Come misurare la salute di un canale di segnalazione: i KPI che i responsabili compliance devono monitorare

Un canale di segnalazione sano si misura dal tasso di utilizzo, dal rispetto dei termini di 7 giorni per la conferma e 3 mesi per la risoluzione, dal tasso di risoluzione dei casi e dalle segnalazioni di ritorsione — non dal numero grezzo di segnalazioni ricevute, la metrica più fuorviante che i team compliance presentano solitamente al vertice aziendale.

Punti chiave

• Il solo volume di segnalazioni non significa nulla — un numero basso può indicare sia un ambiente di lavoro affidabile sia un canale di cui nessuno si fida abbastanza da usarlo; serve una seconda metrica per capire quale dei due.
• Il tasso di utilizzo (segnalazioni per 100 dipendenti all'anno), confrontato con il proprio settore, è un indicatore anticipatore molto migliore del semplice conteggio grezzo.
• Il rispetto dei due termini legali — 7 giorni per la conferma, 3 mesi per la risoluzione — è al contempo un requisito di compliance e il miglior predittore del fatto che i dipendenti continuino a usare il canale interno.
• Ai sensi dell'articolo 27, paragrafo 2, della Direttiva (UE) 2019/1937, gli Stati membri devono già riportare alla Commissione Europea statistiche annuali aggregate sulle segnalazioni esterne — la segnalazione interna merita almeno la stessa disciplina.
• Riportate al vertice trimestralmente, non solo annualmente, e separate le metriche rilevanti per il vertice (tendenza, esposizione al rischio) da quelle operative rilevanti per il team compliance (arretrato dei casi, ritardi sulle scadenze).

Perché "numero di segnalazioni ricevute" è una metrica di primo piano fuorviante

È il numero che ogni responsabile compliance mette di default al primo posto in una slide per il vertice, ed è quello che dice meno alla direzione. Un canale che non ha ricevuto segnalazioni nell'ultimo trimestre può significare due cose molto diverse: un ambiente di lavoro genuinamente sano, oppure un canale di cui ci si fida così poco che nessuno si è preso la briga di usarlo. Un numero grezzo, presentato da solo, non può distinguere tra questi due stati — e presentarlo da solo è esattamente il modo in cui i team compliance finiscono per rassicurare accidentalmente il vertice che va tutto bene, mentre il canale sta in realtà fallendo in silenzio.

La soluzione non è smettere di riportare il volume — è non riportarlo mai senza almeno una metrica abbinata che gli dia contesto, più comunemente il tasso di utilizzo rispetto al numero di dipendenti, o una linea di tendenza rispetto ai trimestri precedenti dello stesso canale.

Le metriche che contano davvero

1. Tasso di utilizzo — segnalazioni ricevute ogni 100 dipendenti all'anno. È la metrica che indica davvero la fiducia, perché è normalizzata in base alle dimensioni aziendali ed è comparabile trimestre su trimestre, a differenza di un numero grezzo.
2. Tasso di conferma nei termini — la percentuale di segnalazioni confermate entro i 7 giorni previsti dalla legge. È al contempo un dato rigido di compliance (vedi la nostra panoramica sulla Direttiva UE sul whistleblowing per i termini sottostanti) e un indicatore anticipatore: un tasso di conferma che peggiora oggi predice un tasso di risoluzione che peggiorerà tra tre mesi.
3. Tasso di risoluzione nei termini — la percentuale di casi risolti e con riscontro dato al segnalante entro il termine di 3 mesi dalla conferma. È il numero che un regolatore o un revisore chiederà per primo se un reclamo viene mai portato all'esterno.
4. Ripartizione della risoluzione dei casi per categoria e gravità — quale frazione delle segnalazioni è fondata, infondata o ancora aperta, suddivisa per categoria (es. molestie, irregolarità finanziarie, sicurezza). Un unico tasso di risoluzione aggregato nasconde se una categoria è sistematicamente più lenta o rimane irrisolta più spesso delle altre.
5. Segnalazioni di ritorsione e relativi esiti — anche un numero piccolo qui merita visibilità a livello di vertice, perché le ritorsioni contro i segnalanti sono esattamente il tipo di fallimento che la Direttiva vuole prevenire, ed è il modo più rapido con cui un canale perde la fiducia dei dipendenti per anni, non mesi.

Come appare "sano" rispetto a un segnale d'allarme

Non esiste un unico benchmark esterno valido per ogni azienda — settore, numero di dipendenti e da quanto tempo il canale è attivo contano tutti — ma alcuni schemi separano in modo affidabile un programma sano da uno che si sta avviando verso problemi:

• Un tasso di utilizzo vicino allo zero per più di due trimestri consecutivi dopo il lancio, specialmente accanto a punteggi elevati nei sondaggi ai dipendenti su "so come segnalare", indica di solito un problema di fiducia più che una reale assenza di problemi.
• Un tasso di conferma inferiore a circa il 90% è un forte segnale d'allarme — significa che è il processo operativo, non la volontà dei dipendenti, il collo di bottiglia, e questo si rifletterà nei numeri del tasso di risoluzione del trimestre successivo.
• Un tasso di risoluzione che continua a peggiorare per trimestri consecutivi senza un corrispondente aumento del volume di segnalazioni di solito segnala una carenza di risorse nel team investigativo, non un cambiamento nella complessità delle segnalazioni.
• Qualsiasi segnalazione di ritorsione, indipendentemente dal numero, giustifica una voce dedicata al vertice — non nascondetela mai all'interno di un numero aggregato di "casi chiusi".

Con quale frequenza — e a chi — riportare

I team compliance ricorrono spesso per default a un riepilogo annuale, perché è quanto richiesto esternamente dai regolatori; internamente, questa cadenza è troppo lenta per individuare una scadenza che slitta prima che diventi uno schema consolidato. Una suddivisione pratica:

• Trimestralmente al vertice o al comitato di audit — le quattro o cinque metriche principali sopra indicate, con andamento negli ultimi quattro trimestri, evidenziando le segnalazioni di ritorsione come voce autonoma indipendentemente dal volume.
• Mensilmente al team compliance/operations — dettaglio a livello di caso: quali segnalazioni si avvicinano alla scadenza dei 3 mesi, quali sono già in ritardo, e la distribuzione del carico di lavoro tra gli investigatori.

Suddividere la cadenza in questo modo mantiene il vertice concentrato su tendenza ed esposizione al rischio, dando al contempo al team operativo il livello di dettaglio necessario per correggere davvero una scadenza che slitta prima che compaia nei numeri del vertice del trimestre successivo. Completa anche il lavoro culturale descritto nel nostro articolo su come costruire una cultura dello speak-up — la fiducia è ciò che fa salire il tasso di utilizzo, e il tasso di utilizzo è la prima metrica che il vertice chiederà.

Come Vaelo vi aiuta a riportare la salute del canale senza costruire un foglio di calcolo

La maggior parte dei team finisce per costruire questo reporting a mano in un foglio di calcolo, riestraendo i dati dei casi ogni trimestre e ricalcolando a mano il rispetto delle scadenze — esattamente il tipo di lavoro manuale che smette silenziosamente di essere fatto non appena la persona che lo ha costruito cambia ruolo. La dashboard di gestione dei casi di Vaelo tiene traccia automaticamente di ognuna delle metriche sopra indicate man mano che arrivano le segnalazioni — tasso di utilizzo, conferma e risoluzione nei termini di 7 giorni/3 mesi, ripartizione per categoria e segnalazioni di ritorsione — con un report esportabile pronto per il vertice che potete generare in pochi minuti invece di ricostruirlo da zero ogni trimestre.

Domande frequenti

Qual è la metrica più importante di un canale di segnalazione? Il tasso di conferma di ricezione entro il termine legale di 7 giorni, perché è al contempo un requisito di compliance rigido e il segnale d'allarme più precoce di un cedimento del processo, prima che si manifesti nel tasso di risoluzione tre mesi dopo.

Un basso numero di segnalazioni è un segnale positivo o negativo? Dipende interamente dal tasso di utilizzo e dai dati sulla fiducia dei dipendenti — un numero di segnalazioni prossimo allo zero può significare un ambiente di lavoro genuinamente sano oppure un canale di cui nessuno si fida abbastanza da usarlo, e non si può distinguere solo dal dato grezzo.

Con quale frequenza dovremmo riportare le metriche di segnalazione al vertice? Trimestralmente è il minimo pratico per il reporting al consiglio o al comitato di audit; una cadenza solo annuale è troppo lenta per individuare una scadenza che slitta prima che diventi uno schema consolidato.

I regolatori richiedono di monitorare queste metriche? Ai sensi dell'articolo 27, paragrafo 2, della Direttiva (UE) 2019/1937, gli Stati membri devono riportare alla Commissione Europea statistiche annuali aggregate sulle segnalazioni esterne — sebbene questo obbligo riguardi le autorità competenti e non le singole aziende, la maggior parte dei recepimenti nazionali si aspetta che le organizzazioni possano dimostrare, se sottoposte ad audit, che il loro canale interno funziona.

Cosa conta come segnalazione di ritorsione, e come dovremmo monitorarla? Qualsiasi segnalazione che affermi un trattamento sfavorevole collegato a una precedente segnalazione — retrocessione, esclusione, allontanamento informale da progetti e simili — dovrebbe essere registrata e riportata come voce autonoma al vertice, indipendentemente dal numero, perché la ritorsione è esattamente il tipo di fallimento che la Direttiva mira a prevenire.