Whistleblowing e linee guida ANAC: dubbi interpretativi e nodi irrisolti

Sebbene in ritardo rispetto alla tabella di marcia, il 14/7/2023 (quindi un giorno prima dell'entrata in vigore del decreto legislativo 24/2023 in tema di whistleblowing per le imprese con almeno 250 dipendenti), l'ANAC ha pubblicato sul suo sito web istituzionale le "Linee guida in materia di protezione delle persone che segnalano violazioni del diritto dell'Unione e protezione delle persone che segnalano violazioni delle disposizioni normative nazionali. Procedure per la presentazione e gestione delle segnalazioni esterne" (approvate con delibera n. 311 del 12/7/2023 , dopo una fase di consultazione pubblica su un preliminare Schema di linee guida, conclusasi il 15/6/2023, e poi pubblicate in Gazzetta Ufficiale n.172 del 25/07/2023).

Questo atto di indirizzo dell'Authority non ha forza di legge, quindi non è vincolante, bensì rientra nella variegata categoria degli atti di soft law. Ciononostante, possiede un indubbio valore interpretativo e di orientamento applicativo per i suoi destinatari, considerato il ruolo che il decreto 24/2023 riserva all'ANAC.

Se dunque, da un lato, l'emanazione delle Linee guida va accolta con favore (soprattutto alla luce di alcune scelte non del tutto felici del Legislatore in sede di attuazione della Direttiva UE 2019/1937, nonché di una tecnica legislativa non sempre precisa, e quindi foriera di diversi dubbi interpretativi o di vere e proprie lacune), dall'altro lato non si possono tacere alcune criticità che permangono e che si spera vengano risolte con i futuri ulteriori atti di indirizzo che la stessa ANAC ha preannunciato, con particolare riferimento ai canali di segnalazione interni.

Uno degli aspetti su cui l'ANAC (e il Legislatore ancor prima) avrebbe potuto fare maggiore chiarezza è il rapporto tra i sistemi preventivi adottati dalle aziende ai sensi del d.lgs. 231/2001 e la normativa whistleblowing. Infatti - mentre è pacifico che si sia superato il sostanziale binomio "231-whistleblowing" dettato dal previgente d.lgs. 179/2017, soprattutto quanto al perimetro oggettivo delle violazioni segnalabili e al soggetto deputato alla gestione delle segnalazioni – rimangono aree di incertezza circa:
a) le caratteristiche che devono avere i canali di segnalazione previsti dai Modelli 231 delle società destinatarie del decreto whistleblowing ;
b) il ruolo che gli Organismi di Vigilanza 231 possono rivestire nell'ambito della gestione delle segnalazioni whistleblowing.

In particolare, l'art. 4 comma 1 del d.lgs. 24/2023 dispone che "I modelli di organizzazione e di gestione, di cui all'articolo 6, comma 1, lettera a), del decreto legislativo n. 231 del 2001, prevedono i canali di segnalazione interna di cui al presente decreto".

Specularmente, l'art. 24 comma 5 del d.lgs. 24/2023 sostituisce il comma 2-bis dell'art. 6 del d.lgs. 231/2001 con il seguente testo: "I modelli di cui al comma 1, lettera a), prevedono, ai sensi del decreto legislativo attuativo della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio del 23 ottobre 2019, i canali di segnalazione interna, il divieto di ritorsione e il sistema disciplinare, adottato ai sensi del comma 2, lettera e".

Le Linee guida non forniscono chiarimenti sulla lettura da dare al combinato disposto delle due norme, da cui non si evince con certezza se tutti i canali di segnalazione contenuti nel Modello 231, e quindi anche quelli specificamente previsti per le violazioni del Modello e quindi la commissione di reati-presupposto, devono obbligatoriamente avere le caratteristiche contenute negli artt. 4-5 del decreto whistleblowing. Oppure se, più semplicemente, il Modello 231 può limitarsi a citare l'esistenza dei canali di segnalazione interna whistleblowing accanto ai canali di segnalazione di illeciti 231.

Se si propendesse per la prima interpretazione (plausibile, da un punto di vista meramente letterale), si dovrebbe concludere che i numerosissimi Modelli 231 che attualmente prevedono una email o una PEC quale strumento per interloquire con l'OdV debbano essere aggiornati e integrati, al fine di prevedere canali maggiormente strutturati, come piattaforme informatiche che permettano l'invio di segnalazioni scritte e orali con elevato livello di sicurezza e garanzia di riservatezza (per esempio mediante crittografia).

Le stesse Linee guida infatti esprimono un disfavore per la mail ordinaria e la PEC ai fini delle segnalazioni whistleblowing, suggerendo invece le piattaforme informatiche quale strumento preferibile.

A quest'ultimo proposito (utilizzo disinvolto del verbo "prevedono" nell'art. 4 comma 1, e 24 comma 5) emerge uno dei tratti critici del decreto whistleblowing e quindi, a cascata, delle Linee guida, cioè un deficit di rigore terminologico e giuridico. Infatti, spesso a una scarsa precisione lessicale del decreto è conseguito un indirizzo interpretativo o una spiegazione di ANAC che non ha portato la chiarezza sperata.

Per esempio, si pensi all'uso delle locuzioni "anche", "oppure", "o" e "ovvero" all'interno dello stesso comma 3 dell'art. 4 dedicato alle diverse forme con cui le segnalazioni possono essere fatte, e alle incertezze interpretative che ne sono derivate.

Si vedano a tal proposito le osservazioni fatte in sede di consultazione pubblica da associazioni come AODV231 o Generazione231.

Le Linee guida si limitano a una scarna tabella riepilogativa a p. 36 (paragrafo 3.1), laddove non si prende posizione sulla questione dell'alternatività tra le forme di segnalazione citate dal decreto, ed invece si aggiunge un concetto privo di ancoramento giuridico, cioè quello di "piattaforma online", che ricorre poi anche a p. 37 e 42, quasi a suggerire (senza però esporsi apertamente) che quella sia la soluzione informatica preferibile per la ricezione e gestione delle segnalazioni interne.

Che la tecnica legislativa sia in generale peggiorata nel corso degli anni è sensazione diffusa tra gli operatori: un altro esempio in tema di whistleblowing si ritrova nella distinzione, frutto di interpretazione e priva in realtà di substrato normativo, tra "canale di segnalazione" e "gestione della segnalazione".

Secondo alcuni commentatori, l'art. 4 comma 4 del d.lgs. 24/2023 ( "4. […] I soggetti del settore privato che hanno impiegato, nell'ultimo anno, una media di lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato, non superiore a duecentoquarantanove, possono condividere il canale di segnalazione interna e la relativa gestione") permetterebbe di distinguere tra "canale di segnalazione" (cioè attività e strumenti/modalità di raccolta delle segnalazioni) e successiva "gestione della segnalazione" (attività istruttoria e di indagine conseguente alla ricezione della segnalazione e azioni prese all'esito).

Le conclusioni di tale sforzo interpretativo sono state diverse nei mesi recenti:
• Secondo Assonime ( Circolare Assonime n. 12 del 18/4/2023 ), il divieto di condivisione per le grandi imprese vale sia per il canale sia per la gestione, lasciando comunque un'apertura riguardo alla legittimità della condivisione della gestione a livello di gruppo se al contempo coesiste la possibilità (a scelta del segnalante) di fare gestire la segnalazione alla legal entity di riferimento;
• Transparency International Italia (F.A.Q. a seguito dell'evento "Prospettive sul Whistleblowing" del 18/5/2023: Prospettive Whistleblowing - Transparency International Italia ) invece parte dalla predetta distinzione per dare dei suggerimenti non tanto in merito alla condivisione di gruppo, quanto per affermare che per le imprese con più di 249 dipendenti l'unica modalità conforme al decreto per una gestione accentrata sia quella – non della condivisione, ma – della esternalizzazione. A questo proposito inoltre puntualizza che ciò che la grande impresa può esternalizzare è solo il canale di segnalazione, e non anche l'attività di ricezione e gestione delle segnalazioni.

A parere di chi scrive, tuttavia, distinguere nettamente tra "canale di segnalazione" e "attività di segnalazione", ed altresì tra "gestione del canale di segnalazione" e "gestione della segnalazione" non è affatto facile (né, in ultima analisi, corretto) per i seguenti motivi:
• non sussiste alcun chiaro dato letterale nel d.lgs. 24/2023 che permetta di operare una precisa distinzione tra "canale di segnalazione" e "gestione della segnalazione";
• semmai, è possibile evincere una distinzione, peraltro ricorrente nel testo del decreto (a mero titolo esemplificativo: rubrica dell'art. 4; rubrica dell'art. 5; art. 4 comma 2; art. 5 comma 1, incipit) tra "canale di segnalazione interna" e "gestione del canale di segnalazione interna", talvolta descritti unitamente (con una sorta di endiadi) come "il canale di segnalazione interna e la relativa gestione" (si veda per esempio l'art. 4 comma 4);
• i tentativi di distinguere tra "gestione della segnalazione" e "gestione del canale di segnalazione" appaiono poco utili, tecnicamente imprecisi e forieri di aporie (a mero titolo esemplificativo: la ricezione della segnalazione rientra nel mero canale, o è già catalogabile come "gestione della segnalazione"?);
• sussistono al contrario appigli testuali per far più semplicemente confluire la nozione di "gestione della segnalazione" in quella di "gestione del canale di segnalazione interna", da intendersi come concetto omnicomprensivo riferito a tutte le attività conseguenti alla mera ricezione della segnalazione attraverso il canale (scritto, orale, informatico, etc.) messo a disposizione del reporter e da quest'ultimo prescelto. Si veda in proposito l'art. 4 co. 2 ("La gestione del canale di segnalazione è affidata a una persona o a un ufficio interno autonomo dedicato e con personale specificamente formato per la gestione del canale di segnalazione, ovvero è affidata a un soggetto esterno"): la norma perderebbe di senso e scopo se la persona o ufficio o soggetto esterno cui si fa cenno non dovesse essere il soggetto che, oltre alla mera attività di ricezione della segnalazione, si dovesse occupare anche delle attività conseguenti; a maggior ragione, se si considera che tali soggetti o uffici devono essere specificamente formati in tema di privacy e whistleblowing.

Si veda anche l'art. 4 comma 4, laddove dispone che gli enti di dimensioni minori "possono condividere il canale di segnalazione interna e la relativa gestione". In questo caso sono le stesse interpretazioni sopra riportate di Assonime e Transparency International a venire in aiuto, dato che in tale ipotesi ammettono espressamente la condivisione sia del mero canale, sia della successiva attività di gestione e indagine, sulla base di un dato testuale che, però, parla di "gestione del canale" e non di "gestione della segnalazione". Si veda infine l'art. 21 comma 1 lett. b) in tema di sanzioni, che si riferisce a "procedure per l'effettuazione e la gestione delle segnalazioni".

Si condivide quindi l'impostazione adottata dalle Linee guida (che sembra peraltro ispirata più da senso pratico che da rigore giuridico), secondo cui non c'è distinzione tra "gestione del canale di segnalazione" e "gestione della segnalazione" e, anzi, laddove il decreto parla di condivisione o esternalizzazione, lo stesso si riferisce unitamente a "il canale di segnalazione interna e la relativa gestione".

In questa direzione depongono la tabella riepilogativa a p. 37 e il paragrafo tra p. 38 e 39 (intitolato "I soggetti cui va affidata la gestione delle segnalazioni"), che fanno riferimento alla "gestione delle segnalazioni", commentando il contenuto dell'art. 4 del decreto, che invece parla più precisamente di "canale di segnalazione interna e la relativa gestione".

Un ulteriore esempio di insufficiente qualità del dettato normativo si ritrova riguardo al tema delle procedure o policy che le imprese dovranno implementare per regolare l'attività di ricezione e gestione delle segnalazioni whistleblowing.

Come in altri casi (si è accennato sopra al tema della "piattaforma"), il decreto non fornisce una definizione di "procedura", ma utilizza tale espressione sia nell'art. 5, comma 1 lett. e) ("Nell'ambito della gestione del canale di segnalazione interna, la persona o l'ufficio interno ovvero il soggetto esterno, ai quali è affidata la gestione del canale di segnalazione interna svolgono le seguenti attività: […] e) mettono a disposizione informazioni chiare sul canale, sulle procedure e sui presupposti per effettuare le segnalazioni interne, nonchè sul canale, sulle procedure e sui presupposti per effettuare le segnalazione esterne."), sia nell'art. 21, comma 1 lett. b) ("1. Fermi restando gli altri profili di responsabilità, l'ANAC applica al responsabile le seguenti sanzioni amministrative pecuniarie: […] b) da 10.000 a 50.000 euro quando accerta che non sono stati istituiti canali di segnalazione, che non sono state adottate procedure per l'effettuazione e la gestione delle segnalazioni ovvero che l'adozione di tali procedure non è conforme a quelle di cui agli articoli 4 e 5, nonchè quando accerta che non è stata svolta l'attività di verifica e analisi delle segnalazioni ricevute; […]").

Pur trattandosi di un aspetto dalle ricadute pratiche evidenti, le Linee guida dedicano poche righe al riguardo (si veda soprattutto il primo capoverso di p. 38), con ciò mancando di fornire utili appigli soprattutto alle PMI (solitamente meno avvezze, rispetto a grandi imprese e multinazionali, a regolare flussi e attività aziendali con apposite procedure interne).

Anzi, le Linee guida apportano un ulteriore elemento di incertezza, laddove, da un lato, introducono il concetto (sconosciuto al testo del d.lgs. 24/2023) di "atto organizzativo" quale presupposto dell'adozione delle procedure suddette e, dall'altro lato, dispongono che i canali di segnalazione possono essere definiti anche dal Modello 231 (alimentando nuovamente la confusione sui rispettivi perimetri applicativi di presìdi preventivi whistleblowing e 231).

Da ultimo, altri esempi di linguaggio giuridico carente si ritrovano sparsi qua e là nel testo delle Linee Guida, soprattutto dove (seguendo l'abbrivio del Legislatore) si sforza di spiegare o definire concetti mediante elenchi di sinonimi o perifrasi, che finiscono però per ottenere il risultato contrario: per esempio, a p. 26-27 si spiega quali sono le informazioni escluse dal perimetro di tutela del whistleblowing, e si parla di "notizie palesemente prive di fondamento, […] nonché le informazioni acquisite solo sulla base di indiscrezioni o vociferazioni scarsamente attendibili (cd. voci di corridoio)".

Nonostante gli auspici di molti commentatori e operatori (a mero titolo esemplificativo, si citano ancora le FAQ di Transparency International Italia, nonché le osservazioni allo schema di Linee guida fatte da AODV231 e Generazione231), le Linee guida non offrono particolari indicazioni riguardo al ruolo dell'Organismo di Vigilanza 231.

Mentre gli operatori summenzionati avevano apertamente evidenziato l'opportunità che ANAC suggerisse di affidare l'incarico di gestore delle segnalazioni all'OdV solo per le imprese di minori dimensioni (sotto i 250 dipendenti), le Linee guida si limitano (p. 39) a sottolineare l'autonomia di ciascun ente, in considerazione delle esigenze connesse alle dimensioni, alla natura dell'attività esercitata e alla realtà organizzativa concreta, e citano poi l'Organismo di Vigilanza insieme ad altri soggetti (organi di internal audit e comitati etici) che, a titolo esemplificativo, possono ricoprire il ruolo in questione.

Da un lato, quindi, le Linee guida suggeriscono che si debba tenere conto di una serie di criteri nella scelta del soggetto gestore delle segnalazioni (tra cui la dimensione e la complessità organizzativa dell'ente), ma dall'altro lato mettono sullo stesso piano funzioni e organi di natura molto diversa tra loro, e che nella prassi hanno applicazioni ben distinte (si pensi alla presenza degli OdV, spesso monocratici, nelle società più piccole, alla presenza solo nelle grandi imprese e nei gruppi internazionali dei comitati etici o delle funzioni di compliance o di internal audit).

Peraltro, emerge ancora qui una scelta lessicale poco felice da parte di ANAC, se solo si pensa che il Considerando n. 56 della Direttiva UE 2019/1937 (al di là di qualche traduzione imprecisa nella versione in lingua italiana) prevede un elenco molto più nutrito di potenziali funzioni o uffici aziendali a cui poter affidare il ruolo di gestore delle segnalazioni ("…un funzionario che faccia capo direttamente al direttore organizzativo, come un responsabile della conformità o delle risorse umane, un responsabile dell'integrità, un responsabile delle questioni giuridiche o della privacy, un direttore finanziario, un revisore contabile capo o un membro del consiglio di amministrazione").

Il tema, da altro punto di vista, si lega a quelli, tuttora non risolti dalle Linee guida ANAC:
• dei rapporti tra perimetro applicativo del whistleblowing e del sistema 231, nonché tra Modello 231 e procedure whistleblowing;
• dei flussi informativi e di reporting reciproci che devono coesistere tra OdV e soggetto gestore della segnalazione, e tra questi e i soggetti a cui venga erroneamente inviata una segnalazione rilevante ai fini 231 o whistleblowing.

Infine, una delle mancanze più lampanti sia del decreto attuativo 24/2023 sia delle conseguenti Linee guida ANAC è rappresentata dal tema del whistleblowing nei gruppi di imprese e nei gruppi internazionali.

Con il Position Paper del 20/1/2023 , Confindustria aveva caldeggiato al Legislatore (che di lì a poco avrebbe emanato il decreto 24/2023 attuativo della direttiva europea) una particolare attenzione nella regolazione dei sistemi di whistleblowing per i grandi gruppi di imprese, allo scopo di non disperdere il patrimonio di misure, procedure, strumenti e investimenti già realizzati dai grandi gruppi di imprese (nazionali e internazionali). In particolare, il riferimento andava all'art. 8 comma 6 della Direttiva UE, che prevedeva la facoltà per le imprese di minori dimensioni di condividere i canali segnalazione e la relativa gestione, pur senza escludere esplicitamente che tale opzione fosse percorribile anche per le grandi imprese.

Ciononostante, né il Legislatore (l'art. 4 comma 4 del decreto 24/2023 ricalca pedissequamente la norma comunitaria) né le successive Linee guida ANAC (pur avendo ricevuto sollecitazioni in tale direzione: si vedano le predette Osservazioni di AODV231 e di Generazione 231) hanno seguito il suggerimento di Confindustria. Contrariamente a quanto fatto accaduto in altri Stati membri (ad esempio, Francia, Spagna e Danimarca, che nei rispettivi decreti attuativi hanno previsto espressamente questa casistica), in Italia la possibilità per i grandi gruppi, in particolari quelli a carattere internazionale, di condividere i canali di segnalazione e la relativa gestione rimane quindi oggetto di dibattito.

La legittimità di tale pratica potrebbe desumersi comunque dall'accento che le Linee guida danno (si veda per esempio quanto detto sopra in merito alla scelta del soggetto gestore delle segnalazioni) all'autonomia organizzativa degli enti, nonché da un generale principio di legalità, per cui una condotta passibile di sanzione (la condivisione dei canali di segnalazione, in quanto procedura non conforme ai sensi dell'art. 21 dlgs 24/2023) dovrebbe rispondere a criteri di tassatività e determinatezza, e non derivare invece dallo sterile criterio ermeneutico "ubi lex voluit dixit, ubi noluit, tacuit", a maggior ragione se si tengono a mente le carenze terminologiche e di tecnica legislativa di cui soffre il d.lgs. 24/2023.

Da diverso punto di vista, la facoltà per i grandi gruppi di condividere il canale di segnalazione e la sua gestione, anche con modalità e strumenti cross-country, potrebbe trovare legittimità su un terreno diverso, cioè quello offerto dall'art. 4 comma 2 Dlgs 24/2023, che prevede la possibilità di affidare la gestione del canale (non solo a un soggetto o ufficio interno condiviso tra imprese dello stesso gruppo, ma anche) "a un soggetto esterno, anch'esso autonomo e con personale specificamente formato".

In mancanza di espressi divieti legislativi ed anzi sulla base degli elementi interpretativi letterali e logico-sistematici summenzionati, a parere di chi scrive, l'outsourcing intercompany può essere lo schema giuridico su cui far atterrare gli sforzi di multinazionali e gruppi societari internazionali tesi a non disperdere gli investimenti (economici, organizzativi, infrastrutturali, etc.) già fatti negli anni passati in tema di whistleblowing, pur conformandosi alle novità normative portate dalle applicazioni nazionali della Direttiva UE 2019/1937.

L'esternalizzazione del servizio di canale di segnalazione (e della relativa gestione) deve naturalmente poggiare su un contratto. L'ipotesi maggiormente percorribile pare quella del contratto infragruppo (verosimilmente nella forma giuridica dell'appalto di servizi), con cui la singola legal entity esternalizza il servizio alla capogruppo (che a sua volta può essere intestataria del contratto con il fornitore della piattaforma informatica), a condizione che la seconda rispettati i requisiti di autonomia e specifica formazione previsti dal decreto.

Anche a questo proposito, però, le Linee guida non offrono indicazioni utili agli operatori, limitandosi (p. 42) a premurarsi che, in caso di affidamento della gestione a soggetto esterno da parte di più aziende dello stesso gruppo, ogni impresa possa accedere solo alle segnalazioni di sua competenza e siano quindi previste misure tecniche e organizzative idonee a garantire la segregation .

Oltre a essere laconica e a toccare solo un aspetto di dettaglio della più ampia questione del whistleblowing nei grandi gruppi (omettendo, per esempio, di fornire suggerimenti sulla formazione dei comitati transnazionali che sovente nelle multinazionali sovrintendono i processi interni di whistleblowing, compliance, ethics e integrity), questa indicazione di ANAC è collocata in un paragrafo che tratta espressamente solo delle imprese di minori dimensioni, alimentando ancor più l'incertezza sulla corretta applicazione da dare al decreto soprattutto da parte delle grandi imprese, per cui le nuove norme sono tuttavia già entrate in vigore il 15/7/2023.

Si auspica quindi che i successivi atti di indirizzo preannunciati da ANAC (in particolare con riferimento ai canali di segnalazione interni) vengano pubblicati presto, quantomeno prima dell'entrata in vigore del d.lgs. 24/2023 per le imprese di minori dimensioni al 17/12/2023.

Parrebbe inoltre ragionevole - tenuto conto del notevole indugio dello Stato italiano nell'attuazione della direttiva, del ristretto periodo di tempo concesso alle grandi imprese per adeguarsi, del ritardo di ANAC nell'emanazione delle Linee guida (attese per il 30/6/2023 e pubblicate solo un giorno prima del 15/7/2023, peraltro con tutte le insufficienze evidenziate dagli operatori), nonché della prossima emanazione di nuove Linee guida – che (così come fatto per il recente Codice della Crisi d'Impresa e dell'Insolvenza, posticipato a più riprese a causa di vari fattori, esogeni ed endogeni) il Legislatore prevedesse uno slittamento (almeno a favore delle grandi imprese, per allinearle alla scadenza del 17/12/2023 prevista per quelle più piccole) quantomeno dell'art. 21 del decreto relativo alle sanzioni, oppure una causa di esclusione o riduzione della responsabilità (per il periodo di questa ipotetica proroga) per gli enti che possano dimostrare di aver intrapreso il percorso di adeguamento alla normativa (per esempio, adottando specifica delibera dell'organo amministrativo e/o idonei atti organizzativi interni per l'attuazione degli obblighi previsti dal decreto; incaricando gli appositi uffici interni oppure il consulente o professionista esterno per gli adempimenti relativi alla redazione della procedura whistleblowing o agli aspetti privacy o di adeguamento del Modello 231; raccogliendo e valutando proposte dei fornitori per soluzioni informatiche relative al canale di segnalazione, etc.).

_____
*A cura di Avv. Nicola Traverso, Partner, Lexant