Whistleblowing: il ruolo del compliance manager e i vuoti normativi che creano problemi

Il compliance manager, nell’assetto del whistleblowing, può rivestire e può un ruolo fondamentale in quanto agisce come il vero destinatario o meglio co-gestore delle segnalazioni di comportamenti illeciti rilevanti.

Il compliance manager è chiamato a individuare e segnalare tutti i tipi di illeciti che possono riguardare sia la persona giuridica che la gestione di un’Organizzazione e quindi anche i reati che non riguardano la sola 231 ma anche quelli individuali.

Ecco perché questa figura assume un’importanza cruciale in un’organizzazione, dovendo garantire trasparenza, integrità e conformità alle normative, e favorire un ambiente etico e responsabile.

Ci sono purtroppo dei vuoti normativi sia nella disciplina legislativa del whistleblowing che possono creare incertezze interpretative e inefficacia della segnalazione presenti nel sistema italiano che si possono percepire a un’attenta lettura del dettato normativo di cui al D.lgs. 24/2023, da un lato creano incertezze interpretative, dall’altro costituiscono i veri problemi in concreto.

Il Compliance manager nell’assetto del whistleblowing

Il compliance manager è chiamato, tra gli altri suoi compiti, a verificare la costituzione di canali sicuri e confidenziali attraverso i quali i dipendenti possono effettuare eventuali segnalazioni di presunti illeciti, senza avere alcun timore di poter subire ritorsioni.

Ecco perché nell’assetto dell’applicazione della normativa del whistleblowing, il compliance manager riveste una funzione di rilievo anche più del DPO a ben guardare, in quanto rappresenta il vero soggetto deputato a facilitare e gestire il processo di segnalazione di eventuali comportamenti illeciti.

In pratica, assume un ruolo proattivo volto a promuovere un ambiente lavorativo etico, trasparente e compliant.

Più nel dettaglio, il compliance manager, in quanto deve occuparsi di rendere acquiescente e aderente l’Organizzazione a tutte le norme e regolamenti che la riguardano, può agire come mediatore tra colui che segnala e la Direzione, si può impegnare in un’analisi attenta delle segnalazioni, valutando la loro veridicità e si dovrà preoccupare che siano adottate le misure correttive necessarie.

Il compliance manager per la natura della sua attività deve comunque assumersi la responsabilità di garantire che le politiche/procedure, in questo caso tipiche del whistleblowing, vengano seguite correttamente e che le azioni intraprese siano in linea con le leggi cogenti e/o vigenti e i regolamenti aziendali, sensibilizzando periodicamente sia i lavoratori dipendenti sull’importanza del whistleblowing per conseguire il benessere dell’Organizzazione che i vertici aziendali.

L’identikit del compliance manager e la centralità della sua figura

Il compliance manager rappresenta una figura chiave nella tutela dell’integrità e dell’etica di un’Organizzazione.

Il compliance manager: chi è

Il compliance manager è una figura poliedrica che si potrebbe riassumere nella stringata definizione di un “professionista della compliance”. Non il semplice avvocato o commercialista, ovvero ingegnere esperto di processi, ma un professionista che ha più anime: in primis un’anima giuridica poiché è chiamato a comprendere, interpretare e suggerire come applicare le normative cogenti e vigenti che coinvolgono l’Organizzazione di riferimento; un’anima etica nell’ottica del pieno raggiungimento della compliance che ricordiamo essere non tanto una mera conformità normativa, quanto un’acquiescenza alle normative cogenti e/o vigenti; un’anima organizzativo/aziendalistica con spiccate doti e capacità relazionali in grado di saper coniugare i processi aziendali presenti e futuri non solo a livello formale, ma anche sostanziale e con un occhio ex ante cioè una visione lungimirante circa tutti i fattori di rischi.

Il ruolo del compliance manager: che cosa fa

Il ruolo del compliance manager risiede nel garantire che l’Organizzazione agisca in rispetto e acquiescenza a leggi, regolamenti e standard etici applicabili al settore in cui la stessa opera, agendo dunque in prevenzione tanto da individuare e gestire situazioni di mancata o carente compliance tali da evitare che l’Organizzazione sia esposta a (potenziali) sanzioni o danni reputazionali che possono minare la sostenibilità nel tempo dell’Organizzazione.

Il compliance manager è una figura di alto livello non solo per la funzione che riveste, ma anche in considerazione delle specifiche responsabilità di tipo consultivo che deve assumersi.

In concreto, un compliance manager è chiamato a:

• monitorare le normative;
• effettuare gli audit di settore;
• contribuire allo sviluppo di politiche e procedure;
• formare e sensibilizzare i lavoratori;
• gestire le segnalazioni di violazioni della compliance;
• collaborare con le autorità competenti in caso di indagini o ispezioni, e via a seguire.

Cosa fare dopo la segnalazione? Vuoti normativi in Italia

Cosa fare dopo la segnalazione? Ecco che si aprono i primi vuoti normativi. Infatti, ad un’attenta lettura del dettato normativo, notiamo come siano state novellate le regole per i canali di segnalazione (artt. 4 e 5), ma in concreto non si capisce cosa si debba fare dopo la segnalazione se non nella misura in cui, in caso di segnalazione interna, a chi (persona o ufficio interno/soggetto esterno), compete la gestione del canale di segnalazione interna, deve:

1. rilasciare al whistleblower l’avviso di ricevimento della segnalazione entro sette (7) giorni dalla data di ricezione;
2. mantenere le “interlocuzioni” con il whistleblower chiedendo ove necessario, integrazioni;
3. dare seguito in modo diligente alle segnalazioni ricevute;
4. fornire riscontro alla segnalazione entro tre (3) mesi da quando il whistleblower ha effettuato la segnalazione;
5. mettere a disposizione informazioni chiare sul canale, procedure e presupposti per effettuare le segnalazioni interne ed esterne.

Tuttavia, al di là di queste indicazioni, non è specificato cosa fare creando un vuoto normativo. In pratica, l’articolato normativo non prevede il dopo segnalazione. Spieghiamoci meglio anche grazie ad alcune ipotesi che potrebbero accadere.

Prima ipotesi: segnalazione di un fatto non vero

La prima ipotesi che intendiamo descrivere è quella in cui avvenga una segnalazione di un fatto non vero. In altri termini, cosa succede quando il segnalante segnala il falso? È possibile perseguirlo? Il testo di legge al riguardo nulla dice, limitandosi a precisare l’iter della segnalazione.

Ora, è implicito che debba essere fatta una verifica, tuttavia quest’ultima, a ben guardare, dà per assodata la bontà delle dichiarazioni segnalante, ma se il gestore nella disamina della stessa dovesse ravvisare altro, cosa può fare in concreto? Che poteri ha di indagine? Ecco che i poteri previsti dalla funzione compliance potrebbero essere utili. Certamente prende atto e visione dell’evento segnalato dovendo dare corso alla procedura di whistleblowing; ma del dopo verifica, specialmente come in questo caso se l’evento segnalato fosse mendace, la legge non lo aiuta. Da qui, i primi problemi applicativi.

Seconda ipotesi: ulteriori indagini

L’altro vuoto normativo si ravvisa nell’ipotesi in cui il gestore a segnalazione ricevuta si renda conto di dover svolgere ulteriori indagini al di fuori del perimetro del suo mandato, specie se riguarda il comportamento di persone fisiche: può farlo? No; né la legge in questione, se stiamo al dettato normativo, non legittima espressamente questo aspetto, ed è un altro problema non solo interpretativo, ma anche applicativo. Infatti, a rigore, in ipotesi come questa il gestore dovrebbe avere una posizione di garanzia o meglio una legittimazione ad agire nel senso di un titolo che lo autorizzi a svolgere ulteriori indagini sia dirette che indirette tramite terzi autorizzati avvalendosi, per esempio, di un’agenzia di indagini esterne. Ma attenzione ai limiti inespressi, dal momento che il gestore/compliance manager non è un pubblico ufficiale/incaricato di pubblica sicurezza, secondo il nostro sistema penale, tale da poter indagare su presunti fatti di reato in autonomia e proprio impulso, specie se commessi in un’azienda privata e ancor più da singoli individui. Altro vuoto normativo dunque.

D’altra parte, come mi ha esemplificato il vicepresidente di Assocompliance Alessandro Cerboni intervistato, è lo stesso nodo critico dei reati rilevabili mediante i sistemi di videosorveglianza laddove, accertato, ad esempio, un ammanco di merci non si possono delle verifiche mediante il sistema di sorveglianza interna, ma occorre prima di tutto, chiamare un ufficiale di pubblica e con il medesimo aprire e controllare il contenuto delle immagini. In caso contrario (l’apertura/visione immagini in modo non autorizzato), è verosimile pensare che la prova venga poi invalidata.

Terza ipotesi: i limiti alle verifiche

Ancora, non sono ben chiari né chiariti grazie a specifiche norme, assenti nella nostra disciplina di whistleblowing (D.lgs. 24/2023) i limiti alle verifiche.

Abbiamo detto che il whistleblower è colui che ha segnalato il fatto di reato, mentre il gestore/compliance manager ha ricevuto la segnalazione.

Mettiamo il caso che il gestore rilevi effettivamente la bontà della dichiarazione, ma per accertarla ritenga di dover verificare ad esempio la corrispondenza interna. Può farlo? Non dimentichiamo affatto i limiti dello Statuto dei Lavoratori al riguardo (art. 4), e non solo. Insomma, altro vuoto normativo tanto più amplificato quanto i reati segnalati non siano di lieve entità come ad esempio il fatto di aver colto il collega che segna più ore di straordinario, bensì di rilievo come per ipotese le condotte corruttive. Ma se pensiamo ai reati presupposto di cui al D.lgs. 231/2001, la questione si complica decisamente e in assenza di limiti imposti ex lege, diventa decisamente un problema interpretativo/applicativo di spessore.

Quarta ipotesi: nessuna conseguenza e l’Anac che può fare?

Veniamo a una quarta ipotesi. Supponiamo che il gestore/compliance manager per motivi che qui non interessano, decida di non far nulla. A questo punto, il segnalante potrà rivolgersi direttamente al canale esterno. Cosa è legittimata a fare l’Anac in un’ipotesi del genere specialmente se si tratta di un’azienda privata? Anche con riferimento a questo caso, la legge nulla dice.

Detto altrimenti, quali sono le possibilità di azione dell’Anac verso un’azienda privata (e non pubblica). È legittimata a fare un’ispezione? Non è dato sapere; e così, altro vuoto normativo; e le linee guida predisposte a commento e corredo del whistleblowing non hanno nè potevano occuparsi di questi aspetti, dal momento che nella legge non compaiono.

L’assenza di un compliance manager, possibili conseguenze

Veniamo quindi a considerazioni dell’assetto del whistleblowing in assenza di un compliance manager.

A fronte dei sopra citati vuoti normativi, ecco che non avere un compliance manager in un’Organizzazione potrebbe essere un ulteriore problema che complicherebbe oltre modo la fattiva applicazione della normativa in parola.

Se infatti il sistema è già complicato di suo, immaginiamo se fosse “governato” da persone non adeguatamente formate/competenti e all’altezza della situazione, aggiungendo inoltre che anche membri dell’ODV potrebbero trovarsi dinanzi a segnalazione che esulino dal perimetro del loro incarico.

Per questi motivi, l’intero impianto attuativo deve essere ben congeniato e strutturato grazie a un buon insieme di procedure volte ad affrontare le questioni sollevate in modo efficace ed etico e a, non di meno, supplire i vuoti normative predetti. Perciò, un’Organizzazione deve avere bene a mente come gestire una segnalazione: dalla ricezione e documentazione e via a seguire. La presenza di compliance manager agevolerebbe di molto il tutto.

É chiaro ed evidente che in questa fase ma non solo, è essenziale mantenere la massima riservatezza durante questo processo. Una volta raccolte tutte le informazioni e se non richiedono ulteriori integrazioni, il compliance manager deve analizzare con accortezza, “filtrare” e veicolarle nel massimo riserbo alla Direzione.

In concreto, però, tutta questa attività va contestualizzata, e per farlo dobbiamo figurarci, quale situazione ottimale, un’Organizzazione con un ODV collegiale composto da più membri uno dei quali sarebbe bene che fosse proprio il compliance manager.

Tutto ciò, invero, non viene palesato nel dettato normativo determinando un horror vacui direbbero i latini, che non determina solo una mancanza di regole sul piano teorico e quindi difficoltà interpretative, ma anche e soprattutto lacune applicative sul piano pratico, giungendo alla domanda conclusiva: e quindi?

Perché i problemi in concreto nascono quando le segnalazioni sono fondate e non certo nel caso in cui dovessero venire archiviate senza conseguenze.

Il vuoto, a parere di chi scrive, risiede nel dar seguito a segnalazioni ritenute procedibili e rilevanti nei termini sopra esposti e intraprendere le opportune azioni al fine di valutare l’effettiva sussistenza del fatto segnalato nonché le risultanze delle indagini e delle eventuali misure adottate, tra cui la trasmissione della segnalazione agli uffici, organi o Autorità competenti ai fini dell’instaurazione dei dovuti procedimenti disciplinari, civili o penali.

Alcuni possibili retroscena

Per meglio comprendere la portata delle considerazioni finora esposte, facciamo ancora un paio di esempi.

Caso di frode alimentare: ravvisata un’alterazione delle componenti che fare? Non si sa, alla lettera della norma.

Forniture di dispositivi di sicurezza tali da mettere in crisi la vita degli individui, cosa può/deve fare il gestore?

Perché l’azione in questi casi seppure abbastanza limite, deve essere immediata.

Non solo, si palesa anche un altro rischio: che il gestore/compliance manager, dovendo agire nei confronti del vertice in presenza di un fatto di reato, potrebbe diventare lui stesso il primo “superwhistleblower” in quanto tale poiché lo sarebbe nei confronti delle Autorità.

L’assetto del whistleblowing negli altri Paesi europei

Da ultimo, accenniamo ora e per sommi capi, l’assetto della disciplina in disamina negli altri (quasi tutti) Paesi/Stati membri offrendo una breve panoramica limitatamente però al solo stato dell’arte normativo, non potendo conoscere tutte le legislazioni e annesse implicazioni. Tuttavia, sarebbe interessante condurre uno studio più approfondito sulle legislazione dei Paesi quanto meno più importanti chè potrebbero anche condurre a degli spunti interpretativi utili per colmare magari i nostri vuoti normativo.

Austria

Il parlamento austriaco, nel febbraio 2023, ha approvato la nuova legge nazionale sul whistleblowing. L’”HinweisgeberInnnenschutzgesetz” o “HSchG” in recepimento della nota Direttiva UE sul whistleblowing. La legge prevedeva un periodo transitorio di sei (6) mesi per le persone giuridiche con 250 o più dipendenti per istituire sistemi interni di segnalazione.

Belgio

La Camera dei rappresentanti belga ha approvato nel 2023 il disegno di legge che era stato proposto dal ministro federale del lavoro Pierre-Yves Dermagne volto a proteggere massimamente gli informatori “…che segnalano violazioni del diritto dell’Unione o nazionale all’interno di un privato Soggetto giuridico di settore”.

Bulgaria

L’Assemblea nazionale del parlamento bulgaro ha approvato la legislazione in materia, lo scorso 27 gennaio 2023, adottando gli standard minimi della direttiva UE sulla denuncia di irregolarità per la protezione delle persone che segnalino violazioni del diritto dell’UE. Questa legge sarà in vigore a fine gennaio 2024, cioè un anno dopo la sua pubblicazione nella Gazzetta Ufficiale bulgara. La particolarità di questa legge parrebbe risiedere nella possibilità per la commissione deputata alla protezione dei dati personali di ricevere ed elaborare rapporti esterni.

Croazia

Il parlamento croato ha recepito la Direttiva UE sul whistleblowing adottando “la legge croata sulla protezione dei whistleblower” già a inizio 2022, sì colmando le lacune precedenti e incorporando meccanismi estesi.

Danimarca

La Danimarca è conosciuta per essere stato il primo stato membro a recepire la Direttiva UE sul whistleblowing. Infatti, essa già nel giugno del 2021 ha approvato la legge in parola, sì obbligando tutti i datori di lavoro con più di 50 dipendenti a implementare un sistema di whistleblowing interno.

Estonia

Il processo di recepimento della disciplina sul whistleblowing in Estonia risulta, ad oggi ancora in corso dal momento che, nel diritto estone, parrebbe non esistere proprio “…una regolamentazione valida congiunta e intersettoriale per la protezione dei segnalanti”.

Finlandia

La Finlandia invece ha recepito la direttiva sulla denuncia delle irregolarità con una legge entrata in vigore già dal 1° gennaio 2023, migliorando di fatto la protezione dei segnalanti e consentendo per contro ai datori di lavoro di ricevere e affrontare casi sospetti di irregolarità. Gli enti privati con oltre 250 dipendenti e gli enti pubblici con almeno 50 dipendenti dovevano istituire canali di segnalazione interna già dal 1° aprile 2023.

Francia

In Francia è stata approvata la legge di recepimento della Direttiva modificando la legge “Loi Sapin II” esistente, la quale intende tutelare tutti gli enti con 50 o più dipendenti, pubblici o privati.

Germania

Il gabinetto federale tedesco già nel luglio 2022 ha approvato una bozza del governo per l’Hinweisgeberschutzgesetz (legge sulla protezione dei whistleblower) approvata poi, il 16 dicembre 2022, dal Bundestag stabilendo che le nuove leggi entrassero in vigore a inizio luglio 2023.

Grecia

Dopo un lento processo di recepimento peraltro criticato per la mancanza di trasparenza, solo a fine ottobre 2022, in Grecia è stato presentato un progetto di legge sulla protezione dei whistleblower. Poi approvato a novembre 2022 e in piena attuazione dalla metà del 2023.

Irlanda

L’Irlanda ha recepito la Direttiva sul whistleblowing nel luglio 2022. La normativa estende l’ambito della protezione fornendo maggiore chiarezza sia per i whistleblower che per i datori di lavoro. Secondo alcune fonti, verosimilmente attendibili, l’Irlanda avrebbe introdotto che “i canali formali di segnalazione presso le aziende … saranno monitorati e applicati dall’Ispettorato della Commissione per le relazioni con il luogo di lavoro”.

Paesi Bassi

Nei Paesi Bassi già da gennaio 2023 è stata recepita la direttiva sulla denuncia delle irregolarità, introducendo una serie di requisiti come procedure di segnalazione aggiornate, segnalazioni anonime e la nomina di un organismo di segnalazione indipendente.

Portogallo

Il Portogallo ha implementato le nuove misure previste dalla Direttiva UE sul Whistleblowing già da fine dicembre 2021 ed entrata in vigore la legge da metà giugno 2022 prendendo molto sul serio il processo di recepimento; infatti, il Portogallo risulta l’unico Paese a essere stato caratterizzato da una velocità d’esecuzione degna di nota e relativa mancanza di pubblicità.

Romania

Solo nel luglio del 2022, il Parlamento rumeno ha adottato la nuova legge a tutela dei segnalanti ancorché sia stata impugnato da un gruppo di deputati e portato alla Corte costituzionale, ma di fatto poi archiviato il caso. Oggi la (nuova) legislazione ha apportato significativi miglioramenti nell’assetto del whistleblowing.

Spagna

Il ministero della Giustizia spagnolo già dal 2020 lavorava a un disegno di legge in consultazione pubblica fino alla fine di gennaio 2021, e a metà settembre del 2022, il governo spagnolo ha approvato la nuova legislazione sulla protezione dei segnalanti. Tuttavia, a causa di alcune Organizzazioni società civile, il processo di recepimento è stato completato solo nella seconda metà di febbraio 2023, allorché la nuova legge veniva pubblicata in Gazzetta Ufficiale spagnola.

Ungheria

L’Ungheria è stato l’ultimo Stato membro ad avviare il processo di recepimento della Direttiva sul whistleblowing, arrivando una proposta di legge solo a fine febbraio 2023 sebbene il processo di recepimento sia stato ritardato e complicato anche qui, potendo vedere approvata la nuova legge sulla protezione dei whistleblowing solo alla fine di maggio 2023.

Oltre i confini della UE: Svizzera e Regno Unito

Volendo dare un rapido sguardo oltre i confini della UE, volgiamo la nostra attenzione a Paesi come la Svizzera e il Regno Unito.

In Svizzera, le sole società aventi sedi nella UE con 50 o più dipendenti sono soggette al diritto dell’UE e, in quanto tali, devono agire e implementare canali di segnalazione interni ai sensi della Direttiva. Tutte le altre no. Tuttavia, queste ultime sono invitate a rispettarla per dimostrare una buona governance e minimizzare al massimo i rischi e i danni che ne potrebbero derivare in caso di mancato rispetto dell’assetto in parola.

Anche nel Regno Unito post Brexit, la disciplina in disamina non verrà implementata, non avendo alcun obbligo di legge che imponga alle Organizzazioni inglesi di (dover) recepire la Direttiva UE sul Whistleblowing. Naturalmente, come la Svizzera, le nuove misure si applicheranno alle sole imprese britanniche operanti nell’Europa continentale purché al di sopra di una certa dimensione.

Conclusioni

In conclusione, dunque, alla luce delle considerazioni tutte finora esposte, ecco che il compliance manager può configurarsi come una figura imprescindibile nel contesto del whistleblowing quale gestore/co-gestore delle segnalazioni, in quanto contribuisce a creare un ambiente aziendale etico, conforme alle leggi e capace di affrontare prontamente e in modo corretto situazioni di mancata compliance. La sua presenza sottolinea l’importanza di promuovere una cultura aziendale basata sull’integrità e sulla responsabilità, fattori cruciali per il successo e la sostenibilità a lungo termine di qualsiasi Organizzazione.