D.Lgs. 24 del 10 marzo 2023

Attuazione della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali.

Le novità rispetto alla precedente formulazione sono tante, si riportano di seguito le principali:

• Riguarda tutti gli enti pubblici e i soggetti privati che hanno almeno 50 dipendenti;
• Obbligo di individuare dei canali predefiniti interni o esterni che consentano le segnalazioni in forma scritta o in forma verbale;
• Obbligo di individuare un Responsabile Whistleblowing e/o dei soggetti incaricati;
• Necessità di predisporre una Policy e una informativa whistleblowing;
• Obbligo di effettuare una “comunicazione “alle rappresentanze sindacali che devono essere informati della procedura attivata;
• Necessità di un atto organizzativo ad HOC formalizzato dall’Organo ammnistrativo;
• Pubblicazione di informative e segnalazioni sul sito aziendale;
• Definizione di una nuova procedura aziendale che integri il Modello 231/01 attualmente adottato;
• Programmi di formazione e Informazione al personale interno.

Le novità sono molte e impegnative, sarà necessario mettere a punto una “strategia aziendale” (se volete chiamiamola “procedura”) per rispondere a quest’obbligo e mettere la società in regola con la normativa.

Alleghiamo la principale documentazione di riferimento, che consente una presa di conoscenza dell’argomento:

• Decreto legislativo 10 marzo 2023 n°24: https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2023;024
• Linee guida Anac: https://www.anticorruzione.it/documents/91439/146849359/Delibera+n.+311+del+12+luglio+2023+LLGG+WB+versione+unitaria_.pdf/c87e8c07-86d0-baf9-685d-274e2eb6c93e?t=1690552947183
• Guida operativa di Confindustria per l’applicazione del D.L. 24: https://www.confindustria.it/wcm/connect/764634fd-46ef-42cc-adce-999e16ea4485/Guida+Operativa+Whistleblowing.pdf?MOD=AJPERES&CONVERT_TO=url&CACHEID=ROOTWORKSPACE-764634fd-46ef-42cc-adce-999e16ea4485-oJNmhSD

L'articolo Nuova normativa in tema di Whistleblowing- Segnalazione di condotte illecite proviene da Compliance Consulenza Selezione del Personale a Milano.

Si avvicina la scadenza, prevista per il 31 marzo, inerente gli obblighi di attestazione da parte dell’OIV o organismi con funzioni analoghe.

Lo scopo di questo articolo è rispondere a poche e semplici domande, che ti permetteranno di inquadrare l’argomento, capire se siete soggetti obbligati a tali adempimenti e quale documentazione occorre produrre.

Scopriamolo insieme.

Di cosa tratta questa delibera?

La delibera 213 del 4 marzo 2020 illustra le modalità di predisposizione delle attestazioni da parte degli OIV o organismi con funzioni analoghe in merito all’attestazione sull’assolvimento degli obblighi di pubblicazione prevista dall’art. 14, co. 4, lett. g), del D.Lgs. n. 150/2009, articolo che prevede quanto segue: “L’organismo Indipendente di Valutazione della performance promuove e attesta l’assolvimento degli obblighi relativi alla trasparenza e all’integrità di cui al presente Titolo”.

Chi sono i soggetti tenuti alla pubblicazione?

Nel caso specifico le società/enti che devono compiere tali adempimenti sono:

• pubbliche amministrazioni;
• enti pubblici economici, società ed enti di diritto privato in controllo pubblico (art. 2-bis, co. 2, D. Lgs. 33/2013);
• società a partecipazione pubblica non di controllo (art. 2-bis, co. 3, primo periodo del D. Lgs. 33/2013);
• associazioni, fondazioni ed enti di diritto privato, con bilancio superiore a 500.000 euro, che esercitano funzioni amministrative, attività di produzione di beni e servizi a favore delle amministrazioni pubbliche o di gestione di servizi pubblici.

Chi deve predisporre la documentazione richiesta?

I documenti richiesti devono essere redatti dall’OIV o altro organismo/soggetto con funzioni analoghe.

Se la società/ente non dispone dell’Organismo Individuale di Valutazione (OIV)?

Nel caso in cui l’ente sia privo di OIV, o organismo o altro soggetto con funzioni analoghe agli OIV, l’attestazione e la compilazione della griglia di rilevazione è effettuata dal RPCT (nel caso delle società a partecipazione pubblica non di controllo dal rappresentante legale , nelle associazioni, fondazioni e enti di diritto privato dal rappresentante legale o dall’organo di controllo, ove previsto), specificando che nell’ente è assente l’OIV o altro organismo con funzioni analoghe e motivandone le ragioni.

Per quali dati è richiesta l’attestazione?

I dati la cui pubblicazione si chiede di attestare, in particolare, sono:

Per le pubbliche amministrazioni:

• Consulenti e collaboratori (art. 15).
• Bandi di concorso (art. 19).
• Sovvenzioni, contributi, sussidi, vantaggi economici (artt. 26-27).
• Servizi erogati (art. 32 e solo per il SSN anche art. 41, co. 6).
• Attività e procedimenti (art. 35).
• Informazioni ambientali (art. 40).

Enti pubblici economici, società ed enti di diritto privato in controllo pubblico:

• Consulenti e collaboratori (art. 15-bis).
• Performance (art. 20).
• Bilanci (art. 29).
• Altri contenuti – Accesso civico (Linee guida ANAC, determinazione n. 1134/2017).

Per le società a partecipazione pubblica non di controllo:

• Attività e procedimenti (art. 35).
• Servizi erogati (art. 32 e solo per il SSN anche art. 41, co. 6).
• Altri contenuti – Accesso civico (Linee guida ANAC, determinazione n. 1134/2017).

Per le associazioni, fondazioni e enti di diritto privato:

• Attività e procedimenti (art. 35).
• Servizi erogati (art. 32 e solo per il SSN anche art. 41, co. 6).
• Altri contenuti – Accesso civico (Linee guida ANAC, determinazione n. 1134/2017).

Quali sono i documenti da pubblicare?

I documenti da dover produrre sono tre:

• Documento di attestazione: è richiesto di attestare l’assolvimento di alcuni obblighi di pubblicazione, concentrando l’attività di monitoraggio su quelli ritenuti particolarmente rilevanti sotto il profilo dell’uso delle risorse pubbliche. L’attestazione deve tener conto dello stato di pubblicazione dei dati al 31.03.2020.
• Griglie di rilevazione composta da due parti. Il foglio n. 1 «Pubblicazione e qualità dati» permette di documentare la verifica, effettuata nella sezione “Amministrazione trasparente” dei siti web delle amministrazioni/enti/società, sulla pubblicazione dei dati oggetto di attestazione, nonché sulla loro qualità in termini di completezza, aggiornamento e formato. Nello svolgimento di queste verifiche, si attribuirà un valore, per ciascun obbligo oggetto di attestazione, in tutti i campi della griglia di rilevazione, avendo cura di inserire il valore “n/a” (non applicabile) solo nei casi in cui i dati non ricorrano strutturalmente presso le amministrazioni/enti considerati. Non sono ammessi campi vuoti, ossia privi di uno dei suddetti valori. Ne consegue che eventuali campi non compilati saranno ritenuti equiparati al valore “0”. Tutti gli OIV, o gli altri organismi o altri soggetti con funzioni analoghe, sono tenuti a compilare il foglio n. 1. Al contrario il foglio n. 2 «Uffici periferici» (presente solo nella Griglia di rilevazione 2.1) consente di documentare la verifica intesa ad accertare se la pubblicazione dei dati presenti nel sito web dell’amministrazione centrale ovvero nei siti degli uffici periferici, laddove esistenti, si riferisca a tutte le predette strutture, anche con riguardo alla completezza dei dati. Tale foglio è compilato, pertanto, solamente dagli OIV, o dagli altri organismi con funzioni analoghe, dei Ministeri e degli Enti pubblici nazionali con uffici periferici.
• Scheda di sintesi sulla rilevazione degli OIV o organismi analoghi: l’OIV o gli altri organismi o soggetti con funzioni analoghe indicano la data di svolgimento della rilevazione, elencano gli uffici periferici e descrivono le modalità seguite ai fini dell’individuazione delle predette strutture, indicano le procedure e le modalità seguite per la rilevazione nonché gli aspetti critici riscontrati nel corso della rilevazione ed eventuale documentazione da allegare.

Dove va pubblicata la documentazione prodotta?

I documenti (attestazione, griglia di rilevazione e scheda di sintesi) vanno pubblicati nella sezione “Amministrazione trasparente” o “Società trasparente”, sotto-sezione di primo livello “Controlli e rilievi sull’amministrazione”, sotto-sezione di secondo livello “Organismi indipendenti di valutazione, nuclei di valutazione o altri organismi con funzioni analoghe”, “Attestazioni dell’OIV o di altra struttura analoga nell’assolvimento degli obblighi di pubblicazione”, entro il 30 aprile.

Dove posso trovare il testo completo della delibera e i modelli allegati?

Per scarica la Del. n. 213 del 4 marzo 2020 e i modelli degli allegati, vai sul portale ANAC.

Devo comunicare qualcosa ad ANAC?

Questi documenti non devono essere trasmessi ad ANAC ma solamente pubblicati nella sezione indicata.

L'articolo Del. 213/2020 “Attestazioni OIV o Organismi con Funzioni Analoghe” proviene da Compliance Consulenza Selezione del Personale a Milano.

Con la pubblicazione in Gazzetta Ufficiale della legge di conversione del Decreto fiscale 2020 (D.L. 124/2019), diventeranno attuative le numerose novità contenute nel decreto, tra le quali spicca l’introduzione di alcuni delitti tributari tra i reati presupposto della responsabilità “amministrativa” da reato degli enti ex D. Lgs. 231/2001.

Facciamo un passo indietro …

Come è noto, il D. Lgs. 231/2001 prevede sanzioni di carattere interdittivo e/o pecuniario nei confronti delle persone giuridiche, delle società e delle associazioni, anche prive di personalità giuridica, nell’ambito delle quali soggetti apicali o subordinati realizzino, nell’interesse o a vantaggio dell’ente – anche non prevalente – uno o più tra i reati indicati dagli artt. 24 ss. del Decreto. Sennonché la mancata menzione, tra questi, dei reati tributari previsti dal D. Lgs. 74/2000 è da sempre tra gli aspetti più controversi della disciplina.

Oggi, con la conversione del Decreto fiscale 2020, entreranno a far parte del catalogo dei reati presupposto, all’art. 25-quinquiesdecies, i reati di:

• dichiarazione fraudolenta mediante uso di fatture o altri documenti per operazioni inesistenti di cui all’articolo 2, comma 1, D. Lgs. 74/2000, per il quale è prevista la sanzione pecuniaria fino a 500 quote;
• dichiarazione fraudolenta mediante uso di fatture o altri documenti per operazioni inesistenti di cui all’articolo 2, comma 2-bis, D. Lgs. 74/2000, per il quale è prevista la sanzione pecuniaria fino a 400 quote;
• dichiarazione fraudolenta mediante altri artifici di cui all’articolo 3, D.lgs. 74/2000, per il quale è prevista la sanzione pecuniaria fino a 500 quote;
• emissione di fatture o altri documenti per operazioni inesistenti di cui all’articolo 8, comma 1, D. Lgs. 74/2000, per il quale è prevista la sanzione pecuniaria fino a 500 quote;
• emissione di fatture o altri documenti per operazioni inesistenti di cui all’articolo 8, comma 2-bis, D. Lgs. 74/2000, per il quale è prevista la sanzione pecuniaria fino a 400 quote;
• occultamento o distruzione di documenti contabili di cui all’articolo 10, per il quale è prevista la sanzione pecuniaria fino a 400 quote;
• sottrazione fraudolenta al pagamento di imposte previsto di cui all’articolo 11, per il quale è prevista la sanzione pecuniaria fino a 400 quote.

L’introduzione dei reati tributari tra gli illeciti in grado di determinare la responsabilità “amministrativa” da reato dell’ente è destinata a cambiare la prospettiva dalla quale guardare a questi aspetti della gestione aziendale infatti tutte le Società che abbiano scelto di dotarsi di un modello di organizzazione, gestione e controllo, dovranno porvvedere ad aggiornalo, al fine di renderlo efficace anche con riferimento alla prevenzione delle nuove fattispecie penal-tributarie.

La nostra Società è, come sempre, a Vostra completa disposizione per aiutarVi in caso di necessità.

L'articolo Introdotti i reati tributari nel D. Lgs. 231/01 proviene da Compliance Consulenza Selezione del Personale a Milano.

L'articolo ANAC: Compendio PNA per Aiutare le P.A. proviene da Compliance Consulenza Selezione del Personale a Milano.

Con l’uscita del decreto legislativo 101/2018 che armonizza i contenuti del D.Lgs. 196/03 al più recente Regolamento europeo 679/2016 in materia di tutela dei dati personali, può essere utile una riflessione circa il rapporto tra la figura dell’Organismo di Vigilanza e quella del Responsabile della Protezione dei Dati.

Come è noto, gli illeciti legati a violazioni dei dati personali non rientrano esplicitamente nel novero dei reati per i quali si possa configurare la responsabilità dell’ente, motivo che potrebbe portare a considerare i due ambiti come compartimenti stagni. Ma se ci poniamo dal punto di osservazione dell’ente, le cose stanno in maniera diversa.

Il GDPR, infatti, richiede una valutazione dei rischi legati alla violazione dei dati personali trattati, per non menzionare l’eventuale valutazione di impatto aggiuntiva, esattamente come il D.Lgs. 231 01 richiede una valutazione dei rischi rispetto al coinvolgimento dell’ente nella commissione dei cosiddetti “reati presupposto”: e quando si arriva a parlare di reati informatici (solo per citarne uno), alcune delle contromisure coprono evidentemente entrambi gli ambiti. Possono quindi cambiare il tipo di lenti indossate, ma gli occhiali dell’analisi di rischio ormai sono un accessorio che ogni ente deve mettere nel proprio libro cespiti, come del resto avviene anche nel mondo della normazione volontaria, in cui – solo per citare alcuni esempi – le norme in materia di sicurezza informatica (ISO 27001), salute e sicurezza dei lavoratori (ISO 45001) e qualità dei servizi erogati (ISO 9001) richiedono la conduzione di una analisi che renda il management consapevole dei rischi cui è esposto in modo da metterlo nelle condizioni migliori per prendere decisioni sulle contromisure da adottare.

O, in altri termini, che renda insostenibile la posizione per cui “non ero a conoscenza di questo rischio”.

Se andiamo poi ad analizzare la figura del Responsabile della Protezione dei Dati (RPD, art. 37 del GDPR), tra i compiti che gli sono affidati rientrano “almeno” (art. 39) la consulenza sugli obblighi derivanti dal GDPR, la sorveglianza circa l’osservanza del Regolamento, la fornitura – se richiesta – di un parere in merito alla valutazione di impatto, in forte analogia operativa con quelli che sono i compiti ormai consolidati dell’Organismo di Vigilanza.

Rimane a questo punto una interessante domanda: i ruoli di OdV e RPD sono sovrapponibili? La risposta potrebbe essere sì – a meno di espliciti divieti normativi – ma è sottoposta ad almeno due condizioni. La prima è la competenza tecnica specifica per ambito: un conto è conoscere la responsabilità amministrativa e le sue implicazioni, un altro è la normativa in materia di tutela dei dati personali, dove oltre al Governo abbiamo la figura del Garante che dispone dell’autorità per normare direttamente la materia. Il membro dell’OdV che fosse anche RPD dovrebbe garantire un adeguato aggiornamento su entrambi gli ambiti. La seconda è la capacità di relazione: se l’OdV ha un ruolo di sicura interfaccia con le controparti interessate dal modello di organizzazione e gestione, il RPD (ancora una volta secondo l’art. 39) ha istituzionalmente quello di fungere da punto di contatto con l’autorità di controllo, con la quale è tenuto a cooperare. Se si pensa al tema delle segnalazioni circa le violazioni del modello o le lacune del sistema di controllo per la protezione dei dati (es. reclami) è più che auspicabile che le due funzioni, se fisicamente separate, cooperino strettamente per definire le specifiche regole di ingaggio.

In ultima analisi, le strutture degli ultimi dettati normativi mettono la Direzione dell’ente nella posizione facilitata di dover dialogare allo stesso modo con soggetti diversi, favorendo l’opportunità di investire in strumenti di gestione che consentano – se opportunamente tarati – la realizzazione di interessanti economie di scala, nonché di facilità di comprensione e attuazione da parte degli utenti. Non dimentichiamoci, infatti, che regole e controlli sia in ambito di responsabilità amministrativa che di tutela dei dati personali impattano direttamente sul lavoro quotidiano tanto del Megadirettore Naturale di fantozziana memoria quanto (rispettando la cinematografica similitudine) dell’ultimo degli inferiori: e tanto più controlli e regole sono chiare, motivate e comprensibili, tanto più è alta la probabilità che vengano correttamente applicate.

E se consideriamo il rischio derivante dall’applicazione delle sanzioni nei due ambiti, non è un fattore da sottovalutare.

L'articolo Il rapporto tra Organismo di Vigilanza e il nuovo GDPR proviene da Compliance Consulenza Selezione del Personale a Milano.

DISPOSIZIONI PER LA TUTELA DEGLI AUTORI DI SEGNALAZIONI DI REATI O IRREGOLARITÀ DI CUI SIANO VENUTI A CONOSCENZA NELL’AMBITO DI UN RAPPORTO DI LAVORO PUBBLICO O PRIVATO.

E’ stata pubblicata in Gazzetta Ufficiale n. 291 del 14/12/2017 la legge 30 novembre 2017, n. 179, attraverso la quale sono state apportate modifiche al Decreto Legislativo n. 231/2001 – Disciplina della responsabilità amministrativa delle persone giuridiche.

La materia avente ad oggetto la responsabilità amministrativa delle persone giuridiche, già disciplinata dal Decreto Legislativo n. 231/2001, è stata interessata dalle modifiche introdotte dall’art. 2 della Legge n. 179/2017.

La novella ha previsto un’integrazione alla disciplina contenuta nell’art. 6 del sopracitato Decreto concernente i “Soggetti in posizione apicale e modelli di organizzazione dell’ente”.

La nuova norma, entrata in vigore il 29 dicembre 2017, interfaccia le norme sul lavoro a protezione dei dipendenti e collaboratori a fronte di “segnalazioni” circostanziate.

Il testo di riforma ha apportato significative novità in merito alla tutela della riservatezza dell’identità dei soggetti che, operando e svolgendo la propria attività all’interno dell’ente, intendano segnalare condotte illecite, rilevanti ai sensi del D. Lgs. n. 231/2001 e, quindi, poste in violazione del modello di organizzazione e gestione dell’ente medesimo.

In particolare, il nuovo comma 2 – bis dell’art. 6, dispone espressamente che il modello di organizzazione e gestione deve prevedere:

a) a carico delle persone indicate nell’articolo 5, comma 1, lettere a) e b). nonché di coloro che a qualsiasi titolo collaborano con l’ente, l’obbligo di presentare, a tutela dell’integrità dell’ente, segnalazioni circostanziate di condotte illecite, rilevanti ai sensi del presente decreto, che in buona fede, sulla base della ragionevole convinzione fondata su elementi di fatto, ritengano essersi verificate, o di violazioni del modello di organizzazione e gestione dell’ente di cui siano venuti a conoscenza in ragione delle funzioni svolte;

b) canali alternativi di segnalazione, di cui almeno uno idoneo a garantire, anche con modalità informatiche, la riservatezza dell’identità del segnalante;

e) misure idonee a tutelare l’identità del segnalante e a mantenere la riservatezza dell’informazione in ogni contesto successivo alla segnalazione, nei limiti in cui l’anonimato e la riservatezza siano opponibili per legge;

d) il divieto di atti di ritorsione o discriminatori, diretti o indiretti, nei confronti del segnalante per motivi collegati, direttamente o indirettamente, alla segnalazione, fatto salvo il diritto degli aventi e.a.usa di tutelarsi qualora siano accertate in capo al segnalante responsabilità di natura penale o civile legate alla falsità della dichiarazione;

e) nel sistema disciplinare adottato ai sensi del comma 2, lettera e), sanzioni nei confronti di chi violagli obblighi di riservatezza o compie atti di ritorsione o discriminatori nei confronti del segnalante.

L'articolo Whistleblowing: Modifica all’art. 6 del D. Lgs. n. 231/01 proviene da Compliance Consulenza Selezione del Personale a Milano.