Whistleblowing: what's next?

Considerazioni preliminari

Per alcune organizzazioni destinatarie del Decreto le previsioni introdotte possono rappresentare una novità potenzialmente invasiva in termini di impatto, soprattutto per quelle che a oggi non hanno istituito sistemi di whistleblowing.

Per altre realtà, benché il campo sia già esplorato, occorre in ogni caso misurare la portata delle nuove disposizioni in rapporto alle specifiche caratteristiche dei sistemi di whistleblowing già implementati.

Si pensi, per esempio, alle organizzazioni che hanno adottato Modelli di Organizzazione, Gestione e Controllo ex D.Lgs. 231/2001 – che già dovrebbero prevedere apposite previsioni in materia – così come agli istituti bancari, che risultano destinatari da tempo di normativa di settore sulla segnalazione delle violazioni delle norme disciplinanti l’attività bancaria.

Tali organizzazioni sono ora chiamate a effettuare una ricognizione analitica dei nuovi requisiti normativi, rispetto ai quali si rende necessario procedere a un fine tuning dei sistemi già implementati, più o meno sostanziale a seconda delle scelte intraprese. In ogni caso, per tutte le realtà, la materia assume rilevanza, non solo da un punto di vista di “impianto” (anche informatico) da disegnare o affinare, ma anche da un punto di vista di gestione della fase implementativa e di monitoraggio nel continuo, incluse le connesse attività di controllo e investigazione.

In sintesi

Nel dettaglio

Le previsioni contenute nel Decreto Legislativo si concentrano sui seguenti principali aspetti:

• Ambito di applicazione oggettivo (art. 2 comma 1 lett. a): le violazioni¹ potenzialmente oggetto di segnalazione includono: (i) illeciti amministrativi, contabili, civili e penali che ledono gli interessi, il decoro e l’integrità dell’ente pubblico o privato; (ii) condotte illecite rilevanti ai sensi del D. Lgs. 231/01 o violazioni dei relativi Modelli di Organizzazione, Gestione e Controllo (“MOG”); (iii) illeciti che rientrano nell’ambito di applicazione della normativa comunitaria che disciplina specifici settori quali appalti pubblici, servizi, prodotti e mercati finanziari, prevenzione del riciclaggio e del finanziamento del terrorismo, sicurezza e conformità dei prodotti, sicurezza dei trasporti, tutela dell’ambiente, radioprotezione e sicurezza nucleare, sicurezza degli alimenti e dei mangimi e salute e benessere degli animali, salute pubblica, protezione dei consumatori e tutela dei dati personali, sicurezza delle reti e dei sistemi informativi²; (iv) atti od omissioni che ledono gli interessi finanziari dell’Unione; (v) atti od omissioni riguardanti il mercato interno.
• Ambito di applicazione soggettivo (art. 3): il Decreto Legislativo si rivolge ai soggetti che effettuano segnalazioni interne o esterne, nonché divulgazioni pubbliche o denunce all’Autorità giudiziaria o contabile, relative alle violazioni che si realizzano nelle realtà lavorative di appartenenza, tanto nel settore pubblico³ quanto nel settore privato⁴. La platea dei possibili segnalanti, nel settore privato, come in quello pubblico, risulta particolarmente estesa e include anche i lavoratori a tempo parziale e a tempo determinato, i soggetti che intrattengano rapporti, o abbiano un contratto con un’agenzia interinale, i tirocinanti e i volontari, ma anche lavoratori autonomi, consulenti, subappaltatori e fornitori, nonché azionisti e membri degli organi di amministrazione, direzione o vigilanza.
• Procedure relative all’iter di segnalazione (artt. 4, 5, 6, 7 e 15): dal Decreto Legislativo si evince, anzitutto, la necessità per le aziende italiane di dotarsi di un canale di segnalazione interna (art. 4) che tuteli l’identità del segnalante e dei soggetti coinvolti e che garantisca la riservatezza circa il contenuto della segnalazione e della relativa documentazione. Più in particolare, il Decreto prevede:
  • differenti modalità di presentazione delle segnalazioni, quali: i) forma scritta (anche con modalità informatiche), ii) forma orale (mediate l’utilizzo di appositi sistemi IT di messaggistica vocale servizi di segreteria telefonica), iii) eventualmente (su richiesta del segnalante) anche tramite incontro diretto fissato entro un termine ragionevole;
  • specifici termini di gestione delle segnalazioni interne (art. 5), in base ai quali, a seguito della segnalazione la persona o l’ufficio preposto sono soggetti a un termine perentorio di 7 giorni per rilasciare al segnalante l’avviso di ricevimento della segnalazione, nonché a un termine di 3 mesi per fornire riscontro alla segnalazione stessa. Nell’ipotesi in cui i documenti o comunque le prove allegate alla segnalazione non siano sufficienti a dare seguito alla segnalazione, l’ufficio preposto è tenuto a richiedere una integrazione al soggetto segnalante;
  • alcune ipotesi che consentono al segnalante di fare ricorso anche a canali di segnalazione esterna (art. 6). Nello specifico, la segnalazione esterna è consentita quando (i) non è prevista, nell'ambito del contesto lavorativo del segnalante, l'attivazione obbligatoria del canale di segnalazione interna ovvero questo, anche se obbligatorio, non è attivo o, anche se attivato, non è conforme a quanto previsto dall'articolo 4; (ii) il segnalante abbia già effettuato una segnalazione interna e la stessa non abbia avuto seguito; (iii) il segnalante abbia fondati motivi di ritenere che, in caso di presentazione di segnalazione interna, alla stessa non sarebbe dato efficace seguito, o che tale segnalazione possa determinare il rischio di ritorsione; (iv) il segnalante ritenga che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse. Il canale esterno di segnalazione, ai sensi dell’art. 7, viene attivato e gestito dall’Autorità Nazionale Anticorruzione (“ANAC”)⁵;
  • la possibilità per il segnalante (art. 15), in extrema ratio, di ricorrere a un ulteriore canale di segnalazione (sotto forma di divulgazione pubblica, ossia trasmissione di informazioni sulle violazioni tramite la stampa o mezzi elettronici o comunque tramite mezzi di diffusione in grado di raggiungere un numero elevato di persone) nella ipotesi in cui non sia stato dato seguito alle segnalazioni interne / esterne presentate, ovvero il segnalante abbia fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse, ovvero possa comportare rischi di ritorsione.
• Obbligo di riservatezza (art. 12): sono previsti specifici obblighi di tutela dell’identità del segnalante, anche nell’ambito di eventuali procedimenti penali, disciplinari o davanti alla Corte dei Conti che dovessero aprirsi.
• Trattamento dei dati personali (art. 13): ogni trattamento di dati personali relativo alla segnalazione deve essere gestito nel rispetto del Regolamento (UE) 679/2016 (“GDPR”).
• Conservazione della documentazione inerente alle segnalazioni (art. 14): le segnalazioni, interne ed esterne e la relativa documentazione a supporto devono essere conservate per il tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni a decorrere dalla data della comunicazione dell'esito finale della procedura di segnalazione.
• Misure di protezione e divieto di ritorsione (artt. 16 e ss.): gli artt. 16 e successivi disciplinano e rafforzano le tutele e le garanzie riconosciute al soggetto segnalante. Tali tutele sono estese anche nei confronti del c.d. facilitatore, ossia colui che abbia assistito il segnalante durante l’iter di segnalazione dell’illecito in un contesto lavorativo, nonché nei confronti di altri soggetti terzi comunque connessi al segnalante, tra cui ad esempio colleghi e familiari. Nello specifico, il Decreto:
  • definisce le condizioni di applicazione delle misure di protezione (art. 16), tra cui: (i) la presenza, al momento della segnalazione, di fondati motivi per ritenere che le informazioni sulle violazioni fossero vere; (ii) il rispetto dei requisiti e delle condizioni previsti dal Decreto per la presentazione delle segnalazioni interne / esterne o delle divulgazioni pubbliche6. Si evidenzia, inoltre, come la tutela operi anche nel caso in cui la segnalazione avvenga quando il rapporto giuridico non sia ancora iniziato (se le informazioni sulle violazioni sono state acquisite durante il processo di selezione o in altre fasi precontrattuali), durante il periodo di prova o successivamente allo scioglimento del rapporto giuridico (se le informazioni sono state acquisite nel corso del rapporto stesso);
  • prevede un esplicito divieto di ritorsione nei confronti dei soggetti segnalanti (art. 17). Nell’ambito di procedimenti giudiziari o amministrativi o di controversie stragiudiziali aventi ad oggetto l’accertamento dei comportamenti, atti o violazioni contemplate nel Decreto Legislativo, si presume che eventuali comportamenti ritorsivi subiti dal segnalante (indicati esemplificativamente al comma 4 dell’art. 17)7 siano stati posti in essere a causa della segnalazione / divulgazione / denuncia del soggetto segnalante. In questo senso, l'onere di provare che tali condotte o atti sono motivati da ragioni estranee alla segnalazione, alla divulgazione pubblica o alla denuncia è a carico di colui che li ha posti in essere. Si presume, pertanto, che la condotta ritorsiva (e.g. licenziamento) sia avvenuta a seguito della segnalazione. In ottica di protezione del segnalante è previsto che l’Autorità Giudiziaria adotti tutte le misure, anche provvisorie, necessarie ad assicurare la tutela alla situazione giuridica soggettiva azionata, ivi compresi il risarcimento del danno, la reintegrazione nel posto di lavoro, l’ordine di cessazione della condotta posta in essere in violazione dell’articolo 17 e la dichiarazione di nullità degli atti adottati in violazione del medesimo articolo;
  • prevede misure di sostegno a favore del segnalante; in particolare, l’art. 18 fa riferimento a informazioni, assistenza e consulenze a titolo gratuito sulle modalità di segnalazione e sulla protezione dalle ritorsioni offerta dalle disposizioni normative nazionali e da quelle dell’Unione europea, sui diritti della persona coinvolta, nonché sulle modalità e condizioni di accesso al patrocinio a spese dello Stato;
  • prevede la possibilità per il segnalante di comunicare all’ANAC le ritorsioni che ritiene di aver subito, al fine di consentire l’avvio di procedimenti che possono coinvolgere anche l’Ispettorato della funzione pubblica e l’Ispettorato nazionale del lavoro per i provvedimenti di competenza (art. 19).
• Sanzioni (art. 21): il Decreto Legislativo definisce altresì l’ammontare⁸ delle sanzioni amministrative applicabili dall’ANAC nel caso in cui: i) non siano stati istituiti dai soggetti obbligati i canali di segnalazione, ii) non siano state adottate procedure per l’effettuazione e la gestione delle segnalazioni, iii) l’adozione di tali procedure non sia conforme alle previsioni del Decreto, iv) siano stati posti in essere atti ritorsivi o la segnalazione sia stata comunque ostacolata.

  Con riferimento, invece, ai soggetti dotati di Modello di Organizzazione, Gestione e Controllo è richiesto di prevedere, nel sistema disciplinare adottato ai sensi dell’art. 6 comma 2 lett. E) del D.Lgs. 231/2001, sanzioni nei confronti di coloro che si sono resi responsabili degli illeciti sopra descritti.

• Abrogazioni (art. 23): il Decreto Legislativo ha infine abrogato le seguenti norme:

a. l’articolo 54-bis (“Tutela del dipendente pubblico che segnala illeciti”) del D.lgs. 30 marzo 2001 n.165 (“Norme generali sull’ordinamento del lavoro alle dipendenze delle amministrazioni pubbliche”);

b. l’articolo 6 (“Soggetti in posizione apicale e modelli di organizzazione dell’ente”), commi 2-ter⁹ e 2-quater¹⁰, del D.lgs. 8 giugno 2001, n. 231 (“Responsabilità amministrativa delle società e degli enti”). Si segnala, inoltre, la modifica del comma 2-bis¹¹ che fungerà da raccordo con la nuova disciplina prevista dal decreto legislativo attuativo della direttiva (UE) 2019/1937;

c. l’articolo 3 (“Integrazione della disciplina dell’obbligo di segreto d’ufficio, aziendale, professionale, scientifico e industriale”) della l. 30 novembre 2017, n. 179 (“Disposizioni per la tutela degli autori di segnalazioni di reati o irregolarità di cui siano venuti a conoscenza nell’ambito di un rapporto di lavoro pubblico o privato”).

Considerazioni conclusive

Come detto, tutti i destinatari del Decreto sono chiamati a svolgere un’analisi d’impatto sulla loro specifica realtà per comprendere in modo concreto quali azioni sia necessario intraprendere dal punto di vista dell’improvement del proprio Sistema dei Controlli Interni.

Sebbene i destinatari abbiano tempo per attuare concretamente le disposizioni richiamate, l’esperienza concreta ci mostra che residuano alcuni passaggi interpretativi che stimolano la discussione per gli addetti ai lavori perché legati alle modalità proprie con le quali ogni realtà intende realizzare il proprio framework interno.

Ad esempio:

• l’individuazione dell’ufficio interno autonomo e dedicato alla gestione delle segnalazioni comporta riflessioni differenti dal punto di vista della governance e della collocazione organizzativa a seconda del tipo di società o gruppo all’interno del quale ci si trova;
• le esigenze formative da attivare per garantire un “personale specificamente formato” per la gestione delle segnalazioni pongono il tema di quale background debba essere previsto per gli specialisti della materia in un contesto normativo complesso e dinamico: una formazione che privilegi aspetti e competenze più tipiche dei temi della conformità normativa, della privacy o delle investigazioni;
• il ruolo dei “facilitatori” e le tutele da agire quando questo ruolo è svolto da testimoni;
• l’integrazione dei sistemi di whistleblowing già in essere: quali misure specifiche da attuare per garantire la conformità al nuovo Decreto?

In che modo Protiviti può supportare nell’adeguamento alla normativa Whistleblowing

Protiviti assiste da tempo i primari player del mercato bancario, finanziario e assicurativo, industriale e dei servizi su molteplici ambiti (Compliance, Internal Audit, Governance, Anti-Financial Crime, Corporate Affairs, Risk & Sustainability, IT & Digital, etc.), per l’individuazione e l’implementazione di soluzioni “su misura” e di equilibrio fra obiettivi di business e fattori regolamentari.

Grazie a un gruppo di professionisti con competenze multidisciplinari, che si occupa della materia sin dalla sua introduzione, Protiviti è inoltre leader nell’ambito dei servizi “231”, che includono anche il supporto nell’attivazione e nella gestione di canali di segnalazione (whistleblowing). Nell’ambito della propria offerta, Protiviti include soluzioni connesse alla valutazione dell’allineamento alle recenti disposizioni introdotte dal Decreto e, più in generale, alle disposizioni regolamentari e alle linee guida di riferimento. Anche avvalendosi del supporto specialistico dei professionisti del team Forensic & Investigation, Protiviti può offrire supporto nelle seguenti attività:

• ricognizione analitica degli impatti della nuova disciplina rispetto allo specifico contesto delle organizzazioni destinatarie, tenendo conto in particolare di altre disposizioni normative di riferimento (es.: GDPR) e degli specifici sistemi di whistleblowing già eventualmente implementati;
• adeguamento ovvero disegno ex novo di un sistema di whistleblowing aderente al framework normativo, da un punto di vista di governance del processo (attori coinvolti interni ed eventualmente esterni, iter di segnalazione, valutazione ed eventuale escalation, tempistiche, misure di protezione per il segnalante, flussi informativi/reporting, monitoraggio, ecc.), anche sulla base di specifiche attività di benchmarking con realtà similari;
• supporto nella stesura, nell’aggiornamento e/o nell’integrazione di policy, procedure aziendali o altra normativa interna volte a formalizzare gli elementi costituenti il sistema di whistleblowing e i connessi processi rilevanti;
• affiancamento nelle attività di software selection e definizione dei business requirement della piattaforma tecnologica e dei canali di segnalazione;
• analisi/istruttoria delle segnalazioni ricevute, valutazione preliminare di impatto, eventuale escalation investigativa e relativa reportistica di dettaglio (sia su base continuativa che in risposta a singole richieste);
• supporto per la definizione, implementazione e il monitoraggio di eventuali azioni di rimedio in risposta alle segnalazioni ricevute;
• progettazione ed erogazione di iniziative informative e formative, specifiche e “su misura”, rivolte al personale aziendale.

RIFERIMENTI: Gazzetta Ufficiale: link

1. Ai sensi dell’art. 2, comma 1, lett. a) per violazioni si intendono: “comportamenti, atti od omissioni che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato”.

2. I suddetti ambiti di applicazione per ciò che concerne la normativa comunitaria sono disciplinati nell’allegato al Decreto Legislativo.

3. Nella nozione di soggetti appartenenti al settore pubblico sono tra l’altro inclusi: le Pubbliche Amministrazioni, le Autorità Amministrative indipendenti, gli Enti Pubblici economici, i concessionari di pubblico servizio, le società a controllo pubblico e le società in house. Per gli enti del settore pubblico le disposizioni del Decreto si applicano alle segnalazioni di informazioni aventi ad oggetto le violazioni di norme sia interne che comunitarie (art. 3, comma 1);

4. Per quanto concerne invece il settore privato, il Decreto si rivolge agli Enti che: (i) abbiano impiegato, nell’ultimo anno, la media di almeno 50 lavoratori dipendenti; (ii) operano nelle aree di applicazione della normativa europea richiamata dall’allegato 1 (i.e. settore bancario, del credito, assicurativo, etc.), anche se nell’ultimo anno non abbiano raggiunto la media di 50 lavoratori subordinati; (iii) rientrano nell’ambito di applicazione del D.Lgs. 231/01 e si siano dotati di un Modello di Organizzazione, Gestione e Controllo (“MOG”), anche se nell’ultimo anno non abbiano raggiunto la media di 50 lavoratori subordinati. Nel settore privato, dunque, l’ambito oggettivo è espressamente circoscritto alle violazioni del diritto dell’Unione Europea in tutte le ipotesi in cui le informazioni riguardino enti con più di cinquanta dipendenti, ovvero enti che, indipendentemente dal numero di dipendenti, rientrino nell’ambito di applicazione degli atti dell’Unione di cui all’allegato al Decreto Legislativo; viceversa, l’ambito si ri-espande - ricomprendendo anche le violazioni del diritto interno - in caso di segnalazioni riguardanti enti che siano dotati di Modello Organizzativo ai sensi del D.Lgs. 231/01 (in questo caso, però, si segnala che il ricorso al canale di segnalazione esterna dell’ANAC è limitato alle ipotesi di segnalazioni di violazioni del diritto dell’Unione)

5. Anche in tal caso, il Decreto richiede specifiche garanzie di riservatezza dell’identità dei segnalanti, delle persone coinvolte e del contenuto della segnalazione e prevede la possibilità di effettuare le segnalazioni in forma scritta o in forma orale, anche eventualmente mediante incontro diretto.

Le attività di competenza dell’ANAC in materia di ricezione e gestione delle segnalazioni sono esplicitate all’art. 8 del Decreto Legislativo. Anche con riferimento al canale esterno è previsto un termine di 3 mesi per riscontrare la segnalazione, con la precisazione che l’esito finale può consistere anche nell’archiviazione o nella trasmissione della segnalazione ad altre Autorità competenti, ovvero in una raccomandazione o in una sanzione amministrativa. Specifiche informazioni sull’uso del canale di segnalazione esterna e sul relativo seguito sono contenute, ai sensi dell’art. 9, in apposita sezione dedicata sul sito internet di ANAC. È inoltre previsto che l’ANAC adotti, entro 3 mesi dall’entrata in vigore del Decreto, linee guida relative alle procedure per la presentazione e la gestione delle segnalazioni esterne.

6. Sono esclusi dalle tutele i soggetti per i quali sia stata pronunciata sentenza di condanna per calunnia o diffamazione o rispetto ai quali sia stata accertata la relativa responsabilità civile per lo stesso titolo.

7. Ad esempio: licenziamento, sospensione o misure equivalenti; retrocessione di grado; mutamento di funzioni, cambiamento del luogo di lavoro, riduzione dello stipendio; adozione di misure disciplinari o di altra sanzione, anche pecuniaria; discriminazione, intimidazione, molestie o trattamenti sfavorevoli, etc.

8. Art. 21, comma 1: “Fermi restando gli altri profili di responsabilità, l'ANAC applica al responsabile le seguenti sanzioni amministrative pecuniarie:
a) da 10.000 a 50.000 euro quando accerta che sono state commesse ritorsioni o quando accerta che la segnalazione è stata ostacolata o che si è tentato di ostacolarla o che è stato violato l'obbligo di riservatezza di cui all'articolo 12;
b) da 10.000 a 50.000 euro quando accerta che non sono stati istituiti canali di segnalazione, che non sono state adottate procedure per l'effettuazione e la gestione delle segnalazioni ovvero che l'adozione di tali procedure non è conforme a quelle di cui agli articoli 4 e 5, nonché quando accerta che non è stata svolta l’attività' di verifica e analisi delle segnalazioni ricevute;
c) da 500 a 2.500 euro, nel caso di cui all'articolo 16, comma 3, salvo che la persona segnalante sia stata condannata, anche in primo grado, per i reati di diffamazione o di calunnia o comunque per i medesimi reati commessi con la denuncia all’autorità giudiziaria o contabile.

9. Art. 6 comma 2-ter: “L'adozione di misure discriminatorie nei confronti dei soggetti che effettuano le segnalazioni di cui al comma 2-bis può essere denunciata all'Ispettorato nazionale del lavoro, per i provvedimenti di propria competenza, oltre che dal segnalante, anche dall'organizzazione sindacale indicata dal medesimo”.

10. Art. 6 comma 2-quater “Il licenziamento ritorsivo o discriminatorio del soggetto segnalante è nullo. Sono altresì nulli il mutamento di mansioni ai sensi dell'articolo 2103 del codice civile, nonché' qualsiasi altra misura ritorsiva o discriminatoria adottata nei confronti del segnalante. E' onere del datore di lavoro, in caso di controversie legate all'irrogazione di sanzioni disciplinari, o a demansionamenti, licenziamenti, trasferimenti, o sottoposizione del segnalante ad altra misura organizzativa avente effetti negativi, diretti o indiretti, sulle condizioni di lavoro, successivi alla presentazione della segnalazione, dimostrare che tali misure sono fondate su ragioni estranee alla segnalazione stessa".

11. Il comma 2-bis è sostituito dal seguente: «2-bis. I modelli di cui al comma 1, lettera a), prevedono, ai sensi del decreto legislativo attuativo della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio del 23 ottobre 2019, i canali di segnalazione interna, il divieto di ritorsione e il sistema disciplinare, adottato ai sensi del comma 2, lettera e).».