Facciamo chiarezza sul Whistleblowing

Come noto, il d.lgs. 24/2023 riguarda direttamente tutte le imprese, indipendentemente dalle dimensioni, che si sono dotate di un Modello di Organizzazione, Gestione e Controllo ex d.lgs. 231/2001 (c.d. MOG 231).

La novella, infatti, abrogando tout court i commi 2-ter e 2-quater e riformulando integralmente il comma 2-bis dell’art. 6 d.lgs. 231/2001, ha interessato in profondità anche la materia della responsabilità amministrativa degli enti: a seguito della riforma, infatti, i canali di segnalazione, già parte dei MOG 231, non saranno più considerati conformi e dovranno essere modificati in linea con le previsioni di cui al d.lgs. 24/2023[1].

D’altronde, la disciplina previgente lasciava una certa flessibilità all’impresa in termini di mezzi e strumenti organizzativi attraverso cui dare attuazione ai canali di segnalazione.

In estrema sintesi, infatti, si richiedeva che tali canali consentissero, a dipendenti e stretti collaboratori, di segnalare violazioni aventi rilevanza ex d.lgs. 231/2001, garantendo al tempo stesso la riservatezza dei segnalanti e la loro protezione da eventuali ritorsioni; a chiusura del cerchio, poi, si richiedeva che il sistema disciplinare punisse coloro che attuavano ritorsioni e/o effettuavano false segnalazioni con dolo o colpa grave.

Su queste basi, la prassi applicativa aveva condotto le imprese, soprattutto quelle di dimensioni più ridotte o dalle risorse più limitate, all’implementazione di caselle e-mail la cui gestione era affidata spesso direttamente all’Organismo di Vigilanza (OdV).

Su queste basi si è innestata una riforma che ha rivoluzionato l’intero impianto previgente, prevedendo una serie di novità la cui reale portata sarà, verosimilmente, compresa appieno solo a seguito dell’emanazione, entro il 30 giugno 2023, delle Linee Guida ANAC e del consolidarsi di nuove prassi operative.

Infatti, già rispetto all’oggetto delle segnalazioni – “che cosa” è possibile segnalare – la riforma apporta alcuni significativi cambiamenti, ovvero, le imprese che:

• le imprese che, nell’anno precedente, hanno utilizzato meno di 50 lavoratori sono tenute unicamente ad attivare un canale di segnalazione interna che abbia ad oggetto le sole violazioni del MOG 231 stesso; mentre quelle che
• le imprese con più di 49 lavoratori dovranno prevedere un canale di segnalazione che abbia riguardo anche alle violazioni del diritto dell’Unione (con conseguente ampliamento dell’ambito oggettivo); invece
• le imprese che devono considerarsi soggetti pubblici e/o che siano concessionari di pubblici servizi - ed abbiano un MOG 231 -, a prescindere dal numero di dipendenti, dovranno prevedere un canale di segnalazione che, in aggiunta ai precedenti, abbia riguardo anche ad illeciti amministrativi, contabili, civili o penali che ledano l’interesse pubblico o l’integrità dell’amministrazione.

Merita inoltre un approfondimento l’utilizzo della casella e-mail quale canale di segnalazione: premesso che quest’ultima non è espressamente vietata, certamente si può affermare che essa non rappresenta più uno strumento che – di per sé solo – possa considerarsi sufficiente, funzionale o tantomeno economico: infatti, uno dei veri aspetti centrali della riforma è che il canale di segnalazione delineato dalla riforma non è più uno strumento attraverso il quale veicolare segnalazioni, bensì un vero e proprio apparato, strumentale e procedurale, che impatta sull’intera organizzazione.

D’altronde, tale canale deve:

• essere affidato ad una persona, ufficio o soggetto esterno dedicato, dotato d’adeguata autonomia e specifica formazione;
• consentire di effettuare segnalazioni in forma scritta, orale o per incontro diretto; garantire l’adeguata documentazione o verbalizzazione di segnalazioni orali o per incontro diretto; conservare i dati in maniera compliant al GDPR; crittografare dati, documenti o informazioni relative alle segnalazioni, tracciando e compartimentando i relativi dati d’accesso etc.

Con la conseguenza che  una casella mail, non potendo essere utilizzata in format standalone, risulta per ciò solo antieconomica rispetto alle piattaforme o suite oggi in commercio, in grado di supportare  tutti i tools necessari in un unico prodotto.

Infine, la riforma prevede la necessità di estendere l’ambito di applicazione del sistema disciplinare aziendale, prevedendo sanzioni nei confronti di chi:

• abbia commesso ritorsioni, ostacolato o tentato di ostacolare una segnalazione, violato l’obbligo di riservatezza;
• non abbia istituito i canali di segnalazione o adottato le procedure per l’effettuazione e la gestione delle segnalazioni, oppure abbia adottato procedure non conformi a quelle normativamente imposte o non abbia svolto l’attività di verifica e analisi delle segnalazioni ricevute;
• abbia effettuato una segnalazione falsa con dolo o colpa grave.

Peraltro, la scelta di estendere gli aspetti sanzionatori (amministrativi e disciplinari) anche alle ipotesi di malagestio del canale e/o delle segnalazioni pare gravida di conseguenze, per lo meno sotto due profili.

In primo luogo, da un punto di vista organizzativo, sembra comportare la necessità di:

1. garantire agli affidatari interni del canale strumenti e risorse adeguate allo scopo, affinché essi possano essere considerati autonomi a tutti gli effetti e, di conseguenza, responsabili in proprio di un’eventuale gestione inadeguata;
2. oppure, prevedere rimedi contrattuali idonei a punire eventuali inadempimenti dei soggetti esterni affidatari, nonché manleve in relazione alle responsabilità (anche da fatto illecito) cui la società potrebbe andare incontro in caso di riscontrate irregolarità.

In secondo luogo, da un punto di vista sistematico, parrebbe mettere l’OdV in una posizione alquanto delicata: infatti, da un lato, il d.lgs. 24/2023 rende parte integrante dei MOG 231 i canali di segnalazione, così obbligando l’OdV a vigilare sulla gestione degli stessi nell’ambito delle attività di propria competenza; d’altro lato, tuttavia, ove allo stesso venisse affidata più che una mera vigilanza sul canale, si farebbe fatica a non correlare a tali compiti una responsabilizzazione, in senso organizzativo-gestionale, che mal si attaglia ad un organo che, ex dlgs. 231/2001, ha nell’indipendenza dall’amministrazione aziendale una delle sue caratteristiche principali. Senza contare che, così facendo, l’OdV si troverebbe a governare una parte delle attività sulle quali avrebbe, altresì, l’obbligo di vigilare, entrando verosimilmente in conflitto d’interesse rispetto alla sua stessa funzione.