione del riciclaggio e del finanziamento del terrorismo, sicurezza dei trasporti, tutela dell'ambiente), oppure se ha adottato un modello di organizzazione e gestione ai sensi del D.Lgs. 231/2001. In quest'ultimo caso l'obbligo riguarda le segnalazioni di condotte rilevanti ai sensi del decreto 231 e le violazioni del modello.
L'art. 4 del D.Lgs. 24/2023 fa riferimento alla media dei lavoratori subordinati con contratto a tempo determinato o indeterminato impiegati nell'ultimo anno. Si tratta di una media annuale e non del dato puntuale rilevato in un singolo giorno: una SRL che supera i 50 dipendenti solo in alcuni mesi di picco può restare sotto soglia. Non entrano nel computo i rapporti che non sono di lavoro subordinato con la società, come collaboratori autonomi, liberi professionisti e agenti. Il D.Lgs. 24/2023 non detta un criterio specifico di computo, ma valgono le regole generali: i lavoratori a tempo parziale si computano in proporzione all'orario svolto rapportato al tempo pieno (art. 9, comma 1, D.Lgs. 81/2015), mentre i somministrati non si computano nell'organico dell'utilizzatore, salvo che ai fini della normativa in materia di igiene e sicurezza (art. 34, comma 3, D.Lgs. 81/2015). Resta comunque opportuno documentare e conservare il calcolo effettuato.
L'art. 4 del D.Lgs. 24/2023 prevede tre opzioni: una persona interna dedicata, un ufficio interno autonomo con personale specificamente formato, oppure un soggetto esterno autonomo con personale altrettanto formato. Il requisito comune è l'autonomia rispetto alle funzioni che potrebbero essere oggetto di segnalazione. Nelle SRL con modello 231 la gestione è spesso affidata all'Organismo di Vigilanza o a un gestore esterno che riferisce all'OdV. È da evitare l'attribuzione a chi ha poteri gestori diretti, perché genera un conflitto di interessi strutturale.
L'ANAC applica una sanzione amministrativa pecuniaria da 10.000 a 50.000 euro quando accerta che non sono stati istituiti i canali di segnalazione, che non sono state adottate le procedure previste, che le procedure adottate non sono conformi agli articoli 4 e 5 del D.Lgs. 24/2023, oppure che non è stata svolta l'attività di verifica e analisi delle segnalazioni ricevute. La stessa forbice da 10.000 a 50.000 euro si applica in caso di ritorsioni, di ostacolo alla segnalazione o di violazione dell'obbligo di riservatezza.
Il licenziamento, il demansionamento, il trasferimento, le sanzioni disciplinari e le altre misure adottate a causa della segnalazione sono vietati dall'art. 17 del D.Lgs. 24/2023 e gli atti assunti in violazione di tale divieto sono nulli. Nei procedimenti giudiziari o amministrativi opera una presunzione a favore del segnalante: spetta al datore di lavoro dimostrare che la misura è stata adottata per ragioni estranee alla segnalazione. La protezione non copre chi segnala informazioni che sapeva essere false, né esclude provvedimenti fondati su motivi realmente indipendenti dalla segnalazione e provati come tali.
La tua SRL ha almeno 50 dipendenti o un modello 231? Il team TurboImposte verifica se sei tra i soggetti obbligati, attiva il canale di segnalazione conforme e predispone la procedura interna.
Richiedi una consulenza gratuitaObblighi antiriciclaggio per le SRL: adeguata verifica, conservazione e segnalazioni.
Doveri, rischi e azioni di responsabilità nei confronti dell'organo amministrativo.
Assetti adeguati, indicatori di allerta e obblighi degli amministratori.
Articolo a cura del team TurboImposte – Studio Vittucci.
Parla con un commercialista