Whistleblowing, i vantaggi della compliance integrata per l’impresa: ecco come fare

Perché attivare un canale di segnalazione di violazioni di disposizioni normative nazionali o dell’UE che ledano l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato da parte di persone che ne siano venute a conoscenza in un contesto lavorativo pubblico o privato (whistleblowing)?

E perché adottare (ed efficacemente attuare) un modello di organizzazione, gestione e controllo ai sensi del d. lgs. 231/01 (MOG 231)?

Proviamo a fare il punto sui vantaggi tangibili della cosiddetta compliance integrata per l’impresa e quindi per l’imprenditore.

Whistleblowing, come adeguarsi alle nuove norme: vademecum per privati

I modelli 231

Come ormai ben noto, il d.lgs. n. 231 del 2001 ha introdotto nel nostro ordinamento un regime di responsabilità a carico delle persone giuridiche, delle società e delle associazioni anche prive di personalità giuridica (di seguito: “enti”), derivante dalla commissione, o tentata commissione, di determinate fattispecie di reato ad opera del management degli enti o di persone a questo sottoposte, nell’interesse o a vantaggio dell’ente stesso.

L’ambito applicativo della normativa in oggetto, inizialmente limitato ad alcuni delitti contro la pubblica amministrazione, è stato fortemente ampliato nel corso degli anni (reati societari; omicidio colposo e lesioni gravi e gravissime commessi in violazione della normativa antinfortunistica; reati ambientali) e, stante la continua evoluzione della materia, da ultimo sono state progressivamente introdotte nuove ed eterogenee tipologie di reati-presupposto quali, tra gli altri, i reati tributari, il riciclaggio, l’autoriciclaggio e i computer crime.

L’accertamento della responsabilità dell’ente comporta l’applicazione a suo carico di sanzioni pecuniarie (il cui importo compreso tra un minimo di 25.800,00 euro ed un massimo di 1.549.000,00 euro è proporzionato alla gravità dell’illecito ed alle dimensioni economiche ed operative dell’impresa) e di pesanti sanzioni interdittive (interdizione dall’esercizio dell’attività; sospensione o revoca delle autorizzazioni, licenze o concessioni funzionali alla commissione dell’illecito; divieto di contrattare con la pubblica amministrazione; esclusione da agevolazioni, finanziamenti, contributi o sussidi e revoca eventuale di quelli già concessi; divieto di pubblicizzare beni o servizi) suscettibili di arrecare non solo gravi pregiudizi alla posizione dell’impresa sul mercato, ma anche un irreparabile danno reputazionale agli occhi dei vari stakeholder dell’ente.

Le misure interdittive possono, peraltro, essere applicate anche in sede cautelare, a prescindere dall’accertamento definitivo della responsabilità all’esito del processo ed è sempre nella fase cautelare che il giudice può disporre anche il sequestro preventivo del prezzo o del profitto del reato ovvero, laddove ciò non sia possibile, di somme di denaro, beni o altre utilità di valore equivalente al prezzo o al profitto del reato, nonché il sequestro conservativo dei beni mobili o immobili dell’ente o delle somme o cose allo stesso dovute: è evidente come l’attività dell’ente, per quanto solido esso sia, possa risultare fortemente compromessa indipendentemente dalla pronuncia di una sentenza di condanna.

I modelli di organizzazione, gestione e controllo (MOGC)

Al fine di sottrarsi all’applicazione delle sanzioni di cui sopra, il legislatore ha previsto la possibilità per l’ente di dimostrare la preventiva efficace adozione di modelli di organizzazione, gestione e controllo (MOGC) idonei a prevenire la realizzazione degli illeciti penali da cui scaturirebbe la sua responsabilità (para) penale.

Soltanto attraverso l’adozione di idonei Modelli Organizzativi – e i loro costanti applicazione, monitoraggio ed aggiornamento – sarà possibile evitare l’irrogazione di misure cautelari e di sanzioni in grado di avere effetti potenzialmente “letali” sull’ente.

In particolare, il modello di organizzazione volto a prevenire la commissione dei reati presupposto:

• se adottato in via preventiva rispetto alla commissione del reato, può esimere l’ente da responsabilità e, comunque, salvaguardarlo dall’applicazione di una misura cautelare interdittiva;
• se adottato successivamente alla commissione del reato presupposto, comporta una riduzione della sanzione pecuniaria e preclude l’irrogazione di sanzioni interdittive, nonché l’applicazione delle stesse in via cautelare.

Sarà inoltre evitata, in entrambe le fattispecie, la pubblicazione della sentenza di condanna, salvaguardando così l’immagine “pubblica” dell’ente.

Sui benefici tangibili, oltre a quelli appena descritti, si tornerà infra.

Il whistleblowing

L’istituto del whistleblowing, di matrice anglosassone, è già presente e disciplinato nel nostro ordinamento. In ambito pubblico dall’art. 54-bis del d.lgs. n. 165/2001, così come modificato dalla legge 30 novembre 2017, n. 179, ai sensi del quale “il pubblico dipendente, che, nell’interesse dell’integrità della pubblica amministrazione, segnala al responsabile della prevenzione della corruzione e della trasparenza (…) ovvero all’ANAC, o denuncia all’autorità giudiziaria ordinaria o a quella contabile, condotte illecite di cui è venuto a conoscenza in ragione del proprio rapporto di lavoro, non può essere sanzionato (…)”. In ambito privato, sul quale preme in questa sede focalizzare l’attenzione, è la stessa legge 179/2017 ad aver creato la connessione con il d.lgs. n. 231/2001, prevedendo che i relativi modelli organizzativi dovessero obbligatoriamente prevedere uno o più canali per sottoporre, a tutela dell’integrità dell’ente, segnalazioni circostanziate di condotte illecite, ritenute rilevanti ai sensi del decreto stesso e fondate su elementi di fatto precisi e concordanti o di violazioni del modello.

L’istituto è, peraltro, oggetto anche dello standard ISO 37002:2021 whistleblowing management systems che fornisce le linee guida per la creazione, l’implementazione e il mantenimento di un efficace sistema di gestione del whistleblowing basato sui principi di fiducia, imparzialità e protezione.

Detta disciplina è stata recentemente modificata con l’approvazione lo scorso 9 marzo (in ritardo rispetto alla scadenza originariamente fissata a livello Comunitario) da parte del Consiglio dei ministri del d. lgs. 24/2023 in attuazione della direttiva europea 2019/1937 riguardante la protezione dei c.d. whistleblower, ossia tutti coloro (dipendenti, collaboratori, lavoratori subordinati e autonomi, liberi professionisti, volontari, tirocinanti anche non retribuiti, azionisti, soggetti con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza) che, all’interno del proprio contesto lavorativo, segnalino condotte illecite relative non solo alla potenziale od effettiva violazione della normativa europea in determinati settori, ma anche violazioni della normativa nazionale e regolamentare, nonché le condotte illecite rilevanti ai sensi del d.lgs. 231/01 o la violazione dei modelli di organizzazione e gestione ivi previsti.

Senza voler ripercorrere integralmente la nuova disciplina, già analizzata approfonditamente da più parti e non prettamente fulcro della presente analisi, giova ricordare come il d. lgs. 24/2023 renda obbligatoria per le imprese private, sentite le rappresentanze o le organizzazioni sindacali, l’attivazione di propri canali di segnalazione che garantiscano la riservatezza dell’identità dei soggetti coinvolti. In particolare e schematicamente:

• nel settore privato l’obbligo interverrà – a decorrere dal 15 luglio 2023 – per coloro che abbiano impiegato nell’ultimo anno in media almeno 50 lavoratori subordinati; oppure abbiano già adottato un MOG 231 e/o operino in settori regolamentati a livello europeo (ad esempio nell’ambito dei mercati finanziari e del credito, sicurezza dei trasporti, tutela dell’ambiente), in questi ultimi casi anche avendo impiegato meno di 50 lavoratori subordinati. Detta obbligatorietà è posticipata al 17 dicembre 2023 per imprese che nell’ultimo anno abbiano impiegato una media di lavoratori subordinati, con contratto di lavoro a tempo indeterminato o determinato, fino a 249. In pratica, le imprese con almeno 250 dipendenti dovranno adeguarsi alla normativa entro il 15 luglio p.v., le altre entro il 17 dicembre 2023;
• negli enti con meno di cinquanta dipendenti viene consentita solo la segnalazione interna (all’ente stesso) delle condotte illecite; negli enti con più di 50 dipendenti è possibile ricorrere al c.d. “canale esterno” attivato dall’Autorità nazionale Anticorruzione (ANAC) ed alla “divulgazione pubblica”. Entro tre mesi dalla data di entrata in vigore del decreto, l’ANAC, sentito il Garante privacy, adotterà linee guida relative alle procedure per la presentazione e la gestione delle segnalazioni esterne;
• centrale importanza è data alla tutela della riservatezza dei soggetti protagonisti e dei contenuti delle segnalazioni nonché alla conservazione della documentazione inerente alle segnalazioni, con inevitabili ripercussioni in materia di trattamento dei relativi dati;
• viene previsto il divieto di misure ritorsive per i segnalanti, tra le quali il licenziamento o la sospensione, la retrocessione di grado o la mancata promozione, il mutamento di funzioni, il cambiamento del luogo di lavoro, la riduzione dello stipendio, la modifica dell’orario di lavoro, l’intimidazione, le molestie, la discriminazione, ecc.;
• si struttura un apparato sanzionatorio di competenza dell’ANAC in caso di mancata o inidonea predisposizione dei canali di segnalazione per enti pubblici o privati. Si tratta di sanzioni amministrative pecuniarie da 10.000 a 50.000 euro quando venga accertato che siano state commesse ritorsioni o quando si accerti che la segnalazione sia stata ostacolata o si sia tentato di ostacolarla o che sia stato violato l’obbligo di riservatezza; da 10.000 a 50.000 euro quando si accerti che non siano stati istituiti canali di segnalazione, che non siano state adottate procedure per l’effettuazione e la gestione delle segnalazioni; da 500 a 2.500 euro, nel caso in cui venga accertata la responsabilità penale della persona segnalante per i reati di diffamazione o di calunnia.

Corollario di quanto sopra è, quanto meno, la necessità di aggiornamento dei MOG 231 già adottati per adeguarli alle nuove disposizioni.

Compliance integrata

Da quanto sopra esposto, risulta lapalissiana la stretta correlazione tra le due tematiche in oggetto.

A riprova di ciò nel giugno del 2021 Confindustria pubblicava linee guida aggiornate per la costruzione dei modelli di organizzazione, gestione e controllo ai sensi del d.lgs. 231/01. Fil rouge delle osservazioni dell’associazione di categoria era (ed è) l’invito alle imprese ad adottare un approccio integrato nella gestione del rischio finalizzato al miglioramento dell’efficacia e dell’efficienza delle attività di compliance. I MOG 231, se cuciti “su misura” per ciascun ente, vengono individuati quali “contenitori” destinati non solo a prevenire la responsabilità dell’ente stesso per i reati commessi da soggetti apicali o sottoposti, ma anche – e soprattutto – volti a garantire, tramite un adeguato risk assessment, la conformità alle varie normative di volta in volta applicabili.

I precetti calati verticalmente dall’Unione Europea (quali, tra gli altri, il GDPR) e più o meno tempestivamente recepiti dal nostro Paese segnano la rotta in maniera decisa ed univoca verso l’affermazione del concetto di accountability, un principio volto ad una sempre maggiore responsabilizzazione della persona giuridica chiamata a conformare il proprio assetto aziendale all’ormai imperante finalità di prevenzione: il passaggio da un approccio meramente formale consistente nel semplice rispetto della normativa vigente, ad un approccio sostanziale (risk based approach).

Ulteriore riscontro a quanto sopra è la modifica apportata dal d.lgs. n. 14/2019 (Codice della crisi d’impresa e dell’insolvenza, anch’esso in attuazione di una normativa europea, la “direttiva insolvency”) al dettato dell’art. 2086 del codice civile che attualmente, al secondo comma, prevede: “l’imprenditore, che operi in forma societaria o collettiva, ha il dovere di istituire un assetto organizzativo, amministrativo e contabile adeguato alla natura e alle dimensioni dell’impresa, anche in funzione della rilevazione tempestiva della crisi dell’impresa e della perdita della continuità aziendale, nonché di attivarsi senza indugio per l’adozione e l’attuazione di uno degli strumenti previsti dall’ordinamento per il superamento della crisi e il recupero della continuità aziendale”. Ed ecco che quell’assetto organizzativo non può non tenere conto di una valutazione di potenziali rischi e, conseguentemente, di misure volte a ridurli per evitare la responsabilità da colpa di organizzazione.

Conclusioni 

Ma quali sono, di fatto, i vantaggi tangibili della c.d. compliance integrata per l’impresa e quindi l’imprenditore, oltre al rispetto delle norme e, per ciò che concerne la normativa 231, alla prevenzione della responsabilità dell’Ente in sede penale? Ebbene, senza pretesa di esaustività:

• responsabilizzare il personale e le altre parti interessate a segnalare condotte illecite;
• consentire l’individuazione tempestiva e la risposta efficace a illeciti commessi all’interno, da o per l’organizzazione;
• prevenire e ridurre al minimo i danni all’interesse e alla salute pubblica, ai diritti umani e all’ambiente;
• miglioramento continuo della compliance e della gestione dei rischi;
• proteggere whistleblower e terzi a rischio di ritorsioni;
• promuovere una cultura organizzativa di fiducia, trasparenza e responsabilità, che aiuti a prevenire gli illeciti;
• una semplificazione organizzativa per il tramite di un’impostazione unitaria in grado di integrare i diversi sistemi di compliance aziendale (ad es. GDPR, Codice Etico, certificazioni UNI e/o ISO in materia di sicurezza, ambiente, anticorruzione, qualità, ecc.) e superare eventuali asincronie;
• creare affidabili partnership con fornitori e clienti, anch’essi compliant;
• l’aumento dell’efficienza aziendale attraverso l’analisi e l’ottimizzazione dei processi, la tutela da rischi operativi, la condivisione delle informazioni e la definizione di procedure di controllo interno;
• il miglioramento reputazionale dell’ente nei rapporti con terzi (altri enti, pubblica amministrazione, fornitori, banche e altri portatori d’interesse): l’esistenza di un modello 231 è spesso una clausola introdotta in contratti e bandi di gara di appalto, nonché requisito per contrattare con alcune amministrazioni pubbliche locali;
• contribuire ad ottenere il riconoscimento del rating di legalità da parte dell’Autorità Garante della Concorrenza e del Mercato con conseguente facilitazione all’accesso al credito ed ai finanziamenti ed una migliore qualificazione nella partecipazione alle gare di appalto;
• riduzione (per ciò che concerne l’adozione di un MOG) del tasso medio di tariffa annuale INAIL nonché possibilità di accesso ai finanziamenti erogati dal medesimo Ente (Bandi Isi) che permettono la copertura del 65% (fino al massimo di € 130.000,00) del costo per la redazione del modello, nell’ottica di miglioramento dei livelli di salute e sicurezza nei luoghi di lavoro.

Da ultimo, ma non meno importante, è doveroso sottolineare come la mancata adozione di un modello 231 abbia comportato in molti casi la responsabilità di amministratori e sindaci verso la società per violazione del dovere di diligenza professionale nonché quella del collegio sindacale per omessa vigilanza sull’operato di questi ultimi.

Stante, per concludere, il chiaro indirizzo comunitario di cui sopra, allo stato ogni imprenditore deve valutare quale sia l’assetto organizzativo più adeguato alla natura ed alle dimensioni della propria impresa, magari cogliendo l’occasione “offerta” dall’obbligatorietà della nuova disciplina in tema di whistleblowing per procedere ad una mappatura del rischio ed adottare un modello 231 all’interno del quale far confluire tutte le declinazioni di quella compliance integrata tanto auspicata non solo dalle associazioni di categoria, ma anche e soprattutto dall’UE in favore della quale, giova ricordare, i Paesi membri hanno parzialmente limitato la propria sovranità nazionale.

Essere compliant in tema 231 ed in tema whistleblowing significa superare quell’anacronistico e controproducente “abbiamo sempre fatto così”.