Whistleblowing e D.Lgs. 231/01

Sommario: 1. Cos’è il whistleblowing; 1.1. Il whistleblowing in Italia; 2. Il D.Lgs. 231/2001; 2.1. OdV e flussi informativi; 2.2. Il D.Lgs. 231/2001 e il Whistleblowing; 3. Spunti in ambito di investigation; 4. Considerazioni conclusive.

1. Cos’è il whistleblowing

Il whistleblowing è stato definite a livello internazionale come segnalazione interna all’ente di un “wrongdoing, which includes corruption, criminal offences, breaches of legal obligation, miscarriages of justice, specific dangers to public health, safety or the environment, abuse of authority, unauthorised use of public funds or property, gross waste or mismanagement, conflict of interest, and acts to cover up any of the aforementioned.”^[1].

Da tale definizione discende che per poter implementare un corretto sistema di segnalazione dei wrondoings, dal punto di vista del diritto dei sistemi di controllo interno, gli aspetti che necessitano di una maggiore attenzione sono:

• la disciplina esaustiva del flusso informativo^[2];
• la riservatezza circa l’identità del soggetto segnalante, del soggetto segnalato e del contenuto della segnalazione;
• la tutela del soggetto segnalante da (anche solo) potenziali atti ritorsivi e/o discriminatori^[3].

1.1. Il whistleblowing in Italia^[4]

Rispetto ai sistemi giuridici di common law maggiormente evoluti che, in alcuni casi, hanno individuato fin dal 1800 l’importanza del whistleblowing^[5], il nostro ordinamento, a una prima analisi, non dedica una disciplina sistematica al tema delle segnalazioni interne per tutti gli enti privati.

Gli unici recenti tentativi di disciplinare il tema del whistleblowing restano comunque circoscritti ai contesti limitati del pubblico impiego e del settore finanziario-creditizio. In particolare, il riferimento è:

• alla legge  n. 190/2012 che, attraverso l’integrazione del decreto legislativo 30 marzo 2001 n. 165 con il nuovo art. 54-bis, dispone che il pubblico dipendente che denuncia o riferisce condotte illecite di cui sia venuto a conoscenza in ragione del rapporto di lavoro non possa essere sanzionato, licenziato o sottoposto a una misura discriminatoria, diretta o indiretta, avente effetti sulle condizioni di lavoro per motivi collegati direttamente o indirettamente alla denuncia^[6];
• alla legge n. 154/2014 (che ha apportato delle modifiche al testo unico bancario^[7] e al testo unico della finanza^[8]) la cui fonte va individuata nella Direttiva CRD IV e il cui obiettivo è quello di favorire e salvaguardare la credibilità, la stabilità, l’efficienza, il buon funzionamento e la competitività del sistema finanziario, così da consentire una sempre maggiore tutela degli investitori/consumatori. I sistemi interni di segnalazione ex L.n. 154/2014 devono: garantire la riservatezza dei dati personali del segnalante e del presunto responsabile della violazione;  tutelare adeguatamente il soggetto segnalante contro condotte ritorsive, discriminatorie o comunque sleali conseguenti la segnalazione;  assicurare per la segnalazione un canale specifico, indipendente e autonomo; contenere clausole di salvaguardia tali per cui la presentazione di una segnalazione non costituisca di per sé violazione degli obblighi derivanti dal rapporto di lavoro; consentire di rivelare l’identità del segnalante solo con il suo consenso o quando la conoscenza sia indispensabile per la difesa del segnalato^[9].

Tuttavia, anche prima di questi due esempi di disciplina di settore, l’importanza della tematica in commento era comunque percepita e, seppur parzialmente, disciplinata già in numerose disposizioni normative che si proponevano di individuare le modalità di gestione di alcuni flussi informativi e segnalazioni rilevanti al fine della loro conformità^[10].

Tra tutte queste, quella che è stata fin da subito maggiormente accostata ai concetti tipici del whistleblowing è stato il D.Lgs. 8 giugno 2001, n. 231.

2. Il D.Lgs. 231/2001

Il D.Lgs. 231/2001 ha introdotto una nuova figura di responsabilità delle persone “non fisiche” (gli “enti” nel linguaggio del legislatore), definita dal legislatore come “amministrativa” al fine di evitare contrasti con l'articolo 27, comma 1, Cost., per il quale “la responsabilità penale è personale”. Tale responsabilità emerge allorquando un soggetto legato all'ente commetta un reato (o, nel caso degli abusi di mercato, un illecito amministrativo) nell'interesse o a vantaggio dello stesso (art. 5, co. 1 e 2, D.Lgs. 231/2001).  

In base a quanto stabilito dal Decreto, l’adozione ante factum da parte dell’ente di particolari strumenti di gestione – i cosiddetti modelli di organizzazione, gestione e controllo – idonei a prevenire reati della stessa specie di quello verificatosi, esimono l’ente da responsabilità, purché:

• il modello di organizzazione, gestione e controllo sia stato eluso fraudolentemente dall’autore della condotta illecita;
• sia stato istituito un organismo di vigilanza “dotato di autonomi poteri di iniziativa e controllo”; e
• non vi sia stata omessa o insufficiente vigilanza da parte dello organismo di vigilanza^[11].

2.1. OdV e flussi informativi

L’adeguamento organizzativo al D.Lgs. 231/2001, possibile sia in sede costitutiva che durante societate, è facoltativo.

Esso implica non solo l’introduzione di un sistema procedurale interno specifico per le attività a rischio reato ma anche la creazione di un nuovo soggetto^[12], ossia l’organismo di vigilanza (“OdV”), “organismo dell’ente”, che ha per scopo l’assorbimento di uno specifico tipo di rischio^[13] e che diventa il presidio dell’efficace attuazione del modello organizzativo.

Il controllo dell’OdV è stato qualificato come prevalentemente di “secondo grado, realizzato cioè attraverso specifiche richieste di informazione alla struttura aziendale, ai preposti del controllo interno, al comitato audit, al collegio sindacale”^[14].

La ricostruzione appena delineata consente di individuarne i compiti istituzionali che, peraltro, sono solo molto sinteticamente accennati all’art. 6, secondo comma, lett. b), il quale, per l’appunto, prevede che l’Organismo deve “vigilare sul funzionamento e l’osservanza dei modelli e curare il loro aggiornamento” anche e soprattutto attraverso l’analisi delle evidenze emerse in adempimento degli “obblighi di informazione” nei suoi confronti e gravanti su “i dipendenti, i direttori, gli amministratori della società di riferire all’OdV notizie rilevanti relative alla vita dell’ente, alla violazione del Modello e alla consumazione di reati”^[15].

In definitiva, i destinatari di questo obbligo di informazione/segnalazione sono:

• gli esponenti aziendali (il cui obbligo in merito deriva dal dovere di fedeltà per i dipendenti e di diligenza per sindaci e amministratori)^[16];
• i soggetti esterni (per tali intendendosi i lavoratori autonomi o parasubordinati, i professionisti, i consulenti, i collaboratori, i fornitori, ecc.)^[17];
• l’OdV stesso che, nello svolgimento del suo compito istituzionale di verifica del rispetto del modello, può attivarsi conducendo iniziative motu proprio di indagine^[18] e segnalare irregolarità al management.

L’importanza di questo obbligo informativo ai fini della conformità al D.Lgs. 231/01 è ancor più enfatizzata, se non spinta all’estremo, dalla pronuncia della Corte di Cassazione^[19], ampiamente contestata in dottrina^[20],  che ha addirittura ritenuto necessario il coinvolgimento dell’OdV nel vagliare preventivamente un comunicato al mercato da parte di una società quotata.

L’obiettivo perseguito attraverso questa previsione è quello di consentire all’OdV di riferire all’organo con funzione di gestione e/o a quello con funzione di controllo l’accadimento di fatti o eventi che possono comportare un concreto ed imminente pericolo di commissione di un reato o di una violazione del modello organizzativo, in modo che possa esservi posto rimedio o si prevenga l’illecito^[21], mettendo l’OdV stesso tempestivamente a conoscenza di^[22]:

• modifiche dell’assetto interno della società;
• variazioni delle aree di business;
• nuovi rischi nell’ambito delle attività aziendali;
• violazioni delle disposizioni del Modello;
• avvio di procedimenti giudiziari e amministrativi a carico dell’ente o di esponenti dell’ente se relativi ai reati presupposto o aree sensibili ai sensi rilevanti ai sensi del D.Lgs. 231/2001 o del funzionamento del sistema di controllo interno;
• procedimenti disciplinari nei confronti degli esponenti dell’ente e loro risultanze (sanzioni o archiviazione);
• fatti e/o anomalie che possano, anche solo potenzialmente, determinare la responsabilità dell’ente ai sensi del Decreto^[23];
• relazioni trimestrali delle funzioni aziendali deputate al controllo interno;
• flussi provenienti dalle aree dell’ente individuate come potenzialmente più esposte al rischio di commissione reato^[24].

2.2. Il D.Lgs. 231/2001 e il Whistleblowing

Come appena ricordato, l’art. 6, comma 2, lett. d), del Decreto nello stabilire le modalità attraverso le quali l’OdV deve esser messo in condizione di svolgere la propria attività di sorveglianza impone a tutti i destinatari del modello organizzativo specifici obblighi di segnalazione.

Se si considera, inoltre, che la prassi consolidatasi in materia di conformità al Decreto ha portato a sviluppare all’interno del modello organizzativo ulteriori elementi di disciplina del sistema dei flussi informativi, delle segnalazioni e della tutela dei soggetti coinvolti nella segnalazione di eventuali anomalie o illeciti, appaiono prima facie evidenti gli elementi di affinità tra il D.Lgs. 231/01 e l’istituto del whistleblowing.

Infine, ulteriori elementi che potrebbero far deporre a favore dell’assunzione del Decreto 231 a normativa paradigmatica del nostro ordinamento in materia di whistleblowing si possono rinvenire nel disegno di legge recante «Disposizioni per la tutela degli autori di segnalazioni di reati o irregolarità di cui siano venuti a conoscenza nell'ambito di un rapporto di lavoro pubblico o privato» approvato dalla Camera il 21 gennaio 2016 e assegnato in sede referente il 3 febbraio 2016 in Senato alle commissioni riunite 1ª (Affari Costituzionali) e 2ª (Giustizia).

Nel dettaglio, la proposta stabilisce di integrare l’attuale formulazione dell’art. 6 del D.Lgs. 231/2001 con tre nuovi comma in base ai quali i modelli di organizzazione, gestione e controllo dovrebbero prevedere:

1. a carico dei vertici degli enti o di soggetti da loro vigilati o di coloro che, a qualsiasi titolo, collaborano con l'ente, l'obbligo di presentare, in buona fede, segnalazioni circostanziate di illeciti che ritengano altamente probabile si siano verificati, rilevanti ai sensi del decreto o le violazioni del modello di organizzazione e gestione dell'ente di cui siano venuti a conoscenza in ragione delle funzioni svolte. A tal proposito si ricorda che le Linee Guida di Confindustria^[25] rammentano che le funzioni aziendali coinvolte in attività a rischio di commissione reato (rilevante ex D.Lgs. 231/01) debbano inviare segnalazioni all’OdV non solo riguardo a “ … risultanze periodiche dell’attività di controllo posta in essere dalle funzioni stesse per dare attuazione ai modelli (report riepilogativi dell’attività svolta, attività di monitoraggio, indici consuntivi, ecc.)”, ma anche con riferimento a “…anomalie o atipicità riscontrate nell’ambito delle informazioni disponibili (un fatto non rilevante se singolarmente considerato potrebbe assumere diversa valutazione in presenza di ripetitività o estensione dell’area di accadimento)”^[26];
2. canali alternativi di segnalazione, di cui almeno uno idoneo a garantire, anche con modalità informatiche, la riservatezza dell'identità del segnalante;
3. misure idonee a tutelare l'identità del segnalante e a mantenere la riservatezza dell'informazione in ogni contesto successivo alla segnalazione, nei limiti in cui l'anonimato e la riservatezza siano opponibili per legge; sul punto si possono richiamare le Linee Guida di Confindustria che, ad esempio, suggeriscono che i modelli organizzativi per disciplinare un sistema di reporting efficace devono “garantire la riservatezza a chi segnala le violazioni. Allo stesso tempo, sarà opportuno prevedere misure deterrenti contro ogni informativa impropria, sia in termini di contenuti che di forma”^[27]. La previsione del disegno di legge appare, inoltre, in linea con le indicazioni fornite in materia da parte delle best practice^[28] internazionali che rinviano alla normativa applicabile in materia di data protection e che richiamano le considerazioni svolte nel Parere 1/2006 dal Gruppo per la tutela dei dati personali che riunisce i Garanti europei per la privacy^[29];
4. il divieto di atti di ritorsione o discriminatori, diretti o indiretti, nei confronti del segnalante per motivi collegati, direttamente o indirettamente, alla segnalazione; salvo restando il diritto degli aventi causa di tutelarsi, qualora siano accertate in capo al segnalante, anche con sentenza di primo grado, responsabilità di natura penale per i reati di calunnia o diffamazione, o comunque per altri reati commessi con la segnalazione, ovvero responsabilità di natura civile, per lo stesso titolo, nei casi di dolo o colpa grave, derivanti dalla falsità della segnalazione;
5. nel sistema disciplinare adottato, sanzioni nei confronti di chi viola gli obblighi di riservatezza o compie atti di ritorsione o discriminatori nei confronti del segnalante;
6. la possibilità di denunciare all'ispettorato Nazionale del Lavoro, anche per via della organizzazione sindacale, l'adozione di misure discriminatorie nei confronti dei soggetti che effettuano le segnalazioni;
7. il licenziamento ritorsivo o discriminatorio del soggetto segnalante, il mutamento di mansioni nonché qualsiasi altra misura ritorsiva o discriminatoria adottata nei confronti del segnalante sono nulli. Sotto questo aspetto si può richiamare Confindustria che sottolinea che “l’obbligo di informare il datore di lavoro di eventuali comportamenti contrari al Modello organizzativo rientra nel più ampio dovere di diligenza e obbligo di fedeltà del prestatore di lavoro di cui agli articoli 2104 e 2105 del codice civile. Di conseguenza, rientrando in tali doveri, il corretto adempimento all’obbligo di informazione da parte del prestatore di lavoro non può dar luogo all’applicazione di sanzioni disciplinari”^[30].

3. Spunti in ambito di investigation

Nell’intento di fornire alcuni spunti sulle attività di investigation da condurre e sui comportamenti che l’ente dovrebbe tenere in caso di ricezione di una segnalazione all’interno di un whistleblowing scheme, appare interessante richiamare una recente pronuncia della Corte di Appello del Third District della Pennsylvania.

La pronuncia è resa nell’ambito di un procedimento instaurato da un ex dipendente di una società quotata Americana che, dopo aver segnalato alla SEC presunti comportamenti illeciti avvenuti all’interno dell’emittente, aveva impugnato il proprio licenziamento lamentando la violazione delle previsioni in materia di anti-retaliation dettate dal Serbanes Oxley Act. In questo caso la Corte d’Appello americana ha rigettato l’istanza del whistleblower confermando la correttezza del licenziamento sulla base di queste considerazioni (debitamente documentate e circostanziate dalla società opponente):

1. il whistleblower aveva ricevuto approvazione per la propria attività svolta presso la società sia prima che dopo il licenziamento;
2. molti altri dipendenti si erano lamentati in passato del comportamento inappropriato del segnalante;
3. la funzione HR aveva condotto una investigation dalla quale era emerso un comportamento inappropriato del segnalante verso alcuni subordinati e aveva per questo motivo (e non per il fatto della segnalazione alla SEC di cui peraltro la funzione HR risultava essere all’oscuro) raccomandato il suo licenziamento;
4. nessun altro collega del segnalante, che avrebbe potuto contribuire alla segnalazione fatta dal dipendente, è stato destinatario di provvedimenti sanzionatori^[31].

4. Considerazioni conclusive

L’integrazione del D.Lgs. 231/2001 con le proposte del disegno di legge sopra esaminato ne allineerebbe il contenuto dispositivo alle best practice internazionali in tema di whistleblowing^[32] e consentirebbe l’introduzione di una ulteriore disciplina “settoriale” dell’istituto rendendolo applicabile a tutte le tipologie di enti privati che adottano un modello di organizzazione, gestione e controllo.

Siffatta circostanza segnerebbe, dunque, una svolta di grandissimo rilievo per il nostro ordinamento giuridico che si potrebbe indirizzare verso più elevati standard di business ethics e di anticorruption la cui mancanza, invece, ostacola la creazione di valore per le imprese (si ricorda che in base a recenti ricerche sul corruption perception index l’Italia risulta penultimo in classifica all’interno della UE)^[33].

Tuttavia, non si può non osservare che le modalità utilizzate dal legislatore appaiano contraddittorie rispetto le ambizioni di partenza; difatti, se è stata avvertita l’esistenza di un problema sociale (anche) all’interno degli enti privati e se questo problema è stato giudicato talmente rilevante da meritare una risposta attraverso una nuova norma di legge, l’introduzione di una disciplina a tutela dei dipendenti che segnalano irregolarità non dovrebbe trovare la propria collocazione all’interno di uno strumento, quale il modello organizzativo, che il legislatore stesso ha previsto come facoltativo.

Una corretta impostazione del tema avrebbe dovuto, invece, suggerire una soluzione diversa riconoscendo al whistleblowing autonoma dignità e svincolandolo dalle ristrette maglie del modello organizzativo ex D.Lgs. 231/2001, oppure, con una scelta ancor più coraggiosa, rendendo obbligatoria e non più facoltativa l’adozione del modello 231 per tutti gli enti potenzialmente destinatari del Decreto.