Indagini interne aziendali: regole e rischi penali

Le indagini interne aziendali sono accertamenti che l'impresa svolge su possibili illeciti al proprio interno, dopo una segnalazione o una notizia di indagine. Non hanno una disciplina unitaria: si muovono fra D.Lgs. 231/2001, D.Lgs. 24/2023, Statuto dei lavoratori e Codice privacy. Chi le conduce senza regole rischia reati come l'accesso abusivo (fino a 3 anni) o la violazione di corrispondenza (art. 616 c.p.).

Cosa sono le indagini interne aziendali e quando conviene avviarle?

Un'indagine interna è la raccolta ordinata di fatti, documenti e dichiarazioni per capire se un illecito è stato commesso, da chi e con quali effetti sull'impresa. Non esiste una legge che la regoli in generale: le sue basi sono sparse. Il D.Lgs. 231/2001 esonera l'ente dalla responsabilità se prova di aver adottato ed efficacemente attuato un modello idoneo, vigilato da un organismo autonomo (art. 6, comma 1); lo stesso art. 6 chiede obblighi di informazione verso l'organismo e un sistema disciplinare (comma 2, lett. d ed e). Il D.Lgs. 24/2023 impone di dare seguito alle segnalazioni ricevute.

I momenti in cui un'indagine interna è utile sono tre: dopo una segnalazione interna, che per legge richiede un seguito; quando arriva la notizia di un procedimento penale che coinvolge dipendenti o amministratori, per capire l'esposizione dell'ente; prima di una contestazione disciplinare, per non licenziare su basi fragili. Il quadro dei reati che più spesso ne sono oggetto è nella pagina sui reati d'impresa e societari; sul ruolo dell'organismo di vigilanza si veda la pagina sull'OdV 231.

Un'azienda può controllare le email dei dipendenti durante un'indagine interna?

Può, entro limiti precisi. L'art. 4 dello Statuto dei lavoratori distingue: gli impianti e gli strumenti da cui deriva la possibilità di controllo a distanza richiedono un accordo sindacale o l'autorizzazione dell'Ispettorato del lavoro (comma 1); questa regola non si applica agli strumenti usati dal lavoratore per rendere la prestazione, come il computer e la casella email aziendale (comma 2). Le informazioni raccolte sono però utilizzabili "a tutti i fini connessi al rapporto di lavoro" solo se al lavoratore è stata data adeguata informazione sulle modalità d'uso degli strumenti e dei controlli, e nel rispetto del Codice privacy (comma 3).

Senza una policy informatica comunicata ai dipendenti, i dati estratti dalle email rischiano di essere inutilizzabili nel rapporto di lavoro e di esporre chi li ha raccolti. La casella personale del dipendente, o i suoi account privati, restano fuori: la "corrispondenza" tutelata dall'art. 616 c.p. comprende anche quella informatica e telematica.

Quali rischi penali corre chi conduce un'indagine interna?

I rischi riguardano sia chi materialmente indaga (funzione compliance, internal audit, consulenti informatici) sia chi dispone l'indagine. Le condotte più esposte sono l'accesso a sistemi o account senza titolo, la lettura di corrispondenza chiusa, il controllo a distanza fuori dall'art. 4 Statuto, la diffusione del report con dati personali.

Sul reato di trattamento illecito e sulla differenza con l'accesso abusivo si veda la pagina sull'art. 167 del Codice privacy.

I risultati di un'indagine interna possono essere acquisiti dal pubblico ministero?

Sì. Il report, gli allegati e i verbali delle interviste sono documenti: l'art. 234 c.p.p. consente l'acquisizione di scritti o altri documenti che rappresentano fatti, persone o cose con qualsiasi mezzo. Se sono custoditi in azienda possono essere oggetto di richiesta di consegna o di sequestro.

Le protezioni esistono, ma sono legate alla figura del difensore. Presso i difensori, gli investigatori privati autorizzati e i consulenti tecnici non si possono sequestrare carte o documenti "relativi all'oggetto della difesa", salvo che costituiscano corpo del reato (art. 103, comma 2, c.p.p.); i risultati di perquisizioni, sequestri o intercettazioni eseguiti in violazione di queste regole non possono essere utilizzati (comma 7). Un'indagine condotta dalla sola funzione compliance, senza mandato difensivo, non gode di questa tutela. Sulle fasi del procedimento in cui queste regole operano si veda la pagina sulla procedura penale.

Il dipendente sentito in un'indagine interna può farsi assistere da un avvocato?

Nessuna norma generale impone all'azienda di ammettere l'avvocato del dipendente a un'intervista interna, né obbliga il dipendente a parteciparvi senza assistenza: molto dipende dalla procedura aziendale e dal contratto collettivo. Se il colloquio sfocia in una contestazione disciplinare, valgono le garanzie di quel procedimento.

Il quadro cambia se l'intervista è condotta dal difensore dell'impresa come investigazione difensiva. L'art. 391-bis c.p.p. impone di avvertire la persona della qualità di chi procede, dello scopo del colloquio, dell'obbligo di dichiarare se è indagata o imputata nello stesso procedimento o in uno connesso, e della facoltà di non rispondere (comma 3). Se la persona è indagata o imputata nello stesso procedimento, in un procedimento connesso o per un reato collegato, il suo difensore va avvisato almeno 24 ore prima e la sua presenza è necessaria (comma 5). Le dichiarazioni raccolte violando queste regole non sono utilizzabili e la violazione è illecito disciplinare (comma 6).

Che differenza c'è tra indagini interne e investigazioni difensive?

Le investigazioni difensive sono un istituto del codice di procedura penale: il difensore, dal momento dell'incarico risultante da atto scritto, può ricercare elementi di prova a favore del proprio assistito (art. 327-bis c.p.p.), anche prima che esista un procedimento, se ha ricevuto un mandato per l'eventualità che si instauri (art. 391-nonies). Le indagini interne sono invece un'attività organizzativa dell'impresa, utile ma priva di regole processuali proprie.

Come si tutela il whistleblower durante un'indagine interna?

Quando l'indagine nasce da una segnalazione, le regole del D.Lgs. 24/2023 accompagnano tutta l'attività. La segnalazione non può essere usata oltre quanto necessario per darle seguito, e l'identità del segnalante, o qualsiasi informazione da cui possa desumersi, non può essere rivelata senza il suo consenso espresso a persone diverse da quelle autorizzate (art. 12, commi 1 e 2). Chi indaga deve quindi evitare di mostrare la segnalazione agli intervistati o di formulare domande che rivelino da chi proviene.

Ogni misura sfavorevole adottata verso il segnalante durante o dopo l'indagine si presume ritorsiva (art. 17). Le tutele del segnalante sono descritte nella pagina sul whistleblowing.

Il report di un'indagine interna è coperto dal segreto professionale?

Solo in parte, e solo se l'indagine è affidata a un avvocato. Gli avvocati, come gli investigatori privati autorizzati e i consulenti tecnici, possono astenersi dal testimoniare su quanto conosciuto per la professione (art. 200, comma 1, lett. b, c.p.p.) e, se richiesti di consegnare documenti, possono dichiarare per iscritto che si tratta di segreto professionale; se il giudice ritiene la dichiarazione infondata, dispone il sequestro (art. 256, commi 1 e 2). La funzione compliance interna non rientra in queste categorie.