Il Decreto whistleblowing ha introdotto nuovi obblighi nel settore privato, anche per le aziende finora escluse dall’applicazione della normativa relativa alla protezione delle persone che segnalano illeciti nel contesto lavorativo.
Analizziamo le principali novità e gli obblighi, con particolare riferimento alla redazione della procedura interna.
Indice degli argomenti
Cosa dice il Decreto whistleblowing
Il decreto legislativo 10 marzo 2023, n. 24 (c.d. “decreto whistleblowing”) ha modificato il quadro normativo in materia di whistleblowing, che prevede la protezione delle persone che segnalano violazioni di norme nazionali o europee di cui hanno avuto conoscenza nel proprio contesto lavorativo. In particolare, nel settore privato si è allargato il novero dei soggetti sottoposti agli obblighi della normativa che, tra gli altri, prevede l’attivazione di un canale interno per la raccolta delle segnalazioni e una procedura relativa alla sua gestione.
Il recente decreto legislativo 10 marzo 2023, n. 24, all’esito di un lungo iter normativo, ha recepito nel nostro Paese la Direttiva (UE) 2019/1937, concernente il tema del whistleblowing, allo scopo di garantire la protezione delle persone che segnalano violazioni del diritto dell’Unione europea o nazionale.
La normativa, che non rappresenta una novità assoluta1 per il settore pubblico e per le realtà del settore privato rientranti nell’ambito di applicazione del decreto legislativo 8 giugno 2001, n. 231, trova adesso applicazione per molti soggetti giuridici del settore privato, con la sola esclusione delle piccole imprese.
Come si legge al suo articolo 1, il decreto ha l’obiettivo di proteggere le “persone che segnalano violazioni di disposizioni di normative nazionali o dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato, di cui siano venute a conoscenza in un contesto lavorativo pubblico o privato”.
Introduzione agli obblighi sul whistleblowing: il settore privato
Riferendoci, in questa sede, al solo contesto privato, il successivo articolo 2, comma 1, alla lettera q) delinea il relativo perimetro applicativo degli obblighi rivolti ai soggetti diversi da quelli del settore pubblico3. Nello specifico, sono ricompresi:
- Coloro che hanno impiegato, nell’ultimo anno, la media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato;
- Coloro che, a prescindere dal raggiungimento della media di cui sopra, rientrano nell’ambito di applicazione degli atti dell’Unione di cui alle parti I.B e II dell’allegato al decreto (cd. settori sensibili: servizi, prodotti e mercati finanziari; prevenzione del riciclaggio di denaro e del finanziamento del terrorismo; sicurezza dei trasporti; tutela dell’ambiente);
- Coloro che, a prescindere dal raggiungimento della media di cui al primo punto dell’elenco, rientrano nell’ambito di applicazione del decreto legislativo 8 giugno 2001, n. 231, e adottano i modelli di organizzazione e gestione ivi previsti.
La nuova disciplina, oltre a garanzie di riservatezza e al divieto di porre in essere azioni ritorsive nei confronti del soggetto segnalante a seguito della sua segnalazione, prevede molteplici obblighi formali, anche connessi all’integrazione dei modelli (che dovrebbero essere) già presenti in materia di protezione dei dati personali. È indubbio, dunque, l’impatto di tale normativa sugli assetti organizzativi delle imprese, soprattutto nei contesti meno strutturati.
L’importanza di una procedura interna per la gestione del whistleblowing
In primo luogo, viene richiesta l’attivazione di un canale interno per la raccolta e gestione delle segnalazioni, che sia preceduta da una comunicazione di carattere informativo alle rappresentanze od organizzazioni sindacali, al fine di raccogliere eventuali osservazioni.
La gestione del canale – che può essere di tipo informatico6 (es. piattaforma software), tradizionale (es. posta raccomandata), o orale (es. linea telefonica, sistema di messaggistica vocale o incontro diretto) – può essere affidata a un soggetto o un ufficio interno o esterno, purché connotato da sufficienti garanzie in ordine all’autonomia nella gestione del canale e delle segnalazioni, nonché delle relative capacità in ordine alla conoscenza della materia. In questa prospettiva il decreto esplicita chiaramente il carattere dell’autonomia e della formazione da assicurare a tale soggetto (anche laddove sia collegiale)7, da individuare con formale incarico.
Appare, pertanto, non soltanto utile ma vieppiù necessaria8 l’adozione di un’apposita procedura interna, tanto al fine di informare il personale sui canali e le modalità attraverso cui è possibile trasmettere una segnalazione interna, quanto per impartire opportune istruzioni al soggetto o ai soggetti gestori del canale e delle segnalazioni.
Guida alla stesura della procedura di whistleblowing per PMI
Ferma restando la necessità – dettata ex art. 5, comma 1, lett. e) D. Lgs. 24/2023 – di mettere a disposizione (laddove presente, anche sul sito web dell’azienda) appositi modelli di carattere informativo riguardo al canale, alla procedura e ai presupposti per effettuare le segnalazioni interne, anche la procedura può risultare utile sotto questo profilo.
È, infatti, senz’altro vantaggioso inserire al suo interno una parte introduttiva al fine di definire l’applicazione della normativa, nonché la terminologia in essa utilizzata, per una migliore comprensione del contesto normativo oltre che per la corretta messa a fuoco dell’ambito di applicazione oggettivo e soggettivo.
Certamente centrali sono poi le parti da dedicare alla vera e propria regolamentazione del canale interno di segnalazione, che devono includere sia le modalità di presentazione delle segnalazioni da parte dei whistleblowers, sia opportune istruzioni rivolte al gestore delle segnalazioni, differenziate in base alle diverse modalità adottate del canale interno.
Infine, ad avviso di chi scrive, altrettanto fondamentali sono le parti da dedicare alla rappresentazione e corretta attuazione delle tutele previste per i segnalanti dal decreto de quo, nonché quelle in materia di protezione di dati personali.
Linee guida per una corretta gestione delle segnalazioni di whistleblowing
Tralasciando – in ragione della sede che ci ospita – l’esame approfondito di tutte le possibili attività che il gestore delle segnalazioni si può trovare a dover esercitare (anche alla luce della differente tipologia di canale interno adottato in base al singolo contesto), è opportuno dar conto delle principali azioni a lui richieste, così come delineate nell’art. 5 del D. Lgs. 24/2023.
La norma prevede per tale soggetto l’obbligo di:
· Dopo il ricevimento della segnalazione, rilasciare alla persona segnalante un avviso di ricevimento entro sette giorni dalla data di ricezione;
· Mantenere le interlocuzioni con la persona segnalate, potendo richiedere a quest’ultima, laddove necessario, delle integrazioni;
· Dare diligente seguito alle segnalazioni ricevute, valutandone la preventiva ammissibilità e accertandone il contenuto;
· Fornire riscontro alla segnalazione entro tre mesi dalla data dell’avviso di ricevimento di cui sopra (o, in mancanza di tale avviso, entro tre mesi dalla scadenza del termine di sette giorni dalla presentazione della segnalazione).
L’eventuale omessa verifica e analisi delle segnalazioni ricevute da parte del gestore del canale interno, rappresenta una tra le ipotesi indicate all’art. 21 del D. Lgs. 24/2023 alla quale poter applicare sanzioni amministrative pecuniarie da 10.000 a 50.000 euro.
Il ruolo del responsabile della procedura interna e dei dirigenti
Se, alla luce di quanto detto, appare agevole cogliere l’importanza del ruolo rivestito dal soggetto o dall’ufficio chiamato a gestire le segnalazioni e il canale interno (dato che svolge materialmente le attività richieste per dar seguito e riscontro alla segnalazione), non bisogna dimenticare come sia altrettanto importante il ruolo di chi è chiamato a individuare tale soggetto.
Sotto questo profilo, l’articolo 4 del decreto chiarisce come la scelta debba ricadere su una figura, interna o esterna, che possa considerarsi autonoma10 e che sia specificamente formata.
Invero, anche la stessa individuazione del canale interno deve essere effettuata tenendo in debita considerazione le esigenze connesse alle dimensioni, alla natura dell’attività esercitata e alla realtà organizzativa concreta, anche avendo cura di garantire la presenza di adeguate misure di sicurezza, soprattutto in caso di canale interno informatico.
Strumenti per la gestione di segnalanti e segnalazioni
Per quanto dal tenore dell’articolo 4 del decreto, nonché del contenuto delle Linee guida ANAC, si evinca chiaramente come l’obbligo di attivazione del canale interno non deve necessariamente tradursi nell’adozione di una soluzione informatica, sono molti i software disponibili sul mercato per la raccolta e gestione delle segnalazioni.
Strumenti senz’altro utili – soprattutto nei contesti più strutturati o laddove si devono gestire molte segnalazioni – che, come comune denominatore, devono prevedere strumenti di crittografia, volti a tutelare la riservatezza del soggetto segnalante e il contenuto della segnalazione stessa. Proprio su questo presupposto, sotto il profilo delle modalità informatiche, l’Autorità nazionale anticorruzione ha escluso, all’interno delle proprie linee guida11, la possibilità di ricorrere alla posta elettronica ordinaria o alla PEC per la ricezione delle segnalazioni.
Monitoraggio e valutazione dell’efficacia della procedura interna
Il carattere sostanziale e non meramente formale da assicurare al corretto funzionamento del canale interno e alle relative attività di gestione impone un costante monitoraggio da parte dell’azienda, sia per confermare nel tempo la validità delle scelte effettuate ex ante, sia per verificare l’effettiva e continua operatività del canale e delle attività svolte dai soggetti incaricati della sua gestione. Ciò, anche in considerazione dei risvolti sanzionatori di cui al citato articolo 21 del decreto.
La scadenza degli obblighi sul whistleblowing
Mentre per il settore pubblico i nuovi obblighi del D. Lgs. 24/2023 hanno già trovato applicazione a far data dallo scorso 15 luglio 2023, in quello privato tale data ha interessato solo le realtà che hanno impiegato, nell’anno precedente, una media di lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato, pari o superiore a duecentocinquanta.
Per gli altri soggetti del settore privato individuati nelle tre categorie di cui al secondo paragrafo del seguente contributo, gli obblighi del decreto scatteranno dal prossimo 17 dicembre 2023.
Obblighi senz’altro impattanti, anche sotto il profilo organizzativo, ma che rappresentano un’importante opportunità per incentivare – alla luce delle tutele offerte per chi segnala – le segnalazioni di eventuali condotte lesive dell’integrità dell’azienda e potendo garantire al tempo stesso un sicuro sistema di tutela per quanti si espongono facendo emergere gli illeciti.
