Piattaforme di segnalazione per aziende svizzere

Partiamo dal fatto che qui plasma ogni decisione svizzera: la Svizzera non ha una legge generale di protezione di chi segnala. La revisione del Codice delle obbligazioni che ne avrebbe creata una è fallita definitivamente nel marzo 2020, dopo circa diciassette anni di lavori — ed è fallita da entrambi i lati, con l’Unione sindacale svizzera fra chi ne ha salutato la sconfitta. Al suo posto esiste una giurisprudenza tratta dall’obbligo di fedeltà dell’art. 321a CO, che fissa una cascata: segnalare prima all’interno, poi all’autorità competente e solo dopo, a condizioni strette, pubblicamente.

Le aziende svizzere comprano quindi sistemi di segnalazione per tre motivi, nessuno dei quali è un obbligo di legge svizzero: un’entità UE le fa rientrare nella direttiva (UE) 2019/1937, una casa madre o un cliente ne esige uno, oppure la direzione ha concluso che venire a sapere dei problemi internamente costa meno che leggerli altrove. Questa pagina confronta i tre modi di costruire quel canale — una piattaforma dedicata di gestione dei casi, un ufficio di segnalazione esterno e un modulo di raccolta cifrata — e dice esplicitamente quali parti del lavoro non copriamo.

Che cosa deve fare davvero il canale

Se la direttiva (UE) 2019/1937 vi riguarda — tramite un’entità UE con almeno 50 lavoratori, o nel settore finanziario a prescindere dall’organico — il canale ha requisiti duri, e sono proprio quelli a separare un modulo da un sistema:

1. Confermare il ricevimento entro sette giorni. Il che presuppone un modo per raggiungere una persona che potrebbe non avervi lasciato alcun recapito.
2. Dare un riscontro entro tre mesi. Stesso problema su un intervallo più lungo, ed è il requisito che più spesso impone uno strumento dedicato.
3. Mantenere riservata l’identità di chi segnala, anche verso le persone coinvolte — una questione di controllo degli accessi dentro la vostra organizzazione.
4. Accettare segnalazioni nelle lingue che il personale parla davvero. Per un datore di lavoro svizzero significa di regola almeno IT, DE, FR e EN.
5. Tenere un registro delle segnalazioni e di ciò che ne è seguito, con conservazione definita e non indeterminata.

Due dettagli strutturali vanno tenuti presenti. Le entità con 50–249 lavoratori possono condividere risorse d’indagine, ma ogni entità locale mantiene il proprio canale di raccolta. E i termini appena visti spiegano perché il dialogo anonimo bidirezionale sia la capacità più importante di questa categoria: una segnalazione che non si può chiarire spesso non si può indagare, e chi non è raggiungibile non può ricevere un riscontro. Gli obblighi completi sono in la direttiva UE sul whistleblowing; la situazione giuridica svizzera in whistleblowing in Svizzera.

I tre modi di costruire il canale

1. Una piattaforma dedicata di gestione dei casi

EQS Integrity Line è il prodotto di riferimento di questo mercato e si presenta come il software di whistleblowing più usato in Europa e in Svizzera. Supporta segnalazioni in oltre 60 lingue, offre segnalazione anonima con seguito, flussi d’indagine a più stadi con instradamento automatico e hosting in Europa; EQS cita ISO 27001 e SOC 2 fra le proprie certificazioni. Directory di recensioni terze collocano l’ingresso dei suoi modelli di abbonamento attorno ai 100 EUR al mese, cifra del tutto ragionevole per una media impresa vista la prestazione. Altri fornitori — fra cui Whistleblower Software e altri operatori europei — occupano la stessa forma a prezzi diversi.

Quello che comprate è la metà « gestione dei casi »: monitoraggio dei termini contro gli orologi dei sette giorni e dei tre mesi, una casella anonima a cui chi segnala può tornare, accesso di chi indaga separato per ruolo, decisioni documentate e reportistica verso il comitato di audit. Se il motore è la conformità alla direttiva, questa è la categoria da mettere in rosa, e lo diciamo senza riserve.

2. Un ufficio di segnalazione esterno — studio legale, servizio di ombudsman o società di revisione

La direttiva consente espressamente che un terzo gestisca il canale, e in Svizzera questa via è diffusa e spesso sottovalutata. Un avvocato esterno o un servizio di ombudsman riceve le segnalazioni, le smista e consegna all’organizzazione un caso invece di un’accusa grezza. Il vantaggio è l’indipendenza: per un’azienda svizzera di 200 persone in cui tutti si conoscono, un punto di ingresso esterno è spesso l’unico assetto a cui i collaboratori credono. Lo svantaggio è il costo per caso e il fatto che ora gestite anche un rapporto coperto da segreto professionale.

3. Un modulo di raccolta cifrata

La terza via è una piattaforma di moduli cifrata generale usata come strato di raccolta, con la gestione dei casi svolta dalle persone responsabili con i loro strumenti attuali. È di gran lunga la via più economica e la più forte su una proprietà precisa: nessuno al di fuori dei destinatari designati — gestore della piattaforma incluso — può leggere una segnalazione. È anche la via a cui manca più visibilmente la gestione dei casi, e su questo qui sotto siamo precisi invece di sorvolare.

Faccia a faccia

Leggete insieme le prime tre righe. Sono la ragione onesta per cui esiste una piattaforma dedicata, e nessuna quantità di cifratura le sostituisce.

Dove non siamo noi la risposta — detto chiaramente

Schweizerform è uno strato di raccolta cifrata, non un sistema di gestione dei casi di whistleblowing. In concreto: non offriamo una casella anonima a cui chi segnala possa tornare, non monitoriamo né la conferma entro sette giorni né il riscontro entro tre mesi, e non abbiamo flussi d’indagine, stati del caso o pacchetti di reportistica per il vostro comitato di audit. Se la direttiva (UE) 2019/1937 si applica alla vostra entità e non avete altro modo di soddisfare quegli obblighi, l’acquisto giusto è una piattaforma dedicata o un ufficio esterno, e va fatto.

Esiste un espediente onesto, che non è un sostituto completo: una segnalazione inviata tramite noi può includere un recapito scelto da chi segnala — un indirizzo e-mail usa e getta, un account pseudonimo — che vi consente di confermare e dare riscontro senza avere in mano l’identità. È una prassi, non una funzione, e dipende dalla prudenza operativa di chi segnala. Scrivetelo nel modulo invece di lasciar intendere una capacità di dialogo che non abbiamo.

Dove un modulo cifrato è davvero più forte

Una proprietà, ed è quella che ai dipendenti svizzeri interessa davvero. Su una piattaforma convenzionale — suite dedicate di whistleblowing incluse — chi gestisce i casi apre segnalazioni leggibili, quindi il sistema detiene segnalazioni leggibili, quindi il gestore può tecnicamente raggiungerle e può essere costretto a produrle. Non è una critica: una suite di gestione dei casi deve poter mostrare il caso a chi lo tratta, quindi non può essere a conoscenza zero come può esserlo un modulo di raccolta. La domanda da porre a qualunque fornitore della categoria è precisa: « Il vostro personale, o chiunque detenga la vostra infrastruttura, può tecnicamente leggere una segnalazione inviata — e in tal caso sotto quali controlli? »

Con una raccolta cifrata end-to-end la risposta è architetturale e non procedurale: le segnalazioni sono cifrate nel browser di chi segnala, il server detiene testo cifrato, e possono decifrare solo i detentori della chiave della cassaforte — una responsabile compliance designata, un comitato del consiglio, un legale esterno, chiunque indichi la vostra policy. Nessuno presso la piattaforma può farlo, nemmeno con un ordine giudiziario indirizzato a noi, perché non c’è nulla di leggibile da produrre. Il meccanismo è in architettura a conoscenza zero spiegata, e la questione della coercizione in provvedimenti, mandati e i dati dei vostri moduli.

Due proprietà di supporto contano qui più che in ogni altro caso d’uso. Nessun tracciatore sulla pagina di segnalazione: chi arriva da un dispositivo di lavoro non dovrebbe incontrare né banner di consenso né script di terzi, e le nostre pagine pubbliche non ne caricano. E nessun indirizzo IP conservato con l’invio — cosa che, insieme ai metadati che deliberatamente non teniamo, è esposta in indirizzi IP e metadati dei moduli. Una marca temporale più un IP d’ufficio ha posto fine a più promesse di anonimato di qualunque fallimento crittografico.

Il livello di protezione dei dati che tutti dimenticano

In Svizzera il diritto della protezione dei dati è la parte del whistleblowing davvero azionabile, e vale per tutte e tre le vie. Le segnalazioni riguardano procedimenti e sanzioni, il che le rende dati personali degni di particolare protezione ai sensi dell’art. 5 lett. c nLPD. Un sistema di segnalazione è il caso da manuale di una valutazione d’impatto ai sensi dell’art. 22. E il punto scomodo: la persona accusata ha un diritto d’accesso ai sensi dell’art. 25 — limitabile in base all’art. 26 per proteggere chi segnala, posizione assunta da autorità cantonali, ma solo come decisione documentata caso per caso, mai come clausola generale nella vostra policy.

Conseguenze pratiche per l’acquisto: il registro dei trattamenti deve nominare la piattaforma e i suoi subresponsabili, la regola di conservazione deve coprire i casi chiusi oltre a quelli aperti, e la valutazione d’impatto andrebbe scritta prima del lancio del canale e non dopo la prima segnalazione. La nostra spiegazione sui contratti di trattamento è in serve un contratto di trattamento per il vostro strumento, e il quadro sulla conservazione in la conservazione dei dati dei moduli.

Il controesempio del settore pubblico

Gli impiegati federali sono l’unico gruppo svizzero con un quadro di legge, e conviene conoscerlo perché fissa l’aspettativa con cui gli altri si confrontano. L’art. 22a della legge sul personale federale obbliga gli impiegati federali a denunciare i crimini e i delitti perseguibili d’ufficio, dà loro il diritto di segnalare altre irregolarità al Controllo federale delle finanze — in forma anonima, tramite la sua piattaforma — e li protegge al cpv. 5 da svantaggi professionali per una segnalazione fatta in buona fede. Vale solo per il diritto del personale federale: il diritto cantonale del personale varia, e per gli impiegati cantonali o comunali non esiste una risposta nazionale. Un organo cantonale che costruisce un canale progetta sotto il diritto cantonale sulla protezione dei dati, ed è per questo che lì la questione dell’hosting si decide spesso diversamente.

Quale via per quale azienda

Comprate una piattaforma dedicata quando

• la direttiva (UE) 2019/1937 si applica tramite un’entità UE, o una casa madre impone un sistema comune
• vi servono monitoraggio dei termini, stati del caso e reportistica al comitato di audit come prodotto e non come foglio di calcolo
• le segnalazioni arrivano in molte lingue e da molti Paesi
• la compliance ha budget e mandato, e il programma deve sembrare un programma

Usate un ufficio esterno quando

• l’azienda è abbastanza piccola perché l’indipendenza interna non risulti credibile al personale
• volete che smistamento e indagine siano svolti da chi lo fa di mestiere
• la materia probabile è giuridicamente delicata dalla prima frase

Usate un modulo cifrato quando

• non si applica alcun obbligo della direttiva e costruite il canale perché è la cosa giusta
• il requisito decisivo è che nessun gestore di piattaforma possa leggere una segnalazione
• vi serve lo stesso canale in IT, DE, FR e EN senza un progetto d’acquisto
• l’organizzazione è piccola, i destinatari sono pochi e nominati, e la gestione può essere svolta direttamente da loro
• state affiancando a un programma esistente una via massimamente riservata per le segnalazioni più difficili

La combinazione che la maggior parte delle aziende svizzere dovrebbe considerare

Per un’azienda svizzera nel campo d’applicazione della direttiva: una piattaforma dedicata per il programma e una raccolta cifrata come via alternativa dichiarata per le segnalazioni in cui il timore riguarda proprio i sistemi. Per un’azienda svizzera fuori dal campo d’applicazione — cioè la maggioranza — partite dal modulo cifrato e da un legale esterno raggiungibile, perché un canale che esiste e in cui si ha fiducia batte un progetto d’acquisto ancora in perimetrazione. Qualunque cosa scegliate, pubblicate chi legge le segnalazioni, in che termini e che cosa succede dopo; la tecnologia conta meno del fatto che quella frase sia vera.