Tutte le società private e pubbliche con più di 50 dipendenti sono obbligate ad attuare il Whistleblower Protection Act, attuazione nazionale della Direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio del 23 ottobre 2019 sulla protezione delle persone che segnalano violazioni del diritto dell'Unione. Potete scaricare le FAQ complete e il White Paper riguardanti la Direttiva UE in questa pagina. Ci sono scadenze diverse per le leggi nazionali. Potete trovare le scadenze rispettive nel PDF scaricabile del rispettivo Paese. Inoltre, qui sono riportati i settori specifici del Paese esentati dal numero minimo di dipendenti (si prega di scaricare le FAQ complete).

Tutte le aziende obbligate devono istituire un ufficio di segnalazione interna che consenta ai dipendenti di segnalare (possibili) violazioni. Inoltre, l'azienda è obbligata a processare le segnalazioni, condurre indagini interne e adottare misure correttive per eliminare le cause delle violazioni.

L'ufficio di segnalazione interna può essere esternalizzato parzialmente o totalmente. Inoltre, le segnalazioni devono essere trattate tempestivamente. Entro 7 giorni, al whistleblower deve essere comunicato l'avvenuta ricezione della segnalazione. Entro tre mesi, deve essere inviata al whistleblower una relazione sullo stato di avanzamento dell'indagine interna.

Se qualcuno tenta di impedire una segnalazione o di imporre sanzioni ingiustificate, o se qualcuno viola intenzionalmente o negligentemente il dovere di riservatezza, ciò può essere sanzionato con multe. L'importo delle multe specifiche per paese è reperibile nei rispettivi PDF scaricabili.

L'ufficio di reporting interno dovrebbe essere composto da un numero limitato di persone con il background appropriato per chiarire le segnalazioni di violazioni della legge.

Le aziende con un massimo di 249 dipendenti possono istituire e gestire un ufficio di reporting congiunto. Tuttavia, il rispetto della legge, l'obbligo di chiarimento e l'adozione di misure correttive rimangono a carico della direzione della rispettiva azienda.

In pratica, è ipotizzabile un ufficio di reporting congiunto tra società consorelle. Le responsabilità dovranno essere concordate contrattualmente e controllate dal management.

La Smart Integrity Platform è una piattaforma modulare di gestione della conformità e del rischio per la conformità legale. Il modulo Whistleblowing soddisfa i requisiti legali della Direttiva Europea 201.

L'azienda nomina analisti, che siano dipendenti o esterni indipendenti che abbiano completato la formazione Smart Integrity Platform Analyst, per ricevere ed elaborare la segnalazione.

La piattaforma consente la segnalazione anonima. Tuttavia, questa opzione non è obbligatoria e può essere attivata in un secondo momento. Inoltre, i metadati degli allegati dei file vengono rimossi. L'utente crea un account per un'ulteriore comunicazione anonima con l'assistente sociale. La censura degli allegati dei file deve essere eseguita in anticipo.

Un sistema di segnalazione anonima ospitato esternamente dovrebbe soddisfare i seguenti criteri:

– Sito facile da usare e accessibile per gli utenti.

– Restrizione di accesso per diversi ruoli utente

– Presentazione di relazioni scritte e orali (registrazione di file audio)

– Rimozione dei metadati degli allegati per l'opzione di segnalazione anonima

– MFA per utenti con diritti amministrativi

– Hosting nell'UE in un data centre certificato ISO 27001

– Crittografia delle comunicazioni relative ai casi, TLS 1.2 o 1.3

– Crittografia (asimmetrica) dei messaggi (database) e degli allegati (contenitori)

– Fornitore di software certificato ISO 27001

– routine di eliminazione per dati obsoleti

– Principio dei “quattro occhi” e documentazione relativa alla cancellazione dei dati sensibili

– Gestione delle notifiche e delle scadenze

– Facoltativo: gestione dei rischi e delle attività per la documentazione delle misure investigative e delle azioni correttive

– Registrazione a prova di revisione di accessi e modifiche nel sistema.