Perché Sagl e SA devono prendere sul serio il whistleblowing
La gestione delle segnalazioni interne di irregolarità — dal furto di cassa alla manipolazione contabile, dalle molestie sul posto di lavoro alle violazioni della protezione dei dati — è diventata una priorità di compliance per le società di capitali in Svizzera. Sagl e SA con attività transfrontaliera, filiali nell'UE (soglia dei 50 collaboratori per Stato membro), esposizione in settori regolamentati o clienti che impongono standard di governance trovano sempre più spesso di dover dotare l'organizzazione di un canale interno strutturato, anche in assenza di una legge federale generalizzata sul modello della direttiva UE 2019/1937.
Il diritto del lavoro svizzero non impone oggi a tutte le PMI un sistema di whistleblowing formalizzato: la proposta del Consiglio federale del 2018 è stata respinta definitivamente dal Consiglio nazionale il 5 marzo 2020 (dopo un primo diniego nel giugno 2019); un ulteriore tentativo parlamentare è fallito nel febbraio 2024. Tuttavia, la giurisprudenza del Tribunale federale, gli obblighi di vigilanza in settori regolamentati, la nuova Legge federale sulla protezione dei dati (LPD) e le aspettative di clienti, banche e partner internazionali rendono il canale interno, nella pratica, un requisito di conformità per molte Sagl e SA — non un optional di comunicazione interna.
Questa guida spiega quando l'obbligo sorge davvero, quali requisiti minimi rispettare, quanto costa l'implementazione e come integrare il processo nella gestione amministrativa e contabile dell'azienda, con riferimenti aggiornati al 2026.
Quadro normativo svizzero: obbligo diretto e obbligo de facto
Comprendere la distinzione tra assenza di legge ad hoc e necessità operativa di un canale è il primo passo per evitare sanzioni, crisi reputazionali e contenziosi con i collaboratori:
Base giuridica federale attuale
- Art. 321a CO — dovere di lealtà e riservatezza del dipendente; la segnalazione interna è la prima tappa del sistema a cascata riconosciuto dalla giurisprudenza.
- Art. 716a e 717 CO (SA) / Art. 812 CO (Sagl) — responsabilità degli organi per un'organizzazione adeguata, controllo interno e gestione dei rischi.
- LPD (rev. 2023) — trattamento lecito dei dati personali di segnalanti, segnalati e testimoni.
- Art. 336 CO — tutela contro licenziamenti abusivi; la mera segnalazione lecita non giustifica di per sé la risoluzione del rapporto.
Quando sorge un obbligo concreto
- Filiali o attività nell'UE — entità del gruppo con almeno 50 dipendenti in uno Stato membro devono rispettare le norme nazionali che recepiscono la direttiva UE (canale scritto/orale, riservatezza, tempi di risposta).
- Settore finanziario (FINMA) — istituti vigilati devono disporre di procedure interne per le segnalazioni di irregolarità; secondo la giurisprudenza e le indicazioni FINMA, segnalare direttamente all'autorità senza aver prima tentato una segnalazione interna (salvo che risulti manifestamente inefficace o pericolosa) può esporre il segnalante a rischi penali per violazione del segreto professionale o aziendale.
- Catena contrattuale — grandi committenti, gruppi internazionali e appalti pubblici impongono spesso clausole di compliance con canale dedicato.
- Codice di buona pratica Economiesuisse — raccomanda sistemi di segnalazione interni come elemento di corporate governance.
Il sistema a cascata: perché il canale interno è la premessa legale
Secondo la giurisprudenza consolidata del Tribunale federale, un collaboratore che divulga irregolarità esternamente senza aver prima tentato una segnalazione interna può violare il dovere di lealtà (art. 321a cpv. 1 CO) e l'obbligo di riservatezza (cpv. 4). Il percorso lecito segue tre gradini:
| Grado | Destinatario | Condizione | Rischio se assente |
|---|---|---|---|
| 1° — Interno | Datore di lavoro / canale dedicato | Segnalazione in buona fede di irregolarità rilevante | Il dipendente non ha un percorso lecito documentato |
| 2° — Autorità | Autorità competente (FINMA, cantonale, penale) | Tentativo interno fallito o manifestamente inefficace; interesse pubblico | Segnalazione esterna prematura = possibile illecito |
| 3° — Pubblico | Media, opinione pubblica | Autorità inerte; ultima ratio; interesse pubblico preponderante | Responsabilità civile e penale del segnalante |
Per Sagl e SA questo significa che, anche senza legge whistleblowing dedicata, l'assenza di un canale interno accessibile e credibile indebolisce la posizione dell'azienda in caso di fuga di notizie verso l'esterno e rende più difficile contestare la legittimità di una divulgazione pubblica da parte del collaboratore.
Requisiti minimi di conformità per il canale interno
Un indirizzo e-mail generico non basta. Un sistema conforme alle best practice svizzere ed europee deve garantire:
Accessibilità e modalità di segnalazione
Canale scritto (modulo online cifrato, casella dedicata) e, come best practice, possibilità di segnalazione orale (hotline, appuntamento). Per le filiali UE, la normativa nazionale applicabile impone in genere entrambe le modalità e, in molti Stati, l'accettazione di segnalazioni anonime.
Riservatezza e need-to-know
Identità del segnalante, contenuto della segnalazione e dati delle persone coinvolte trattati solo da persone autorizzate. Separazione tra chi riceve la segnalazione e la linea gerarchica interessata, per evitare conflitti di interesse.
Procedura documentata
Regolamento interno approvato dal CdA (SA) o dai gerenti (Sagl) che definisce: ambito materiale (frode, corruzione, discriminazione, sicurezza, violazioni contabili), tempi di presa in carico, modalità di indagine, comunicazione al segnalante e archiviazione. Per standard UE: conferma di ricezione entro 7 giorni e riscontro entro 3 mesi.
Protezione da ritorsioni
Divieto esplicito di mobbing, demotion o licenziamento motivato dalla segnalazione lecita. In Svizzera la tutela passa soprattutto per l'art. 336 CO (licenziamento abusivo, indennità fino a 6 mensilità) e per la documentazione interna che dimostri trattamento equo.
Conformità LPD
Informativa privacy, base giuridica del trattamento (in genere interesse legittimo preponderante ai sensi dell'art. 31 LPD), misure tecniche e organizzative, limitazione della conservazione (in genere 5–10 anni salvo procedimenti pendenti), gestione dei diritti di accesso del segnalato. Violazioni possono comportare sanzioni penali fino a CHF 250'000 sulle persone fisiche responsabili (art. 60 ss. LPD).
Sagl vs SA: differenze di governance nella gestione delle segnalazioni
La forma societaria non esenta dall'obbligo de facto di dotarsi di un canale, ma incide su chi decide, approva e controlla il processo:
| Aspetto | Sagl (GmbH) | SA (AG) |
|---|---|---|
| Organo responsabile | Gerenza (art. 812 CO); soci rilevanti in PMI familiari | Consiglio di amministrazione (art. 716a CO); delega alla gerenza operativa |
| Approvazione regolamento | Gerenza; approvazione dell'assemblea dei soci solo se prevista dallo statuto | CdA; assemblea per modifiche statutarie rilevanti |
| Gestore del canale | Compliance officer interno, consulente esterno o fiduciario | Segretario generale, responsabile compliance o ombudsman esterno |
| Conflitto di interessi | Critico se il gerente è coinvolto; ricorso a fiduciario esterno frequente | Comitato di audit o membro indipendente del CdA spesso designato |
| Reporting al vertice | Relazione periodica ai gerenti e, se previsto, ai soci | Report aggregato (senza dati nominativi non necessari) al CdA |
| Revisione | Revisore può valutare adeguatezza del sistema di controllo interno | Comitato di revisione (se presente) vigila sull'efficacia del canale |
Costi di implementazione: budget realistico per le PMI
I costi variano in funzione della complessità organizzativa, del numero di lingue e dell'obbligo di conformità UE. Ordine di grandezza per società con 50–250 dipendenti in Svizzera:
Soluzione base
CHF 1'000–5'000
Primo anno, PMI < 50 FTE, solo Svizzera
- • Regolamento interno (modello + revisione legale)
- • Casella e-mail dedicata o modulo web semplice
- • Formazione breve management
- • Costi ricorrenti: CHF 500–2'000/anno
Soluzione standard
CHF 5'000–15'000
50–250 FTE, possibile esposizione UE
- • Piattaforma SaaS (Navex, EQS, Integrity Line, ecc.)
- • Hotline multilingue 24/7
- • Consulenza privacy e adeguamento LPD
- • Costi ricorrenti: CHF 3'000–8'000/anno
Soluzione avanzata
CHF 15'000–40'000
Gruppi, settore finanziario, multi-sede
- • Ombudsman esterno indipendente
- • Integrazione HR, audit e ticketing
- • Due diligence e policy group-wide
- • Costi ricorrenti: CHF 10'000–30'000/anno
A titolo di confronto, secondo studi internazionali sul whistleblowing, il danno finanziario medio delle irregolarità non intercettate può superare regolarmente CHF 100'000 per episodio nelle imprese colpite. Il canale interno non è quindi un costo amministrativo puramente difensivo, ma un investimento in controllo interno con ritorno misurabile.
Contabilizzazione e tracciamento in Accountex
L'implementazione del canale genera costi e, potenzialmente, accantonamenti che conviene registrare correttamente sin dall'avvio del progetto:
Costi di setup (CAPEX vs OPEX)
Consulenza legale, configurazione piattaforma e formazione iniziale: in genere oneri di esercizio (conto 6200–6600, a seconda del piano dei conti). Licenze SaaS annuali: costo ricorrente ripartibile su 12 mesi o registrato alla fattura.
Centro di costo dedicato
Creare un centro di costo «Compliance / Governance» per monitorare spese whistleblowing, audit di follow-up e ore interne del responsabile compliance. Utile per il reporting al CdA e per giustificare il budget di rinnovo.
Accantonamenti per danni e procedimenti
Se una segnalazione interna evidenzia un danno patrimoniale probabile (furto, corruzione, mancata IVA), valutare un accantonamento secondo Swiss GAAP FER o norme IFRS applicabili. Documentare la decisione con verbale del CdA o dei gerenti e allegare il fascicolo di indagine.
Documentazione per revisore e audit
Conservare fatture, contratti con il provider, regolamento interno, report statistici aggregati (numero segnalazioni per categoria, tempi di chiusura) e prove di formazione del personale. Il revisore — anche in regime di opting-out — può chiedere evidenze sul sistema di controllo interno.
Piano di implementazione in 6 fasi
Fase 1 — Analisi di applicabilità (1–2 settimane)
Mappare dipendenti per paese, contratti con clausole whistleblowing, settori regolamentati e filiali UE. Determinare se applicare standard svizzeri minimi o requisiti UE completi.
Fase 2 — Design del processo (2–4 settimane)
Redigere regolamento, definire ruoli (ricevente, investigatore, decisore), regole su conflitti di interesse e flusso di escalation verso organi e revisore.
Fase 3 — Scelta della piattaforma (1–2 settimane)
Confrontare fornitori su hosting (Svizzera/UE), cifratura, anonimato, lingue, integrazione IT e costi. Verificare il contratto di trattamento dati (DPA) ai sensi della LPD.
Fase 4 — Approvazione e comunicazione (1 settimana)
Approvazione formale del CdA o dei gerenti. Comunicazione a tutti i collaboratori (intranet, onboarding, locandine), con riferimento esplicito al regolamento e alla non-retaliation.
Fase 5 — Formazione e test (1 settimana)
Formare chi gestisce le segnalazioni su riservatezza LPD, diritto del lavoro e tecniche di indagine. Eseguire un test end-to-end del canale.
Fase 6 — Monitoraggio continuo (annuale)
Report annuale al vertice, revisione del regolamento, aggiornamento formazione e verifica conformità LPD. Adeguare il sistema a eventuali nuove norme federali o cantonali.
Checklist di conformità rapida
- ✓Canale interno accessibile (almeno per iscritto; anche orale se richiesto dalla normativa applicabile o come best practice) comunicato a tutti i dipendenti
- ✓Regolamento approvato dal CdA o dalla gerenza, con ambito e procedura chiara
- ✓Responsabile designato indipendente dalla linea gerarchica coinvolta
- ✓Informativa privacy LPD e contratto DPA con eventuale fornitore esterno
- ✓Politica anti-ritorsione documentata e allineata al regolamento del personale
- ✓Tempi di presa in carico e riscontro definiti (idealmente allineati agli standard UE se applicabili)
- ✓Archiviazione sicura con termini di conservazione e accesso limitato
- ✓Costi registrati in contabilità e budget di rinnovo pianificato
- ✓Verifica annuale dell'efficacia e aggiornamento in caso di modifiche organizzative
Prospettive legislative e raccomandazione operativa
Il Parlamento federale ha finora respinto un'iniziativa legislativa unitaria sul whistleblowing — l'ultima mozione in materia è stata bocciata dal Consiglio nazionale nel febbraio 2024 —, ma la pressione internazionale (OCDE, partner commerciali UE) e l'evoluzione della prassi aziendale spingono verso una regolamentazione più chiara. Nel frattempo, le Sagl e SA che operano oltre confine o in settori regolamentati non possono attendere: l'obbligo di conformità è già operativo per molte di esse.
La raccomandazione per le PMI elvetiche è di implementare un canale interno proporzionato alla dimensione e al profilo di rischio, documentarlo formalmente e integrarlo nel sistema di controllo interno. Chi partecipa a gare pubbliche, lavora con gruppi quotati o supera la soglia dei 50 dipendenti in filiali europee beneficia di un vantaggio immediato: riduzione del rischio legale, intercettazione precoce delle frodi e segnale credibile di buona governance verso banche, investitori e revisori.
Nota: questo articolo ha finalità informative e non sostituisce una consulenza legale o fiscale personalizzata. Le disposizioni cantonali e i recepimenti nazionali della direttiva UE nei singoli Stati membri possono variare; verificare sempre la situazione specifica con un consulente qualificato.