La Direttiva 2019/1937 riguardante le Segnalazioni di violazioni alla normativa, che integra la L. 179/2017 e prossima al recepimento, suggerisce alle Organizzazioni, in particolar modo a quelle strutturate, interventi organizzativi circa i soggetti da individuare nella gestione delle “informazioni sulle violazioni”.
La cosa non è di poco conto perché la normativa in commento comporta l’intrapresa di una molteplicità di azioni che vanno dal ricevimento della segnalazione alla gestione del “seguito” e, ancor prima, a tutti quegli aspetti riguardanti la definizione dei canali di segnalazione e la redazione di adeguate procedure. La sua previsione in altre normative, quali i Decreti legislativi 231 del 2001 e del 2007 o il novellato D. Lgs. 196/03, aggiunge poi ulteriori contestualizzazioni tanto più considerando anche le voluntary rules di cui alle UNI ISO 37001 e 37301.
Personalmente suggerisco che per l’individuazione del whistleblower si debba tener conto del generale perimetro normativo applicabile a ciascuna impresa, con-fondendo i requisiti che ne fanno riferimento nelle singole leggi.
E se, per alcuni, l’OdV va considerato come il destinatario naturale delle segnalazioni degli specifici reati in forza del suo ruolo istituzionale, altra cosa è la gestione complessiva delle stesse che, ponendo in essere una serie di relazioni con la “persona segnalante”, la “persona coinvolta”, l'”Autorità competente” in caso di segnalazioni esterne, nonché valutazioni circa la sussistenza dei fatti segnalati, l’adozione di possibili rimedi alla violazione segnalata, la conduzione di eventuali inchieste interne, indagini, azioni penali o azioni per il recupero di fondi fino all’archiviazione della procedura, si configura come un’attività operativa che si rivela del tutto abnorme, ed estranea, rispetto ai già complessi compiti dell’Organismo di Vigilanza.
Va pertanto individuata la persona, ovvero il servizio, imparziale e competente, che gestisca questo aspetto a 360°.
Le caratteristiche di una Compagnia assicurativa o di un MTO (Money Transfer Operator), per esempio, sono tali per cui ad occuparsi della gestione delle segnalazioni delle operazioni sospette (SOS) è, inizialmente all’interno della funzione Antiriciclaggio, una persona fisica con idonei requisiti.
Da qui alla necessità di costituire una funzione ad hoc il passo può essere breve annoverando, fra i propri compiti, la gestione di tutte le segnalazioni universalmente normate.
Si pensi, per esempio, alla previsione della gestione delle segnalazioni di cui:
- ai commi 2bis, 2ter e 2quater dell’art. 6 ex D. Lgs. 231/01 in materia di Responsabilità amministrativa degli enti;
- agli articoli 35 a 41 del D. Lgs. 231/07 concernente la prevenzione dell’utilizzo del sistema finanziario a scopo di riciclaggio dei proventi di attività criminose e di finanziamento del terrorismo e
- a tutti i settori a cui è destinata l’applicazione della Direttiva fra i quali si ricordano, specificamente i seguenti:
- appalti pubblici;
- servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo;
- sicurezza e conformità dei prodotti;
- sicurezza dei trasporti;
- tutela dell’ambiente;
- sicurezza degli alimenti e dei mangimi e salute e benessere degli animali;
- salute pubblica;
- protezione dei consumatori;
- tutela della vita privata e protezione dei dati personali e sicurezza delle reti e dei sistemi informativi.
Quale, quindi, la destinazione finale del Gestore delle segnalazioni?
Può esservi il caso in cui, all’inizio, ci sia poco su cui lavorare ed allora l’attività può far capo, opportunamente, alla funzione Compliance ma il finale che si prospetta, per le grandi aziende, è quella di istituire, in staff al vertice aziendale, un vero e proprio Whistleblowing Department che si occupi del complesso sistema delle segnalazioni.
E le piccole e microimprese? Come devono comportarsi a riguardo?
È ragionevole pensare che l’organo dirigente possa occuparsene personalmente con il supporto di consulenti ed esperti esterni.
La materia è vasta e numerose sono le correlazioni fra diversi contesti.
Se hai piacere di un confronto su questi aspetti contattami o scrivimi a marcello.colaianniconsulting@gmail.it; uno scambio di opinioni può accrescere entrambi.
Marcello Colaianni
Compliance Manager/Consultant/Auditor
Qualified ISO 27001, ISO 37001 e 37301 Auditor
Accredia Certified DPO, DP Auditor e ISDP 10003 Auditor
Marcello Colaianni Blog 