Articolo a cura di: Redazione - Studio Legale Calvello

Una segnalazione whistleblowing che coinvolge un amministratore, l’amministratore delegato, un dirigente o un altro soggetto apicale pone un problema diverso dalla normale gestione del canale interno: chi può esaminare i fatti con sufficiente autonomia quando la persona segnalata appartiene al vertice aziendale? La risposta non dipende semplicemente dalla qualifica del soggetto coinvolto, ma dall’assetto organizzativo adottato dall’impresa, dal soggetto al quale è stata affidata la gestione del canale e dall’eventuale presenza di conflitti di interessi.

Per l’azienda il punto è particolarmente delicato perché occorre continuare a garantire riservatezza, autonomia della gestione e diligente seguito alla segnalazione senza consentire che il procedimento venga condizionato dalla posizione gerarchica della persona coinvolta. Il problema deve quindi essere affrontato prima ancora di valutare se i fatti segnalati siano fondati: occorre stabilire chi sia legittimato e concretamente idoneo a prendere in carico la pratica e quali soggetti debbano invece restarne fuori.

Quando la segnalazione riguarda amministratori, dirigenti o altri vertici aziendali

Il D.Lgs. 24/2023 prevede che la gestione del canale interno sia affidata a una persona o a un ufficio interno autonomo, dedicato e con personale specificamente formato, oppure a un soggetto esterno dotato dei medesimi requisiti di autonomia e formazione. Questa impostazione assume un rilievo immediato quando la segnalazione riguarda il management, perché l’autonomia prevista dalla normativa deve poter operare anche nei casi in cui l’accertamento interessi persone collocate ai livelli più elevati dell’organizzazione.

Non è quindi sufficiente che l’impresa abbia formalmente individuato un gestore delle segnalazioni. Occorre verificare se quel gestore possa occuparsi proprio di quella specifica segnalazione senza trovarsi in una posizione capace di comprometterne l’imparzialità. Il problema può presentarsi, per esempio, quando il gestore interno dipende gerarchicamente dal dirigente segnalato, quando quest’ultimo esercita poteri rilevanti sulla sua posizione lavorativa oppure quando la segnalazione coinvolge direttamente il soggetto che normalmente gestisce il canale.

Le indicazioni dell’ANAC sui canali interni richiedono di considerare espressamente le situazioni nelle quali il gestore possa coincidere con la persona segnalante, con il soggetto segnalato oppure con una persona coinvolta o interessata dalla vicenda. In presenza di un potenziale conflitto, il gestore deve astenersi dalla trattazione della pratica e la gestione deve poter passare a un soggetto idoneo a garantire indipendenza, autonomia e riservatezza.

Questo rende particolarmente importante la struttura della procedura aziendale. Il conflitto di interessi non dovrebbe essere affrontato improvvisando una soluzione dopo l’arrivo della segnalazione: l’assetto organizzativo dovrebbe già stabilire come procedere e individuare un sostituto del gestore per le situazioni nelle quali quest’ultimo non possa occuparsi della pratica. Una procedura che indichi soltanto il destinatario ordinario delle segnalazioni, senza disciplinare che cosa accade quando quel destinatario è coinvolto o non è sufficientemente indipendente rispetto alla persona segnalata, lascia scoperto proprio uno degli scenari più sensibili.

La questione diventa ancora più complessa quando la segnalazione coinvolge l’amministratore delegato, l’amministratore unico, più componenti del consiglio di amministrazione o persone che esercitano un’influenza diretta sulle funzioni normalmente chiamate a intervenire. In questi casi non esiste una regola secondo cui una determinata funzione aziendale debba automaticamente sostituirsi al gestore: occorre applicare la procedura predisposta dall’impresa e verificare concretamente autonomia, competenze e assenza di conflitti del soggetto chiamato a subentrare.

Per comprendere il quadro generale nel quale questa valutazione si inserisce è utile anche la nostra guida al whistleblowing in azienda e alla gestione delle segnalazioni, perché la corretta individuazione del gestore costituisce uno degli elementi dell’intero sistema organizzativo previsto per il canale interno.

Chi deve gestire la segnalazione quando il management è coinvolto

Il primo controllo riguarda il gestore formalmente designato dall’azienda. Se è un soggetto esterno e mantiene autonomia rispetto alle persone coinvolte, la circostanza che la segnalazione riguardi un dirigente o un amministratore non comporta di per sé la necessità di sostituirlo. Se invece il gestore è interno, occorre verificare con maggiore attenzione i rapporti organizzativi esistenti: una dipendenza gerarchica non equivale automaticamente, in ogni situazione, a un conflitto insanabile, ma può assumere un peso decisivo quando è tale da compromettere o mettere ragionevolmente in discussione una gestione neutrale della pratica.

Quando emerge un conflitto di interessi, il gestore non dovrebbe continuare l’istruttoria come se nulla fosse. La procedura deve consentire l’attivazione del soggetto sostitutivo individuato dall’organizzazione, al quale trasferire la gestione nel rispetto della riservatezza della persona segnalante, della persona coinvolta, delle persone menzionate e della documentazione acquisita. Il sostituto deve possedere requisiti coerenti con quelli richiesti al gestore ordinario; non basta quindi individuare una persona semplicemente perché estranea alla vicenda.

Questo passaggio spiega perché, nelle aziende nelle quali il rischio di sovrapposizione tra gestore e management è elevato, può essere opportuno valutare fin dall’organizzazione del sistema un meccanismo alternativo effettivamente utilizzabile. La scelta può ricadere, a seconda della struttura societaria, su un diverso soggetto interno dotato dei necessari requisiti oppure su un gestore esterno delle segnalazioni whistleblowing. Il D.Lgs. 24/2023 consente infatti di affidare la gestione del canale a un soggetto esterno autonomo e specificamente formato.

L’esternalizzazione non deve però essere considerata una soluzione automatica per qualsiasi segnalazione contro il management. Anche il soggetto esterno deve essere valutato sotto il profilo dell’autonomia, delle competenze, della riservatezza e dell’assenza di situazioni che possano interferire con la gestione. Se tratta dati personali per conto dell’impresa nell’ambito del servizio, devono inoltre essere correttamente disciplinati i relativi profili GDPR, compreso il rapporto previsto dall’art. 28 del Regolamento (UE) 2016/679 quando ne ricorrono i presupposti.

Va poi distinta la gestione della segnalazione dalle decisioni societarie che possono rendersi necessarie dopo l’istruttoria. Il soggetto incaricato del canale riceve la segnalazione, mantiene le interlocuzioni con il segnalante, richiede eventuali integrazioni e dà diligente seguito alla pratica. Questo non significa che debba necessariamente possedere anche tutti i poteri societari, disciplinari o gestori necessari per adottare gli eventuali provvedimenti conseguenti. Quando i fatti riguardano un amministratore o un dirigente, la procedura deve quindi coordinare correttamente il lavoro del gestore con gli organi o le funzioni competenti, evitando di ampliare inutilmente la conoscenza dell’identità del segnalante e del contenuto della pratica.

La stessa cautela vale quando nell’assetto aziendale sono presenti Organismo di Vigilanza, funzione compliance, internal audit, HR o DPO. Nessuna di queste funzioni diventa automaticamente competente per il solo fatto che il management è coinvolto. Occorre verificare il modello organizzativo concretamente adottato, le attribuzioni conferite, le eventuali incompatibilità e la posizione di ciascun soggetto rispetto ai fatti segnalati. Il DPO, in particolare, mantiene le funzioni attribuitegli dal GDPR e la sua eventuale partecipazione al sistema whistleblowing deve essere strutturata senza compromettere indipendenza e assenza di conflitti.

Per questo, quando arriva una segnalazione contro un soggetto apicale, una delle prime attività dovrebbe essere verificare la procedura prima di avviare iniziative interne, convocare persone o far circolare documenti. Nella nostra analisi su cosa fare subito dopo aver ricevuto una segnalazione whistleblowing affrontiamo proprio la fase iniziale della gestione, nella quale errori nell’individuazione dei destinatari e nella circolazione delle informazioni possono rendere più difficile l’istruttoria successiva.

Conflitto di interessi, riservatezza e indagine interna: come deve organizzarsi l’azienda

Una volta individuato il soggetto che può gestire la segnalazione senza conflitti di interessi, l’azienda deve evitare un secondo errore: confondere la necessità di accertare i fatti con una circolazione indiscriminata delle informazioni. Il fatto che la segnalazione riguardi un amministratore o un dirigente non autorizza a condividerne automaticamente il contenuto con l’intero consiglio di amministrazione, con l’HR, con la funzione compliance o con altri responsabili aziendali. Il D.Lgs. 24/2023 tutela la riservatezza dell’identità del segnalante, della persona coinvolta e delle altre persone menzionate nella segnalazione, mentre il GDPR impone che il trattamento dei dati sia proporzionato alle finalità perseguite.

Il gestore deve quindi stabilire quali informazioni siano effettivamente necessarie per verificare i fatti e quali persone debbano essere coinvolte nell’istruttoria. Questo aspetto assume particolare rilievo quando il soggetto segnalato occupa una posizione apicale e potrebbe, direttamente o indirettamente, influenzare dipendenti, documenti, sistemi informatici o funzioni chiamate a collaborare agli accertamenti. L’indagine interna deve essere organizzata evitando sia interferenze nella gestione sia iniziative sproporzionate rispetto al contenuto della segnalazione.

La posizione apicale del soggetto segnalato non determina, da sola, la fondatezza dei fatti e non giustifica automaticamente provvedimenti nei suoi confronti. Segnalazione, istruttoria e decisione finale sono passaggi distinti. Il gestore deve dare diligente seguito alla segnalazione e verificare quanto rappresentato attraverso attività coerenti con il caso concreto, mentre gli eventuali provvedimenti societari, organizzativi o disciplinari spettano ai soggetti che dispongono dei relativi poteri secondo la legge e l’assetto dell’impresa.

Questa separazione diventa essenziale quando il management coinvolto esercita poteri proprio sulle persone che potrebbero essere chiamate a svolgere gli accertamenti. Affidare informalmente l’indagine a un dipendente gerarchicamente subordinato al dirigente segnalato può creare una situazione organizzativa problematica, soprattutto se quest’ultimo può incidere sulla sua posizione professionale. In simili circostanze può essere necessario ricorrere al sostituto previsto dalla procedura oppure valutare l’intervento di un professionista esterno indipendente, mantenendo comunque chiara la distinzione tra gestione del canale, attività istruttoria e decisioni riservate agli organi societari competenti.

Anche la documentazione dell’attività svolta richiede attenzione. Le informazioni raccolte devono essere pertinenti all’accertamento e conservate secondo quanto previsto dalla disciplina sul whistleblowing, che stabilisce che le segnalazioni e la relativa documentazione siano mantenute per il tempo necessario alla loro gestione e comunque non oltre cinque anni dalla comunicazione dell’esito finale della procedura, nel rispetto degli obblighi di riservatezza e della normativa sulla protezione dei dati personali.

Un ulteriore profilo riguarda il rapporto con la persona segnalata. La tutela del whistleblower non trasforma il procedimento interno in un meccanismo nel quale qualsiasi accusa debba essere considerata vera fino a prova contraria. L’azienda deve evitare anticipazioni di responsabilità e gestire gli accertamenti in modo coerente con la natura dei fatti, con le garanzie applicabili e con gli eventuali ulteriori procedimenti che potrebbero derivarne. Allo stesso tempo, l’identità del segnalante non può essere rivelata liberamente al management per consentirgli di individuare l’autore della segnalazione.

Se la procedura esistente non disciplina il conflitto di interessi oppure attribuisce la gestione a una funzione troppo vicina ai vertici potenzialmente coinvolti, il problema non riguarda soltanto la singola pratica. Può essere il segnale che l’intero sistema whistleblowing debba essere riesaminato sotto il profilo dell’autonomia del gestore, delle sostituzioni, dei flussi informativi e delle modalità di escalation. È proprio nei casi più delicati che una procedura predisposta solo formalmente mostra i propri limiti.

Un caso pratico: la segnalazione riguarda un dirigente da cui dipende il gestore interno

Consideriamo il caso realistico e anonimizzato di una società che abbia affidato la gestione del canale whistleblowing a una funzione interna. Arriva una segnalazione circostanziata relativa al comportamento di un dirigente che esercita poteri organizzativi sulla stessa area nella quale opera il gestore. La questione immediata non è stabilire se le accuse siano fondate, ma verificare se il destinatario ordinario possa condurre l’istruttoria con l’autonomia richiesta.

Prima di coinvolgere il dirigente o altre funzioni aziendali, viene quindi esaminata la procedura whistleblowing e ricostruita la posizione organizzativa dei soggetti interessati. Emerge la necessità di evitare che la pratica rimanga affidata a una persona esposta a un rapporto gerarchico con il soggetto segnalato. L’attività viene pertanto riorganizzata utilizzando il meccanismo sostitutivo previsto per le situazioni di conflitto, delimitando i soggetti autorizzati ad accedere alla documentazione e definendo separatamente le attività necessarie per verificare i fatti.

L’elemento più delicato non consiste nell’aumentare il numero delle persone coinvolte nell’indagine, ma nel fare l’opposto: individuare chi deve realmente conoscere le informazioni, quali accertamenti siano pertinenti e a quale organo debbano essere successivamente trasmessi gli elementi necessari per le decisioni di propria competenza. In questo modo la gestione della segnalazione rimane distinta dalle valutazioni sul merito e dagli eventuali provvedimenti conseguenti, senza attribuire al soggetto segnalato o alla sua linea gerarchica il controllo dell’istruttoria.

Situazioni di questo tipo mostrano perché la gestione di una segnalazione contro il management non possa essere risolta semplicemente inoltrando il messaggio a un diverso responsabile aziendale. Quando la struttura interna non consente di individuare con chiarezza un soggetto autonomo, può essere necessario valutare una gestione esterna delle segnalazioni whistleblowing, costruita in modo coerente con l’organizzazione dell’impresa e con le responsabilità degli organi societari.

Domande frequenti sulla gestione delle segnalazioni che riguardano il management

Se la segnalazione riguarda l’amministratore delegato, chi deve gestirla?

Non esiste una regola generale secondo cui la segnalazione contro l’amministratore delegato debba essere automaticamente trasferita a una determinata funzione aziendale. Occorre verificare chi sia stato designato come gestore del canale interno, quale procedura sia stata adottata e se il gestore possa operare con la necessaria autonomia rispetto al soggetto segnalato. Se sussiste un conflitto di interessi, deve essere attivato il soggetto sostitutivo previsto dalla procedura o comunque adottata una soluzione coerente con i requisiti richiesti dal D.Lgs. 24/2023.

Il gestore whistleblowing può occuparsi della pratica se dipende dal dirigente segnalato?

Il rapporto gerarchico deve essere valutato concretamente. Se la posizione del dirigente è tale da compromettere l’autonomia del gestore o da determinare una situazione di conflitto di interessi, affidargli comunque l’istruttoria può rendere problematica la gestione della segnalazione. È quindi necessario verificare l’assetto organizzativo, i poteri esercitati dal soggetto segnalato e il meccanismo sostitutivo previsto dall’azienda.

Il DPO o l’Organismo di Vigilanza devono subentrare automaticamente?

No. La presenza di un DPO, di un Organismo di Vigilanza, della funzione compliance o dell’internal audit non comporta automaticamente che uno di questi soggetti debba assumere la gestione della segnalazione quando è coinvolto il management. Occorre verificare le attribuzioni formalmente conferite, l’organizzazione del canale, le competenze necessarie e l’assenza di conflitti di interessi. Nel caso del DPO deve essere preservata anche l’indipendenza richiesta dagli artt. 38 e 39 del GDPR.

È possibile affidare a un soggetto esterno la gestione di una segnalazione contro il management?

Il D.Lgs. 24/2023 consente di affidare la gestione del canale interno a un soggetto esterno autonomo e specificamente formato. L’esternalizzazione può quindi essere una soluzione organizzativa da valutare quando l’assetto interno non permette una gestione sufficientemente autonoma, ma deve essere strutturata correttamente sotto il profilo delle attribuzioni, della riservatezza, della protezione dei dati personali e dei rapporti con gli organi societari competenti.

Il dirigente o l’amministratore segnalato può conoscere l’identità del whistleblower?

L’identità della persona segnalante è soggetta alla specifica tutela di riservatezza prevista dal D.Lgs. 24/2023 e non può essere comunicata liberamente al soggetto segnalato. La gestione deve tenere conto delle regole previste dalla normativa sul whistleblowing, delle garanzie applicabili nei diversi procedimenti e della disciplina in materia di protezione dei dati personali. Proprio per questo l’accesso alla segnalazione e alla relativa documentazione deve essere limitato ai soggetti che ne abbiano effettiva necessità per le attività di propria competenza.

Segnalazione contro il management: richiedi una valutazione sulla gestione del caso

Quando una segnalazione whistleblowing riguarda un amministratore, un dirigente o un altro soggetto apicale, intervenire senza avere prima verificato competenze, conflitti di interessi e flussi informativi può esporre l’azienda a problemi ulteriori. Occorre stabilire chi possa prendere in carico la segnalazione, come organizzare l’istruttoria, quali soggetti possano accedere alle informazioni e come coordinare il gestore con gli organi aziendali competenti.

Noi assistiamo le imprese nella valutazione e nella gestione delle segnalazioni whistleblowing, anche quando riguardano il management o presentano problemi di autonomia del gestore interno. Possiamo esaminare la procedura esistente, verificare la presenza di possibili conflitti di interessi e valutare, sulla situazione concreta dell’azienda, le modalità con cui organizzare la gestione della segnalazione e gli eventuali accertamenti conseguenti.

Se la vostra azienda ha ricevuto una segnalazione che coinvolge il management oppure vuole predisporre preventivamente un sistema capace di gestire queste situazioni, potete richiedere una valutazione in materia di whistleblowing aziendale e gestione esterna delle segnalazioni. Esamineremo la richiesta per individuare il tipo di assistenza professionale coerente con il caso rappresentato.