I Conflitti d’interesse del Responsabile della protezione dei dati (RPD/DPO)

Il presente articolo propone una chiave di lettura un po’ diversa e meno perentoria rispetto a quello dal titolo: <<DPO e Responsabile del trattamento: 2 facce della stessa medaglia?>> pubblicato il 28 dicembre 2018.
L’esigenza di soffermarsi su altre considerazioni è emersa dirompente alla luce delle esigenze manifestate a gran voce da diversi Titolari e Responsabili miei clienti e da situazioni che mi trovo, professionalmente, a constatare quasi quotidianamente.

Resta valido il ragionamento per il quale il Titolare (ed il Responsabile) si assicura che eventuali altri compiti e funzioni svolte dal DPO non diano adito a un conflitto di interessi.
Le linee guida dell’Articolo 29 Data Protection Working Party si sono già bene espresse sull’opportunità di evitare possibili situazioni di conflitto d’interesse, dentro l’organizzazione – riguardo a ruoli manageriali di vertice (amministratore delegato, responsabile operativo, responsabile finanziario, responsabile sanitario, direzione marketing, direzione risorse umane, responsabile IT), ma anche rispetto a posizioni gerarchicamente inferiori se queste ultime comportano la determinazione di finalità o mezzi del trattamento – e anche in ipotesi di nomina di un DPO esterno al quale si chieda di rappresentare il titolare o il responsabile in un giudizio che tocchi problematiche di protezione dei dati.
Qui, il DPO avvocato non può, evidentemente, rappresentare in giudizio il proprio Titolare.

Se con riferimento alla designazione interna l’orientamento è piuttosto chiaro, l’eventuale nomina esterna del DPO suggerisce di valutare ogni singolo caso per l’oggettivo, e soggettivo, rischio di porre in essere un conflitto d’interessi il che porta all’inevitabile conseguenza di soprassedere all’assunzione del ruolo in discorso.

Assunto che il conflitto di interessi è quella condizione giuridica che si verifica quando viene affidata un’alta responsabilità decisionale a un soggetto che ha interessi personali o professionali in contrasto con l’imparzialità richiesta da tale responsabilità, che può venire meno a causa degli interessi in causa, l’analisi del singolo caso può, nel rispetto dei requisiti di legge, portare ad alcune considerazioni piuttosto interessanti.

Per esempio: il consulente in materia di sicurezza sul lavoro, indubbiamente, effettua trattamenti di dati personali. Per questi motivi viene nominato Responsabile esterno per i dati del Titolare trattati specificatamente in ottemperanza all’oggetto del relativo contratto di consulenza.
È anche vero che nel contratto di nomina del consulente a RTDP, è il Titolare che impartisce istruzioni scritte sulle condizioni e modalità di trattamento dei propri dati nell’espletamento della consulenza; ciò conformemente al dettato ex art. 28/679/2016.
Non è il Consulente ad avere un ruolo che comporti la definizione delle finalità o modalità del trattamento di dati personali.

La domanda da porsi, a questo punto è: <<qual è il conflitto d’interessi che si pone, per la protezione dei dati personali, laddove il consulente in materia di sicurezza sul lavoro venga designato DPO?>> Naturalmente in presenza delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i compiti di cui all’articolo 39.

Ricordiamo ancora che il responsabile della protezione dei dati può svolgere altri compiti e funzioni … e, per le riflessioni che seguono, non si può affermare, tout court, che il controllore controlli il controllato.
Allo stesso modo non vi è alcun divieto, nel regolamento, a che un Responsabile possa ricoprire il ruolo di DPO.

Ogni situazione va analizzata caso per caso.
La raccomandazione delle linee guida dell’Articolo 29 DPWP di adottare procedure per:

  • individuare le qualifiche e funzioni che sarebbero incompatibili con quella di RPD;
  • redigere regole interne a tale scopo onde evitare conflitti di interessi;
  • prevedere un’illustrazione più articolata dei casi di conflitto di interessi;
  • dichiarare che il RPD non versa in alcuna situazione di conflitto di interessi con riguardo alle funzioni di RPD, al fine di sensibilizzare rispetto al requisito in questione;
  • prevedere specifiche garanzie nelle regole interne e fare in modo che nel segnalare la disponibilità di una posizione lavorativa quale RPD ovvero nel redigere il contratto di servizi si utilizzino formulazioni sufficientemente precise e dettagliate così da prevenire conflitti di interessi

è sicuramente utile nel dare enfasi ed evidenza dell’assenza di (rischi di) conflitti d’interesse come nell’esemplificazione considerata.

Il DPO, come sopra nominato, è vero, ha interessi professionali presso il Titolare; è infatti consulente per la sicurezza sul lavoro. Ma l’imparzialità richiesta al DPO può in qualche modo essere compromessa dal fatto che questi sia un Responsabile? Dal fatto che sia un consulente, non in materia di protezione dei dati personali ma di sicurezza sul lavoro?
Alla lettera “h)”, § 3 dell’art. 28/679/2016 è scritto che il Responsabile deve (…) consentire e contribuire alle attività di revisione, comprese le ispezioni, realizzate dal titolare del trattamento o da un altro soggetto da questi incaricato.
Bene. Sarà direttamente il Titolare, o altro soggetto da questi incaricato, che si assicurerà circa il rispetto degli obblighi previsti da parte del consulente.
Non sarà certo coinvolto il DPO/Consulente a controllare se stesso quanto, piuttosto, un organismo indipendente di terza parte che potrà esprimersi circa l’appropriatezza dei comportamenti assunti dal consulente sia in qualità di Responsabile sia in quella di DPO.

La suddetta esemplificazione lascia quindi ben intendere che non si può generalizzare e lasciare insoddisfatte aprioristicamente esigenze organizzative che, in realtà, si rivelano non solo appropriate ma persino opportune.

Con ben in mente la suddetta definizione di conflitto d’interessi, questo si pone, ragionevolmente, se:

  1. il nostro Responsabile fosse consulente in materia di protezione di dati personali e non di sicurezza sul lavoro. Come potrebbe il DPO controllare l’operato del Titolare quando questi agisce assecondando le sue stesse indicazioni?
  2. il Titolare è assistito dallo studio legale (o dalla società di consulenza), in sede di applicazione ed osservanza dei requisiti della normativa privacy e ad assumere il ruolo di DPO è uno degli avvocati o altri soggetti (ovvero un dipendente della società) che ivi lavorano. Con quale autorevolezza ed imparzialità il DPO si relaziona con il Titolare per dirgli cosa va o non va nel modello di adeguamento al GDPR predisposto dallo stesso studio legale (società di consulenza) con cui e/o per cui lavora?
  3. il consulente informatico che assiste il Titolare per gli aspetti ICT, latu sensu, fosse designato DPO. Questi può oggettivamente ritenersi del tutto “estraneo” al trattamento dei dati personali ed in condizioni, quindi, di garantire l’imparzialità e l’indipendenza che è richiesta al Responsabile per la protezione dei dati? Secondo me, no.

Nei tre casi considerati, a titolo esemplificativo, sia il consulente privacy che quello informatico così come lo studio legale vanno nominati Responsabili esterni del trattamento ex art. 28/679/2016 in quanto ad essi il Titolare ricorre per trattamenti effettuati per suo conto, ma a determinare il conflitto d’interessi non è la nomina a Responsabili bensì il tipo di attività che sottende la relazione con il Titolare.

Il ragionamento da fare è un po’ quello per la composizione dell’Organismo di Vigilanza (OdV).
Il Responsabile del servizio di prevenzione e protezione (RSPP) piuttosto che il consulente del sistema di gestione ambientale e persino i sindaci nelle società di capitale, a dispetto del disposto ex art. 6/231/2001 c. 4-bis, non possono – de facto – far parte dell’OdV in presenza di conflitto d’interessi in quanto:

  • l’RSPP, membro dell’OdV, si ritroverebbe a controllare il proprio operato con riferimento all’osservanza della normativa sulla sicurezza sul lavoro la cui materia è contemplata fra i rischi reato 231;
  • il consulente ambientale, allo stesso modo, si ritroverebbe a verificare l’appropriatezza dei consigli formulati all’Organizzazione, in conformità al D. Lgs. 152/2006 e smi ed alla UNI EN ISO 14001;
  • il sindaco, infine, quale membro dell’organismo si ritroverebbe a controllare aspetti strettamente connessi alla propria attività oggetto, a loro volta, delle verifiche dell’OdV.

Né può essere membro dell’Organismo il DPO, o il consulente privacy. Come potrebbe, questi, controllare la correttezza delle azioni intraprese dovendo verificare eventuali rischi reato riguardanti i Delitti informatici ed il trattamento illecito di dati?

Ecco, queste situazioni sono del tutto assimilabili a quelle più sopra riportate; situazioni nelle quali la figura di controllore e controllato pongono sì, in essere, un evidente conflitto d’interessi.

Marcello Colaianni
Compliance & Management Systems Consultant/Auditor
Certified DPO  e DP Auditor UNI 11697
Certified DP Auditor ISDP 10003:2018 Scheme

 

 

COMPLIANCE & ENTERPRISE MANAGEMENT SYSTEMS

Da tempo, sempre più, ci accorgiamo di quanto la normativa cogente si trovi affiancata da norme volontarie che trattano, da un punto di vista sistemico, la materia.

E’ il caso, per esempio:

  1. dell’Anticorruzione che, disciplinata nell’ambito del D. Lgs. 231/01, dalla L. 190/2012, dal D. Lgs. 38/2017 e dalla L. 3/2019, è normata dallo standard UNI ISO 37001:2016;
  2. della Sicurezza sul lavoro con il D. Lgs. 81/08, da una parte, e la UNI ISO 45001, già OHSAS 18001, dall’altra;
  3. della Responsabilità Sociale, a cui fanno riferimento Leggi di stabilità e di bilancio nonché la SA8000, la UNI ISO 26000 e vari modelli di rendicontazione quali Q-RES e AA1000;
  4. dell’Igiene del prodotto alimentare di cui al Decreto Legislativo 193/07 e UNI EN ISO 22000:2018;
  5. della normativa Ambientale che vede il D. Lgs. 152/2006 a livello cogente e la UNI EN ISO 14001 e EMAS a livello volontario.

Ovviamente non si tratta di alternative; la normativa cogente va debitamente osservata dalle Organizzazioni e costituisce requisito preliminare nell’implementazione di un qualsiasi sistema di gestione aziendale.

La decisione di adottare uno standard di riferimento quale adeguamento volontario a requisiti di sistema porta tanti vantaggi in più:

  1. una linea guida nell’applicazione delle leggi;
  2. la diffusione di una cultura dentro e fuori l’organizzazione;
  3. un biglietto da visita che enfatizza la propria sensibilità nello specifico argomento all’insegna delle esigenze ed aspettative dei propri stakeholders;
  4. una visibilità a livello internazionale;
  5. un più facile accesso alla partecipazione ai bandi di gara.

Da qui, la consapevolezza di questa esigenza; un’esigenza di mercato, del lavoro e della concorrenza, soddisfatta dall’opportunità di coniugare normativa cogente e volontaria all’unisono secondo un approccio evolutivo e insieme innovativo.

Marcello Colaianni
Compliance & Management Systems Consultant / Auditor
Certified DPO e Privacy Auditor UNI11697
Certified DP Auditor ISDP 10003:2018 Scheme

 

 

Norme di legge e norme di sistema: Requisiti complementari e differenti.

Con il presente articolo mi associo al pensiero di un autorevole e riconosciuto Organismo di Certificazione italiano.

Spesso, anche dal confronto con miei rispettosissimi colleghi, mi trovo a dibattere sulla necessità di fare i dovuti distinguo fra le prescrizioni di cui alla legislazione e quelle formulate all’interno delle norme di  sistema.
Ecco che cosa intendo.

Nel testo del D. Lgs. 8 giugno 2001 n.  231 “Disciplina della responsabilità amministrativa delle persone giuridiche, delle società e delle associazioni anche prive di personalità giuridica, a norma dell’articolo 11 della legge 29 settembre 2000, n. 300” è incluso il riferimento alla corruzione richiamata all’art. 25: Concussione, induzione indebita a dare o promettere utilità e corruzione. Sappiamo trattarsi di uno degli innumerevoli reati a fronte del quale gli Enti devono implementare un modello di organizzazione e di gestione idoneo ad avere efficacia esimente della responsabilità amministrativa; il cosiddetto M.O.G.

La dimostrazione di una sua adozione ed efficace attuazione è espressa nella registrazione ed osservanza di aspetti riguardanti:

  • La mappatura delle aree/funzioni/attività aziendali a rischio reato;
  • L’analisi puntuale degli specifici fattori di pericolo e loro analisi per la determinazione del rischio e suo trattamento;
  • La valutazione, costruzione ed adeguamento del sistema di controllo preventivo con l’individuazione ed analisi dei singoli componenti: Codice etico (e sistema disciplinare) con riferimento ai reati considerati, Sistema organizzativo, Procedure manuali ed informatiche, Poteri autorizzativi e di firma, Sistema di controllo di gestione, Formazione e addestramento, Comunicazione e coinvolgimento, Gestione operativa, Sistema di monitoraggio della sicurezza;
  • L’identificazione e nomina di un appropriato Organismo di Vigilanza (OdV) tenendo conto della sua composizione, dei compiti, dei requisiti e poteri e loro distribuzione fra i singoli membri, le relazioni fra l’OdV e le altri funzioni aziendali, i flussi di informazione nonché i profili penali e della responsabilità.

Quanto sopra, tuttavia, è cosa del tutto differente rispetto a ciò che prevede la UNI ISO 37001: Sistemi di gestione per la prevenzione della corruzione – Requisiti e guida all’utilizzo.

Questa, a solo titolo esemplificativo, identifica specifiche figure professionali quali il Responsabile della prevenzione della corruzione, riconosce l’Organo direttivo e l’Alta direzione che si sovrappongono alle funzioni già esistenti all’interno dell’Organizzazione con propri ruoli, responsabilità ed un coinvolgimento tale per cui si può oggettivamente affermare: “Non poteva non sapere”.

Qui, la valutazione dei rischi di corruzione si estende concretamente ai cosiddetti “soci in affari” e ad essa, laddove emergessero rischi medi o elevati, segue una due diligence. Occorre cioè avviare un’ulteriore verifica della natura ed entità del rischio di corruzione e aiutare le organizzazioni  ad assumere decisioni in relazione a transazioni, progetti, attività, soci in affari e personale specifici.

Cosa c’è in comune? La valutazione dei rischi, la consapevolezza e la formazione a tutti i livelli e funzioni dell’organizzazione, la comunicazione e le informazioni documentate … il tutto, però, debitamente contestualizzato.

Parimenti dicasi per la PRIVACY!

Al pari della Corruzione, il D. Lgs. 231, all’art 24-bis, tratta dei Delitti informatici e trattamento illecito di dati.

L’evidenza delle azioni intraprese volte ad evitare l’incorrere in siffatti rischi e, quindi, a dimostrare il loro regolare monitoraggio non può assolutamente essere equiparato ai comportamenti da assumere in ossequio al Regolamento UE 679/2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati.

Certo! È indubbio che vi siano correlazioni fra i suddetti reati e l’adeguamento al GDPR (General Data Protection Regulation). Si tratta, però, di aspetti fra loro complementari e del tutto insufficienti a dimostrare autonomamente la reciproca osservanza senza l’attuazione di specifici adempimenti.

L’adeguamento al Regolamento, che subentra al D. Lgs. 196/03 e smi (Codice in materia di protezione dei dati personali) in fieri di essere revisionato in adeguamento allo stesso GDPR, già di per sé, impone un approccio sistemico nell’adempimento dei suoi requisiti. Un approccio, cioè, simile al passaggio fra il D. Lgs. 626/94 ed il D. Lgs. 81/08 in materia di Sicurezza sul lavoro – rafforzato poi dal riferimento al relativo sistema di gestione di cui all’art. 30 – dove non è sufficiente l’adempimento puntuale, per esempio, dell’informativa e della richiesta del consenso o della designazione del Responsabile della protezione dei dati.

Si richiede, innanzitutto, un cambiamento di cultura, l’individuazione di nuove figure aziendali che, grazie alla propria esperienza ed alle risorse disponibili, possano dare il loro valido contributo all’Organizzazione. Serve, senza ricorrere al tuttologo di turno, un approccio trasversale che consenta di rilevare la ricaduta del trattamento dei dati personali degli interessati con riferimento a tutte le attività di trattamento del Titolare focalizzandosi, fin dalla progettazione e per impostazione predefinita, sia sui dati logici sia, e prima ancora, su quelli organizzativi e fisici.

Un’utopia? NO! Tanto più considerando che gli Stati membri, le autorità di controllo, il comitato e la Commissione incoraggiano, in particolare a livello di Unione, l’istituzione di meccanismi di certificazione della protezione dei dati (…)  allo scopo di dimostrare la conformità al presente regolamento dei trattamenti effettuati dai titolari del trattamento e dai responsabili del trattamento.

Meccanismi di certificazione che, se propriamente implementati, possono calmierare l’entità di eventuali sanzioni amministrative.

Nel nostro Paese, ci sono schemi (leggi meccanismi) proprietari di certificazione che, validati da Organismi lungimiranti, sebbene fuori accreditamento hanno l’indiscusso merito di aiutare le organizzazioni nell’applicazione del Regolamento stesso.

Cosa fare, quindi?

  1. Definire il focus, l’obiettivo: Capire cosa si vuole fare e focalizzarsi su quello;
  2. Individuare e valutare le diverse possibilità per raggiungere l’obiettivo;
  3. Pianificare le azioni da intraprendere, come organizzarsi e convergere, all’interno e/o ricorrendo a professionalità esterne, expertises differenti per il comune obiettivo;

e ancora

  1. Analizzare e far fronte agli eventuali ostacoli che vi si frappongono;
  2. Assicurarsi di essere, tutti, sulla stessa lunghezza d’onda … e
  3. PARTIRE!

Marcello Colaianni
Compliance & Management Systems Consultant/Auditor

 

 

 

 

 

 

 

 

 

L. 190/2012 e UNI ISO 37001:2016 a confronto in materia di anticorruzione

L’argomento oggetto di questo articolo trova particolare interesse per tutte quelle aziende che, pur dotate di propria personalità giuridica, sono partecipate dalle amministrazioni pubbliche (e loro controllate) o svolgono pubblici servizi o servizi di pubblica utilità.

Mi rivolgo, in altre parole, a quelle Organizzazioni che non si limitano ad adempiere agli obblighi di legge di cui alla L. 190/2012 “Disposizioni per la prevenzione e la repressione della corruzione e dell’illegalità nella pubblica amministrazione”, e leggi collegate, ma manifestano esplicitamente la propria volontà di adottare comportamenti virtuosi in ambito anticorruzione dandone evidenza con la certificazione del proprio ABMS (Anti-Bribery Management System) secondo la norma internazionale UNI ISO 37001:2016 “Sistemi di gestione per la prevenzione della corruzione – Requisiti e guida all’utilizzo” oltremodo utile, peraltro, qualora requisito per la partecipazione ai bandi di gara.

Significativo il fatto che la UNI ISO 37001 sia una norma applicabile, per l’organizzazione, alla corruzione nel settore pubblico, privato e del no profit ed in presenza sia di corruzione in uscita (agita) che in entrata (subita) mentre la L. 190 sembra non coinvolgere soggetti non annoverabili nella definizione di dipendenti pubblici o di incaricati di pubblico servizio. In presenza di presupposti, però, potrebbero applicarsi, secondo esigenza, le disposizioni dell’istituto del concorso di più persone ex art. 110 e ss c.p.: “quando più persone concorrono nel medesimo reato, ciasuna di esse soggiace alla pena per questo stabilita” o quelle sul Mutamento del titolo del reato per taluno dei concorrenti ex art. 117 c.p.: “Se per le condizioni o le qualità personali del colpevole, o per i rapporti fra il colpevole e l’offeso, muta il titolo di reato per taluno di coloro che vi sono concorsi, anche gli altri rispondono dello stesso reato”.

Laddove nel reato agiscano anche i cosiddetti estranei (e i soggetti collaterali), soggetti cioè non inseriti nella PA ma che interagiscono con chi ha natura pubblicistica, per il suddetto ragionamento potrebbe essere loro addebitato lo stesso reato e le medesime sanzioni comminate all’intraneo.

Il primo passo è quello di individuare i soggetti coinvolti nel sistema anticorruzione.

  1. Fra gli altri, la L. 190 identifica l’Organismo di Indirizzo Politico (OIP) quale soggetto titolato a nominare il Responsabile della Prevenzione della Corruzione (RPC). Chi poi possa identificarsi nell’OIP non sempre vi è chiarezza, almeno in ambito squisitamente pubblicistico.
    In questa sede trovo sicuramente preferibile assecondare l’orientamento prevalente (per le ASL) che suggerisce quale OIP, legittimato alla nomina del Responsabile della prevenzione della correzione, la persona del Direttore Generale  come espressione del vertice aziendale. È cioè appropriato, e del tutto ragionevole, che quanto all’intero sistema anticorruzione sia deciso e gestito all’interno dell’organizzazione.
    L’organo di indirizzo politico, su proposta del RPC, adotta il piano triennale di prevenzione della corruzione (PTPC), curandone la trasmissione al Dipartimento della Funzione Pubblica.
  2. Quanto sopra trova corrispondenza con la 37001 che attribuisce alla persona (…) che, al livello più elevato dirige e controlla un’organizzazione, ovvero all’alta direzione, il compito di assegnare a una funzione di conformità per la prevenzione della corruzione le responsabilità e l’autorità in materia.
    – L’alta direzione deve dimostrare leadership e impegno nei riguardi del sistema di gestione per la prevenzione della corruzione assicurando che questo, comprese le politiche e gli obiettivi, sia stabilito, attuato, mantenuto e riesaminato al fine di affrontare adeguatamente i rischi di corruzione dell’organizzazione. 
  1. Il Responsabile della Prevenzione della Corruzione deve poter usufruire di un proprio ufficio, per lo svolgimento delle proprie mansioni.
    Mansioni che si identificano nell’elaborazione del piano della prevenzione della corruzione, nella definizione di procedure appropriate per selezionare e formare i dipendenti destinati ad operare in settori particolarmente esposti alla corruzione, identificabili nella 37001 come attività sensibili, e nella verifica dell’effettiva rotazione degli incarichi negli uffici preposti allo svolgimento delle attività a maggior rischio commissione reati di corruzione.
    Il RPC (v. D. Lgs. 39/2013) ha inoltre cura a che siano rispettate le disposizioni su inconferibilità e incompatibilità degli incarichi e ne evidenzi i presupposti segnalando i casi di possibili violazioni all’ANAC.
    – Al RPC devono essere garantite appropriate risorse umane, strumentali e finanziarie nei limiti delle disponibilità del bilancio.
    Ricordando che l’attività di elaborazione del piano non può essere affidata a soggetti estranei all’amministrazione, le risorse umane cui può avvalersi il RPC sono i cosiddetti referenti per la prevenzione che può direttamente nominare secondo l’istituto della delega di funzioni. Questi informeranno il RPC affinché abbia elementi sufficienti per monitorare sull’applicazione del PTPC.
    – In linea di principio, e come sottolineato nel Piano Nazionale Anticorruzione, il RPC non può delegare compiti attribuitigli personalmente se non in presenza di straordinarie e motivate necessità, riconducibili a situazioni eccezionali mantenendo la propria responsabilità in tema sia di culpa in eligendo sia di culpa in vigilando.
    – Per quanto riguarda, infine, le responsabilità e sanzioni cui va incontro il RPC, il comma 14 dell’art. 1/190/2012 dispone che “In caso di ripetute violazioni delle misure di prevenzione previste dal piano, il RPC risponde delle responsabilità dirigenziali di: decurtazione della retribuzione, impossibilità di rinnovo dell’incarico dirigenziale, revoca dell’incarico, esclusione di ulteriori incarichi di livello dirigenziale equivalenti per almeno 2 anni, recesso del rapporto di lavoro. C’è poi da considerare l’eventuale sanzione disciplinare che prevede la sospensione dal servizio con privazione della retribuzione per un periodo compreso fra 1 e 6 mesi.
    È inoltre stabilito che “in caso di commissione (anche da altri), all’interno dell’amministrazione, di un reato di corruzione accertato con sentenza passata in giudicato, chi ne risponderà è il RPC salvo riesca a dimostrare:
  • di avere predisposto, prima della commissione del fatto, il piano di prevenzione della corruzione
  • di aver verificato l’efficace attuazione del piano e della sua idoneita’, nonche’ a proporre la modifica dello stesso quando sono accertate significative violazioni delle prescrizioni ovvero quando intervengono mutamenti nell’organizzazione o nell’attivita’ dell’amministrazione;
  • di aver verificato, d’intesa con il dirigente competente, l’effettiva rotazione degli incarichi negli uffici preposti allo svolgimento delle attività nel cui ambito è più elevato il rischio che siano commessi reati di corruzione;
  • di aver individuato il personale da inserire nei programmi di formazione;
  • di aver vigilato sul funzionamento e sull’osservanza del piano”. 
  1. La funzione di conformità per la prevenzione della corruzione (FPC) ha il compito di:
  • supervisionare la progettazione e l’attuazione da parte dell’organizzazione del sistema di gestione per la prevenzione della corruzione;
  • fornire consulenza e guida al personale circa il sistema di gestione per la prevenzione della corruzione e le questioni legate alla corruzione;
  • assicurare che il sistema di gestione per la prevenzione della corruzione sia conforme ai requisiti della 37001;
  • relazionare sulla prestazione del sistema di gestione per la prevenzione della corruzione all’organo direttivo (se presente) e all’alta direzione e ad altre funzioni, nel modo opportuno.

– Per lo svolgimento dei suddetti compiti, la funzione di conformità per la prevenzione della corruzione deve poter avvalersi di risorse finanziarie e umane adeguate per competenze, status, autorità e indipendenza.
Essa deve avere un accesso diretto e tempestivo all’alta direzione nel caso in cui qualsiasi problema o sospetto necessiti di essere sollevato in relazione ad atti di corruzione o al sistema di gestione per la prevenzione della corruzione.
– La FPC può avvalersi di risorse esterne che l’alta direzione le concede restando salvo il fatto che un manager competente dell’organizzazione mantenga la responsabilità generale e l’autorità in merito alla funzione di conformità per la prevenzione della corruzione e che supervisioni i servizi forniti dalla parte terza.
– Anche la 37001 fa riferimento alle Deleghe nel processo decisionale, alias “delega di funzioni”, ma nel rapporto fra l’alta direzione (organo direttivo) ed il personale adottando procedure documentate che prevedano le verifiche periodiche dei processi delegati ma di propria competenza. Si ricordi però che la delega in discorso non libera l’alta direzione dai propri doveri e responsabilità né trasferisce necessariamente al delegato le potenziali responsabilità legali.
– Viene fatto riferimento al sistema disciplinare, sia nell’ambito degli obiettivi per la prevenzione della corruzione e pianificazione per il loro raggiungimento sia nell’ambito del processo di assunzione di tutti i membri del personale.
In particolare è prevista l’adozione di procedure che definiscano modalità e criteri di applicazione di appropriate misure disciplinari in ipotesi di violazione del sistema di gestione della prevenzione della corruzione e della politica di prevenzione della corruzione … tenendo in ben conto che questa prevede, preliminarmente, la conformità alle leggi per la prevenzione della corruzione applicabili all’organizzazione.

Marcello Colaianni
Anti-Bribery Auditor KHC Qualified
Business Coach – Mentor – Compliance Consultant