Salta al contenuto

Policy sul whistleblowing

  1. Premessa

    CheckSig S.r.l. Società Benefit (di seguito, “CheckSig” o la “Società”) intende rafforzare all’interno della propria organizzazione il sistema di Corporate Governance. L’impegno quotidiano di CheckSig è garantire un ambiente di lavoro improntato al reciproco rispetto della dignità, dell’onore e della reputazione di ciascun membro, alla legalità e alla trasparenza.

    CheckSig è un prestatore di servizi per le cripto-attività autorizzato ai sensi del Regolamento (UE) 2023/1114 (di seguito, ”MiCAR”) e sottoposto alla vigilanza di Consob e Banca d’Italia. In tale veste la Società è tenuta a dotarsi di procedure adeguate affinché il personale possa segnalare internamente le violazioni attraverso un canale specifico, indipendente e autonomo, e adotta la presente policy con un livello di presidio coerente con le aspettative di vigilanza rivolte agli intermediari vigilati.

    Può tuttavia accadere che in taluni casi, nonostante gli sforzi, vengano posti in essere comportamenti, anche omissivi, che non sono in linea con i valori ed il Codice etico di cui si è dotata la Società, non siano conformi alle leggi in vigore e possano danneggiare in modo significativo gli interessi di CheckSig, dei suoi clienti o l’integrità del mercato. Funzionale a tale scopo è l’adozione di una policy sul Whistleblowing (di seguito, anche ”policy”) che disciplina la segnalazione da parte dei componenti dell’organizzazione delle violazioni.

    La presente policy è stata redatta in conformità alla normativa di cui al Decreto Whistleblowing.

    Le disposizioni di questa policy non pregiudicano né limitano in alcun modo il diritto o l’obbligo di segnalazione alle autorità regolamentari, di vigilanza o giudiziarie competenti, ivi inclusa la segnalazione a Consob e alla Banca d’Italia delle violazioni del MiCAR, secondo le procedure dalle stesse definite.

  2. Aspetti generali del documento

    2.1. Scopo della policy

    Lo scopo del presente documento è quello di definire i c.d. canali di comunicazione, l’analisi e l’elaborazione delle segnalazioni di possibili violazioni e gli standard di protezione per i segnalanti o whistleblowers (di seguito, “segnalanti”). L’identità dei segnalanti deve sempre essere mantenuta riservata e non devono incorrere in alcuna responsabilità, sia essa civile, penale, amministrativa o lavorativa, per aver segnalato in buona fede una violazione attraverso i canali di comunicazione previsti.

    In particolare, la policy ha l’obiettivo di:

    1. definire i principi di gestione delle segnalazioni;
    2. individuare le funzioni aziendali coinvolte nel processo di gestione delle segnalazioni e definire i compiti loro attribuiti, ivi compresi i presidi peri casi di conflitto di interesse del Whistleblowing Officer;
    3. informare i destinatari sui canali, le modalità ed i tempi di gestione delle segnalazioni;
    4. definire i presidi di riservatezza, segregazione degli accessi, conservazione e protezione dei dati personali
    5. definire i controlli periodici sul funzionamento del presidio e l’attività di rendicontazione agli organi aziendali.

    Giova ricordare che sono vietate le ritorsioni, dirette o indirette, nei confronti di chiunque segnali potenziali violazioni, prevedendo in proposito provvedimenti sanzionatori di natura adeguata. Allo stesso tempo CheckSig intende reagire prontamente nei confronti di coloro che, con dolo o colpa grave, segnalino violazioni che si rivelino non esistenti.

    Le modalità operative di dettaglio per la ricezione, l’istruttoria, la registrazione, la conservazione e la verifica dei canali sono definite nella Guida operativa per la gestione delle segnalazioni e nella Guida operativa sulla tenuta del Registro elettronico delle segnalazioni (di seguito, congiuntamente “guide operative”), predisposte dal Whistleblowing Officer e aggiornate senza necessità di nuova approvazione della presente policy.

    2.2. Destinatari del documento e suo aggiornamento

    Il presente documento è portato a conoscenza dei dipendenti e dei collaboratori di CheckSig (consulenti esterni, lavoratori autonomi, liberi professionisti, stagisti anche non retribuiti, ecc.), dei componenti degli organi di amministrazione e di controllo, nonché dei soci e, in generale, di tutti coloro che operano direttamente o indirettamente con la Società (ad esempio, fornitori, partner commerciali, clienti, ecc). Le tutele previste dalla presente policy si applicano anche quando il rapporto giuridico non è ancora iniziato (informazioni acquisite durante la selezione o in fase precontrattuale), durante il periodo di prova e dopo la cessazione del rapporto, se le informazioni sono state acquisite nel corso del rapporto stesso.

    Il presente documento è pubblicato sul drive aziendale e sul sito istituzionale di CheckSig, in una sezione dedicata, ed è comunicato ai destinatari secondo quanto previsto nel successivo paragrafo “Formazione e Comunicazione”.

    La presente policy viene predisposta dalla funzione Compliance ed approvata dal Consiglio di amministrazione, responsabile altresì della sua corretta attuazione, quale segnale di commitment aziendale. L’adozione e le modifiche sostanziali della policy sono precedute dalla consultazione delle rappresentanze sindacali, ove presenti. La stessa è sottoposta a revisione almeno annuale, in occasione della relazione annuale del responsabile della funzione Compliance e, comunque in considerazione degli eventuali aggiornamenti di tempo in tempo necessari. E’ responsabilità di tutte le funzioni aziendali coinvolte nella gestione delle segnalazioni segnalare alla funzione Compliance eventuali situazioni non gestibili in base ai principi della policy e le relative proposte di intervento e modifica. La funzione Compliance, invece, provvede a segnalare al Consiglio di amministrazione eventuali esigenze di aggiornamento della policy in relazione alle evoluzioni normative esterne o a seguito di cambiamenti nella struttura organizzativa interna o procedurale.

    2.3. Normativa di riferimento e documenti collegati

    • Regolamento UE 2023/1114 del Parlamento europeo e del Consiglio del 31 maggio 2023 relativo ai mercati delle cripto-attività (“MiCAR”);
    • Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione dei dati personali (”GDPR”);
    • Decreto legislativo 10 marzo 2023, n. 24, recante “Attuazione della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali” (”Decreto Whistleblowing”);
    • Decreto legislativo 5 settembre 2024, n. 129, recante “Adeguamento della normativa nazionale al regolamento (UE) 2023/1114 del Parlamento europeo e del Consiglio, del 31 maggio 2023, relativo ai mercati delle cripto-attività” (”Decreto MiCAR”), in particolare l’art. 41, che estende l’ambito di applicazione del Decreto Whistleblowing alle violazioni del MiCAR;
    • Decreto legislativo 8 giugno 2001, n. 231, recante “Disciplina della responsabilità amministrativa delle persone giuridiche, delle società e delle associazioni anche prive di personalità giuridica, a norma dell’articolo 11 della legge 29 settembre 2000, n. 300” (”Decreto 231”), in particolare l’art. 6, comma 2-bis, per quanto applicabile;
    • Decreto legislativo 30 giugno 2003, n. 196, recante “Codice in materia di protezione dei dati personali”, come modificato dal decreto legislativo 10 agosto 2018, n. 101 (”Codice Privacy”), in particolare gli artt. 2-undecies e 2-quaterdecies;
    • Linee guida ANAC in materia di protezione delle persone che segnalano violazioni del diritto dell’Unione e protezione delle persone che segnalano violazioni delle disposizioni normative nazionali – Procedure per la presentazione e gestione delle segnalazioni esterne, approvate con delibera n. 311 del 12 luglio 2023, come modificate e integrate dalla delibera n. 479 del 26 novembre 2025, e Linee guida ANAC n. 1/2025 in materia di whistleblowing sui canali interni di segnalazione, approvate con delibera n. 478 del 26 novembre 2025 (congiuntamente, “Linee guida ANAC”);
    • Garante per la protezione dei dati personali, parere dell’11 gennaio 2023, n. 1, sullo schema del Decreto Whistleblowing; parere del 6 luglio 2023, n. 304, sullo schema delle Linee guida ANAC di cui alla delibera n. 311/2023; parere del 9 ottobre 2025, n. 581, sullo schema delle Linee guida ANAC n. 1/2025;
    • Prassi di riferimento UNI/PdR 125:2022, con riferimento ai requisiti sui canali di segnalazione di molestie e discriminazioni;
    • Documenti interni collegati: Codice etico e di comportamento; Policy contro le molestie e la violenza sui luoghi di lavoro; Policy sulla parità di genere e collegate; Policy sulla sicurezza informatica; Policy sulla gestione degli incidenti di sicurezza; Policy sulla gestione dei reclami; Funzionigramma; Guide operative.

    2.4. Ruoli e responsabilità

    2.4.1. Whistleblowing Officer

    Il Consiglio di amministrazione ha ritenuto di attribuire il ruolo di gestore della segnalazione o di Whistleblowing Officer alla funzione Compliance. In particolare, al fine di garantire la massima indipendenza e neutralità nell’analisi e valutazione delle segnalazioni è affidata la responsabilità della trattazione delle segnalazioni al responsabile della citata funzione Compliance, che opera in posizione di autonomia e indipendenza, riporta direttamente al Consiglio di amministrazione per le attività disciplinate dalla presente policy e non è coinvolto nella gestione delle attività operative oggetto di possibile segnalazione.

    Il Whistleblowing Officer è dotato delle necessarie competenze di gestione delle segnalazioni, anche attraverso una formazione dedicata, erogata con cadenza almeno annuale, e dispone annualmente di adeguate risorse finanziarie ed organizzative per il corretto svolgimento delle attività previste dalla presente policy, richieste al Consiglio di amministrazione nell’ambito del programma annuale delle attività della funzione Compliance.

    2.4.2. Gestore alternativo e conflitto di interesse del Whistleblowing Officer

    Il cumulo, in capo alla stessa persona, dei ruoli di responsabile della funzione Compliance e di Whistleblowing Officer è proporzionato alla dimensione della Società; tuttavia esso può generare un conflitto di interesse, anche solo potenziale, quando la segnalazione riguarda, direttamente o indirettamente, il Whistleblowing Officer, la funzione Compliance o una delle attività da questa presidiate (a titolo esemplificativo: gestione dei reclami, segnalazioni di operazioni sospette, conflitti di interesse, sistema di gestione per la parità di genere).

    Per tali casi il Consiglio di amministrazione designa ex ante, con propria delibera, un componente indipendente del Consiglio di amministrazione quale gestore alternativo delle segnalazioni (di seguito, “gestore alternativo”), indicato nel Funzionigramma. In tali casi:

    1. il Whistleblowing Officer si astiene immediatamente da ogni attività di ricezione, istruttoria, valutazione, archiviazione e reporting sulla specifica segnalazione e ne dà atto, senza rivelare il contenuto della segnalazione, al gestore alternativo;
    2. la gestione della segnalazione è devoluta al gestore alternativo, purchè non coinvolto dai fatti segnalati;
    3. il gestore alternativo può avvalersi del supporto istruttorio di un consulente esterno indipendente;
    4. al Whistleblowing Officer è inibito l’accesso agli atti e ai flussi informativi relativi alla segnalazione in conflitto, che sono custoditi in un’area riservata al gestore alternativo;
    5. qualora la segnalazione riguardi anche il gestore alternativo o altri componenti del Consiglio di amministrazione, ovvero renda comunque non praticabile la gestione interna, la gestione è affidata direttamente a un soggetto esterno indipendente, che riferisce esclusivamente all’organo o ai componenti non coinvolti (ovvero al Collegio Sindacale) e, ove ne ricorrano i presupposti, all’Autorità competente.

    Il segnalante può in ogni caso rivolgersi direttamente al gestore alternativo tramite i canali interni, qualora ritenga che la segnalazione riguardi il Whistleblowing Officer. I canali di segnalazione sono configurati in modo che il segnalante possa indicare tale circostanza. Resta ferma la possibilità di ricorrere al canale esterno ANAC alle condizioni del Decreto Whistleblowing.

    2.4.3. Delegati, consulenti esterni e amministratore di sistema

    Il Whistleblowing Officer può designare, con atto scritto, uno o più soggetti delegati al supporto delle attività di ricezione e istruttoria, autorizzati al trattamento dei dati.

    Il Whistleblowing Officer può avvalersi anche del supporto di consulenti esterni, adeguatamente qualificati e vincolati da specifici obblighi di riservatezza, nominati responsabili del trattamento ai sensi dell’art. 28 del GDPR, per lo svolgimento dell’attività di esame e di valutazione delle segnalazioni.

    L’amministratore di sistema dispone di un accesso tecnico potenziale alle cartelle e ai canali utilizzati per la gestione delle segnalazioni. Egli sottoscrive, all’atto della designazione e successivamente con cadenza annuale, una dichiarazione di non accesso e non divulgazione, con la quale si impegna a non accedere ai contenuti se non su autorizzazione scritta del Whistleblowing Officer, riferita a uno specifico contenuto e a una specifica esigenza tecnica, e a mantenere la riservatezza su ogni informazione di cui venisse accidentalmente a conoscenza. La dichiarazione è conservata dal Whistleblowing Officer. Le modalità di gestione degli accessi tecnici eccezionali sono definite nella procedura sugli amministratori di sistema.

  3. La gestione delle segnalazioni

    Tutti i destinatari della presente policy sono invitati a segnalare le violazioni attraverso la procedura esposta nei paragrafi seguenti.

    Con il termine violazioni si intendono azioni, comportamenti o omissioni che si sono verificate, che si può ragionevolmente supporre si siano verificate o che è molto probabile si verifichino, così come i tentativi di occultare tali azioni o omissioni i) che costituiscono o possono costituire un illecito o un’irregolarità rispetto alle leggi e alle normative applicabili o ai valori e ai principi stabiliti nel Codice etico e nelle altre policies della Società; ii) che causano o possono causare un danno (economico, di sicurezza o reputazionale) a CheckSig, ai suoi dipendenti, ai suoi clienti e ai terzi con cui la Società opera; iii) di cui il segnalante sia venuto a conoscenza sul luogo di lavoro e/o durante lo svolgimento delle proprie mansioni. La persona fisica o giuridica alla quale la violazione è attribuita o che è comunque implicata nella segnalazione è di seguito indicata come persona coinvolta.

    Tra le violazioni rientrano a titolo esemplificativo e non esaustivo:

    1. la violazione della normativa antiriciclaggio e in materia di misure restrittive;
    2. la violazione della normativa MiCAR (ivi incluse le disposizioni in materia di custodia delle cripto-attività e dei fondi dei clienti, conflitti di interesse, abusi di mercato, informativa alla clientela e requisiti prudenziali) o di altra regolamentazione speciale applicabile alla Società, tra cui il Regolamento (UE) 2022/2554 (“DORA”);
    3. gli illeciti amministrativi, contabili, civili o penali;
    4. le condotte illecite rilevanti ai sensi del Decreto 231;
    5. gli illeciti che rientrano nell’ambito di applicazione degli atti dell’Unione europea o nazionali relativi ai seguenti settori: appalti pubblici; servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo; sicurezza e conformità dei prodotti; sicurezza dei trasporti; tutela dell’ambiente; radioprotezione e sicurezza nucleare; sicurezza degli alimenti e dei mangimi e salute e benessere degli animali; salute pubblica; protezione dei consumatori; tutela della vita privata e protezione dei dati personali e sicurezza delle reti e dei sistemi informativi;
    6. atti od omissioni che ledono gli interessi finanziari dell’Unione;
    7. atti od omissioni riguardanti il mercato interno, compresa la diffusione di informazioni privilegiate e/o le violazioni delle norme in materia di concorrenza e pratiche commerciali scorrette, nonché le violazioni riguardanti il mercato interno connesse ad atti che violano le norme in materia fiscale o i meccanismi il cui fine è ottenere un vantaggio fiscale che vanifica l’oggetto o la finalità della normativa applicabile;
    8. atti o comportamenti che vanificano l’oggetto o la finalità delle disposizioni di cui agli atti dell’Unione;
    9. atti o comportamenti che costituiscano violazione della Politica contro le molestie e la violenza sul luogo di lavoro adottata dalla Società, nonchè la violazione della Politica della parità di genere adottata dalla Società e/o discriminazione in base al genere;
    10. le condotte ritorsive e le violazioni della riservatezza ai sensi della presente policy.

    Non si considerano segnalazioni i reclami o le mere lamentele di carattere personale del segnalante o rivendicazioni ed istanze che rientrano nella disciplina del rapporto di lavoro che riguardano i rapporti con il superiore gerarchico o con i colleghi, per le quali occorre fare riferimento alle figure competenti in materia di gestione del personale, fermo restando che le condotte riconducibili a molestie o discriminazioni restano segnalabili ai sensi della policy. I reclami della clientela sono gestiti secondo la Policy sulla gestione dei reclami; qualora un reclamo contenga elementi riconducibili a una violazione, tali elementi sono trattati come segnalazione ai sensi della presente policy, con annotazione nel Registro elettronico delle segnalazioni (whistleblowing) (di seguito, “Registro”) e, ove ricorra un conflitto di interesse, con devoluzione al gestore alternativo.

    Sono altresì escluse le segnalazioni basate su mere supposizioni e/o sospetti e/o opinioni personali del segnalante e/o di eventuali terzi dal medesimo indicati, nonché le segnalazioni di violazioni già disciplinate in via obbligatoria da atti dell’Unione o nazionali (tra cui le segnalazioni di operazioni sospette ai sensi del D. Lgs. 231/2007 e le segnalazioni alle Autorità di vigilanza ai sensi del MiCAR), che seguono le rispettive procedure.

    In generale, i principi che guidano il processo di gestione delle segnalazioni da parte di CheckSig sono:

    1. riservatezza: dei segnalanti, delle persone coinvolte, delle segnalazioni e delle informazioni contenute al loro interno;
    2. proporzionalità: le indagini condotte da CheckSig sono adeguate, necessarie e commisurate per raggiungere lo scopo delle stesse;
    3. imparzialità: l’analisi e il trattamento delle segnalazioni vengono eseguiti senza soggettività, indipendentemente dalle opinioni e dagli interessi delle persone responsabili della gestione delle segnalazioni, con obbligo di astensione nel caso di conflitto di interesse;
    4. buona fede: le tutele al segnalante sono applicabili anche nei casi in cui la segnalazione si riveli infondata, qualora sia stata fatta in buona fede, ovvero il segnalante aveva motivi fondati di ritenere che le informazioni relative alla/e violazione/i fossero vere al momento della segnalazione e che le informazioni rientrassero nell’ambito della policy;
    5. tracciabilità: ogni fase della trattazione è adeguatamente documentata, in modo da consentire la ricostruzione del processo decisionale a fini di controllo interno e ispettivo;
    6. minimizzazione: sono trattati esclusivamente i dati personali necessari alla gestione della specifica segnalazione.

    3.1. Canali di segnalazione

    Il segnalante può presentare una segnalazione attraverso i seguenti canali:

    1. canale interno, in forma scritta o orale;
    2. canale esterno (gestito da ANAC);
    3. divulgazione pubblica;
    4. denuncia all’Autorità giudiziaria o contabile.

    In via prioritaria è favorito l’utilizzo del canale interno e, solo al ricorrere di una delle condizioni di cui all’art. 6 del Decreto Whistleblowing, è possibile effettuare una segnalazione esterna ad ANAC al seguente link https://wb.anticorruzione.it/#/. Le condizioni per la segnalazione esterna sono:

    1. il canale interno non è attivo o non è conforme;
    2. la segnalazione interna non ha avuto seguito;
    3. il segnalante ha fondati motivi di ritenere che la segnalazione interna non avrebbe efficace seguito o determinerebbe il rischio di ritorsione;
    4. la violazione può costituire un pericolo imminente o palese per il pubblico interesse.

    Nella presente policy sono illustrate unicamente le modalità di gestione del canale interno, mentre per gli altri canali si rimanda direttamente alla disciplina indicata nel Decreto Whistleblowing.

    Il canale interno di CheckSig garantisce, anche tramite il ricorso a strumenti di crittografia, la riservatezza dell’identità del segnalante, della persona coinvolta e delle persone menzionate, nonché del contenuto della segnalazione e della documentazione allegata. Esso consente la segnalazione:

    1. in forma scritta, tramite un web form riservato disponibile sul sito istituzionale ovvero tramite la casella e-mail [email protected] (Allegato 3);
    2. in forma orale, mediante un incontro diretto con il Whistleblowing Officer fissato entro un termine ragionevole, non superiore a 15 giorni lavorativi, dalla richiesta del segnalante. La segnalazione orale è documentata, previo consenso del segnalante, mediante registrazione su dispositivo idoneo alla conservazione e all’ascolto oppure mediante verbale; in caso di verbale il segnalante può verificarne, rettificarne e confermarne il contenuto mediante sottoscrizione.

    La configurazione tecnica dei canali è riportata nell’Allegato 1. La sostituzione degli strumenti con una piattaforma dedicata, come ogni altra modifica dei canali, è preceduta dalla verifica di conformità di cui al paragrafo “Sistema dei controlli interni” e non richiede una nuova approvazione della presente policy.

    Chiunque riceva una segnalazione che rientra nell’ambito di questa policy al di fuori dei canali di segnalazione indicati, per qualsiasi motivo e con ogni mezzo deve:

    1. garantire la riservatezza delle informazioni ricevute, avendo l’obbligo di non divulgare l’identità del segnalante né della persona coinvolta o di qualsiasi altra persona menzionata nella segnalazione, né qualsiasi informazione che consentirebbe di identificarle, direttamente o indirettamente;
    2. indirizzare il segnalante a conformarsi alla procedura per inoltrare la segnalazione usando i canali espressamente stabiliti in questa policy avendo cura di informare il segnalante che solo quelle segnalazioni beneficiano delle tutele previste dalla legge e dalla presente policy;
    3. inoltrare la segnalazione al Whistleblowing Officer entro 7 giorni dal ricevimento, dando contestualmente al segnalante notizia della trasmissione, e in seguito alla conferma di ricezione della segnalazione da parte del Whistleblowing Officer cancellare qualsiasi informazione correlata alla segnalazione;
    4. astenersi dall’intraprendere qualsiasi iniziativa autonoma di analisi e/o approfondimento.

    La segnalazione presentata a un soggetto diverso dal Whistleblowing Officer e da questi trasmessa nei termini è considerata effettuata tramite il canale interno e beneficia delle tutele previste dalla legge. Le segnalazioni pervenute fuori canale e inoltrate sono annotate nel Registro come tali.

    3.2. Contenuto e invio delle segnalazioni

    I destinatari della presente policy che vengono a conoscenza di violazioni sono incoraggiati a segnalare gli eventi e le circostanze tempestivamente, in buona fede e a condizioni di avere motivi fondati di ritenere che tali informazioni siano vere.

    Le segnalazioni devono essere il più dettagliate possibile al fine di consentire la verifica efficace della fondatezza degli eventi segnalati. A tal fine, la segnalazione deve includere:

    1. una descrizione dettagliata degli eventi che si sono verificati, ivi compresi data e luogo, e come il segnalante ne è venuto a conoscenza;
    2. quale legge, regolamento interno, ecc. si ritiene siano stati violati;
    3. il nome della persona coinvolta e le informazioni che consentono di identificarlo;
    4. il nome ed il ruolo di eventuali altre parti che possano riferire sugli eventi segnalati;
    5. eventuali documenti o altri elementi che possano comprovare gli eventi segnalati;
    6. l’eventuale indicazione che la segnalazione riguarda il Whistleblowing Officer o la funzione Compliance, ai fini dell’attivazione del gestore alternativo.

    Le segnalazioni che omettono uno più degli elementi sopra indicati saranno prese in considerazione qualora siano sufficientemente circostanziate da consentire un’effettiva verifica dei fatti segnalati.

    Le segnalazioni anonime, cioè prive di elementi che consentano di identificare l’autore, sono registrate e trattate come segnalazioni ordinarie qualora siano adeguatamente circostanziate; in caso contrario sono archiviate con annotazione nel Registro. Il segnalante anonimo, se successivamente identificato e destinatario di ritorsioni, beneficia delle tutele di cui al par. “Divieto di ritorsione”, secondo quanto previsto dall’art. 16, comma 4 del Decreto Whistleblowing e dalle Linee Guida ANAC.

    La segnalazione può essere presentata anche per il tramite di un facilitatore, ovvero una persona che assiste il segnalante nel processo di segnalazione, operante all’interno del medesimo contesto lavorativo[^1]. Il facilitatore beneficia delle medesime tutele del segnalante.

    3.3. La verifica delle segnalazioni

    CheckSig assicura che la trattazione delle segnalazioni sia svolta in maniera tempestiva ed accurata e nel rispetto dei principi enunciati nella presente policy e mediante l’impiego di personale specializzato.

    Il Whistleblowing Officer, prima di prendere visione del contenuto di dettaglio, verifica preliminarmente l’assenza di conflitti di interesse e ne dà atto nel Registro.

    Il Whistleblowing Officer fornisce al segnalante entro 7 giorni dalla data di ricezione della segnalazione la conferma di ricezione della stessa e le tempistiche previste per le attività di indagini.

    Il Whistleblowing Officer conduce un’analisi preliminare per determinare se vi siano elementi sufficienti per una violazione potenziale o effettiva (c.d. “verifica di plausibilità”) e, in base all’esito, le classifica in:

    1. rilevanti, per cui verrà avviata la fase di indagine interna e la segnalazione sarà ulteriormente approfondita;
    2. non pertinenti, per cui la segnalazione sarà archiviata e sarà data comunicazione al segnalante che la segnalazione non rientra nell’ambito di questa policy e, al contempo, sarà rinviato ad altri canali o procedure aziendali pertinenti;
    3. infondate, per cui la segnalazione sarà archiviata con indicazione dei motivi e ne sarà data comunicazione al segnalante;
    4. in malafede, per cui sarà valutato il possibile avvio di una procedura sanzionatoria, nei limiti previsti dalla policy.

    3.3.1. La fase di indagine interna

    La fase di indagine si sostanzia nell’esecuzione di controlli mirati sulla segnalazione e che consentono di individuare, analizzare e valutare correttamente gli elementi che confermano l’attendibilità dei fatti segnalati.

    Durante l’indagine il Whistleblowing Officer può chiedere al segnalante di fornire ulteriori informazioni a supporto. Il segnalante ha diritto di completare o correggere le informazioni già fornite al Whistleblowing Officer, nel rispetto del principio di buona fede. Il Whistleblowing Officer può anche condurre interviste o richiedere informazioni ad altre persone che possono essere a conoscenza degli eventi segnalati. Tutte le richieste di informazioni e/o gli incontri organizzati con il segnalante e le altre persone coinvolte nella segnalazione devono essere documentati nel fascicolo della segnalazione. La mancanza di informazioni e/o la riluttanza del segnalante a collaborare possono costituire motivo per cui il Whistleblowing Officer decida di concludere che non vi siano ragioni concrete per procedere.

    Il Whistleblowing Officer può avvalersi del supporto delle funzioni aziendali di volta in volta competenti e/o di consulenti esterni specializzati, garantendo la riservatezza delle informazioni e rendendo anonimi quanti più dati personali possibili, per condurre alcune o tutte le attività di verifica della segnalazione. Il coinvolgimento di soggetti interni è limitato a quanto strettamente necessario (need to know) e ciascun soggetto coinvolto è previamente informato degli obblighi di riservatezza e del divieto di ritorsione; il coinvolgimento è annotato nel fascicolo. In ogni caso, il Whistleblowing Officer resta responsabile di monitorare il rispetto dei principi previsti dalla presente policy, la correttezza formale del processo e l’adeguatezza delle azioni successive.

    Se è possibile ritenere che i fatti contenuti nella segnalazione costituiscano un reato o una violazione rilevante ai sensi del MiCAR o della normativa antiriciclaggio, il Whistleblowing Officer valuta, in accordo con il Consiglio di amministrazione (o con i soli componenti non coinvolti), se e quando le informazioni contenute nella segnalazione debbano essere notificate alle Autorità giudiziarie o di vigilanza competenti, senza rivelare l’identità del segnalante salvo i casi previsti dalla legge. Ove la segnalazione evidenzi un incidente di sicurezza o una violazione di dati personali, il Whistleblowing Officer attiva, in forma anonimizzata, le procedure previste dalla Policy sulla gestione degli incidenti di sicurezza.

    Alle persone coinvolte è garantito il diritto alla difesa e/o di essere informate dell’esito dell’indagine, con modalità e tempi che non pregiudichino l’accertamento dei fatti e la riservatezza del segnalante.

    3.3.2. I risultati dell’indagine e il riscontro

    Una volta completata la fase di indagine, il Whistleblowing Officer predispone una relazione che riassume le indagini effettuate, i metodi usati, i risultati della verifica di plausibilità e/o dell’indagine, gli elementi a supporto raccolti e le raccomandazioni per un piano di azione. In caso di archiviazione della segnalazione, nella relazione saranno precisati i motivi.

    La relazione viene quindi condivisa, in base ai risultati, con il Consiglio di amministrazione della Società e con le funzioni aziendali coinvolte, sempre sulla base del principio “need to know” (ivi compresa la possibilità di condividere una versione anonimizzata del documento), al fine di determinare quali misure adottare, comprese le eventuali misure disciplinare nei confronti dei dipendenti. Nell’ambito di un eventuale procedimento disciplinare, l’identità del segnalante può essere rivelata solo con il suo consenso espresso e qualora la sua conoscenza sia indispensabile per la difesa dell’incolpato.

    Il Whistleblowing Officer dovrà fornire un riscontro al segnalante sull’esito dell’indagine interna entro 3 mesi dalla data di conferma di ricezione o, in mancanza, dalla scadenza del termine di 7 giorni dalla presentazione della segnalazione. Qualora, per ragioni oggettive legate alla complessità dell’indagine interna, questa non si conclude entro tale termine, il Whistleblowing Officer fornirà comunque al segnalante un riscontro sulle attività in corso e sui primi esiti dell’indagine, riservandosi di fornire un ulteriore riscontro quando le attività saranno concluse. In ogni caso, il contenuto di tale riscontro non deve pregiudicare eventuali azioni che potranno essere intraprese in conseguenza dell’indagine.

    3.4. Lingua utilizzata per la trattazione della segnalazione

    La Società consente ai destinatari della policy di presentare le segnalazioni in italiano e in inglese; CheckSig risponde nella lingua utilizzata dal segnalante.

    3.5. Segnalazioni in materia di parità di genere, molestie e discriminazioni

    Il canale interno di cui alla presente policy costituisce anche la procedura di segnalazione di molestie, violenze e discriminazioni di genere prevista dal Sistema di Gestione per la Parità di Genere (di seguito, “SGPG”) adottato dalla Società ai sensi della UNI/PdR 125:2022 e della Policy contro le molestie sui luoghi di lavoro. Le relative segnalazioni sono gestite dal Whistleblowing Officer con alcune specificità:

    1. il Whistleblowing Officer, nella sua qualità anche di responsabile del SGPG, informa il Comitato Guida, in forma anonimizzata e sempre nel rispetto del need to know, dell’esistenza della segnalazione e degli esiti, affinché valuti i rischi e le azioni correttive o preventive di competenza, senza accesso all’identità del segnalante e della persona coinvolta;
    2. qualora la persona coinvolta sia un componente del Comitato Guida, questi non partecipa alle relative sedute;
    3. tali segnalazioni sono, per loro natura, idonee a rivelare dati appartenenti a categorie particolari e sono trattate con le misure di cui al paragrafo “Data protection”.

  4. La registrazione delle segnalazioni

    Il Whistleblowing Officer, cui è affidata la responsabilità della trattazione delle segnalazioni, è incaricato anche della tenuta dell’apposito Registro dove sono annotati gli elementi essenziali di ogni segnalazione ricevuta, ivi comprese quelle anonime, quelle pervenute fuori canale, quelle non pertinenti e i contatti fuori ambito. In particolare il Whistleblowing Officer:

    1. registra la segnalazione attraverso un codice identificativo progressivo, che sostituisce ogni riferimento nominativo nei documenti diversi dal fascicolo;
    2. classifica le segnalazioni in rilevanti, non pertinenti, infondate e in malafede;
    3. annota la data di ricezione, il canale utilizzato, l’esito della verifica del conflitto di interesse, la data della conferma di ricezione, le fasi dell’istruttoria, la data e l’esito del riscontro, le misure adottate, la data di chiusura e la data prevista di cancellazione;
    4. conserva, in un fascicolo distinto dal Registro, la documentazione della segnalazione.

    Il Registro è tenuto anche in assenza di segnalazioni. La struttura del Registro e le regole di compilazione sono definite nelle Guide operative..

  5. Riservatezza, accessi e conservazione delle segnalazioni

    5.1. Riservatezza

    CheckSig incoraggia tutti i destinatari della presente policy a segnalare tempestivamente qualsiasi violazione e, per incentivare la collaborazione, garantisce la riservatezza di ciascuna segnalazione e delle informazioni contenute al suo interno, compresa l’identità del segnalante, della persona coinvolta e di ogni altra persona menzionata, in tutte le fasi della procedura di segnalazione. Le loro identità non saranno comunicate a nessuno al di fuori del Whistleblowing Officer, del gestore alternativo e dei delegati espressamente autorizzati, tranne nei seguenti casi:

    1. abbiano fornito il proprio consenso esplicito oppure intenzionalmente divulgato la propria identità in altri ambiti;
    2. la comunicazione è un obbligo necessario e proporzionato nell’ambito di indagini o procedimenti dell’Autorità giudiziaria, contabile o di vigilanza, nel rispetto delle garanzie previste dall’art. 12 Decreto Whistleblowing (in tal caso il segnalante è informato per iscritto delle ragioni della rivelazione, salvo che ciò pregiudichi le indagini);
    3. nel procedimento disciplinare.

    Le informazioni contenute nelle segnalazioni che costituiscono segreti commerciali non possono essere usate o divulgate per finalità diverse da quelle necessarie per risolvere la segnalazione.

    La divulgazione non autorizzata dell’identità del segnalante (oppure di informazioni in base alle quali si può ricavare, anche indirettamente, la sua identità) è considerata una violazione della presente policy e pertanto soggetta al sistema disciplinare dalla Società. Simili violazioni possono comportare sanzioni, anche da parte delle Autorità competenti[^2].

    Nel caso in cui un segnalante abbia effettuato una segnalazione in buona fede, e risulti che si sia sbagliato sulla sua rilevanza o che non abbia rispettato appieno i requisiti procedurali stabiliti da questa policy, a tale segnalante saranno comunque garantite le tutele previste.

    5.2. Segregazione degli accessi e archiviazione

    L’accesso ai canali di segnalazione, al Registro e ai relativi fascicoli è ristretto, tramite i permessi nativi degli strumenti aziendali (Google Workspace e, ove adottata, la piattaforma dedicata), al Whistleblowing Officer e ai delegati designati, con accesso nominativo, autenticazione a più fattori ed esclusione di gruppi, link condivisibili e condivisioni esterne. Gli accessi sono tracciati negli audit log degli strumenti, che il Whistleblowing Officer esporta e conserva nell’area riservata con la cadenza prevista dal sistema dei controlli interni.

    Le segnalazioni sono archiviate dal Whistleblowing Officer in un’area del drive aziendale accessibile solo ai soggetti autorizzati, distinto dal drive ordinario della funzione Compliance e, per i fascicoli gestiti dal gestore alternativo, distinta anche da quelli del Whistleblowing Officer.

    Il residuo accesso tecnico dell’amministratore di sistema è presidiato dai controlli compensativi.

    5.3. Conservazione e cancellazione

    Con riferimento alla conservazione dei dati, le segnalazioni e la relativa documentazione saranno conservate per il tempo necessario alla trattazione della segnalazione e comunque non oltre 5 anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione. Decorso il termine, o il diverso termine più lungo imposto da un contenzioso o da un procedimento in corso, i dati saranno cancellati in modo sicuro o resi anonimi in forma irreversibile, con annotazione della cancellazione nel Registro. Le segnalazioni archiviate come non pertinenti o non circostanziate e i dati manifestamente non utili sono cancellati senza indugio, salvo l’annotazione sintetica nel Registro. La procedura di cancellazione è definita nelle guide operative.

  6. Divieto di ritorsione

    CheckSig non tollera alcuna forma di minaccia, ritorsione o discriminazione, tentata o effettiva, ai danni dei segnalante, delle persone coinvolte o di chiunque abbia collaborato alle indagini per comprovare la fondatezza della segnalazione.

    Costituisce ritorsione qualsiasi comportamento, atto od omissione, anche solo tentato o minacciato, posto in essere in ragione della segnalazione e che provoca o può provocare, al segnalante, in via diretta o indiretta, un danno ingiusto, da intendersi come danno ingiustificato. Qui di seguito un elenco, non esaustivo, di comportamenti ritorsivi:

    1. il licenziamento, la sospensione o misure equivalenti;
    2. la retrocessione di grado o la mancata promozione;
    3. il mutamento di funzioni, il cambiamento del luogo di lavoro, la riduzione dello stipendio, la modifica dell’orario di lavoro;
    4. la sospensione della formazione o qualsiasi restrizione dell’accesso alla stessa;
    5. le note di merito negative o le referenze negative;
    6. l’adozione di misure disciplinari o di altra sanzione, anche pecuniaria;
    7. la coercizione, l’intimidazione, le molestie o l’ostracismo;
    8. la discriminazione o comunque il trattamento sfavorevole;
    9. la mancata conversione di un contratto di lavoro a termine in un contratto di lavoro a tempo indeterminato, laddove il lavoratore avesse una legittima aspettativa a detta conversione;
    10. il mancato rinnovo o la risoluzione anticipata di un contratto di lavoro a termine;
    11. i danni, anche alla reputazione della persona, in particolare sui social media, o i pregiudizi economici o finanziari, comprese la perdita di opportunità economiche e la perdita di redditi;
    12. l’inserimento in elenchi impropri sulla base di un accordo settoriale o industriale formale o informale, che può comportare l’impossibilità per la persona di trovare un’occupazione nel settore o nell’industria in futuro;
    13. la conclusione anticipata o l’annullamento del contratto di fornitura di beni o servizi;
    14. l’annullamento di una licenza o di un permesso;
    15. la richiesta di sottoposizione ad accertamenti psichiatrici o medici.

    CheckSig tenta di eliminare, laddove possibile, o compensare gli effetti di qualsiasi ritorsione ai danni dei soggetti sopra menzionati. Per tale motivo, la Società si riserva il diritto di intraprendere azioni adeguate contro chiunque ponga in essere, o minacci di porre in essere, atti di ritorsione contro il segnalante, fatto salvo il diritto delle parti coinvolte di tutelarsi legalmente qualora siano state riscontrate responsabilità di natura penale o civile legate alla falsità di quanto dichiarato o segnalato.

    Ai sensi del Decreto Whistleblowing, nell’ambito di procedimenti giudiziari o amministrativi si presume che le misure adottate nei confronti del segnalante siano state adottate a causa della segnalazione, salvo prova contraria a carico della Società. Per tale ragione le decisioni che incidono sulla posizione del personale (a titolo esemplificativo: valutazioni negative, variazioni contrattuali peggiorative, provvedimenti disciplinari, mancati rinnovi) sono sempre motivate per iscritto dal responsabile competente con criteri oggettivi e documentati. Il Whistleblowing Officer verifica, in via riservata che nessuna di tali decisioni, adottata nei 24 mesi successivi a una segnalazione, riguardi un segnalante, un facilitatore o le persone di cui al presente paragrafo senza una motivazione estranea alla segnalazione.

    La protezione da ritorsioni si applica anche a:

    1. il facilitatore;
    2. le persone del medesimo contesto lavorativo del segnalante e che sono legate a quest’ultimo da uno stabile legame affettivo o di parentela entro il quarto grado;
    3. i colleghi di lavoro del segnalante, che lavorano nel medesimo contesto lavorativo e che hanno con il medesimo un rapporto abituale e corrente;
    4. gli enti di proprietà del segnalante o per i quali questi lavora nonché gli enti che operano nel medesimo contesto lavorativo del segnalante.

    Le tutele si applicano al segnalante che, al momento della segnalazione, aveva fondato motivo di ritenere che le informazioni fossero vere e rientrassero nell’ambito della presente policy e che ha effettuato la segnalazione secondo le modalità previste dalla policy. Il segnalante non incorre in responsabilità, anche civile o penale, per la rivelazione di informazioni coperte da segreto d’ufficio, professionale o aziendale, o per la violazione di obblighi di lealtà e fedeltà, nei limiti del Decreto Whistleblowing.

    Chiunque ritenga di aver subito una ritorsione può comunicarla al Whistleblowing Officer tramite i canali previsti dalla policy; la comunicazione è trattata come segnalazione ai sensi della policy. La gestione delle comunicazioni di ritorsioni compete altresì ad ANAC che può avvalersi, per quanto di rispettiva competenza, della collaborazione dell’Ispettorato della funzione pubblica e dell’Ispettorato nazionale del lavoro. Il segnalante può inoltre rivolgersi agli enti del Terzo settore iscritti nell’elenco ANAC per le misure di sostegno di cui al Decreto Whistleblowing.

    La dichiarazione di nullità degli atti ritorsivi spetta all’Autorità giudiziaria.

    CheckSig può intraprendere le più opportune misure disciplinari e/o legali, nella misura consentita dalla normativa applicabile, a tutela dei propri diritti, dei propri beni e della propria immagine, nei confronti di chiunque abbia effettuato in mala fede segnalazioni false, infondate o opportunistiche e/o al solo scopo di calunniare, diffamare o arrecare pregiudizio al segnalato o ad altre persone coinvolte nella segnalazione.

  7. Data protection

    Ai sensi e per gli effetti del GDPR, il Titolare del trattamento dei dati personali raccolti attraverso il processo di segnalazione, disciplinato nella presente policy è CheckSig S.r.l. Società Benefit (di seguito, il “Titolare”).

    Il Titolare tratta i dati personali contenuti nelle segnalazioni per le finalità individuate dalla presente policy, nei limiti degli adempimenti previsti dalla legge, vale a dire per la raccolta, la gestione e l’analisi delle segnalazioni pervenute, per la tutela dei segnalanti da ritorsioni e per l’adempimento degli obblighi di rendicontazione e di conservazione. Il trattamento non richiede il consenso degli interessati.

    Per il perseguimento delle finalità indicate, i dati personali contenuti nelle segnalazioni saranno raccolti, trattati e gestiti dal Whistleblowing Officer, quale funzione responsabile della presente policy, e dai soggetti delegati e dal gestore alternativo, che operano quali persone autorizzate al trattamento sotto l’autorità del Titolare ai sensi dell’art. 29 GDPR, designate con atto scritto contenente le istruzioni e formate circa le modalità e le finalità del trattamento, nonché dagli eventuali consulenti esterni di cui il Whistleblowing Officer si avvale per lo svolgimento dell’attività e dai fornitori degli strumenti tecnologici utilizzati per i canali. Tali soggetti esterni sono debitamente individuati dal Titolare, verificati quanto alle garanzie offerte e agiscono in qualità di responsabili del trattamento sulla base di uno specifico accordo concluso ai sensi dell’art. 28 GDPR, che include l’obbligo di riservatezza, il divieto di accesso ai contenuti se non su istruzione documentata e le misure di sicurezza adeguate.

    Il Titolare potrà comunicare, purché necessario per il perseguimento delle finalità del trattamento, i dati personali raccolti alle Autorità competenti (Autorità giudiziaria, ANAC, Consob, Banca d’Italia, UIF e Garante) che agiranno quali titolari autonomi del trattamento.

    I dati non sono trasferiti al di fuori dell’Unione europea, salvo che ciò avvenga per il tramite dei fornitori degli strumenti tecnologici nel rispetto del Capo V del GDPR, come documentato nella valutazione d’impatto.

    7.1. Diritti degli interessati

    Ai sensi e per gli effetti del GDPR, al segnalato, alla persona coinvolta e agli altri soggetti menzionati nella segnalazione (di seguito, “interessato” o congiuntamente “interessati”), sono riconosciuti specifici diritti, che possono essere esercitati scrivendo a [email protected], nei limiti di cui infra:

    1. il diritto di chiedere l’accesso ai propri dati personali unitamente a indicazioni relative alla finalità del trattamento, alla categoria dei dati personali trattati, ai soggetti o categorie di soggetti ai quali essi sono stati o saranno comunicati (con indicazione dell’eventualità in cui tali soggetti siano situati in paesi terzi o siano organizzazioni internazionali), quando possibile al periodo di conservazione dei dati personali o ai criteri utilizzati per determinare tale periodo, all’esistenza dei propri diritti di rettifica e/o cancellazione dei dati personali, di limitazione del trattamento e di opposizione al trattamento, al proprio diritto di proporre reclamo all’autorità di controllo, all’origine dei dati, all’esistenza e alla logica applicata in caso di processo decisionale automatizzato. Qualora eserciti tale diritto e salvo diverse indicazioni da parte dell’interessato medesimo, quest’ultimo riceverà una copia in formato elettronico dei propri dati personali che formano oggetto di trattamento. Il diritto di accesso della persona coinvolta non comprende, in nessun caso, l’identità del segnalante e le informazioni che ne consentirebbero l’identificazione;
    2. il diritto di ottenere la rettifica dei propri dati personali, qualora gli stessi risultino inesatti o incompleti;
    3. la cancellazione dei propri dati personali, qualora sussista una delle condizioni di cui all’art. 17 del GDPR (ad esempio: i dati personali dell’interessato non risultino più necessari rispetto alle finalità per le quali sono stati raccolti, l’interessato si oppone al trattamento e non prevalga altro interesse legittimo del Titolare, i dati personali sono trattati illecitamente);
    4. la limitazione del trattamento dei dati personali i) per il tempo necessario a CheckSig per appurare l’esattezza dei dati personali dell’interessato medesimo (nel caso in cui egli l’abbia contestata), o ii) qualora il trattamento dei dati personali risulti illecito e l’interessato richieda, in luogo della cancellazione dei propri dati personali, la limitazione del relativo trattamento, o iii) quando CheckSig non abbia più bisogno dei dati personali dell’interessato ma gli stessi siano per l’interessato necessari per accertare, esercitare o difendere un diritto in sede giudiziaria, o, infine, iv) per il tempo necessario a valutare l’eventuale prevalenza dei motivi legittimi del Titolare rispetto a quelli dell’interessato, qualora quest’ultimo si sia opposto al trattamento dei propri dati personali ai sensi del punto e) che segue;
    5. il diritto di opporsi al trattamento dei propri dati personali, qualora tale trattamento sia effettuato ai sensi dell’art. 6.1 lett. e) (i.e. per l’esecuzione di un compito di interesse pubblico cui è soggetto il Titolare) o lett. f) (i.e. per perseguire un legittimo interesse del Titolare) del GDPR, a meno che non sussistano motivi legittimi cogenti del Titolare a procedere al trattamento, ai sensi dell’art. 21 del GDPR;
    6. qualora non sia soddisfatto del trattamento dei propri dati personali effettuato da CheckSig, potrà proporre un reclamo al Garante per la Protezione dei Dati Personali, seguendo le procedure e le indicazioni pubblicate sul sito web ufficiale di tale autorità www.garanteprivacy.it.

    Ai sensi del Decreto Whistleblowing e del Codice Privacy, tali diritti non possono essere esercitati dalla persona coinvolta o da terzi qualora dal loro esercizio possa derivare un pregiudizio effettivo e concreto alla riservatezza dell’identità del segnalante. In tali casi il Titolare comunica all’interessato, senza ritardo, i motivi della limitazione, salvo che ciò possa compromettere la finalità stessa della limitazione; l’interessato può in ogni caso esercitare i propri diritti per il tramite del Garante.

    7.2. Misure di sicurezza e adempimenti

    In attuazione del Decreto Whistleblowing, il Titolare:

    1. effettua e mantiene aggiornata la valutazione d’impatto sulla protezione dei dati di cui all’art. 35 GDPR relativa al trattamento dei dati nel processo di segnalazione;
    2. rende disponibile agli interessati, prima della segnalazione (nella pagina del canale e nel web form) e nella presente policy, l’informativa ai sensi degli artt. 13 e 14 GDPR; l’informativa alla persona coinvolta è resa nei limiti e nei tempi compatibili con la tutela del segnalante e dell’istruttoria;
    3. iscrive il trattamento nel registro delle attività di trattamento con l’indicazione dei termini di conservazione;
    4. designa per iscritto le persone autorizzate al trattamento e i responsabili del trattamento;
    5. adotta misure tecniche e organizzative adeguate, tra cui: segregazione degli accessi e tracciamento; cifratura dei dati in transito e a riposo, ove lo strumento lo consenta; pseudonimizzazione tramite codice identificativo in tutti i documenti diversi dal fascicolo riservato; separazione del fascicolo dal registro; procedura di cancellazione sicura; gestione delle violazioni di dati personali, con valutazione della notifica al Garante entro 72 ore e informativa al Consiglio di amministrazione;
    6. coinvolge il referente per la protezione dei dati personali o il DPO, ove nominato, nella valutazione d’impatto e nelle richieste di esercizio dei diritti.

  8. Sistema disciplinare e sanzioni

    La violazione della presente policy costituisce inadempimento degli obblighi contrattuali e illecito disciplinare, sanzionato in conformità al Codice etico e di comportamento, al CCNL applicabile e all’art. 7 della L. 300/1970, ovvero, per i soggetti non dipendenti, secondo le clausole contrattuali applicabili.

    Sono in particolare sanzionabili:

    1. i comportamenti ritorsivi;
    2. la violazione degli obblighi di riservatezza;
    3. l’ostacolo o il tentativo di ostacolo alla segnalazione;
    4. la mancata trasmissione al Whistleblowing Officer delle segnalazioni ricevute fuori canale;
    5. la violazione delle regole di accesso al Registro e ai fascicoli, ivi compreso l’accesso tecnico non autorizzato dell’amministratore di sistema.

    Nei confronti del segnalante, le misure disciplinari o legali sono adottate esclusivamente qualora sia accertata, anche con sentenza di primo grado, la responsabilità penale per i reati di diffamazione o calunnia o comunque per reati commessi con la segnalazione, ovvero la responsabilità civile per dolo o colpa grave (art. 16, comma 3, del Decreto Whistleblowing). In tali casi le tutele indicate nella policy non sono garantite e la Società può agire a tutela dei propri diritti, dei propri beni e della propria immagina e di quelli delle persone coinvolte.

    Restano ferme le sanzioni amministrative irrogabili da ANAC ai sensi del Decreto Whistleblowing e i poteri sanzionatori delle Autorità di vigilanza.

  9. Formazione e comunicazione

    La presente policy e ogni suo aggiornamento sono comunicati a tutto il personale e ai collaboratori con comunicazione dedicata, che ne richiede la presa visione tracciata; ai nuovi assunti e collaboratori sono illustrati in fase di onboarding.

    La sezione dedicata del sito istituzionale riporta le informazioni sul canale interno, sul canale esterno ANAC e sui presupposti per il loro utilizzo, oltre all’informativa sul trattamento dei dati personali.

    Il Whistleblowing Officer cura, con cadenza annuale:

    1. l’erogazione della formazione al personale su canali, tutele, divieto di ritorsione, obblighi di riservatezza e casi fuori ambito;
    2. una sessione di formazione dedicata all’Alta direzione e ai responsabili di unità organizzativa sui divieti di ritorsione previsti dal Decreto Whistleblowing e dalla presente policy, sulla presunzione e sulle conseguenze disciplinari e sanzionatorie;
    3. la propria formazione specialistica e quella del gestore alternativo.

    Il piano formativo è inserito nel programma annuale delle attività della funzione Compliance e nel piano formativo aziendale. Gli esiti sono rendicontati nel Registro unico della formazione e nella relazione annuale resa dal responsabile della funzione Compliance all’organo amministrativo.

  10. Integrazione delle segnalazioni nel sistema dei controlli interni

    Il funzionamento del presidio è assicurato dai controlli periodici altresì censiti nella Dashboard dei controlli di Compliance, che ne costituisce la fonte autoritativa per cadenze ed evidenze. I controlli periodici sono eseguiti entro il 31 gennaio e il 31 luglio di ciascun anno.

    I controlli sono svolti dal Whistleblowing Officer e le relative evidenze sono conservate nel drive ordinario della funzione Compliance e, laddove riguardano le singole segnalazioni, nell’area del drive ad accesso ristretto dedicato. I controlli sono dettagliati all’Allegato 2.

    Le anomalie accertate e le relative misure correttive sono documentate e rendicontate nella relazione annuale resa dal responsabile della funzione Compliance all’organo amministrativo.

  11. Informativa agli organi aziendali

    CheckSig svolge nel continuo un’attività di analisi dei dati relativi alle segnalazioni ricevute, per individuare eventuali criticità circa l’efficacia della presente policy. In questo ambito, il Whistleblowing Officer con cadenza annuale, in occasione della presentazione della relazione del responsabile della funzione Compliance, fornisce al Consiglio di amministrazione una relazione sul corretto funzionamento del sistema interno di segnalazione, che contiene almeno:

    1. il numero e la tipologia delle segnalazioni ricevute (incluse quelle anonime, fuori canale, non pertinenti e i contatti fuori ambito), l’esito delle attività condotte e le misure adottate, il rispetto dei termini di conferma di ricezione e di riscontro;
    2. le comunicazioni di ritorsione ricevute e la dichiarazione del Whistleblowing Officer di assenza di comportamenti ritorsivi nel corso dell’anno e sulle eventuali indagini sul clima aziendale;
    3. l’autocertificazione del Whistleblowing Officer sulla riservatezza e sulla segregazione degli accessi, con la quale attesta che nel corso dell’anno: i) non si sono verificate violazioni della riservatezza dei segnalante; ii) l’identità dei segnalante e le informazioni contenute nelle segnalazioni non sono state divulgate a soggetti non autorizzati; iii) i canali di segnalazione ed il Registro sono rimasti accessibili esclusivamente al Whistleblowing Officer e ai soggetti delegati; iv) dal riesame dei log non risultano accessi non autorizzati ai canali o al Registro; ovvero descrive le violazioni accertate e le misure adottate;
    4. gli esiti delle verifiche sul sistema dei controlli interni di cui all’Allegato 2 e le eventuali azioni correttive intraprese, nonchè lo stato di attuazione delle misure correttive deliberate a seguito delle segnalazioni;
    5. la formazione erogata al personale, al management e al Whistleblowing Officer;
    6. lo stato di attuazione del piano di azione dell’anno precedente, gli esiti delle verifiche dell’Internal Audit e le eventuali richieste di aggiornamento della policy;
    7. la valutazione complessiva di adeguatezza del presidio e il piano di azione per l’anno successivo, con owner, scadenze ed evidenze di chiusura.

    Il Whistleblowing Officer informa senza indugio il Consiglio di amministrazione (o i soli componenti non coinvolti) delle segnalazioni rilevanti che riguardino componenti degli organi aziendali, responsabili di funzione o violazioni potenzialmente rilevanti per le Autorità di vigilanza, nonché di ogni violazione della riservatezza o incidente relativo ai canali.

    La relazione garantisce l’anonimato dei soggetti coinvolti e non contiene dati personali di segnalanti, delle persone coinvolte o terzi. Il Consiglio di amministrazione ne prende atto con delibera e approva il piano di azione. Una sintesi anonimizzata è resa disponibile al personale, in coerenza con le aspettative di vigilanza per gli intermediari. La relazione è trasmessa altresì al Collegio Sindacale e messa a disposizione dell’Internal Audit ai fini del riesame indipendente annuale del presidio. Le informazioni rilevanti per il profilo di rischio della Società sono condivise con il Comitato Rischi in forma aggregata.

    Per le segnalazioni in materia di parità di genere, molestie e discriminazioni, gli indicatori del SGPG sono alimentati esclusivamente con dati aggregati tratti dal Registro, che confluiscono nel riesame dell’Alta direzione e negli audit previsti dalla UNI/PdR 125:2022 e dal SGPG.

[^1]: Per contesto lavorativo si intendono le attività lavorative o professionali, presenti o passate, nel cui ambito il segnalante acquisisce informazioni sulle violazioni.

[^2]: Il Decreto Whistleblowing prevede una sanzione amministrativa pecuniaria da 10.000 a 50.000 euro.

Segnala un illecito (form)

Informativa privacy illeciti