Whistleblowing: quale ruolo per l’Organismo di vigilanza?
Whistleblowing: quale ruolo per l’Organismo di vigilanza?
Abstract: La nomina dell’Organismo di vigilanza ex D.Lgs. 231/2001 a gestore dei canali interni di segnalazione ex art. 4 del D.Lgs. 24/2023 è oggetto di un acceso dibattito - stante anche l’obbligatoria implementazione delle procedure di whistleblowing prevista per gli enti di ridotte dimensioni entro il 17 dicembre 2023 - nonostante sia ANAC che Confindustria, nelle rispettive Linee Guida, abbiano individuato nell’OdV un possibile gestore. Le obiezioni a una tale scelta sottolineano, da un lato, che l’OdV non avrebbe le caratteristiche richieste dal D.Lgs. 24/2023 (deficit di competenza e difetto di autonomia), dall’altro che, pur disponendone, lo stesso incorrerebbe nell’incompatibilità che, secondo una pacifica ricostruzione dottrinaria e giurisprudenziale, sussiste tra i compiti dell’OdV e qualsiasi attività di natura gestoria.
Whistleblowing e Modello 231
Entro il 17 dicembre 2023 gli enti del settore privato di dimensioni ridotte, tra cui quelli con più di 50 dipendenti medi nel 2022, nonché quelli che abbiano adottato un Modello ai sensi del D.Lgs. 231/2001 (d’ora in avanti il “Decreto 231”), anche se non raggiungono tale soglia di occupati, sono obbligati a conformarsi alla nuova disciplina in materia di whistleblowing (ex art. 24, comma 2 del D.Lgs.24/2023, d’ora in avanti il “Decreto”).
Non a caso, con l’approssimarsi della predetta data, si affastellano dubbi interpretativi e anche alcune voci critiche sul conto della recente disciplina e delle possibili interpretazioni. Uno dei tanti temi dibattuti è rappresentato, negli enti dotati di Modello 231, dal ruolo che potrebbe rivestire l’Organismo di vigilanza (“OdV”) nell’ambio del sistema whistleblowing.
Nel Decreto i riferimenti al Decreto 231sono molteplici e riguardano le violazioni rilevanti (ex art. 2, comma 1, lett. a), n. 2), la definizione dei soggetti del settore privato cui si applica la disciplina del Decreto (ex art. 2, comma 1, lett. q), n. 3), l’adeguamento dei Modelli 231 alle caratteristiche richieste dal Decreto con riguardo sia ai canali interni di segnalazione (ex art. 4, comma 1), sia ai sistemi disciplinari di cui all’art. 6, comma 2, lett. e) (ex art. 21, comma 2).
Il coinvolgimento degli enti dotati di un Modello 231, anche se al di sotto delle soglie dimensionali altrimenti rilevanti per il Decreto, si spiega con ragioni storiche, trattandosi degli enti che per primi, nell’ambito del settore privato, hanno dovuto gestire eventuali segnalazioni aventi ad oggetto le violazioni del Modello 231 e, successivamente, dotarsi di procedure di segnalazione conformi alla disciplina whistleblowing introdotta dalla L. 179/2017. Trova, inoltre, una coerenza nella convergente finalità di favorire una cultura aziendale della legalità, che è propria dell’ecosistema 231 ed è alla base del Decreto in esame.
Tuttavia, è lecito chiedersi se la scelta del legislatore di prescindere dal criterio dimensionale con riferimento alle società dotate di Modello 231 non possa avere ripercussioni negative. Non è difficile preconizzare che enti ora obbligati a implementare procedure complesse e sostenere i relativi oneri - pur avendo (solo) qualche decina di dipendenti e rimanendo esposte alle sanzioni previste dal Decreto - possano essere indotti a “liberarsi” dei Modelli 231 e altre possano soprassedere dall’adottarli.
L’OdV come gestore del canale di segnalazione
In forza dell’art. 4, comma 2, del Decreto, la gestione dei canali interni di segnalazione può essere affidata a una persona o a un ufficio interno autonomo dedicato e con personale specificamente formato, ovvero a un soggetto esterno, anch’esso autonomo e con personale specificamente formato. Ai primi commentatori è sembrato logico individuare nell’OdV, con riguardo agli enti dotati di un Modello 231, la figura che avrebbe potuto rivestire il ruolo di gestore dei canali interni di segnalazione.
Opinione che trova riscontro nelle recenti Linee Guida di Confindustria (“LGC”) dell’ottobre 2023, che rilevano come tali imprese possano valutare di affidare all’OdV, quale ulteriore incarico, quello di gestore dei canali interni di segnalazione conformi al Decreto, “considerato il fatto che l’OdV già possiede i requisiti richiesti dalla disciplina in esame e che, come previsto anche dal Decreto, la disciplina whistleblowing è parte integrante del Modello Organizzativo 231, sulla cui osservanza l’OdV è chiamato a vigilare”. L’OdV, chiariscono le LGC, è dotato di competenze tecniche adeguate e di autonomia e indipendenza, funzionali e gerarchiche, rispetto a qualsiasi altro ufficio interno, che gli consente di svolgere la funzione di gestore delle segnalazioni, ossia i compiti di verifica e istruttoria dei fatti segnalati, senza interferenze o condizionamenti. Lo stesso sarebbe anche idoneo, stanti le sue caratteristiche, a garantire il rispetto degli obblighi di riservatezza delle informazioni relative al segnalante, alle persone coinvolte, al contenuto della segnalazione e ai documenti forniti a supporto, per come stabiliti dal Decreto. Concludendo, tuttavia, che la scelta è rimessa alla discrezionalità organizzativa delle singole imprese, che dovranno tenere conto di aspetti dimensionali e delle risorse disponibili.
In senso analogo si erano già espresse le Linee Guida di ANAC (“LGA”), approvate con delibera n. 311 del 12 luglio 2023, secondo cui nel settore privato la scelta del soggetto, cui affidare il ruolo di gestore delle segnalazioni, è rimessa all’autonomia organizzativa di ciascun ente, non prevedendo il Decreto alcunché in proposito. Tale ruolo può essere affidato, precisano le LGA, tra gli altri all’Organismo di vigilanza previsto dalla disciplina del Decreto 231, laddove l’ente abbia adottato un Modello 231.
Le ipotizzate criticità della scelta
Le critiche sollevate da più parti si sono appuntate, da un lato, su presunte inadeguatezze della nomina dell’OdV a gestore dei canali interni di segnalazione per un deficit di competenza (una “specifica formazione” richiede il Decreto), ovvero per la assenza di una sufficiente autonomia dai vertici delle imprese; dall’altro lato, la nomina a gestore porterebbe con sé il compimento di attività gestoria, cui l’OdV sarebbe di solito estraneo (in particolare attività investigative e di indagine) e, comunque, ne comprometterebbe l’autonomia e l’indipendenza necessarie allo svolgimento corretto del proprio compito di vigilare sul funzionamento del Modello 231.
Il deficit di competenza
Solleva dubbi in proposito alla nomina dell’OdV un documento di ricerca della Fondazione Nazionale dei Commercialisti dell’ottobre 2023. Il ventaglio delle violazioni è più ampio di quelle riconducibili al “sistema 231”, precisano gli autori. La tesi dell’inadeguatezza della nomina a gestore dell’OdV si basa, quindi, su un suo ipotizzato deficit di competenze (emerge, peraltro, che si tratterebbe di un deficit relativo, ossia superabile).
Viene precisato da altri commentatori che in tal senso difetterebbe proprio la “specifica formazione” presupposta dal Decreto (art. 4, comma 2), poiché l’OdV non conoscerebbe le normative dell’Unione europea (ovvero quelle interne di recepimento) che possono formare oggetto delle violazioni rilevanti. Sarebbe richiesta una formazione altamente tecnica e una prontezza nella verifica delle violazioni segnalate, di cui si ritiene l’OdV non sia dotato, ma che secondo altri commentatori lo stesso potrebbe colmare ricorrendo a consulenze specializzate.
Il concetto di “specifica formazione” viene riferito non solo al possibile oggetto delle segnalazioni, ma anche alla tipologia di analisi dei fatti segnalati, cui sarebbe chiamato, a differenza dell’OdV, il gestore dei canali interni di segnalazione.
Sul punto ci si limita a richiamare le Linee Guida di Confindustria per la costruzione di Modelli 231 (versione 2021) che chiariscono quali dovrebbero essere, anche secondo la giurisprudenza, le specifiche competenze tecniche richieste all’OdV: “attività ispettive, consulenziali, ovvero la conoscenza di tecniche specifiche, idonee a garantire l’efficacia dei poteri di controllo e del potere propositivo ad essi demandato” (Tribunale Napoli, 26 giugno 2007).
L’OdV, in altre parole, vigila sul funzionamento del Modello 231, ma non analizza le condotte illecite o di violazione del Modello stesso, disponendo di un potere di vigilanza piuttosto che di un potere gestorio.
Il difetto di autonomia
Ad avviso di alcuni commentatori la consuetudine di rapporto che l’OdV ha con alcune funzioni aziendali e con i vertici minerebbe l’autonomia quale caratteristica richiesta dal Decreto per il gestore dei canali interni di segnalazione. Si dubita, in altri termini, che l’OdV sia connotato dalla “dedicata autonomia” che il Decreto richiede, a causa del costante scambio di informazioni col vertice aziendale, come formalizzato nei flussi informativi propri dei Modelli 231. Si sostiene che in tal modo l’autonomia verrebbe meno, intesa quale forma di distacco dalle vicende interne all’ente, che assicura che l’attività di gestore possa essere esercitata in modo imparziale e priva di condizionamenti.
Come riportano le LGC, ANAC ha tuttavia chiarito che l’espressione “dedicata autonomia” si riferisce unicamente al fatto che la gestione sia accentrata in un unico ufficio/soggetto (non che lo stesso sia dedicato esclusivamente allo svolgimento di tale compito).
L’incompatibilità dell’attività di gestione con funzioni e compiti assegnati all’OdV
Il sopra richiamato studio della Fondazione Nazionale dei Commercialisti rileva, poi, che la criticità maggiore (risultando le altre comunque superabili) risiederebbe nel fatto che, con l’attività gestoria avente ad oggetto i canali interni di segnalazione, si possano minare l’indipendenza e l’autonomia dell’OdV, quali requisiti richiesti dal Decreto 231, ossia pregiudicare la sua capacità di operare in modo obiettivo e senza condizionamenti come organo di vigilanza sul funzionamento del Modello 231. Ciò porta a suggerire di scegliere un gestore collegiale, raccogliendo una indicazione contenuta nelle LGA, nel quale opportunamente inserire un membro dell’OdV, così venendo incontro anche all’innegabile esigenza di garantire un flusso informativo costante verso lo stesso OdV (una soluzione di compromesso che sembra però lasciare intatta l’obiezione di partenza).
Nello stesso solco si colloca chi evidenzia come gli adempimenti operativi, legati alla gestione del canale, possano minare la necessaria obiettività di giudizio dell’OdV nello svolgimento del suo incarico di vigilanza circa l’applicazione del Modello 231.
Giova, quindi, riassumere in cosa si dovrebbe sostanziare, ex art. 5 del Decreto, l’attività di gestione dei canali interni di segnalazione: (i) rilasciare alla persona segnalante un avviso di ricevimento; (ii) mantenere con il segnalante, ove necessario, una interlocuzione; (iii) dare diligente seguito alle segnalazioni ricevute; (iv) fornire un riscontro al segnalante entro tre mesi; (v) mettere a disposizione informazioni sul canale, sulle procedure, sui presupposti per effettuare le segnalazioni.
Su tale perplessità si innesta anche il dubbio in merito a quale debba essere in concreto il perimetro dell’attività rimessa al gestore del canale, in particolare su come vada interpretata la locuzione “dare seguito” (anche alla luce della definizione ampia contenuta nella Direttiva (UE) 2019/1937). Se cioè, oltre a verificare la fondatezza dei fatti riferiti nella segnalazione, l’attività del gestore debba ricomprendere l’individuazione delle relative conseguenze, anche in termini sanzionatori, con ciò esorbitando dai compiti di intervento di norma assegnati all’OdV nell’ambito della vigilanza sul Modello 231. Nonostante la lettera del Decreto possa risultare non chiarissima, una ragionevole applicazione dei meccanismi di funzionamento dei canali non può che suggerire di identificare il limite dell’intervento del gestore con l’esaurimento della fase di indagine, lasciando alle competenti funzioni e ai vertici aziendali ogni successiva decisione sulle opportune misure da assumere, comprese quelle di natura sanzionatoria, come d’altronde viene affermato anche nelle LGC (“verifica e istruttoria”). Le stesse LGA riconoscono al gestore il compito di vagliare l’ammissibilità della segnalazione e compiere una prima delibazione della stessa per poi trasmetterla istruita, in presenza di un fumus di fondatezza, agli organi interni preposti o a enti e istituzioni esterne.
Una volta circoscritto in tal modo il perimetro di intervento del gestore dei canali interni di segnalazione, l’obiezione si appunta sul fatto che l’OdV, a differenza del gestore, non si spingerebbe fino ad analizzare i fatti descrittivi della condotta illecita. Attività quest’ultima che si ritiene vada qualificata come gestoria e, quindi, come incompatibile con quella dell’OdV. A prescindere da quanto sostenuto in proposito da Confindustria e ANAC, è lecito chiedersi se una prima delibazione dei fatti segnalati possa esulare dai compiti dell’OdV ed essere definita come attività gestoria rilevante per la presente indagine.
Nel vigilare sul funzionamento del Modello 231, l’OdV è anche il soggetto destinatario delle segnalazioni (tanto più dopo l’introduzione della disciplina whistleblowing nel 2017), anche perché, per un verso e in ragione della sua competenza, è il soggetto più indicato a istruire le segnalazioni aventi ad oggetto illeciti rilevanti per il Decreto 231 e quelle relative alle violazioni del Modello 231; per altro verso, ogni segnalazione, che avesse un tale oggetto, non potrebbe che essere immediatamente condivisa con l’OdV, affinché lo stesso fosse messo in condizione di compiere proprio quella valutazione in merito al funzionamento del Modello 231, di sua esclusiva competenza, con l’autonomia e l’indipendenza che gli sono proprie. D’altronde, la centralità dell’OdV nel sistema whistleblowing è innegabile, anche a prescindere dal ruolo di gestore.
Per supportare la tesi che l’attività di gestore dei canali possa far perdere all’OdVla necessaria autonomia, da più parti viene richiamata una recente sentenza del Supremo Collegio (cfr. Cass. sez. pen. VI, n. 23401/2022), pronunciata in una nota vicenda che coinvolge i vertici della società Impregilo. La sentenza richiama, in effetti, il pacifico principio, per cui l’ingerenza nella gestione dell’impresa mette a rischio l’autonomia dell’OdV e la sua capacità di vigilare imparzialmente sul funzionamento del Modello 231, ma solo per confutare che il Modello 231 di Impregilo sia inidoneo, perché non sottopone una determinata decisione del vertice al controllo preventivo dell’OdV. Ad avviso di chi scrive, è lecito chiedersi se siano equiparabili, ai fini che qui interessano, una vera e propria ingerenza nella gestione aziendale e l’attività di gestione dei canali interni di segnalazione. Peraltro, tale attività di gestione, oggi oggetto certo di una disciplina più articolata ed estesa, non differisce però nel suo nucleo da quella già svolta dall’OdV, specie in seguito all’entrata in vigore delle modifiche apportate dalla L. 179/2017 all’art. 6 del Decreto 231 (se non soprattutto per l’oggetto della segnalazione, negli enti con più di 50 dipendenti), come viene evidenziato anche nelle Linee Guida di Confindustria sull’adozione dei Modelli 231 (2021).
Nelle predette Linee Guida si legge che all’OdV deve essere garantita l’autonomia delle iniziative di controllo, scevre da ogni forma di interferenza o condizionamento da parte di soggetti controllati, nonché l’indipendenza ossia la libertà da condizionamenti, a livello personale o economico, o da conflitti di interesse. L’OdV va quindi collocato in una posizione autonoma e imparziale nell’organigramma aziendale, con riporto al massimo vertice operativo. Come chiarito dalla giurisprudenza, proseguono le Linee Guida, rendere l’OdV partecipe di decisioni dell’attività dell’ente, ne potrebbe pregiudicare la serenità di giudizio al momento delle verifiche sul funzionamento del Modello 231. Va evitato, in altre parole, che si possa sovrapporre la figura del controllore con quella del controllato, il vigilato con l’OdV. Le mansioni operative incompatibili, puntualizzano le Linee Guida, sono quelle che portano l’OdV ad assumere decisioni con effetti economico-finanziari, mentre i compiti dell’OdV sono costituiti dalla vigilanza sul rispetto delle modalità e delle procedure previste dal Modello 231, nonché la valutazione degli eventuali scostamenti comportamentali che dovessero emergere dall’analisi dei flussi informativi e delle segnalazioni, da trasferire all’organo dirigente, affinché sia messo in condizione di assumere gli opportuni provvedimenti.
Nella parte relativa alla nuova disciplina del whistleblowing, le stesse chiariscono che, quale destinatario delle segnalazioni, tenuto conto delle caratteristiche dimensionali e organizzative, può essere individuato l’OdV, poiché è coerente con i compiti allo stesso spettanti, nonché con gli obblighi di informazione comunque previsti nei suoi confronti dal Decreto 231. In continuità con tali considerazioni si pongono, evidentemente, anche le recenti LGC. Dello stesso avviso erano, tra l’altro, la maggior parte dei commentatori, senza che venissero sollevati gli attuali dubbi di compatibilità tra i due ruoli. Ad ogni buon conto, appare significativo l’esito di un’indagine di Assonime del 2021, secondo cui il 67% delle società quotate alla Borsa di Milano hanno individuato nell’OdV il destinatario delle segnalazioni whistleblowing.
La questione non è, quindi, se compiti operativi mettano a rischio l’autonomia dell’OdV (trattandosi di principio non in discussione), bensì se la gestione dei canali interni di segnalazione sia tale da configurare una attività gestoria rilevante o, comunque, da provocare la perdita della necessaria autonomia, come hanno rilevato alcuni commentatori.
Conclusioni
L’OdV non può non rivestire un ruolo centrale nel sistema whistleblowing, quand’anche non venga nominato gestore dei canali interni di segnalazione.
La scelta di nominare l’OdV quale gestore dei canali è legata a diversi fattori, quali il settore di attività, la dimensione dell’impresa, la sua organizzazione e le risorse disponibili. Con riguardo a imprese dotate di Modello 231 con meno di 50 dipendenti medi nell’anno solare precedente, individuare il gestore nell’OdV, tenuto conto anche dell’oggetto delle possibili segnalazioni (circoscritto agli illeciti rilevanti per il Decreto 231 e alle violazioni dei Modelli 231), appare la scelta più ragionevole.
Ad avviso di chi scrive e in aderenza con l’opinione espressa nelle LGC e non contraddetta dalle LGA, non vi sono ragioni ostative alla nomina dell’OdV a gestore dei canali interni di segnalazione, ma tutt’al più sono richieste valutazioni di opportunità legate alla dimensione e alla struttura organizzativa delle singole imprese (e, in linea di massima, all’aumentare della dimensione dell’ente l’individuazione della figura dell’OdV può risultare meno opportuna, mentre, per converso, in realtà di dimensioni contenute appare preferibile).
Non risultano carenti in capo all’OdV i requisiti richiesti dal Decreto, poiché non convince la segnalata mancanza di una c.d. “autonomia dedicata”, né la tesi del deficit di competenze o di “formazione specifica” (che non sia altrimenti colmabile). Tenendo conto, peraltro, che tra i compiti connaturati all’attività di OdV rientra la gestione dei canali interni di segnalazione previsti dai Modelli 231 (a partire dal 2017 con modalità simili a quelle richieste dal Decreto), come confermano, con riguardo alla previgente normativa, le Linee Guida di Confindustria sull’adozione dei Modelli 231 (versione 2021). Neppure convince fino in fondo la tesi per cui, a causa della natura dell’attività di gestione dei canali interni di segnalazione, all’OdV sarebbe indirettamente impedito di assumere l’incarico di gestore dei canali interni di segnalazione per il rischio di pregiudicare la sua autonomia e indipendenza nella vigilanza sul Modello 231, la sua capacità di operare senza condizionamenti.
Per sgomberare il campo dai residui quanto legittimi dubbi sul punto, sarebbe oltremodo auspicabile che gli specifici orientamenti sull’istituzione dei canali interni di segnalazione nel settore privato, che ANAC affiderà alle annunciate ulteriori Linee Guida (si veda pag. 36 delle LGA), affrontino le segnalate criticità non solo con riguardo alla presunta inadeguatezza dell’OdV rispetto ai requisiti posti dal Decreto, ma possibilmente anche sulla presunta incompatibilità tra i due ruoli. Gli aspetti su cui ANAC interverrà emergeranno anche dall’indagine anonima promossa dall’ANAC stessa, per le criticità che i soggetti obbligati stanno incontrando nell’implementazione dei canali interni di segnalazione. ANAC chiarisce sul proprio sito che “i contributi e le risposte saranno preziosi per l’Autorità specie nell’ottica di fornire successivi orientamenti di carattere generale anche con riferimento ai canali interni di segnalazione”. I relativi questionari possono essere compilati on-line dal 4 al 22 dicembre 2023, con il che è altamente probabile che le predette Linee Guida aggiuntive verranno emanate solo in un momento successivo.
