Nuova disciplina Whistleblowing

Il Whistleblowing a seguito del D.Lgs. n. 24 del 2023: Linee guida ANAC e Guida operativa di Confindustria 

di Francesco Indirli e Virginia Luppa

Sono passati ormai alcuni mesi dall’emanazione del Decreto Legislativo del 10 marzo 2023, n. 24 in materia di whistleblowing, con cui il Legislatore, in attuazione della Direttiva (UE) 2019/1937, ha inteso disciplinare in maniera unitaria “la protezione delle persone che segnalano violazioni del diritto dell’Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali” (c.d. whistleblowers).  

Per i soggetti privati che, nell’ultimo anno, hanno impiegato fino a 249 lavoratori subordinati con contratti di lavoro a tempo determinato o indeterminato, la deadline per adeguarsi alla nuova normativa scatterà il prossimo 17 dicembre. Per tutti gli altri operatori – privati o pubblici – il termine è già scaduto il 12 luglio scorso. 

L’obiettivo del Legislatore europeo e, a cascata, di quello nazionale si traduce nel “contrasto e [nel]la prevenzione dei fenomeni illeciti nelle organizzazioni pubbliche e private, incentivando l’emersione di condotte pregiudizievoli … in danno dell’ente di appartenenza e, di riflesso, per l’interesse pubblico collettivo” (Confindustria, Nuova Disciplina “Whistleblowing” – Guida Operativa per gli enti privati, ottobre 2023). 

Il mezzo per conseguirlo è altrettanto chiaro: vengono stabilite “norme minime comuni per garantire un elevato livello di protezione delle persone che segnalano violazioni del diritto dell’Unione, creando canali di comunicazione sicuri, sia all’interno di un’organizzazione, sia all’esterno”. 

La profonda incidenza della nuova normativa all’interno del business dei suoi destinatari, unitamente alla vastissima (oltre che eterogenea) platea di soggetti a cui è diretta, hanno reso necessari gli interventi integrativi e chiarificatori dell’Autorità Nazionale Anticorruzione (ANAC) e di Confindustria.  

Nel ripercorrerli brevemente, rinviando ai documenti ufficiali ogni approfondimento, può essere utile adottare un approccio pratico, scandito da domande e risposte, queste ultime derivanti dalle indicazioni contenute nelle Linee Guida ANAC del luglio 2023 e nella Guida operativa di Confindustria pubblicata pochi giorni fa.  

Qual è l’ambito di applicazione soggettivo della nuova disciplina?  

Gli artt. 2 e 3 del D.Lgs. n. 24/2023, individuano quali destinatari della nuova disciplina: 

• soggetti del settore pubblico: le amministrazioni pubbliche, le autorità amministrative indipendenti, gli enti pubblici economici, i concessionari di pubblico servizio, le imprese a controllo pubblico e le imprese in house, anche se quotate. 
• soggetti del settore privato: a) coloro che hanno impiegato, nell’ultimo anno, la media di almeno 50 lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato; b) coloro che rientrano nell’ambito di applicazione degli atti dell’Unione di cui alle parti I.B e II dell’Allegato al Decreto (che ripropone a sua volta l’Allegato alla Direttiva UE), anche se nell’ultimo anno non hanno raggiunto la media di 50 lavoratori subordinati (come precisato da Confindustria, si deve fare riferimento all’ultimo anno solare precedente a quello in corso, salvo che l’impresa sia stata costituita nel 2023). Si tratta, in particolare, dei settori dei servizi, prodotti e mercati finanziari, prevenzione del riciclaggio e del finanziamento del terrorismo, nonché della sicurezza dei trasporti; c) coloro che, pur essendo diversi dai soggetti di cui alla lettera b), hanno un modello di organizzazione e gestione 231/01, anche se nell’ultimo anno non hanno raggiunto la media di 50 lavoratori subordinati. 

Inoltre, le Linee guida ANAC precisano che rientrano nel perimetro della normativa tutti i soggetti che si trovino anche solo temporaneamente in rapporti lavorativi con una amministrazione o con un ente privato, pur non essendo propriamente dipendenti (volontari, tirocinanti, retribuiti o meno), gli assunti in periodo di prova, nonché coloro che ancora non hanno un rapporto giuridico con gli enti citati o il cui rapporto è cessato se, rispettivamente, le informazioni sulle violazioni sono state acquisite durante il processo di selezione o in altre fasi precontrattuali ovvero nel corso del rapporto di lavoro. 

Qual è l’ambito di applicazione oggettivo della nuova disciplina? 

La nuova disciplina si applica alle violazioni delle disposizioni normative nazionali e dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato, di cui i soggetti segnalanti siano venuti a conoscenza nel contesto lavorativo. 

In particolare, muovendo dalle Linee Guida ANAC, vale la seguente classificazione: 

• violazioni delle disposizioni normative nazionali: ricomprendono gli illeciti penali, civili, amministrativi o contabili diversi rispetto a quelli specificamente individuati come violazioni del diritto UE, i reati presupposto ai fini dell’applicazione del D. Lgs. 231 del 2001 e le violazioni dei modelli di organizzazione e gestione previsti nel citato Decreto 231, anch’esse non riconducibili alle violazioni del diritto dell’UE; 
• violazioni della normativa europea: rappresentano gli illeciti commessi in diretta violazione delle disposizioni normative europee elencate nell’Allegato 1 al Decreto n. 24/2023, nonché di tutte le disposizioni nazionali che ne danno attuazione, gli atti o le omissioni che ledono gli interessi finanziari dell’Unione Europea o, ancora, quelli riguardanti il mercato interno, che compromettono la libera circolazione delle merci, delle persone, dei servizi e dei capitali (tutti settori di rilevanza euro-unitaria). Infine, tale categoria ingloba gli atti o i comportamenti che vanificano l’oggetto o la finalità delle disposizioni dell’Unione Europea nei settori indicati ai punti precedenti (ad esempio, le pratiche abusive in tema di concorrenza). 

Tuttavia, come precisano le Linee Guida ANAC, il Decreto non pregiudica l’applicazione di alcune disposizioni nazionali o dell’UE, tra cui quelle in materia di: informazioni classificate; segreto professionale forense; segreto professionale medico; segretezza delle deliberazioni degli organi giurisdizionali; norme di procedura penale; autonomia e indipendenza della magistratura; difesa nazionale e di ordine e sicurezza pubblica; esercizio dei diritti dei lavoratori.  Per questi settori – cd. sensibili – sarà prevalente la disciplina di settore, giusta la clausola di salvezza qui menzionata. 

Quale deve essere il contenuto della segnalazione?  

Quanto all’oggetto, la segnalazione comprende le informazioni, inclusi i fondati sospetti, su violazioni già commesse o non ancora commesse (ma che, sulla base di elementi concreti, potrebbero esserlo in futuro), nonché su condotte volte ad occultarle (es. occultamento o distruzione di prove). La latitudine, quindi, è particolarmente ampia: abbraccia sia evidenze di prova che indizi semplici (ma circostanziati: devono essere, infatti, fondati sospetti) aventi ad oggetti violazioni già perfezionatesi o, anche, violazioni non materialmente avvenute ma programmate, oltre che condotte finalizzate a pregiudicarne l’accertamento. 

Si deve poi trattare di comportamenti, atti od omissioni di cui il segnalante o il denunciante sia venuto a conoscenza nel contesto lavorativo in cui è inserito. Rilevano anche le segnalazioni intervenute nell’ambito di un rapporto successivamente terminato o, analogamente, inviate da coloro non ancora inquadrati formalmente da un rapporto contrattuale, le cui informazioni siano state acquisite in sede di selezione o nella fase precontrattuale. 

Rispetto al contenuto, la segnalazione deve indicare chiaramente: 1) le circostanze di tempo e di luogo in cui si è verificato il fatto; 2) la descrizione dell’accadimento; 3) le generalità o altri elementi che consentano di identificare il soggetto cui attribuire il potenziale illecito. 

Per quanto riguarda le segnalazioni anonime, le Linee Guida ANAC precisano che le stesse potranno essere gestite dall’ente pubblico o privato qualora sia dal medesimo prevista la loro trattazione; al contrario, se la segnalazione fosse esterna (quindi diretta all’ANAC), l’Autorità Nazionale Anticorruzione la gestirà in ogni caso. 

Quali sono i canali di segnalazione?  

Il Decreto disciplina i canali e le modalità per effettuare una segnalazione. 

I canali sono tre: 

a) Interno (obbligatorio).
La predisposizione del canale interno all’ente avviene tramite un apposito atto organizzativo, sentite le rappresentanze o le organizzazioni sindacali.
Quanto agli strumenti concreti attraverso cui attivare detto canale, si individuano due distinte modalità di segnalazione: in forma scritta, analogica o con modalità informatiche; in forma orale, attraverso linee telefoniche dedicate o sistemi di messaggistica vocale e, su richiesta del segnalante, attraverso un incontro diretto con il gestore della segnalazione, che deve essere fissato entro un tempo ragionevole. Al riguardo, anche alla luce delle Linee Guida ANAC, la scelta della modalità attraverso cui effettuare la segnalazione è rimessa al segnalante. Per l’impresa, invece, è obbligatorio predisporre tanto il canale scritto – analogico e/o informatico – quanto quello orale. 

b) Esterno.
Si può ricorrere al canale esterno in presenza delle seguenti condizioni, alternative tra loro: il canale interno non è attivo o, comunque, non è conforme a quanto previsto dal Legislatore in merito ai soggetti e alle modalità di presentazione delle segnalazioni; la persona ha già fatto una segnalazione interna, che tuttavia non ha avuto seguito; la persona segnalante ha fondati motivi di ritenere che, se effettuasse una segnalazione interna, la stessa non avrebbe efficace seguito e/o questa potrebbe determinare un rischio di ritorsione; la persona segnalante ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.

c) Divulgazione pubblica.
Anche questa modalità di reporting è condizionata, essendo ammessa soltanto se: i) il soggetto ha effettuato una segnalazione interna ed esterna ma, in relazione ad entrambe, non ha avuto riscontro entro termini ragionevoli; ii) la persona ha già effettuato direttamente una segnalazione esterna all’ANAC che, tuttavia, non ha dato riscontro al segnalante in merito alle misure previste o adottate per dare seguito alla segnalazione entro termini ragionevoli; iii) la persona ha fondato motivo di ritenere che la violazione possa rappresentare un pericolo imminente o palese per il pubblico interesse ovvero che la segnalazione esterna possa comportare il rischio di ritorsioni o, da ultimo, possa non avere efficace seguito.

Resta ferma, in ogni caso, la possibilità di effettuare denunce all’autorità giudiziaria e contabile. 

Esigenze di semplificazione e contenimento dei costi hanno portato il Legislatore a prevedere che i Comuni diversi dai capoluoghi di provincia, nonché i soggetti del settore privato che hanno impiegato, nell’ultimo anno, una media di lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato, non superiore a 249 possono condividere il canale di segnalazione interna e la relativa gestione. Resta fermo che una scelta di questo tipo deve coniugarsi con il rispetto dei principi previsti dal D.Lgs. 24 del 2023, in primis quello di riservatezza del segnalante (e degli altri soggetti tutelati). 

A chi compete e come viene gestita la segnalazione tramite canale interno?  

Il gestore della segnalazione interna può, alternativamente, identificarsi in: 

• Una persona fisica interna all’impresa. Ad esempio il responsabile anticorruzione, ove presente, ovvero i responsabili delle funzioni di Internal Audit o compliance; nel caso di medie e piccole imprese nelle quali le funzioni di Internal Audit e compliance non siano presenti, si potrebbe demandare ad una figura priva di mansioni operative, in modo da rispettare il criterio di autonomia previsto dalla normativa, quale ad esempio il responsabile delle funzioni legali o risorse umane. 
• Un ufficio interno all’impresa. Si pensi ai responsabili delle funzioni di controllo  (compliance o Internal Audit) e alle altre funzioni aziendali in grado di gestire in maniera appropriata e diligente la segnalazione (a titolo esemplificativo, la funzione legale o le risorse umane, il responsabile anticorruzione o i Comitati Etici, o, ancora, l’Organismo di vigilanza 231). 
• Un soggetto esterno, che rispetti i requisiti di autonomia, indipendenza e professionalità. 

Si tratta di una scelta rimessa alla libera discrezionalità dell’ente, che più di tutti può adeguarla a quelle che sono le caratteristiche della società. 

Inoltre, il Decreto disciplina i singoli step della presa in carico della segnalazione: 

1. ricezione tramite i canali dedicati; 
2. rilascio al segnalante, a cura del gestore della segnalazione, dell’avviso di ricevimento entro 7 giorni dalla presentazione della segnalazione stessa; 
3. esame preliminare della segnalazione (valutazione della procedibilità e dell’ammissibilità della stessa); 
4. valutazione nel merito circa la fondatezza o meno dei fatti segnalati, anche al fine di formulare eventuali raccomandazioni in merito all’adozione delle necessarie azioni correttive sulle aree e sui processi aziendali interessati; 
5. riscontro al segnalante, sempre a cura del gestore della segnalazione, entro 3 mesi dalla data di avviso di ricevimento o – in mancanza di tale avviso – entro 3 mesi dalla data di scadenza del termine di sette giorni per tale avviso. Nel dettaglio, tre saranno i possibili esiti: archiviazione della segnalazione, motivandone le ragioni; accertamento della fondatezza della segnalazione e relativa trasmissione agli organi interni competenti; istruttoria in essere, con l’indicazione dell’attività svolta fino a questo momento e dei prossimi passi. 

Come viene tutelato il soggetto segnalante o altro soggetto ad esso assimilato?  

Il Decreto si preoccupa di proteggere il segnalante e gli altri soggetti ritenuti a rischio con: 

• l’obbligo di riservatezza per quanto riguarda l’identità e qualsiasi altra informazione o elemento della segnalazione dal quale si potrebbe risalire alla medesima; 
• il divieto di atti ritorsivi – che comunque saranno considerati legalmente nulli –; in generale, l’Autorità preposta a ricevere segnalazioni di condotte ritorsive subite (anche in forma tentata) o semplicemente minacciate nell’ambito del whistleblowing è l’ANAC; 
• la limitazione della sua responsabilità per la diffusione di alcune tipologie di informazioni la cui rivelazione, tradizionalmente, può comportare responsabilità civile, amministrativa o penale. Tale tutela opera soltanto se: 1) a monte vi siano fondati motivi per ritenere che le informazioni siano necessarie per l’accertamento della violazione oggetto di segnalazione e, inoltre, 2) la segnalazione sia effettuata nel rispetto delle condizioni previste dal Decreto per beneficiare della tutela contro le ritorsioni (fondati motivi per ritenere veritieri i fatti segnalati, riconducibilità della violazione tra quelle segnalabili e rispetto delle modalità e delle condizioni di accesso alla segnalazione). 

Una novità rispetto al passato è l’estensione delle tutele sopra richiamate a soggetti diversi dal segnalante, che potrebbero comunque andare incontro a ritorsioni, in ragione del ruolo assunto all’interno della compagine societaria o del particolare rapporto con il segnalante: si tratta dei cd. facilitatori, delle persone che operano nel medesimo contesto lavorativo del segnalante, dei colleghi di lavoro del segnalante, denunciante o di chi effettua la divulgazione pubblica, che hanno con tale persona un rapporto abituale corrente e, infine, degli enti di proprietà o di altri enti presso cui il segnalante lavora. 

Quali azioni devono intraprendere i soggetti obbligati? 

Alla luce della nuova disciplina whistleblowing, risulta necessario: 

• aggiornare il Modello Organizzativo 231/01 sulla base dei requisiti prescritti dal nuovo Decreto, valutando la possibilità di adeguare i canali precedentemente attivati e le relative procedure interne. In sintesi, il Modello dovrà esplicitare: il riferimento al divieto di qualsiasi atto di ritorsione e il rispetto dei doveri di riservatezza nel trattamento delle informazioni relativamente alla gestione delle segnalazioni. Per quanto attiene gli ulteriori aspetti di applicazione e funzionamento dei canali interni, si potrà rinviare all’atto organizzativo e alle procedure adottate dall’ente; 
• integrare il sistema disciplinare dello stesso Modello Organizzativo, prevedendo sanzioni nei confronti dei responsabili delle violazioni per le quali l’ANAC applica sanzioni amministrative pecuniarie; 
• organizzare un’attività di formazione e informazione dei soggetti interni ed esterni a vario titolo coinvolti circa le implicazioni etiche, legali e di riservatezza che scaturiscono dalle procedure di segnalazione. 

Ciò che si può trarre a valle di questa panoramica sono essenzialmente due aspetti: la progressiva centralità del whistleblowing nell’ambito della compliance aziendale e l’auspicata sinergia tra professionisti dotati di diversa expertise, condizione che pare imprescindibile per rendere un servizio che possa realmente tenere testa agli interessi in gioco.