Whistleblowing: guida operativa – FONDAZIONE STUDI CDL – Approfondimento del 7 dicembre 2023

Whistleblowing: guida operativa

Il decreto legislativo 10 marzo 2023, n. 24 ha recepito in Italia la Direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione.

La ratio normativa è finalizzata ad assicurare la piena libertà di espressione e di informazione, nonché costituisce uno strumento volto a contrastare, e prevenire, fenomeni di corruzione e cattiva gestione nell’ambito sia pubblico che privato.

In particolare, nella consapevolezza che colui che denuncia determinate situazioni o comportamenti fornisce informazioni che possono condurre a investigazioni, verifica e perseguimento di violazioni normative, la norma si prefigge l’obiettivo di assicurare la salvaguardia – sia in termini di protezione della riservatezza che di difesa da possibili ritorsioni – delle persone che si espongono attraverso segnalazioni, denunce o mediante il nuovo strumento della divulgazione pubblica.

Tanto premesso, in virtù della prossima scadenza del 17 dicembre 2023, quale termine ultimo fissato dal D.Lgs. 10 marzo 2023 n. 24, per determinate aziende ed enti privati, per dotarsi di un idoneo canale interno per la segnalazione delle violazioni whistleblowing, con il presente approfondimento si illustra, in termini operativi, il percorso organizzativo e gestionale che le imprese del settore privato devono seguire per essere compliant rispetto alla normativa introdotta dal citato decreto legislativo, con particolare riferimento agli adempimenti necessari per la realizzazione e gestione del predetto canale di segnalazione.

VERIFICA DELL’AMBITO SOGGETTIVO SECONDO IL REQUISITO DIMENSIONALE, ORGANIZZATIVO O SETTORIALE

La domanda preliminare che l’azienda deve porsi è se rientra nel perimetro soggettivo del Decreto ed è, pertanto, tenuta o meno ad applicarlo.

In virtù delle disposizioni di cui al secondo comma 2 dell’art. 3 del D.Lgs. n. 24/2023, risultano oggi tenuti agli adempimenti whistleblowing le società e altri enti privati che:

– hanno impiegato, nell’ultimo anno, la media di almeno 50 lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato;

– a prescindere dal numero di lavoratori, hanno adottato un modello di organizzazione e di gestione – MOGC di cui al D.Lgs. n. 231/2001;

– a prescindere dal numero di lavoratori e dall’adozione del MOGC, operano nei cd. “settori sensibili” meglio identificati nell’allegato 1 del D.Lgs. n. 24/2023 (ad es. servizi, prodotti e mercati finanziari, prevenzione del riciclaggio o del finanziamento del terrorismo, sicurezza dei trasporti, tutela dell’ambiente).

In sede di prima applicazione i maggiori dubbi, solo in parte chiariti dalle linee guida Anac emanate sul tema, riguardano il metodo di calcolo del parametro dimensionale di almeno 50 addetti.

Per il calcolo della media annuale, secondo l’Anac, occorre fare riferimento all’ultimo anno precedente a quello in corso facendo riferimento al valore medio degli addetti contenuto nelle visure camerali, salvo si tratti di aziende di nuova costituzione per le quali si prende come riferimento il valore medio calcolato nell’ultima visura disponibile.

Da ciò si deduce altresì che il conteggio va eseguito “per teste” e non secondo i “valori in ULA – Unità Lavorative per Anno”.

Inoltre, altra tematica da valutare riguarda la presenza in azienda di lavoratori interinali. In proposito, nonostante la dizione riportata dal decreto – con l’inciso “lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato” – sia molto ampia, si ritiene, applicando i principi generali, che detti lavoratori non debbano rientrare nel conteggio. In proposito, si ricorda che il terzo comma dell’art. 34 del D.Lgs. n. 81/2015 stabilisce che “il lavoratore somministrato non è computato nell’organico dell’utilizzatore ai fini dell’applicazione di normative di legge o di contratto collettivo”. Inoltre, come da linee guida Anac, si evidenzia che il primo anno da considerare è quello precedente all’entrata in vigore del D.Lgs. n. 24/2023.

In sintesi, sotto il profilo operativo, ai fini del calcolo della media dei lavoratori impiegati negli enti del settore privato deve farsi riferimento al valore medio degli addetti (Elaborazione dati Inps) al 31/12 dell’anno solare precedente a quello in corso, che, come noto, è contenuto come voce specifica nelle visure camerali. Quando l’impresa è di nuova costituzione, invece, considerato che il dato in questione viene aggiornato trimestralmente, va preso come riferimento il valore medio calcolato nell’ultima visura.

Per semplice scrupolo è bene infine chiarire che, allo stato, la disciplina whistleblowing non si applica a professionisti e STP con meno di 50 dipendenti, nonostante la norma sul punto non sia di immediata lettura e salvo diverse future indicazioni da parte dell’interprete o dell’Anac. Non sono convincenti le argomentazioni di chi ritiene di attrarre nel campo di applicazione della disciplina tutti i professionisti, a prescindere dal numero di dipendenti, sulla base del fatto che i professionisti stessi sono soggetti alla normativa antiriciclaggio. Il richiamo fatto dalla normativa in parola alle disposizioni antiriciclaggio è riferibile alle sole attività ricomprese nell’allegato al Decreto, relative ai servizi e mercati finanziari.

Ad ulteriore conferma di ciò giova citare il contenuto dell’art. 1, comma 2, lettera b), dello stesso decreto legislativo, laddove in tema di ambito oggettivo di applicazione esclude esplicitamente l’applicazione del Decreto alle segnalazioni di violazioni già disciplinate in via obbligatoria dagli atti dell’Unione o nazionali, tra i quali si trova la tematica antiriciclaggio.

Le due discipline viaggiano, quindi, su binari distinti e non sono sovrapponibili, riguardano platee di soggetti diversi e hanno scopi e finalità differenti.

IL CANALE DI SEGNALAZIONE INTERNO

Se l’azienda, per i motivi prima analizzati, rientra nel campo di applicazione del D.Lgs. n. 24/2023, deve, dunque, approntare gli opportuni e idonei canali e modalità per la presentazione delle segnalazioni whistleblowing. In tal senso, la principale novità per le aziende private è rappresentata dall’introduzione di un articolata disciplina per il c.d. “canale interno”, che impone all’azienda di istituire un apposito canale di segnalazione per la gestione e la trasmissione delle informazioni e di introdurre strumenti approntati alla concreta tutela dei segnalanti.

Il canale interno deve garantire da un lato la riservatezza sull’identità del segnalante e di eventuali altri soggetti coinvolti nella segnalazione e dall’altro l’efficacia della segnalazione stessa, che deve poter raggiungere il suo scopo.

LA REALIZZAZIONE DEL CANALE INTERNO

Come primo passo l’azienda dovrà dotarsi di una piattaforma informatica in grado di crittografare i flussi informativi e garantire la riservatezza in entrata delle segnalazioni whistleblowing, e allo stesso tempo individuare uffici o singole risorse (debitamente formate, anche in materia di privacy) responsabili della gestione delle segnalazioni ricevute.

Per la realizzazione del canale normalmente l’azienda si rivolgerà a software house ovvero ad aziende altrimenti specializzate per la fornitura di software o la messa a disposizione di piattaforme telematiche atte a rispettare i parametri di legge sulla integrità e riservatezza dei flussi informatici. La costruzione del canale interno e delle procedure di gestione dello stesso dovrà, infatti, garantire non solo la riservatezza della persona del segnalante, ma anche quella delle persone coinvolte nella segnalazione a vario titolo, e quindi l’eventuale “incolpato”, il facilitatore ed ogni altro soggetto comunque menzionato.

Anche il contenuto della segnalazione dovrà rimanere riservato per quanto compatibile con le attività necessarie a dare seguito alla segnalazione.

Il sistema dovrà consentire segnalazioni in forma scritta, anche con modalità telematiche quali le piattaforme on line. Non è più consentito l’uso del solo contatto mail o pec, non garantendo tale modalità la necessaria riservatezza del segnalante e del contenuto della segnalazione. Dovranno inoltre essere previste anche segnalazioni in forma orale.

È importante sottolineare che il sistema di comunicazione in forma orale previsto (segnalazioni giunte attraverso colloqui telefonici, sistemi telematici vocali o incontri di persona richiesti dal segnalante) non è alternativo, ma bensì aggiuntivo rispetto al canale in forma scritta, che dovrà sempre essere predisposto.

Per organizzare quanto sopra l’azienda predisporrà un apposito atto (richiamato o contenuto nel MOG per le imprese dotate di tale strumento) da sottoporre alle rappresentanze od organizzazioni sindacali di cui all’art. 51 del D.Lgs. n. 81/2015.

Il primo comma dell’art. 4 del D.Lgs. n. 24/2023 riporta l’inciso “sentite le rappresentanze o le organizzazioni sindacali di cui all’articolo 51 del decreto legislativo n. 81 del 2015…”, motivo per cui le prime interpretazioni della norma ritengono non vincolante l’assenso di queste ultime, che sarà comunque rilevante ai fini di una successiva valutazione sull’idoneità ed efficacia delle procedure whistleblowing nel concreto implementate.

L’istituzione del canale di segnalazione interno e la sua gestione in conformità alla norma costituiscono per l’azienda un dovere il cui inadempimento è sanzionato, ai sensi dei dettami contenuti all’art. 21 del decreto in parola con sanzioni erogate da ANAC e comprese tra 10.000 e 50.000 euro.

LA GESTIONE DEL CANALE

La gestione delle segnalazioni pervenute tramite il canale interno, debitamente predisposto, potrà essere affidata dall’azienda sia a una “persona interna” all’azienda che ad un apposito ufficio, sempre interno, composto da personale dedicato alle segnalazioni, anche se ovviamente non in via esclusiva. La gestione potrà inoltre essere affidata ad un soggetto esterno, scelta che, come si vedrà nel punto che segue, crea problemi interpretativi ed attuativi non di poco conto.

Diversamente da quanto accade nel settore pubblico, nel settore privato la scelta sul soggetto affidatario è interamente rimessa all’autonomia organizzativa aziendale.

Tuttavia, il soggetto prescelto, interno o esterno che sia, deve godere di “autonomia”. Nelle linee guida emanate dall’Anac questo requisito viene declinato non solo come autonomia valutativa e decisionale ma anche come imparzialità ed indipendenza. Oltre a ciò, il personale addetto a ricevere e gestire la segnalazione dovrà essere debitamente formato, non solo sulla specifica normativa whistleblowing, ma anche nelle materie connesse quali, in primo luogo, la normativa privacy.

Per il caso in cui l’azienda abbia adottato un modello gestionale ed organizzativo di cui al D.Lgs. n. 231/2001 e il relativo codice etico saranno richieste corrispondenti competenza. È anche vero, però, che in questo ultimo caso il soggetto naturale per gestire il canale interno whistleblowing è l’Organismo di Vigilanza – ODV, organo di controllo previsto dallo stesso D.Lgs. n. 231/2001.

LA GESTIONE DEL CANALE INTERNO AFFIDATA A SOGGETTO ESTERNO

Data la complessità delle procedure sopra esaminate, una parte delle aziende di medie dimensioni, e soprattutto tra esse quelle che non sono dotate di MOGC 231, potrebbe trovare complesso affidare la gestione del canale interno a proprie risorse o uffici, per mancanza di idonee competenze o difficoltà nell’individuare soggetti “imparziali ed autonomi” nel senso sopra precisato.

Lo stesso legislatore pare rendersi conto di tale criticità e, innovando fortemente sul punto rispetto alla normativa preesistente, all’art. 4, comma 3, del D.Lgs. n. 24/2023, prevede la possibilità per l’azienda, nel caso in cui non disponga di sufficienti risorse, di rivolgersi a soggetti esterni specializzati che gli permettano di rispettare quanto imposto dal decreto legislativo in parola.

Tenuto conto dei tanti effetti giuridici connessi ad una tale scelta, la possibilità di affidare in outsourcing la gestione del canale interno rappresenta – tra le previsioni introdotte dal Decreto – quella che probabilmente genera maggiori problematiche interpretative in sede di concreta applicazione, che qui appresso si andranno ad esaminare.

Per meglio comprendere il tema, pare opportuno precisare ancora una volta la differenza tra esternalizzazione della predisposizione dello strumento telematico che consente la riservatezza della segnalazione – nella sostanza costituito da una piattaforma telematica on line – ed affidamento all’esterno della gestione delle segnalazioni.

È evidente che la stragrande maggioranza delle aziende dovrà infatti affidarsi a società esterne specializzate per la predisposizione di tali piattaforme on line, ma poi tendenzialmente gestirà internamente le segnalazioni pervenute.

In questo caso l’unica problematica prevedibile è quella della corretta individuazione e contrattualizzazione del gestore del sistema telematico, che dovrà presentare le opportune garanzie di affidabilità e che, però, sarà responsabile unicamente per la corretta criptazione e riservatezza della segnalazione e del funzionamento del sistema di comunicazione.

Altra cosa, invece, è l’affidare all’esterno anche la gestione delle segnalazioni, come consentito dal decreto legislativo, fatto che genera criticità operative ed interpretative del tutto peculiari.

In tal caso, infatti, il gestore esterno non si limiterà a garantire la riservatezza nella trasmissione della segnalazione, ma dovrà porre in essere attività gestionali e valutative sulla segnalazione i cui effetti ricadranno però direttamente in capo all’azienda affidataria, che resterà unico soggetto obbligato nei confronti del segnalante e dell’Anac, pur conservando nei confronti del gestore esterno un diritto di rivalsa.

Sarà, inoltre, il gestore esterno (e non la risorsa o l’ufficio interno) a conoscere l’identità del segnalante ed il contenuto della segnalazione, a dover valutare preliminarmente la procedibilità e fondatezza della stessa, a dare opportuno seguito e, infine, dovuto riscontro al segnalante.

Per i motivi sopra esposti l’affidamento all’esterno dell’organizzazione e intera gestione del proprio canale interno, ivi compresa la valutazione e gestione delle singole segnalazioni whistleblowing, non comporta per l’azienda affidataria un corrispondente trasferimento delle relative responsabilità in capo all’affidatario, cosicché l’azienda dovrà premunirsi di individuare un soggetto che offra garanzie di competenza e solvibilità commisurati alla delicatezza dell’incarico, anche in termini di eventuale copertura assicurativa.

IL SISTEMA INFORMATIVO

Una volta che l’azienda avrà organizzato, come detto secondo proprie valutazioni discrezionali, una idonea procedura di segnalazione tramite il canale interno, ne darà opportuna informazione ai soggetti interessati mediante il proprio sito internet e la piattaforma on line utilizzata.

Le informazioni che necessariamente devono essere fornite riguardano:

– le specifiche modalità di utilizzo del canale, sia per quanto riguarda la forma scritta che orale;

– la chiara indicazione che è onere del segnalante specificare se vuole mantenere riservata la propria identità e beneficiare delle tutele previste dal decreto legislativo in caso di ritorsioni. Se il segnalante nulla dice in merito la comunicazione verrà considerata come segnalazione ordinaria.

Anche le segnalazioni anonime verranno veicolate, ma ovviamente non vi saranno esigenze di riservatezza e protezione dalle ritorsioni, salvo che l’identità del segnalante non sia disvelata in un momento successivo.

L’ATTIVITÀ DEL GESTORE DEL CANALE

Predisposto e organizzato quanto sopra, il gestore – sia esso soggetto interno o esterno – nel caso riceva una segnalazione qualificata attua le seguenti condotte ed attività:

– rilascia alla persona segnalante un avviso di ricevimento della segnalazione entro sette giorni dalla data di ricezione;

– avvia e mantiene le interlocuzioni con il segnalante, attraverso cui può anche richiedere chiarimenti, documentazione a comprova e quant’altro occorra per valutare, tra l’altro, se il segnalante rientra tra i soggetti tutelati dal decreto legislativo, se il contenuto della segnalazione è coperto dalla disciplina whistleblowing, nonché l’attinenza della segnalazione con il contesto lavorativo;

– valuta in via preliminare la non manifesta infondatezza della segnalazione, il fatto che quanto segnalato non sia già di dominio pubblico, il fatto che l’informazione resa dal segnalante non derivi unicamente da indiscrezioni o voci di corridoio;

– dà seguito alle segnalazioni ritenute procedibili e rilevanti nei termini sopra esposti ed intraprende le opportune azioni per valutare l’effettiva sussistenza del fatto segnalato e le risultanze delle indagini nonché le eventuali misure adottate, quali la trasmissione della segnalazione agli uffici, organi o Autorità competenti ai fini dell’instaurazione dei dovuti procedimenti disciplinari, civili o penali;

– in ogni caso fornisce sempre riscontro alla persona segnalante, comunicandogli informazioni circa il seguito che si è dato o si intende dare alla segnalazione.

LA TUTELA DELLE PERSONE SEGNALATE E LA NORMATIVA PRIVACY

Si è esaminato sino ad ora il sistema che l’azienda deve approntare dal punto di vista della riservatezza del segnalante, che effettivamente è il bene di primario interesse della normativa whistleblowing anche per finalità antiritorsive, ma è necessario ricordare che il decreto legislativo in commento dedica norme puntuali per il gestore del canale interno anche a garanzia della riservatezza di soggetti diversi, quali gli altri soggetti coinvolti nella segnalazione e la persona segnalata.

L’azienda, nell’intero procedimento sopra descritto, sarà tenuta infatti ad osservare quanto previsto dal Regolamento (UE) 2018/1725 – GDPR in materia di privacy nonché ad adottare le misure di tutela dei dati personali degli “interessati” individuati nel segnalante, nella persona segnalata e negli altri soggetti coinvolti.

LA VALUTAZIONE DELLA SEGNALAZIONE (RINVIO)

Nel presente lavoro, già premesso il taglio operativo, si è approfondita principalmente la tematica della realizzazione e gestione del canale interno, che ha generato in sede di applicazione delle norme i maggiori dubbi interpretativi.

Per la valutazione della segnalazione è invece necessaria l’individuazione della platea dei soggetti legittimati a segnalare una violazione e per questo meritevoli di protezione in quanto whistleblowers e dei fatti e condotte che possono formare oggetto di segnalazione tutelata ai sensi del decreto.

Per l’approfondimento di tali tematiche, e di quelle relative a comportamenti ritorsivi e sanzioni si rinvia, oltre che ovviamente al testo del D.Lgs. n. 24/2023 e alle linee guida Anac esplicative, anche a successive circolari di prossima pubblicazione.