Registro delle segnalazioni: ISO 37301 e Ley 2/2023 spagnola

Che cosa richiede la norma

---

Che cosa impone la norma ISO 37301 e che cosa lascia alla sua discrezione

La ISO 37301 chiede un processo che incoraggi e consenta di segnalare tentativi, sospetti o violazioni effettive della politica o degli obblighi, con riservatezza, possibilità di anonimato e protezione dalle ritorsioni. La norma da sola non richiede un libro-registro, ma richiede registrazioni accurate e aggiornate delle attività di compliance (9.1.5).

In Spagna, la Ley 2/2023 lo rende obbligatorio per le aziende private con cinquanta o più lavoratori e per tutto il settore pubblico: bisogna tenere un libro-registro delle informazioni ricevute e delle indagini, che non è pubblico e i cui dati non possono essere conservati per più di dieci anni.

I termini di legge definiscono i campi: avviso di ricevimento entro sette giorni di calendario e riscontro entro un massimo di tre mesi, prorogabili di altri tre nei casi complessi. Se entro tre mesi non è stata avviata un’indagine, i dati personali si cancellano, salvo quanto serve a lasciare evidenza del funzionamento del sistema.

Struttura

---

Campi che il modello deve contenere

• Codice della segnalazione e data di ricevimento
• Canale di ingresso e se è anonima
• Materia e ambito: penale, amministrativo, lavoristico, codice etico
• Data dell’avviso di ricevimento (limite: 7 giorni di calendario)
• Ammissione o inammissibilità, con il motivo
• Indagine aperta, istruttore e riferimento del fascicolo
• Data del riscontro al segnalante (limite: 3 mesi, prorogabili)
• Conclusione e misure adottate
• Data di chiusura e di cancellazione dei dati

In audit

---

Errori che gli auditor rilevano più spesso

• Avvisi di ricevimento fuori termine o senza una data che lo dimostri.
• Segnalazioni anonime scartate solo perché anonime.
• Libro-registro accessibile senza restrizioni alle risorse umane o alla direzione.
• Dati conservati senza limiti oppure, al contrario, cancellati senza lasciare evidenza del funzionamento del canale.

In Kimobox

---

Come si gestisce questa registrazione in Kimobox

1. 1Solo il Responsabile del Sistema e le persone da lui autorizzate accedono alle segnalazioni e al loro contenuto.
2. 2Il sistema avvisa prima che scadano i sette giorni per l’avviso di ricevimento e i tre mesi per il riscontro.
3. 3Le informazioni ricevute e le indagini che aprono restano registrate per il libro-registro, con ogni fascicolo tracciato fino alla chiusura.

Domande frequenti

---

Cosa ci chiedono prima di iniziare