La corretta gestione delle segnalazioni di possibili illeciti in azienda tramite canali di whistleblowing (o altre forme di denuncia interna) si colloca tra gli strumenti essenziali di compliance e buona governance. Il quadro normativo italiano, già caratterizzato da disposizioni in materia (quali il D.Lgs. 231/2001) con il recente D.Lgs. 24/2023 (attuativo della Direttiva (UE) 2019/1937) richiede alle imprese alle quali si applica, di predisporre canali interni idonei a ricevere e processare le medesime segnalazioni.
Indice degli argomenti
Whistleblowing, quali segnalazioni sono inammissibili per le indagini interne
Non è però infrequente che, spesso a causa di una formazione non adeguata dei soggetti coinvolti, attraverso il canale whistleblowing vengano inoltrate anche segnalazioni “inammissibili” in quanto non rientranti nell’ambito di applicazione della procedura di whistleblowing.
E’, per esempio, il caso di reclami aventi ad oggetto questioni meramente personali e che non configurano alcuna violazione normativa o del modello 231. In proposito la Corte di Cassazione, con la recentissima sentenza n. 1880 del 27 gennaio 2025, ha ribadito come il canale si segnalazione whistleblowing non possa essere utilizzato dai dipendenti a scopi esclusivamente personali, poiché ciò costituisce un abuso dello strumento.
Se l’uso del canale avviene per scopi personali ed estranei alla finalità per cui è istituito, la segnalazione non godrà delle tutele tipiche previste per i segnalanti in buona fede. Inoltre, chi abusa dello strumento potrà a sua volta essere passibile di sanzioni disciplinari. Si pone in questi casi la questione se, qualora da una segnalazione inammissibile emergano elementi di fatto che possano essere rilevanti per altri fini, l’impresa possa utilizzarli e avviare verifiche interne di approfondimento.
Quali informazioni dunque è possibile conservare e adoperare per altri scopi leciti, come indagini disciplinari o penali, in coerenza con il codice aziendale disciplinare, il modello 231 e altre procedure interne?
Il contenuto delle segnalazioni
Alcune disposizioni parrebbero escludere la possibilità di utilizzare le informazioni delle segnalazioni inammissibili. Per esempio il citato Decreto 24/2023, all’art. 12, richiama l’obbligo di riservatezza, ricordando che “le segnalazioni non possono essere utilizzate oltre quanto necessario per dare adeguato seguito alle stesse.” E al successivo art. 14, che disciplina la conservazione della documentazione inerente alle segnalazioni, si precisa che ”le segnalazioni, interne ed esterne, e la relativa documentazione sono conservate per il tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione”.
Tuttavia il medesimo decreto (art. 16.3) specifica anche che “quando è accertata, anche con sentenza di primo grado, la responsabilità penale della persona segnalante per i reati di diffamazione o di calunnia o comunque per i medesimi reati commessi con la denuncia all’autorità giudiziaria o contabile ovvero la sua responsabilità civile, per lo stesso titolo, nei casi di dolo o colpa grave, le tutele di cui al presente capo non sono garantite e alla persona segnalante o denunciante è irrogata una sanzione disciplinare”. E’ questa una prima ipotesi di attività aziendale doverosa e conseguente ad una segnalazione inammissibile o per la quale al segnalante è attribuita una qualche specifica responsabilità.
Nei limiti di quanto di seguito esposto, deve ritenersi ammessa (e in alcuni casi obbligatoria) l’attività di indagine interna volta ad approfondire le informazioni contenute anche in una segnalazione inammissibile, per scopi di compliance o per accertare eventuali illeciti disciplinari quando emergano indizi e ragioni concreti in tal senso. La segnalazione potrebbe essere ritenuta inammissibile per varie ragioni. Perché non afferisce a una violazione disciplinare, normativa o penale, ma (come nella fattispecie della Cassazione citata) riguarda semplici interessi o dispute personali; perché non fornisce elementi utili per dimostrare alcun illecito o alcuna inosservanza di procedure interne; o anche perché dovrebbe trovare risposta in canali diversi, come quelli gestiti dall’ufficio HR (Risorse Umane) o con altre procedure interne di reclami contrattuali. In tutti questi casi il Comitato preposto alla gestione delle segnalazioni whistleblowing, in adempimento delle disposizioni di legge e della procedura aziendale, deve archiviare la segnalazione.
Whistleblowing, quando attivare l’indagine interna
Lo stesso Comitato dovrà però sempre porsi la domanda se potrà (o addirittura dovrà) indirizzare la segnalazione ad altre funzioni e, se sì, con quali limiti e modalità. Dai documenti della segnalazione potrebbero infatti emergere fatti rilevanti ad esempio in materia di sicurezza sul lavoro, compliance penale, privacy, contrattuale, ecc.).
Di tale valutazione sarà opportuno darne conto con apposito verbale. La redazione del verbale è un’attività delicata in quanto si tratta di un documento che, in taluni casi, potrà essere oggetto di contestazioni, azioni giudiziali e accertamenti eventuali da parte di pubbliche autorità competenti.
I principali riferimenti normativi da considerare sono quelli del D.Lgs. 231/2001, in particolare per le segnalazioni rivolte all’Organismo di Vigilanza (ODV); la Legge 179/2017 (che ha introdotto tutele specifiche per il dipendente che segnala condotte illecite sul luogo di lavoro) e il citato D.Lgs. 24/2023 che ha ulteriormente rafforzato e dettagliato gli obblighi di predisposizione di canali di segnalazione e le tutele per i segnalanti, estendendoli anche a nuove categorie di soggetti.
Si ipotizzi ad esempio che la segnalazione, pur non rientrando nel perimetro del decreto, contenga dettagli su un possibile infortunio mancato o su un uso improprio di dati personali dei clienti. In questi casi il responsabile del canale può – o, in taluni casi, deve – inviare la documentazione, opportunamente anonimizzata, all’HSE o al DPO. Anche ogni fatto che possa integrare un reato‑presupposto 231 deve essere portato all’attenzione dell’OdV.
Differenze tra PA e privati
Nelle pubbliche amministrazioni, inoltre, il responsabile del canale riveste di solito la qualifica di pubblico ufficiale o incaricato di pubblico servizio: se dalla segnalazione emerge un reato perseguibile d’ufficio, ne deriva l’obbligo di denuncia alla procura ai sensi delle disposizioni di diritto penale. Nel settore privato, pur non sussistendo un obbligo generalizzato di denuncia, esso può esistere per alcuni operatori quali banche, intermediari finanziari, assicurazioni o settori regolati
Anche nelle ipotesi in cui non sussiste un obbligo di segnalazione all’ODV o alla Pubblica Autorità. La società potrebbe decidere di attivare una investigazione interna.
L’origine di un’investigazione interna può derivare, oltrechè da una segnalazione di whislteblowing, da molteplici altre fattispecie: un procedimento penale pendente a carico di soggetti apicali o dipendenti della società, ipotesi di lacune della compliance aziendale, un’ispezione di Autorità Indipendenti (es. Privacy, Antitrust….), un procedimento in ambito 231, un’azione giudiziaria promossa da shareholder o stakeholder o anche l’esigenza di investigare a seguito di un illecito commesso a danno della società.
Pro e contro delle indagini interne per whistleblowing
Quando l’investigazione interna non sia obbligatoria, occorre prima di tutto considerare, nella decisione se attivarla o meno, il bilanciamento dei rischi e benefici che essa comporterebbe. Un’indagine condotta in maniera scorretta può comportare non solo l’inutilizzabilità di quanto scoperto, ma anche un rischio di corresponsabilità della società o dei soggetti investiganti. E una volta che sia terminata l’attività e redatto il report, occorrerà valutare se/come/quando dare evidenza (interna, al pubblico, alle autorità) dei risultati accertati.
Oggi, in assenza di oggettivi incentivi premiali a favore della società che decida di fare disclosure di quanto emerso (a parte qualche eccezione, si pensi al rating di legalità ex l. 62 del 2012 o alla riparazione delle conseguenze del reato in ambito 231) è comprensibile vi sia il timore delle aziende di esporsi a rischi, anche reputazionali, che possono emergere da un procedimento di internal investigation mal condotto o il timore di far emergere elementi pregiudizievoli (per esempio in un procedimento giudiziario o ispettivo) che altrimenti sarebbero forse rimasti ignoti.
D’altra parte sarebbe un grave errore trascurare il vantaggio competitivo di un sistema di compliance integrato che le indagini investigative interne contribuiscono ad alimentare, o gli ulteriori vantaggi che le indagine possono comportare in procedimenti del lavoro, di concorrenza, tutela del patrimonio, difesa della società, raccolta di elementi per ottenere risarcimenti.
Come condurre le indagini interne per segnalazione whistleblowing
Assunta la decisione di condurre una investigazione interna, sarà necessario gestirla in maniera corretta e, a tale scopo, può essere utile far riferimento alla recente UNI/ISO TS 37008:2024.
Essa fornisce linee guida sulle investigazioni interne delle organizzazioni, indicando principi e buone prassi per la conduzione di processi investigativi indipendenti e imparziali, con particolare attenzione alla tutela della riservatezza, all’utilizzabilità delle prove e all’adozione di adeguate procedure di sicurezza per proteggere le persone coinvolte.
È cruciale, innanzitutto, che l’utilizzo delle informazioni acquisite rispetti i principi in materia di privacy. In particolare i principi di liceità, di proporzionalità e di minimizzazione dei dati personali (si acquisiscono e utilizzano quindi solo i dati personali strettamente necessari). Il riferimento normativo resta il Reg. (UE) 2016/679 (GDPR), unitamente al D.Lgs. 196/2003 (Codice Privacy, così come modificato dal D.Lgs. 101/2018) che impone precisi vincoli in ordine al trattamento dei dati, specialmente se di natura particolare come quelli sanitari o giudiziari.
La UNI/ISO TS 37008:2024 offre un vero e proprio vademecum per la conduzione delle investigazioni interne (internal investigations) nelle organizzazioni, declinando principi e procedure operative. Essa richiama ed esemplifica i principi di:
- Indipendenza: chi conduce l’indagine non deve essere influenzato o controllato da soggetti con interessi in conflitto;
- Riservatezza: tutte le informazioni acquisite, incluse le prove documentali, devono essere trattate in forma strettamente confidenziale;
- Competenza e professionalità: gli investigatori devono possedere le conoscenze e le capacità tecniche necessarie;
- Obiettività e imparzialità: l’investigazione deve fondarsi su dati oggettivi, evitando pregiudizi;
- Legalità e legittimità: occorre garantire il rispetto delle leggi nazionali e delle norme organizzative.
La policy internal investigation
Lo strumento essenziale per lo svolgimento delle indagini, come indicato anche dalla 37008, è la definizione di una Policy di Internal Investigation. L’organizzazione dovrebbe infatti adottare un documento che indichi obiettivi, ruoli, responsabilità, modalità e limiti dell’investigazione.
La policy consente, tra l’altro, di prevenire la distruzione, la modifica o l’occultamento di prove; di proteggere i soggetti coinvolti da ritorsioni, minacce o pressioni indebite e di mantenere la massima riservatezza sulle attività e sui dati raccolti.
E’ fondamentale che il processo investigativo sia condotto al meglio. Per far ciò occorre individuare e nominare un team investigativo competente (interno o esterno, con varie implicazioni derivanti da questa scelta) e definire, nella policy appunto, i criteri per la valutazione preliminare e la definizione dell’oggetto dell’indagine, la pianificazione e conduzione delle interviste, la raccolta delle prove ed infine la redazione di un rapporto di indagine con conclusioni fondate su documenti, testimonianze e altri materiali probatori.
Si tratta di unire e far cooperare professionalità con competenze legali, informatiche, di indagini, di organizzazione aziendale, di comunicazione. Bisognerà poi determinare le conseguenti misure correttive e i miglioramenti, traducendo gli esiti dell’investigazione in interventi concreti (disciplinari, procedurali, organizzativi) e, successivamente, verificando l’efficacia delle misure e il monitoraggio continuo.
L’attivazione di indagini interne comporta anche la decisione di come condurre le interazioni con le parti interessate (verso autorità, dipendenti, stakeholder, etc…) proteggendo interessi e reputazione dell’organizzazione.
Il diritto di difesa
E’ il caso di sottolineare che ogni indagine deve essere svolta nel pieno rispetto dei diritti di difesa. Un’investigazione interna non implica una presunzione di colpa: si tratta di un processo neutro di accertamento dei fatti che va condotto nel rispetto delle regole di diritto del lavoro, privacy, e delle disposizioni normative in vigore (anche penali).
L’uso di dati raccolti da segnalazioni interne deve essere coerente innanzitutto con lo Statuto dei Lavoratori (L. 300/1970) e con i principi giuslavoristici di correttezza e buona fede. Se l’indagine è condotta in modo illecito (ad esempio, controlli “occulti” non consentiti), le prove raccolte potrebbero essere inutilizzabili in un eventuale procedimento disciplinare, oltre ad esporre la Società (Datore di Lavoro) a conseguenze risarcitorie.
In taluni casi (e in alcuni settori, es. regolamentati) la segnalazione (pur “inammissibile” come whistleblowing) che faccia emergere ipotesi di reato, impone all’azienda l’obbligo di denuncia all’Autorità Giudiziaria. E ancora, nel contesto del D.Lgs. 231/2001, eventuali fatti rilevanti devono essere segnalati all’Organismo di Vigilanza.
Le attività di investigazione comportano altresì lo svolgimento di una serie di adempimenti in materia di privacy e data protection in accordo alla normativa di settore come il regolamento GDPR (informative, nomine autorizzati e responsabile, valutazioni d’impatto, aggiornamento registro trattamenti, etc). Quando possibile, l’attività di anonimizzazione dei dati, sarà fondamentale per consentire lo svolgimento di un’indagine interna senza il rischio di ledere gli interessi dei soggetti tutelati dalla normativa privacy.
La Policy di Internal Investigation illustrerà altresì le modalità per raccogliere e conservare adeguatamente le prove, documentando i passaggi chiave (chain of custody) e garantendo trasparenza o riservatezza cosicchè, anche in un eventuale giudizio, il materiale probatorio non possa essere contestato. Ancora la Policy dovrà coordinarsi, in un sistema di compliance integrata aziendale, con il modello organizzativo 231 (se presente) e le ulteriori procedure aziendali della società (e del gruppo nelle organizzazioni complesse).
Indagini interne in azienda, perché serve la formazione
Definita la Policy occorre provvedere alla formazione del personale. Gli incaricati delle indagini (se se interni generalmente: HR, compliance, legale, IT security, o consulenti incaricati da ODV, CdA, ecc.) devono essere appositamente istruiti. Ma anche il restante personale deve essere espressamente e formalmente sensibilizzato all’uso corretto dei canali di segnalazione, evitando abusi e comprendendo le possibili conseguenze disciplinari di un uso improprio.
E’ infine evidente come la conduzione delle indagini interne risulti più efficace e rispondente ai criteri di compliance (autonomia, competenza) quando il soggetto incaricato di gestirle sia un soggetto esterno con adeguata professionalità e conoscenza giuridica in materia di governance e compliance.
In conclusione: lo strumento delle indagini interne è a volte una necessità a volte un’opportunità. In ogni caso essere impreparati ad affrontarle o non gestirle significa, nella migliore ipotesi, perdere importanti opportunità di miglioramento dell’organizzazione, nella peggiore, incrementare il rischio di gravi conseguenze per la società e gli organi societari.
____
Bibliografia
Per approfondire il tema delle internal investigation si rimanda, tra i tanti, a “Internal investigation” a cura di F. Centonze e S.Giavazzi, 2021, G.Giappichelli Editore e “Investigazioni Interne” a cura di E.Di Fiorino e G.Fornari, 2022, Pacini Editore.
