Il whistleblowing dopo la segnalazione: dalla verifica preliminare all'inchiesta interna

La ricezione di una segnalazione whistleblowing non rappresenta il punto di arrivo del sistema di segnalazione, ma l'avvio di un vero e proprio procedimento organizzativo che deve condurre, secondo modalità proporzionate e tracciabili, alla valutazione dei fatti rappresentati e, quando necessario, al loro accertamento.

È proprio nella fase successiva alla ricezione che il sistema dimostra la propria effettività. Una segnalazione può essere infatti correttamente acquisita attraverso un canale conforme alla normativa, ma essere poi gestita in modo approssimativo, senza una chiara distinzione tra valutazione preliminare, istruttoria e inchiesta interna. In questi casi il rischio non riguarda soltanto la possibile perdita di informazioni utili, ma anche la compromissione della riservatezza, l'acquisizione disordinata delle evidenze, la sovrapposizione tra funzioni aziendali e l'indebolimento della capacità dell'organizzazione di dimostrare di avere reagito tempestivamente ed efficacemente a una possibile violazione.

Il primo principio operativo è quindi semplice: ogni segnalazione deve avere una propria storia documentale. Dalla ricezione alla classificazione, dalla verifica della procedibilità alla valutazione del fumus, fino all'eventuale inchiesta interna con conseguenti decisione finale e follow up, devono poter essere ricostruiti i passaggi compiuti, le persone coinvolte, le evidenze esaminate e le motivazioni delle decisioni assunte.

Preliminarmente occorre inquadrare giuridicamente il fatto segnalato e comprenderne l'ammissibilità, verificando la sussistenza dei requisiti oggettivi e soggettivi. Ci si possono porre domande come: rientra nel campo di applicazione del D.Lgs. 24/2023?; è circostanziata?; esistono cause di esclusione?: quali rischi si prospettano?; qual è il possibile impatto legale, economico, reputazionale, organizzativo?; quali funzioni aziendali dovranno procedere a sviluppare l'eventuale inchiesta interna?

È essenziale, in questa fase, non confondere il fumus con la prova. Il gestore deve verificare se esistano elementi tali da giustificare un approfondimento ulteriore. Il passaggio dalla segnalazione all'inchiesta deve quindi essere governato da un criterio di proporzionalità: quanto più elevati sono la gravità dei fatti prospettati, il rischio per l'organizzazione e la concretezza delle informazioni disponibili, tanto più strutturata dovrà essere la successiva attività di approfondimento. Anche il contenuto deve essere valutato. Informazioni generiche, mere supposizioni o indiscrezioni prive di elementi verificabili non possono essere automaticamente trasformate in una internal investigation.

Il whistleblowing diventa così parte integrante del sistema di controllo interno e, quando rilevante, del "sistema organizzativo 231". La qualità della gestione successiva alla segnalazione può infatti incidere sulla capacità dell'ente di dimostrare l'effettivo funzionamento dei propri presidi di prevenzione.

Il riferimento centrale è costituito dal D.Lgs. n. 24/2023, che disciplina la protezione delle persone che segnalano violazioni di disposizioni normative nazionali o dell'Unione europea e, tra l'altro, stabilisce requisiti e modalità per la gestione dei canali di segnalazione.

L'art. 5 attribuisce al soggetto cui è affidata la gestione del canale il compito di dare diligente seguito alle segnalazioni e di farlo nel rispetto delle previste scadenze e vincoli di metodo. Ne deriva che la ricezione non può essere trattata come un adempimento meramente formale: occorre attivare un processo di valutazione, verifica e gestione coerente con la natura della segnalazione stessa. La prima verifica riguarda la procedibilità, che non coincide con la fondatezza. Occorre accertare, in particolare, la riconducibilità della segnalazione all'ambito oggettivo e soggettivo previsto dalla disciplina e l'eventuale presenza di cause di esclusione. Superato il primo vaglio, si apre una fase istruttoria finalizzata a comprendere se esistano elementi che rendano plausibile quanto rappresentato. In questa fase è opportuno interrogarsi sulla possibile configurazione dei fatti e sui relativi rischi legali, economici, reputazionali e organizzativi per l'impresa. Particolare attenzione deve essere dedicata alla riservatezza. La gestione della segnalazione deve impedire che informazioni relative al segnalante, ai soggetti coinvolti e al contenuto della stessa siano conosciute da persone non autorizzate. La riservatezza deve necessariamente accompagnare non soltanto la ricezione, ma l'intero procedimento, compresa l'eventuale fase investigativa interna.

Il sistema deve inoltre coordinarsi con quello 231. Il ruolo dell'OdV deve essere definito in modo chiaro, evitando sovrapposizioni. Lo stesso deve poter svolgere efficacemente le proprie funzioni di vigilanza sul modello organizzativo, mantenendo al contempo, ove le figure non combacino, un'adeguata distinzione rispetto al soggetto incaricato della gestione delle segnalazioni e rispetto alle funzioni operative che possono essere interessate dall'accertamento.

A fronte di possibili profili penali, la gestione dell'indagine richiede un'ulteriore cautela. La società deve evitare di procedere in modo improvvisato alla raccolta di elementi destinati eventualmente a essere utilizzati in un procedimento penale. Può rendersi pertanto necessario il coinvolgimento del difensore e, nei casi appropriati, il ricorso agli strumenti delle investigazioni difensive disciplinate dal codice di procedura penale.

Il criterio generale resta quello della tracciabilità: ogni scelta deve poter essere ricondotta alla situazione concreta, alle informazioni disponibili in quel momento e alla valutazione effettuata.

Si consideri una società industriale di medie dimensioni dotata di modello 231. Il canale whistleblowing è gestito da una funzione compliance, mentre l'OdV opera separatamente.

Attraverso il canale interno perviene una segnalazione relativa al responsabile degli acquisti. Il segnalante riferisce che, nell'ambito di alcune procedure di approvvigionamento, sarebbero stati favoriti determinati fornitori attraverso la modifica o la retrodatazione di documenti e l'alterazione delle modalità di valutazione delle offerte.

Partendo da tali premesse, occorre innanzitutto, comunque entro 7 gg. dalla ricezione, formalizzare un avviso di ricevimento nonché definire l'oggetto dell'accertamento, stabilendo nel contempo quali informazioni siano effettivamente necessarie.

Il gestore procede quindi all'apertura di un fascicolo riservato, attribuendo alla segnalazione un identificativo e registrando la data di ricezione, il canale utilizzato, l'oggetto sintetico, i soggetti coinvolti e la documentazione eventualmente allegata. Segue la verifica della procedibilità e una prima analisi del contenuto. Ove necessario, il gestore può anche interfacciarsi con il whistleblower ed acquisire atti e documenti di altri "uffici", avvalersi del loro supporto, coinvolgere terze persone, tramite audizioni, avendo sempre cura che non sia compromessa la tutela della riservatezza. In presenza di riscontri specifici su fornitori, procedure, documenti e periodi temporali, il fumus può essere considerato sufficientemente consistente da giustificare un approfondimento. A questo punto occorre definire il piano dell'inchiesta interna: quali procedure verificare, quale periodo considerare, quali documenti acquisire, quali persone ascoltare e quale funzione dovrà coordinare l'attività.

La fase investigativa dovrà essere condotta evitando l'ampliamento incontrollato dell'oggetto dell'indagine. Se dall'esame dei documenti emergessero elementi riconducibili a possibili illeciti penali o a un rischio concreto di responsabilità 231 dell'ente, sarà opportuno valutare tempestivamente il coinvolgimento di un legale e l'eventuale attivazione di adeguate attività difensive.

Al termine, la società dovrà essere comunque in grado di definire ed affrontare le eventuali criticità organizzative emerse indipendentemente dalle potenziali responsabilità.

La gestione efficace della segnalazione può essere organizzata secondo la seguente sequenza di attività tra loro collegate:

5. Conclusioni

La gestione delle segnalazioni whistleblowing non si esaurisce nella disponibilità di un canale attraverso cui ricevere segnalazioni.

La reale efficacia del sistema si misura soprattutto nella capacità dell'organizzazione di trasformare una segnalazione in un procedimento ordinato, proporzionato, imparziale e documentato. Il valore del sistema risiede quindi nella capacità di garantire una sequenza coerente: presa in carico, ricezione, classificazione, valutazione, investigazione, documentazione, decisione e monitoraggio del follow up previsto.

Flussi informativi, correttamente implementati e strutturati rappresentano, di fatto, un prezioso strumento per agevolare l'attività di vigilanza sul modello 231, individuare le criticità organizzative e di carenza di compliance, nonché di accertamento a posteriori delle cause del reato presupposto. Il sistema whistleblowing comporta per l'OdV ulteriori verifiche relative al corretto adempimento dei nuovi obblighi previsti dal D.Lgs. 24/23 (l'effettiva attivazione del canale interno di comunicazione e relative regole di riservatezza, la nomina di un gestore autonomo e adeguatamente formato; l'adeguata formazione dei dipendenti; l'aggiornamento della documentazione privacy e non solo).

Un sistema whistleblowing realmente efficace non è quello che produce il maggior numero di indagini, ma quello che consente di distinguere rapidamente le segnalazioni prive di fondamento da quelle che richiedono un approfondimento, assicurando a ciascuna una gestione proporzionata, tracciabile e rispettosa delle garanzie dei soggetti coinvolti.