Dejan Jasnic · Co-fondatore e Responsabile Compliance, Trusty · Oltre 20 anni di esperienza in antifrode e compliance · Membro del consiglio direttivo dell’ACFE Swiss Chapter
Una policy di whistleblowing conforme alla legge UE deve coprire dieci elementi: chi può segnalare, cosa può essere segnalato, come segnalare, chi gestisce le segnalazioni, la riservatezza, le scadenze, la protezione dalle ritorsioni, la segnalazione esterna, la protezione dei dati e la conservazione dei documenti. Il modello qui sotto fornisce il testo per ciascuno di essi.
Copialo, sostituisci il testo tra parentesi quadre e adattalo a ogni paese in cui impieghi 50 o più lavoratori.
Una policy di whistleblowing è un documento scritto che spiega alle persone come segnalare illeciti sul lavoro e come l’organizzazione gestirà la segnalazione e proteggerà chi l’ha fatta. Viene anche chiamata whistleblower policy, speak-up policy o procedura di segnalazione interna.
In pratica, sì. La Direttiva (UE) 2019/1937 richiede ai datori di lavoro con 50 o più lavoratori di avere procedure per la segnalazione interna e il relativo seguito, e di fornire informazioni chiare e facilmente accessibili in merito. Una policy scritta è il modo per adempiere a entrambi gli obblighi e per dimostrare di averlo fatto.
Alcune leggi nazionali sono più esplicite. La Ley 2/2023 spagnola, ad esempio, richiede una policy pubblicata e una procedura per la gestione delle segnalazioni. Per una panoramica delle norme, consulti la nostra guida alla legge sul whistleblowing nell’UE.
Cosa deve includere una policy di whistleblowing?
Una policy di whistleblowing deve includere dieci elementi, ciascuno collegato a un articolo della direttiva UE sul whistleblowing. Usi questa tabella come checklist per verificare la Sua policy attuale.
funziona nella pratica
Ogni promessa della Sua policy, integrata nel canale. Trusty Le offre segnalazioni scritte e vocali, una casella anonima bidirezionale, accessi basati sui ruoli e monitoraggio delle scadenze, oltre a policy di compliance già pronte da cui partire. Il Suo primo canale è attivo in meno di cinque minuti.
Elemento | Cosa deve indicare la policy | Direttiva |
|---|---|---|
1. Chi può segnalare | Dipendenti e chiunque altro abbia un legame professionale, compresi collaboratori, candidati ed ex lavoratori | Articolo 4 |
2. Cosa può essere segnalato | Le violazioni coperte, con esempi, e cosa va invece gestito tramite le risorse umane | Articolo 2 |
3. Come segnalare | I canali disponibili, in forma scritta, orale o entrambe, e il diritto di richiedere un incontro | Articolo 9(2) |
4. Chi gestisce le segnalazioni | La persona o il team imparziale che riceve e segue le segnalazioni | Articolo 9(1)(c) |
5. Riservatezza | Che l'identità del segnalante è protetta e chi può accedere a una segnalazione | Articolo 16 |
6. Scadenze | Conferma di ricezione entro 7 giorni e riscontro entro 3 mesi | Articolo 9(1)(b) e (f) |
7. Protezione dalle ritorsioni | Che le ritorsioni sono vietate e cosa fare se si verificano | Articoli 19 e 21 |
8. Segnalazione esterna | Come segnalare all'autorità nazionale competente | Articolo 9(1)(g) |
9. Protezione dei dati | Come vengono trattati i dati personali ai sensi del GDPR | Articolo 17 |
10. Conservazione dei documenti | Come vengono documentate le segnalazioni e per quanto tempo vengono conservate | Articolo 18 |
Le aziende con 50 o più dipendenti possono configurare il software per il whistleblowing di Trusty in pochi minuti, a partire da 49 € al mese.
Modello di policy whistleblowing
Questo modello copre tutti e dieci gli elementi. Sostituisci il testo tra parentesi quadre, quindi fallo rivedere in base alla legge nazionale di ogni paese in cui lo utilizzi.
1. Finalità
[Nome azienda] vuole venire a conoscenza degli illeciti tempestivamente, in modo da poter agire. Questa policy spiega come effettuare una segnalazione, come la gestiamo e come La proteggiamo.
2. Chi può segnalare
Questa policy si applica a dipendenti, manager, membri del consiglio di amministrazione, azionisti, tirocinanti, volontari, candidati, ex lavoratori, collaboratori, fornitori e al loro personale.
3. Cosa può segnalare
Può segnalare una violazione effettiva o sospetta della legge di cui è venuto a conoscenza attraverso il Suo lavoro con [Nome azienda]. Tra gli esempi rientrano frode, corruzione, riciclaggio di denaro, violazioni del diritto della concorrenza, rischi per la salute e la sicurezza, danni ambientali, violazioni della protezione dei dati, problemi di sicurezza dei prodotti e violazioni del regolamento UE sull’intelligenza artificiale (AI Act).
I reclami personali relativi al rapporto di lavoro devono essere indirizzati a [contatto HR], a meno che non comportino anche una violazione di legge.
4. Come segnalare
Può segnalare per iscritto o tramite messaggio vocale su [URL del canale di segnalazione]. Può anche richiedere un incontro di persona con [ruolo o team], che organizzeremo entro [numero] giorni.
Può segnalare in forma anonima. In tal caso, conserva il codice di accesso che riceve, così potremo farLe domande e darLe un riscontro.
5. Chi gestisce la Sua segnalazione
Le segnalazioni sono ricevute e gestite da [ruolo o team], che agisce in modo indipendente ed è formato per gestirle. Se la Sua segnalazione riguarda quella persona o quel team, viene inoltrata a [ruolo alternativo].
6. Riservatezza
La Sua identità, e qualsiasi informazione che potrebbe rivelarla, viene condivisa solo con le persone autorizzate a gestire la Sua segnalazione. Non la divulgheremo a nessun altro senza il Suo consenso esplicito, salvo quando richiesto dalla legge.
7. Cosa succede dopo la segnalazione
Confermiamo la ricezione entro 7 giorni. Valutiamo la segnalazione, effettuiamo indagini ove necessario e Le comunichiamo le azioni intraprese o pianificate entro 3 mesi da tale conferma.
8. Protezione dalle ritorsioni
[Nome azienda] vieta qualsiasi ritorsione, minaccia o tentativo di ritorsione contro una persona che segnala ai sensi di questa policy, o contro chiunque la aiuti. La ritorsione costituisce un illecito disciplinare. Segnalala attraverso lo stesso canale.
Sei protetto se avevi fondati motivi per ritenere vera l’informazione al momento della segnalazione. Chi effettua consapevolmente una segnalazione falsa non è protetto.
9. Segnalazione esterna
La incoraggiamo a segnalare prima internamente, ma può segnalare direttamente all’autorità competente: [nome e dati di contatto dell’autorità nazionale]. Può anche segnalare all’organismo UE competente, ove applicabile.
10. Protezione dei dati e documentazione
Trattiamo i dati personali in conformità al GDPR e a [legge nazionale sulla protezione dei dati]. Registriamo ogni segnalazione e la conserviamo per [periodo di conservazione], o più a lungo laddove richiesto dalla legge o da procedimenti in corso. I dati chiaramente non rilevanti vengono cancellati senza indugio.
11. Responsabile della policy e revisione
Questa policy è di competenza di [ruolo]. È stata approvata il [data] e viene riesaminata almeno una volta all’anno.
ogni entità
Un’unica piattaforma, un canale di segnalazione separato per ogni entità giuridica. Trusty mantiene separati le segnalazioni, i gestori dei casi e i diritti di accesso di ogni controllata, offre il modulo di segnalazione in più lingue e ospita tutti i dati in data center certificati ISO/IEC 27001 in Germania.
Come si adatta una policy di whistleblowing per ciascun paese UE?
Si adatta una policy di whistleblowing modificando quattro elementi per ciascun paese: l’ambito di applicazione, la regola sull’anonimato, l’autorità esterna e il periodo di conservazione. La legge nazionale può inoltre richiedere la consultazione dei rappresentanti dei lavoratori prima che la policy entri in vigore.
Paese | Cosa modificare nel modello |
|---|---|
Germania (HinSchG) | Ampliare l'ambito ai reati e a determinati illeciti amministrativi. Indicare l'Ufficio federale di giustizia come canale di segnalazione esterna. Cancellare i documenti tre anni dopo la chiusura del caso. Coinvolgere il consiglio di fabbrica (Betriebsrat). |
Spagna (Ley 2/2023) | Specificare che le segnalazioni anonime sono accettate. Nominare il responsabile del sistema e indicare l'Autoridad Independiente de Protección del Informante (AIPI). Pubblicare la policy. Conservare i documenti per non più di dieci anni. |
Francia (Sapin II e Decreto 2022-1284) | Ampliare l'ambito a crimini, delitti e minacce all'interesse generale. Consultare il comitato sociale ed economico (CSE). Confermare la ricezione entro sette giorni lavorativi. Indicare il Défenseur des droits. |
Italia (Decreto Legislativo 24/2023) | Indicare l'ANAC come canale esterno. Consultare le rappresentanze sindacali. Conservare i documenti per non più di cinque anni dopo la comunicazione dell'esito. Allinearsi al proprio Modello 231, se presente. |
Un gruppo può mantenere un’unica policy centrale e aggiungere un breve allegato nazionale per ciascuno di questi punti. Traduci la policy nella lingua del personale di ciascun paese. La nostra guida al whistleblowing per datori di lavoro multi-paese approfondisce le configurazioni di gruppo.
Quali sono gli errori più comuni in una policy di whistleblowing?
L’errore più comune è una policy che descrive un processo che l’organizzazione non è effettivamente in grado di attuare. Sei errori ricorrono costantemente:
• Coprire solo i dipendenti. La legge protegge anche collaboratori, fornitori, candidati ed ex lavoratori.
• Richiedere prima la segnalazione interna. Un segnalante può rivolgersi direttamente all’autorità, e la policy deve spiegare come.
• Richiedere la “buona fede”. Il criterio legale è avere fondati motivi per ritenere vera l’informazione, non il movente del segnalante.
• Omettere le scadenze. La conferma entro sette giorni e il riscontro entro tre mesi devono essere inclusi nella policy.
• Indicare un indirizzo email come canale. Una casella di posta condivisa è difficile da mantenere riservata e non lascia una documentazione chiara dei casi. Veda software di whistleblowing vs. email vs. hotline.
• Pubblicare e dimenticare. Una policy che nessuno ha letto non protegge nessuno, quindi forma il personale e rivedila ogni anno.
Una policy è solo metà della compliance. Il canale che la sostiene deve mantenere le promesse fatte dalla policy.
Come si mette in pratica una policy di whistleblowing?
Si mette in pratica una policy di whistleblowing abbinandola a un canale di segnalazione che fa rispettare quanto promesso dalla policy. Trusty è un software di whistleblowing progettato in base alla direttiva UE sul whistleblowing, e un canale interno è pronto in meno di cinque minuti.
Cosa promette la Sua policy | Come lo garantisce Trusty |
|---|---|
Segnalazioni scritte o vocali | Modulo online e messaggi vocali nel browser con alterazione della voce |
Segnalazione anonima con riscontro | Casella anonima bidirezionale apribile con un codice di accesso |
Accesso riservato ai soli gestori autorizzati | Accesso basato sui ruoli, separato per ogni entità giuridica |
Scadenze di 7 giorni e 3 mesi | Dashboard dei casi che mostra ogni segnalazione e il suo stato |
Un registro affidabile | Marca temporale qualificata eIDAS su ogni segnalazione e registro di controllo a prova di manomissione |
Trattamento conforme al GDPR | Hosting in data center certificati ISO/IEC 27001 in Germania |
Trusty include inoltre policy di compliance già pronte e formazione per i dipendenti, così non deve partire da zero.
Domande frequenti sulle policy di whistleblowing
Una policy di whistleblowing è un documento scritto che spiega come segnalare illeciti sul lavoro, come l'organizzazione gestisce le segnalazioni e come protegge chi segnala.
Le aziende private con 50 o più lavoratori e gli enti del settore pubblico nell'UE devono dotarsi di procedure di segnalazione interna e fornire informazioni chiare al riguardo. Una policy scritta di whistleblowing è il modo standard per soddisfare entrambi i requisiti.
Deve includere chi può segnalare, cosa può essere segnalato, come segnalare, chi gestisce le segnalazioni, la riservatezza, le scadenze di 7 giorni e 3 mesi, la protezione dalle ritorsioni, la segnalazione esterna, la protezione dei dati e la conservazione dei documenti.
Da due a quattro pagine sono sufficienti. Chi legge dovrebbe riuscire a capire come segnalare, e cosa succede dopo, in meno di un minuto.
Dipende dal paese. La legge UE lascia la decisione agli Stati membri, e la Spagna impone ai datori di lavoro di accettare segnalazioni anonime. Consentirle ovunque è l'approccio più semplice per un gruppo.
Sì. Un gruppo può utilizzare una policy principale comune con un breve allegato per ogni paese che definisce l'ambito locale, l'autorità competente, la regola sull'anonimato e il periodo di conservazione.
Va rivista almeno una volta all'anno, e ogni volta che la legge cambia. L'estensione del 2026 alle segnalazioni ai sensi dell'AI Act dell'UE è uno di questi cambiamenti.
Fonti
• Direttiva (UE) 2019/1937, EUR-Lex
• Articolo 87: Segnalazione di violazioni e protezione delle persone segnalanti, AI Act dell’UE
• Trusty, informazioni sul prodotto
Questo modello e questo articolo sono informazioni generali, non una consulenza legale. Faccia rivedere la Sua policy definitiva da un legale locale.
alla Direttiva UE e al GDPR
Software per il whistleblowing reso semplice, creato da esperti di compliance.