Indice
Introduzione
Lo scorso marzo l’Italia ha attuato la direttiva UE 2019/1937 in materia di whistleblowing, attraverso il Decreto legislativo 24/2023 (di seguito solo Decreto).
Come noto, l’obiettivo della nuova disciplina sul whistleblowing è quello di garantire un elevato livello di protezione per le persone che segnalano violazioni rilevanti, attraverso l’istituzione di sicuri canali di comunicazione, sia interni all’ente che esterni ad esso. In sintesi, con il whistleblowing si intende contrastare e prevenire fenomeni illeciti nelle organizzazioni, incentivando l’emersione di condotte illecite di cui il soggetto segnalante sia venuto a conoscenza nell’ambito dell’azienda.
Nel mese di luglio l’ANAC ha adottato delle Linee Guida ad hoc ed ora Confindustria ha pubblicato una Guida Operativa per gli Enti Privati.
Il documento è estremamente operativo e contiene importanti indicazioni alle aziende su come impostare il sistema di segnalazione interna, la scadenza ultima si sta avvicinando e da prossimo 17 dicembre non ci saranno più scuse.
Abbiamo analizzato nel proseguo i principali punti, scegliendo quelli che creano più interrogativi alle imprese che stanno implementando il sistema di segnalazione interno.
La scelta del canale
Molte aziende, ancora oggi, intende implementare il sistema whistleblowing creando un indirizzo email dedicato. Ma già il Garante e le Linee Guida ANAC, riprese da Confindustria avevano chiarito che la posta elettronica ordinarie e la PEC non sono strumenti adeguati a garantire la riservatezza.
Ma andiamo con ordine.
Per essere adeguato il canale di segnalazione interna deve essere idoneo ad assicurare la riservatezza dell’identità del segnalante e delle persone coinvolte oltre al del contenuto della segnalazione. Il Decreto prevede che le segnalazioni possono essere effettuate secondo diverse modalità:
- in forma scritta: analogica o con modalità informatiche;
- in forma orale, attraverso linee telefoniche dedicate o sistemi di messaggistica vocale e, su richiesta del segnalante, attraverso un incontro diretto con il gestore delle segnalazioni.
L’impresa, quindi, deve predisporre sia il canale scritto – analogico e/o informatico – che quello orale, dovendo mettere entrambi a disposizione del segnalante.
Per quanto riguarda la forma scritta la scelta è se optare per una piattaforma on-line oppure optare per la posta cartacea (in via esemplificativa, prevedendo il ricorso a lettere raccomandate).
In particolare, per la modalità scritta analogica, l’ANAC suggerisce, ad esempio, di prevedere che la segnalazione venga inserita in due buste chiuse, includendo, nella prima, i dati identificativi del segnalante, unitamente a un documento di identità; nella seconda, l’oggetto della segnalazione; entrambe le buste dovranno poi essere inserite in una terza busta riportando, all’esterno, la dicitura “riservata al gestore della segnalazione”.
L’impresa deve predisporre sia il canale scritto che quello orale, dovendo mettere entrambi a disposizione del segnalante. Per il canale scritto, l’impresa può optare per la modalità informatica con una piattaforma on-line o analogica con posta cartacea.
Viceversa
la scelta della modalità attraverso la quale effettuare la segnalazione tra quella scritta od orale è del segnalante.
Il Gestore delle segnalazioni
Il gestore delle segnalazioni (di seguito anche solo Gestore) è quella persona fisica o quell’ufficio deputata alla raccolta e sovraintende a tutto il processo di verifica delle segnalazioni.
La scelta per la gestione del canale di segnalazione ricadere su:
- una persona fisica interna all’impresa;
- un ufficio interno all’impresa;
- un soggetto esterno.
La scelta di affidare la gestione del canale di segnalazione a una persona o ufficio interno ovvero a un soggetto esterno, è rimessa alla libera discrezionalità dell’ente, tenendo in considerazione l’attività esercitata e le relative responsabilità, nonché l’assetto organizzativo di cui si è dotato.
In ogni caso il “gestore delle segnalazioni” deve essere “autonomo”. Questo requisito è necessario per assicurare che le segnalazioni vengano gestite in maniera adeguata e conforme alle disposizioni del Decreto. Per Confindustria, l’autonomia del gestore deve ricomprendere:
- imparzialità: mancanza di condizionamenti e di pregiudizi nei confronti delle parti coinvolte nelle segnalazioni whistleblowing, al fine di assicurare una gestione delle segnalazioni equa e priva di influenze interne o esterne che possano comprometterne l’obiettività;
- indipendenza: autonomia e libertà da influenze o interferenze da parte del management, al fine di garantire un’analisi oggettiva e imparziale della segnalazione.
La procedura di gestione delle segnalazioni
Per le aziende alle prese con la codifica della procedura di gestione delle segnalazioni, Confindustria indica gli elementi che dovranno essere contenuti nella stessa procedura.
In particolare:
- i soggetti legittimati a presentare le segnalazioni;
- i soggetti che godono delle misure di protezione previste dal Decreto;
- l’ambito oggettivo delle segnalazioni ammesse e di quelle estranee, con le differenti conseguenze in termini di procedura di gestione e misure di tutela garantite;
- i presupposti per procedere alla segnalazione interna e le relative condizioni di ammissibilità;
- i riferimenti del “gestore delle segnalazione”, i relativi poteri e gli obblighi, nonché l’eventuale budget a disposizione per attività di valutazione e gestione delle segnalazioni, con evidenza della sussistenza dei requisiti richiesti dalla norma;
- le modalità per l’eventuale coinvolgimento da parte del gestore di altri soggetti, interni all’ente o esterni, di cui risulti necessario avvalersi per la gestione della segnalazione;
- le modalità concrete scelte dall’impresa per l’utilizzo del canale di segnalazione interno (posta cartacea/piattaforma on line, numero telefonico/sistema messaggistica vocale);
- la procedura che il gestore deve seguire per la gestione delle segnalazioni interne, con indicazione delle varie fasi dell’istruttoria e delle tempistiche di riferimento;
- la procedura da seguire nel caso in cui una persona diversa da quella alla quale è affidata la gestione delle segnalazioni riceva una segnalazione identificabile come whistleblowing;
- la politica adottata per le ipotesi di segnalazioni anonime o inammissibili;
- le modalità e i termini di conservazione dei dati appropriati e proporzionati ai fini della procedura di whistleblowing;
- i necessari adeguamenti prescritti dall’art. 13 GDPR per il trattamento dei dati personali;
- i presupposti per ricorrere alla segnalazione esterna;
- le modalità attraverso cui verranno comunicate ai soggetti potenzialmente interessati le informazioni sull’utilizzo del canale interno e di quello esterno, nonché la previsione circa l’attività di formazione sulla disciplina e la procedura.
FASE 1: Ricezione della segnalazione
Il gestore della segnalazione deve rilasciare al segnalante l’avviso di ricevimento entro sette giorni dalla presentazione della segnalazione stessa. L’avviso di ricevimento è indipendente da qualsiasi valutazione di quanto segnalato.
Tale avviso dev’essere inoltrato al recapito indicato dal segnalante nella segnalazione.
Nel caso, invece, di ricezione di segnalazioni anonime, anche alla luce delle indicazioni dell’ANAC, si specifica che le stesse, qualora risultino puntuali, circostanziate e supportate da idonea documentazione, possono essere equiparate dall’impresa alle segnalazioni ordinarie e, in quanto tali, possono essere trattate in conformità ai regolamenti interni, laddove eventualmente implementati.
In ogni caso, le segnalazioni anonime dovranno essere registrate dal gestore della segnalazione e la documentazione ricevuta dovrà essere conservata. Infatti, Il Decreto prevede che laddove il segnalante anonimo venga successivamente identificato e abbia subito ritorsioni, allo stesso debbano essere garantite le tutele previste per il whistleblower.
FASE 2: Esame preliminare – PROCEDIBILITA’
Innanzitutto, il gestore della segnalazione valuta la procedibilità della segnalazione in base ai presupposti soggettivi e oggettivi stabiliti dal Decreto.
Nello specifico, per poter dare corso al procedimento, il gestore della segnalazione dovrà verificare che il segnalante sia un soggetto legittimato a effettuare la segnalazione e che l’oggetto della segnalazione rientri tra gli ambiti di applicazione della disciplina.
Nel caso in cui la segnalazione riguardi una materia esclusa dall’ambito oggettivo del Decreto, la stessa potrà essere trattata come ordinaria e, quindi, gestita secondo le eventuali procedure già in precedenza adottate dall’ente per tali violazioni, dandone comunicazione al segnalante.
FASE 2: Esame preliminare – AMMISSIBILITA’
Verificata la procedibilità, il Gestore valuta l’ammissibilità come segnalazione whistleblowing.
Ai fini dell’ammissibilità, è necessario che, nella segnalazione, risultino chiare:
- le circostanze di tempo e di luogo in cui si è verificato il fatto oggetto della segnalazione e le modalità attraverso cui il segnalante è venuto a conoscenza dei fatti;
- le generalità o altri elementi che consentano di identificare il soggetto cui attribuire i fatti segnalati.
Alla luce di quanto descritto, nel caso in cui la segnalazione risulti improcedibile o inammissibile, gli uffici o la persona deputati alla gestione della segnalazione possono procedere all’archiviazione, garantendo comunque la tracciabilità delle motivazioni a supporto.
FASE 3: Istruttoria interna
Una volta verificata la procedibilità e l’ammissibilità della segnalazione, il gestore avvia l’istruttoria interna sui fatti e sulle condotte segnalate al fine di valutarne la fondatezza.
L’obiettivo della fase di accertamento è di procedere con le verifiche, analisi e valutazioni specifiche circa la fondatezza o meno dei fatti segnalati, anche al fine di formulare eventuali raccomandazioni in merito all’adozione delle necessarie azioni correttive sulle aree e sui processi aziendali interessati nell’ottica di rafforzare il sistema di controllo interno.
FASE 4: Chiusura della procedura
Una volta completata l’attività di accertamento, il gestore della segnalazione può:
- archiviare la segnalazione perché infondata, motivandone le ragioni;
- dichiarare fondata la segnalazione e rivolgersi agli organi/funzioni interne competenti per i relativi seguiti (es. il management aziendale, Direttore Generale, ufficio legale o risorse umane).
Infatti, al gestore della segnalazione non compete alcuna valutazione in ordine alle responsabilità individuali e agli eventuali successivi provvedimenti o procedimenti conseguenti.
Tutte le fasi dell’attività di accertamento devono essere sempre tracciate e archiviate correttamente a seconda della tipologia del canale di segnalazione utilizzato, al fine di dimostrare la corretta diligenza tenuta nel dare seguito alla segnalazione.
Regola imprescindibile in tutte le fasi della procedura: tutelata la riservatezza dell’identità della persona segnalante, del segnalato e di tutte le persone coinvolte e/o menzionate nella segnalazione.
Riscontro al segnalante
Un ultimo aspetto della procedura è l’obbligo di dare riscontro al segnalante entro tre mesi dalla data di avviso di ricevimento o entro tre mesi dalla data di scadenza del termine di sette giorni per tale avviso.
Il termine indicato dei tre mese, però, non comporta l’obbligo di chiudere l’attività di accertamento entro i tre mesi, considerando che possono sussistere fattispecie che richiedono, ai fini delle verifiche, un tempo maggiore.
Quindi di che tipo di riscontro si tratta?
Alla scadenza dei tre mesi, il Gestore potrà comunicare al segnalante:
- l’avvenuta archiviazione della segnalazione, motivandone le ragioni;
- l’avvenuto accertamento della fondatezza della segnalazione e la sua trasmissione agli organi interni competenti;
- l’attività svolta fino a questo momento e/o l’attività che intende svolgere.
In tale ultimo, caso è consigliabile comunicare alla persona segnalante anche il successivo esito finale dell’istruttoria della segnalazione.
