Il ruolo dell’Organismo di vigilanza e la gestione delle segnalazioni whistleblowing
di Federica Zazzaro, Dottoranda di ricerca in Diritto penale
1. Il decreto legislativo n. 24/2023 e le novità in tema di whistleblowing
Con il decreto legislativo del 10 marzo 2023 n. 24 l’Italia ha recepito la direttiva europea n. 2019/1937 in tema di whistleblowing, con il dichiarato intento di riformare la disciplina previgente, prevedendo la protezione delle persone che segnalano violazioni di disposizioni normative, nazionali o europee, che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato, violazioni di cui siano venute a conoscenza in un contesto lavorativo pubblico o privato (cfr. art. 1, comma 1 d.lgs. n. 24/2023).
Tra le principali innovazioni introdotte dal decreto nel settore privato si segnala, innanzitutto, un ampliamento dell’ambito di applicazione della disciplina whistleblowing, che non si limita più agli enti dotati di modello organizzativo e in relazione al verificarsi dei soli reati presupposto previsti dal d.lgs. n. 231/2001, ma che abbraccia anche gli enti che operano in determinati settori rilevanti per l’Unione europea – l’art. 2 comma 1 lett. q) n. 2), rinvia ai settori: servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo; sicurezza dei trasporti e tutela dell’ambiente – ed enti con meno di cinquanta lavoratori che rientrino nell’ambito di applicazione del d.lgs. n. 231/2001.
Inoltre, si è operata un’estensione delle violazioni oggetto delle segnalazioni, che per alcune categorie di enti – con più di 50 dipendenti o, pur avendo meno di 50 dipendenti, in ambiti espressamente previsti dalla direttiva – potranno riguardare anche le violazioni di disposizioni normative nazionali o dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato (art. 2 comma 1, lett. a).
Rinviando l’analisi del decreto ai precedenti contributi pubblicati su Corporate Crime & Compliance Hub, in questa sede ci si soffermerà sulla disciplina prevista per il canale di segnalazione interno all’azienda (di cui agli artt. 4 e 5 del d.lgs. n. 24/2023) e, in particolare, si rifletterà sulla possibilità di configurare l’Organismo di vigilanza quale gestore delle segnalazioni interne dei whistleblower, tenuto conto delle funzioni attribuitegli dal d.lgs. n. 231/2001, nonché dei dati empirici recenti.
2. La gestione del canale di segnalazione interna
Il Capo II del d.lgs. n. 24/2023 individua le procedure di segnalazione, dettando una serie di regole per il canale di segnalazione interno all’ente ed incentivando quest’ultimo a dotarsi di strutture di governance efficienti ed integrate nei propri sistemi di controllo.
In particolare, l’art. 4 indica le modalità di presentazione delle segnalazioni interne e rinvia ai soggetti del settore privato dotati di modello organizzativo il compito di predisporre adeguati meccanismi interni che rispettino l’iter procedurale previsto e che dispongano, altresì, di sistemi di tutela della riservatezza del whistleblower e del contenuto della segnalazione (art. 5).
Tra le novità elencate finora, si segnala il fatto che la novella legislativa ha rimesso alla discrezionalità dell’ente l’individuazione del soggetto cui affidare l’incarico di gestione della raccolta e del trattamento delle segnalazioni interne (art. 4 comma 2 d.lgs. n. 24/2023).
Secondo la normativa l’ente dovrà attribuire il suddetto compito ad una «persona o ad un ufficio interno autonomo e dedicato con personale specificamente formato per la gestione del canale di segnalazione ovvero a un soggetto esterno, anch’esso autonomo e con personale specificamente formato», tenendo conto altresì della natura, delle caratteristiche dimensionali della società o del gruppo a cui appartiene e, infine, dei sistemi di controllo interno già esistenti nell’impresa.
Da ciò deriva che negli enti dotati di un modello di organizzazione e gestione sarà quest’ultimo a dover indicare espressamente il soggetto o l’ufficio ad hoc a cui indirizzare le segnalazioni. Sul punto, infatti, il d.lgs. n. 24/2023 interviene sull’art. 6 comma 2 bis del d.lgs. n. 231/2001 prevedendo un rinvio in toto alla disciplina del decreto.
A titolo esemplificativo, i destinatari delle segnalazioni effettuate attraverso il nuovo canale interno potrebbero essere un soggetto o comitato specificamente individuato, quale l’Organismo di vigilanza, un ente o soggetto esterno dotato di attestata professionalità, che si occupi di gestire la prima fase di ricezione delle segnalazioni in coordinamento con l’ente, o anche il responsabile della funzione compliance o un comitato rappresentato da soggetti appartenenti a varie funzioni (ad esempio legale, internal audit o compliance).
Tra i vari soggetti a cui l’ente può affidare questo compito, particolare attenzione va assegnata all’Odv, che per il suo ruolo di destinatario dei flussi informativi endosocietari sembrerebbe essere la figura più adeguata a ricevere e gestire anche le segnalazioni interne di cui al comma 2 dell’art. 4 d.lgs. n. 24/2023.
Inoltre, se si guarda ai dati empirici emersi recentemente – si rinvia all’indagine promossa da Assonime nel 2021 “L’Organismo di Vigilanza nella prassi delle imprese a vent’anni dal d.lgs. 231/2001” nell’ambito del progetto di ricerca della Fondazione CNPDS – si può constatare come la prassi diffusa, vigente la precedente normativa, sia stata quella di affidare la competenza a ricevere e gestire le segnalazioni whistleblowing all’Odv (su duecento società emittenti titoli quotati in Borsa circa il 67% delle società, rispetto ad un 13% che ha optato per altri soggetti, tra cui l’internal audit o uffici appositamente istituiti).
3. Sul possibile ruolo svolto dall’Organismo di vigilanza nel meccanismo whistleblowing
In via preliminare, al fine di comprendere se l’Odv possa svolgere questa funzione, è necessario guardare alla disciplina di riferimento di cui al d.lgs. n. 231/2001, con l’intento di delineare il ruolo e le funzioni di cui è investito nonché i requisiti ad esso attribuiti.
La ricostruzione della struttura e delle funzioni dell’Odv è tratteggiata in modo alquanto minimale dal d.lgs. n. 231/2001. Pertanto, accanto al dato legislativo, è necessario guardare ai contributi offerti dalla dottrina nonché, soprattutto, ai dati desumibili dalle linee guida elaborate dalle associazioni di categoria (es: linee guida Confindustria) e alle pronunce giurisprudenziali intervenute sul punto.
Il d.lgs. n. 231/2001 assegna all’Odv il compito di sorvegliare sul funzionamento e sull’osservanza del modello organizzativo e gestionale adottato dall’ente e, inoltre, gli conferisce autonomi poteri di iniziativa e di controllo (art. 6, comma 1, lett. b, d.lgs. 231/2001).
A fronte del ruolo essenziale svolto nel sistema di responsabilità dell’impresa, particolare rilievo assume la connotazione di indipendenza dell’Odv quale organismo collettivo. Pertanto, ad una prima considerazione, la sua autonomia funzionale e gerarchica rispetto a qualsiasi altro ufficio interno all’azienda permetterebbe di assolvere al delicato compito di gestione delle segnalazioni nonché garantirebbe un livello adeguato di tutela della segretezza, tanto dell’identità del whistleblower quanto del contenuto delle segnalazioni.
Diversamente, se il suddetto ruolo in tema di whistleblowing fosse rivestito da un soggetto interno all’impresa, come ad esempio l’internal auditor, si potrebbe avere un maggiore rischio di ritorsioni nei confronti dei segnalanti o di una scorretta gestione del canale interno condizionato da scelte discrezionali dell’ufficio operante.
In secondo luogo, l’Odv è destinatario dei flussi informativi relativi all’andamento dell’attività aziendale e ad eventuali criticità manifestatesi nell’attuazione del modello organizzativo (art. 6, comma 2, lett. d, d.lgs. 231/2001). Nella prassi, l’organo è periodicamente informato delle attività svolte in azienda, instaurando un rapporto continuato con i soggetti preposti al controllo interno. Inoltre, esso informa, con tempestività, i vertici della società, in modo che essi siano messi nelle condizioni di deliberare eventuali modifiche del modello in caso di accertamento di violazioni o inidoneità dello stesso.
Dunque, sembrerebbe essere in linea con la coerenza sistematica dell’impianto societario indirizzare al medesimo organo anche i flussi informativi costituiti dalle segnalazioni effettuate dai whistleblowers. In questo modo si avrebbe un unico attore – terzo ed indipendente – che rivestirebbe il ruolo sia di destinatario delle informazioni endosocietarie derivanti dai vari organi interni dell’ente (internal audit, legal and compliance) sia gestore delle informazioni concernenti le violazioni di disposizioni ai sensi del d.lgs. n. 24/2023.
In ogni caso, anche laddove non si voglia riconoscere un ruolo diretto all’Odv, sarebbe possibile prevedere un suo coinvolgimento in via concorrente, in linea con l’impianto del d.lgs. n. 231/2001, dal momento che il meccanismo whistleblowing è parte integrante e necessaria del modello organizzativo, di cui l’Odv è tenuto a vigilare il funzionamento, comportando così un’estensione dell’ambito di controllo anche alle previsioni di cui al nuovo comma 2 bis dell’art. 6 d.lgs. n. 231/2001.
Pertanto, seguendo questa linea interpretativa, all’Odv spetterà di sovrintendere all’integrazione del modello; supportare l’ente nella predisposizione di una specifica procedura che disciplini le modalità di segnalazione; verificare l’adeguatezza dei canali informativi, predisposti in applicazione della disciplina sul whistleblowing; gestire il processo di analisi e valutazione della segnalazione; vigilare sul rispetto del divieto di ritorsione, corredato da un impianto sanzionatorio da integrare nel sistema disciplinare ex art. 6, comma 2, lett. e, d.lgs. n. 231/2001.
4. Alcune riflessioni sulle difficoltà del ruolo di gestore delle segnalazioni in capo all’Organismo di vigilanza
Tuttavia, ad una più attenta riflessione, l’attribuzione all’Odv del nuovo canale di segnalazione interna solleva alcune criticità.
Innanzitutto, l’art. 4 del d.lgs. n. 24/2023 prevede che la gestione del canale di segnalazione sia affidata a una persona o a un ufficio interno o esterno «autonomo dedicato e con personale specificamente formato».
Dunque, il primo interrogativo che si pone riguarda l’idoneità dell’Odv a svolgere un compito che richiede una formazione altamente tecnica, tenuto conto del complesso iter procedurale di gestione delle segnalazioni interne, dei ristretti termini previsti per l’attività di riscontro, verifica e analisi della segnalazione introdotto dal decreto.
In secondo luogo, il d.lgs. n. 231/2001 non attribuisce alcun potere gestorio all’organismo. Esso viene qualificato dalla prevalente dottrina non come organo interno, quanto piuttosto come un apparato autonomo, privo di ruoli impeditivi e sanzionatori diretti, che svolge la sua funzione di vigilanza in modo indipendente ed esterno alla compagine societaria.
D’altro canto, anche la giurisprudenza di legittimità (v. di recente Cass. Pen. Sez. VI n. 23401/2022) si è espressa sul punto affermando che nello svolgere i compiti di controllo all’interno dell’azienda l’Odv non può avere connotazioni di tipo gestorio perché minerebbero la sua autonomia.
In questo senso, la disposizione al comma 2 dell’art. 4 facendo riferimento alla “gestione del canale di segnalazione” sembrerebbe implicitamente escludere, dai soggetti deputati al ruolo, la figura dell’Odv.
Difatti, la gestione della segnalazione comporta, in primo luogo, l’esercizio del potere di decisione sul trattamento delle stesse, nonché l’avvio di investigazioni interne volte ad accertare il fatto oggetto di segnalazione e ciò non sembrerebbe essere compatibile con il compito attribuito all’Odv dalla normativa, se non altro perché ne comprometterebbe l’autonomia e l’indipendenza rispetto ai soggetti endosocietari.
Ulteriore criticità che si avrebbe con l’attribuzione del ruolo in tema di whistleblowing all’Odv attiene all’ampliamento del novero di fattispecie oggetto di segnalazioni, che con la nuova normativa – e solo per alcune categorie di enti – va oltre i reati presupposto di cui al d.lgs. n. 231/2001, abbracciando violazioni di disposizioni nazionali e sovranazionali di cui al decreto. In questo modo, l’Odv qualora rivesta il ruolo di gestore del canale interno, verrebbe investito di altre incombenze che oltrepassano la sua funzione di vigilanza sistemica, come riconosciuta dal d.lgs. n. 231/2001 e corroborata dalla giurisprudenza recente già richiamata.
Al contrario, diverso discorso si potrebbe delineare per gli enti di piccole dimensioni, in relazione ai quali l’art. 6, comma 4, d.lgs. n. 231/2001 prevede che i compiti di vigilanza (e quindi il ruolo di Odv) possano essere svolti direttamente dall’organo dirigente. In questo caso, il requisito di autonomia richiesto dalla normativa per l’Odv verrebbe ridimensionato significativamente – la dottrina parla, seppur in senso critico, di autonomia attenuata – dando così la possibilità all’organismo deputato alla vigilanza di rivestire anche il ruolo di gestore delle segnalazioni, senza comprometterne i requisiti.
5. Il problema della responsabilità penale per omesso impedimento in capo ai membri dell’Odv
Ulteriore questione di estrema delicatezza concerne i profili di responsabilità penale che potrebbero derivare dall’omessa o inadeguata gestione del canale di segnalazione interno.
Il d.lgs. n. 24/2023 sul punto prevede all’art. 21 l’applicazione ad opera dell’ANAC di sanzioni amministrative pecuniarie al responsabile in una serie di ipotesi: quando sono state commesse ritorsioni, quando è stata ostacolata o si è tentato di ostacolare la segnalazione; quando non sono stati istituiti canali interni, nonché quando non è stata svolta l’attività di verifica e analisi delle segnalazioni ricevute.
Inoltre, al comma ultimo dispone che gli enti prevedano nel sistema disciplinare adottato ai sensi dell’art. 6, comma 2, lett. e), d.lgs. n. 231/2001, sanzioni nei confronti di coloro che accertano essere responsabili degli illeciti di cui al primo comma.
Fermo restando la possibilità di considerare l’Odv quale soggetto responsabile ai sensi dell’art. 21, la nuova disciplina whistleblowing solleva un interrogativo importante: in caso di cattiva o mancata gestione interna e per l’ipotesi di omessa verifica e analisi delle segnalazioni, i membri dell’Odv, oltre a rispondere dinnanzi all’ANAC con sanzioni amministrative pecuniarie, potrebbero essere considerati responsabili penalmente per omesso impedimento del reato segnalato?
La questione, invero, è alquanto controversa, attesa la problematicità della configurazione di una responsabilità penale per omesso impedimento del reato in capo ai membri dell’Odv. Sul punto, l’orientamento prevalente in dottrina, seppure con qualche difficoltà, sembrerebbe escludere l’esistenza di una posizione di garanzia dei componenti dell’Odv, e quindi una responsabilità omissiva impropria per mancato impedimento dei reati, ai sensi dell’art. 40 comma 2 c.p.
Difatti, come già analizzato in precedenza, il d.lgs. n. 231/2001 dispone che l’Odv svolga una mera funzione di controllo, che non si traduce nel potere di impedire la commissione del reato altrui, non avendo appunto i membri dell’OdV poteri gestori e non disponendo, quindi, di poteri impeditivi dell’evento.
Anche da quest’angolazione, quindi, la prospettiva di affidare la gestione delle segnalazioni all’OdV appare problematica: come già detto, se si considera tale attività come gestoria, che, come tale, comporta la verifica delle singole segnalazioni. Nel caso concreto, ben potrebbe accadere che l’organismo sia in grado di attivare, a seguito delle segnalazioni, procedure che possono sfociare nella rimozione dell’atto in itinere a potenziale rilevanza penale, ponendosi, quindi, nel caso di scorretto o mancato esercizio dei suoi poteri, una potenziale forma di responsabilità omissiva in relazione ai reati commessi nell’azienda.