Se la tua azienda ha 50 o più dipendenti, oppure opera nei servizi finanziari o nell’antiriciclaggio a prescindere dall’organico, la Legge 2/2023 ti obbliga a dotarti di un sistema interno di segnalazione. Lo progettiamo, lo documentiamo e ti aiutiamo a gestirlo senza mettere a rischio la riservatezza.
La tua azienda è obbligata? Diagnosi gratuita
Dicci quanti dipendenti hai e in che settore operi: ti diciamo se ti serve un canale di segnalazione e cosa ti manca.
Un canale di segnalazione non è solo una casella di posta: la legge richiede un Responsabile, una politica, una procedura, un registro e garanzie contro le ritorsioni. Ci occupiamo dell’intero sistema.
Esaminiamo il tuo organico, il tuo settore e il tuo gruppo societario per confermare l’obbligo previsto dall’articolo 10 della Legge 2/2023 e verificare se puoi condividere il sistema o le sue risorse con altre società.
Redigiamo la politica che enuncia i principi del sistema e la procedura approvata dall’organo di amministrazione: avviso di ricevimento, indagine, termini e diritti delle parti.
Ti aiutiamo a scegliere e nominare il Responsabile del Sistema, a garantirne l’indipendenza e a notificare la nomina all’autorità competente entro i termini.
Definiamo i mezzi per effettuare le segnalazioni (per iscritto, oralmente o in un incontro di persona se il segnalante lo richiede) e ci assicuriamo che ammettano segnalazioni anonime e proteggano l’identità.
Se decidi di affidare la ricezione delle segnalazioni a un terzo, prepariamo l’incarico con le garanzie di indipendenza, riservatezza e protezione dei dati richieste dall’articolo 6.
Affianchiamo il Responsabile nella gestione dei fascicoli, nelle indagini interne e nella tenuta del registro delle segnalazioni, e nella trasmissione al Pubblico ministero (Ministerio Fiscal) quando emergono indizi di reato.
L’obbligo dipende dal tuo organico e, in alcuni settori, dalla tua attività; non dal tuo fatturato.
Ogni persona fisica o giuridica del settore privato con cinquanta o più dipendenti deve disporre di un sistema interno di segnalazione.
Se la tua attività rientra nei servizi finanziari o nell’antiriciclaggio, l’obbligo esiste a prescindere dal numero di dipendenti.
La società capogruppo approva una politica generale, e il gruppo può avere un unico sistema e un unico Responsabile.
Le imprese con un numero di dipendenti compreso tra 50 e 249 possono condividere tra loro il sistema interno di segnalazione e le risorse per gestirlo.
Dati della Legge 2/2023, che disciplina la protezione delle persone che segnalano violazioni normative e la lotta alla corruzione.
Termine per inviare al segnalante l’avviso di ricevimento della sua segnalazione.
Termine massimo per rispondere alle attività di indagine, prorogabile di altri tre mesi nei casi di particolare complessità.
Termine per notificare all’autorità la nomina o la cessazione del Responsabile, con le motivazioni in caso di cessazione.
Se non sono state avviate attività di indagine, i dati devono essere cancellati, salvo per lasciare evidenza del funzionamento del sistema.
Termine massimo di conservazione dei dati del registro delle segnalazioni, che non è pubblico.
Multa massima alle persone giuridiche per violazioni molto gravi, come non disporre del sistema o adottare ritorsioni.
Verifichiamo se sei obbligato, cosa ti manca e come colmare le lacune prima che arrivi la prima segnalazione o un’ispezione.
Quelle del settore privato con 50 o più dipendenti e, a prescindere dall’organico, quelle che operano nei servizi, prodotti e mercati finanziari, nell’antiriciclaggio, nella sicurezza dei trasporti o nella tutela dell’ambiente (articolo 10 della Legge 2/2023). Anche i partiti politici, i sindacati e le organizzazioni imprenditoriali che ricevono o gestiscono fondi pubblici.
Non esattamente. Il canale è la via attraverso cui arrivano le segnalazioni; il sistema interno di segnalazione comprende anche il Responsabile del Sistema, la politica, la procedura di gestione, il registro delle segnalazioni e le garanzie di protezione del segnalante. La legge richiede il sistema completo.
Sì. Il canale deve consentire la presentazione e la successiva gestione di segnalazioni anonime (articolo 7.3). Inoltre, quando il segnalante si identifica, la sua identità deve restare riservata.
Sì, la ricezione delle segnalazioni può essere affidata a un terzo esterno che offra garanzie di indipendenza, riservatezza, protezione dei dati e segretezza delle comunicazioni (articolo 6). Ma la responsabilità resta in capo al Responsabile del Sistema, e il terzo agisce come responsabile del trattamento.
Lo nomina l’organo di amministrazione. Nel settore privato deve essere un dirigente che eserciti l’incarico in modo indipendente; se l’organo è collegiale, deve delegare a uno dei suoi membri la gestione del sistema. La nomina e la cessazione vanno notificate all’autorità entro dieci giorni lavorativi.
Avviso di ricevimento entro sette giorni di calendario e risposta entro un massimo di tre mesi, prorogabili di altri tre nei casi di particolare complessità. Se i fatti potrebbero costituire reato, le informazioni vengono trasmesse immediatamente al Pubblico ministero (Ministerio Fiscal).
Non disporre del sistema interno di segnalazione è una violazione molto grave. Per le persone giuridiche la multa va da 600.001 a 1.000.000 di euro, e possono essere imposte sanzioni accessorie come l’ammonimento pubblico o il divieto di contrattare con il settore pubblico.
La Legge 10/2010 impone già ai soggetti obbligati una procedura interna per segnalare possibili inadempimenti, anche in forma anonima (articolo 26 bis), che può essere integrata nel sistema generale. La Legge 2/2023 si applica per quanto non disciplinato da quella normativa specifica, quindi la soluzione più efficiente è un unico sistema ben progettato.
Un sistema che funziona si vede alla prima segnalazione: il segnalante sa a chi rivolgersi, il Responsabile sa cosa fare e l’azienda può dimostrare di aver agito correttamente.
Organico, settore e gruppo determinano se sei obbligato e se puoi condividere il sistema con altre società.
Un dirigente con autorità, senza conflitti di interesse e con i mezzi per gestire e indagare le segnalazioni.
Il registro delle segnalazioni, gli avvisi di ricevimento, i termini e le decisioni documentate dimostrano all’autorità che il sistema funziona.
Fonte: Legge 2/2023 del 20 febbraio (articoli 5–12, 26, 32, 36–38 e 63–65).
Questi termini compaiono nella Legge 2/2023 e in qualsiasi verifica del tuo sistema. Capirli ti aiuta a implementarlo bene fin dalla prima volta.
Insieme formato dal canale, dal Responsabile, dalla politica, dalla procedura e dalle garanzie di protezione.
Dirigente nominato dall’organo di amministrazione per gestire il sistema in modo indipendente.
Chi comunica una violazione di cui è venuto a conoscenza in un contesto lavorativo o professionale e gode di protezione contro le ritorsioni.
Persona alla quale sono attribuiti i fatti: ha diritto a essere informata e ad essere ascoltata.
Autorità statale creata dalla Legge 2/2023, con Statuto approvato dal Real Decreto 1101/2024. Gestisce il canale esterno.
Via per segnalare direttamente all’autorità, oppure dopo aver usato il canale interno. La sua esistenza non esonera dall’avere quello interno.
Qualsiasi pregiudizio subito per aver segnalato: licenziamento, retrocessione, liste nere o negazione di formazione, tra gli altri.
Registro delle segnalazioni ricevute e delle indagini interne. Non è pubblico.
Fornitore che riceve le segnalazioni per conto dell’azienda e agisce come responsabile del trattamento.
Gestione interna: nominato dall’organo di amministrazione.
Ricezione esternalizzata: resta interno: la responsabilità non si trasferisce.
Gestione interna: la svolge l’azienda stessa con i propri mezzi.
Ricezione esternalizzata: la svolge un terzo con garanzie di indipendenza e riservatezza.
Gestione interna: l’azienda è titolare del trattamento.
Ricezione esternalizzata: il terzo agisce come responsabile del trattamento.
Gestione interna: la dirige il Responsabile del Sistema.
Ricezione esternalizzata: continua a dirigerla il Responsabile del Sistema.
Gestione interna: indipendenza reale rispetto alla direzione.
Ricezione esternalizzata: controllo del fornitore e tracciabilità dei termini.
Sono carenze che una verifica individua subito e che lasciano l’azienda senza difese.
Dicci quanti dipendenti hai, in che settore operi e se hai già un canale, e ti diciamo cosa ti serve per rispettare la Legge 2/2023.
La Legge 2/2023 del 20 febbraio, che disciplina la protezione delle persone che segnalano violazioni normative e la lotta alla corruzione, recepisce la Direttiva (UE) 2019/1937 e obbliga molte aziende a dotarsi di un sistema interno di segnalazione (in spagnolo Sistema Interno de Información), noto come canale di segnalazione o whistleblowing. Il suo obiettivo è permettere a chi viene a conoscenza di una violazione di segnalarla con garanzie e senza timore di ritorsioni.
L’articolo 10 obbliga le persone fisiche o giuridiche del settore privato con cinquanta o più dipendenti e, qualunque sia il loro organico, quelle che operano nell’ambito dei servizi, prodotti e mercati finanziari, dell’antiriciclaggio e del contrasto al finanziamento del terrorismo, della sicurezza dei trasporti e della tutela dell’ambiente. I gruppi possono avere un sistema unico, e le imprese da 50 a 249 dipendenti possono condividere il sistema e le risorse.
L’organo di amministrazione implementa il sistema, previa consultazione dei rappresentanti legali dei lavoratori, ed è titolare del trattamento dei dati. Il sistema deve consentire segnalazioni scritte o orali, anche anonime, e prevedere un Responsabile del Sistema, una politica, una procedura di gestione e un registro delle segnalazioni. I termini sono stringenti: avviso di ricevimento entro sette giorni di calendario e risposta entro tre mesi, prorogabili di altri tre.
La legge vieta qualsiasi ritorsione, comprese le minacce e i tentativi. Quando il segnalante subisce un pregiudizio, spetta a chi ha adottato la misura dimostrare che si fondava su motivi giustificati estranei alla segnalazione. Non disporre del sistema, violare la riservatezza o adottare ritorsioni sono violazioni molto gravi, con multe fino a un milione di euro per le persone giuridiche.
L’Autorità indipendente per la protezione del segnalante (Autoridad Independiente de Protección del Informante, A.A.I.), il cui Statuto è stato approvato dal Real Decreto 1101/2024, è in funzione dal 1° settembre 2025. Gestisce il canale esterno ed è l’autorità a cui si notifica la nomina del Responsabile del Sistema a livello statale; alcune comunità autonome hanno una propria autorità.
Il canale è anche un tassello del modello di compliance e del piano di prevenzione dei reati, e il punto di ingresso delle indagini interne. Se sei un soggetto obbligato in materia di antiriciclaggio, conviene integrarlo con la procedura dell’articolo 26 bis della Legge 10/2010.
Normativa di riferimento, con link al testo ufficiale:
Normativa e link verificati a .