Risposta alla Consultazione su Piano Anticorruzione del Comune di Roma

Posted in News at 03.01.2020

Il Centro Hermes risponde alla consultazione sull’aggiornamento piano triennale anticorruzione del comune di Roma rispetto alla Bozza del Piano da inviarsi con apposito modulo all’indirizzo email aggiornamento.ptrpc@comune.roma.it  entro il 15 gennaio 2020, inviata il 3 gennaio 2020.

E’ stata effettuata una disamina del piano anticorruzione del Comune di Roma specificamente per quanto concerne le procedure di Segnalazione (“Whistleblowing”) e la sua compatibilità con la normativa vigente, con le interpretazioni fornite dal regolatore di settore (“ANAC”), con le best practice internazionali (“ISO Anti Bribery Management System”), nonché con gli esempi di altre grandi città virtuose (Milano, Torino, Barcellona, Trento, Firenze).

Emerge una situazione di criticità in tutti gli ambiti di valutazione.

Veniamo nelle seguenti sezioni le criticità evidenziate.

La procedura impedisce la segnalazione ai collaboratori di fornitori esterni all’ente

Le linee guida ANAC indicano chiaramente che il dipendente a cui fa riferimento la normativa anticorruzione non è soltanto il dipendente diretto dell’ente, ma anche coloro che hanno lavorato per aziende private nell’esercizio di un contratto con l’ente.

Il Comune di Roma impedisce a tali soggetti di potere effettuare la segnalazione, essendo la procedura informatica schermata dal Portale Dipendenti che, da quanto si legge nel piano, richiede una identificazione preventiva.

Facendo un esempio di segnalante tipo a cui è impedita la segnalazione:

La segretaria amministrativa di una società cooperativa che ha operato in sub-appalto rendicontazioni interne (senza mai interagire direttamente con il comune di Roma), operando per conto di un’altra azienda privata aggiudicataria di un contratto con il comune di Roma, terminato 6 mesi fa, che avesse evidenze di atti o fatti corruttivi non potrebbe effettuare una segnalazione tramite il Portale Dipendente. 

In tale scenario la segnalante non avrebbe potuto segnalare neanche durante lo svolgimento del contratto, poiché personale di backoffice di una ditta operante in sub-appalto di una ditta aggiudicataria di un contratto con il comune di Roma che non ha quindi esigenze di interazione diretta con il Comune.

Ne consegue che, laddove una procedura informatica richieda identificazione preventiva per effettuare una segnalazione, questa non soddisfa i requisiti normativi.

A titolo di esempio il Comune di Milano ha integrato nel suo questionario di segnalazione pubblico raggiungibile all’indirizzo https://whistleblowing.comune.milano.it  la seguente richiesta all’interno del form di segnalazione:

Tipologia del Segnalante

La presente segnalazione può essere fatta da un dipendente dell’amministrazione oppure da un qualsiasi soggetto che opera in qualità di lavoratore o collaboratore delle imprese fornitrici di beni e/o servizi e che realizzano opere in favore dell’Amministrazione pubblica

SELETTORE: Dipendente/Esterno”

E laddove si seleziona esterno, viene richiesto il CIG e/o la P.IVA dell’azienda a cui fa riferimento il segnalante.

Ulteriormente, la presenza di una identificazione preventiva è tipicamente posta in essere dai responsabili per timore che ricevere troppe segnalazioni da parte di terzi sconosciuti possa andare ad inficiare sul corretto funzionamento dell’amministrazione. Questo, però, restringe l’ambito di applicazione nonché l’efficacia della normativa. 

Attraverso un approfondimento specialistico nella materia del Whistleblowing Digitale, è possibile apprendere che lo sviluppo di questionari dinamici e integrativi, specifici della dinamica organizzativa dell’ente, aumentano in modo sensibile la qualità delle informazioni segnalate e al tempo stesso riducono in modo drastico le segnalazioni non circostanziate come i fenomeni delatori. 

Laddove il percorso di segnalazione è guidato secondo workflow definito digitalmente, con una molteplicità di domande cosiddette a “a risposta chiusa” specifiche dell’ente, è possibile limitare la quantità di segnalazioni che probabilmente finirebbero archiviate, aumentando l’esecutività dell’azione su quelle ricevute corroborate dei necessari elementi informativi.

La procedura informatica non garantisce l’anonimato e impedisce lo sviluppo del Whistleblowing Anonimo con Segnalazioni Circostanziate

La procedura informatica di segnalazione prevede l’identificazione preventiva del segnalante, impedendo ogni forma di segnalazione anonima, benché circostanziata. 

Tali tipologie di segnalazione sono da prendersi in considerazione, purché circostanziate, tanto secondo le condotte del regolatore di settore (“ANAC”) quanto secondo le best practice internazionali “ISO 37001:2016 (Anti Bribery Management System, sezione 8.9).

La piattaforma informatica in oggetto, anche qualora fosse disponibile senza una identificazione preventiva come su indicato (condizione necessaria e fondamentale per il funzionamento di una procedura efficace di whistleblowing digitale), si troverà a registrare gli indirizzi identificativi internet o intranet da cui la segnalazione proviene, de-facto consentendo una re-identificazione del segnalante non dichiarato. 

Onde prevenire tale forma di re-identificazione indiretta, de-facto nel potere di tutto il personale diretto e indiretto (fornitori) che ha diritti di fruizione di analisi e diagnosi tecnica dei registri di accesso web (sistemisti, sviluppatori applicativi, addetti cybersicurezza), è necessario che:

  • Il sistema informatico non registri gli IP richiedenti l’accesso (regola di log avoidance, fondamentale secondo principio di GDPR di minimizzazione, essendo gli IP un dato personale)
  • Il sistema informatico integri, e comunichi in modo esplicito, l’utilizzabilità di tecnologie di anonimato digitale, in primis Tor. 

Entrambi i meccanismi di cui sopra sono in essere tanto dal regolatore di settore “ANAC”, quanto da enti virtuosi di cui in seguito.

La procedura informatica non è orientata a favorire segnalazioni alla controllante riguardante le società ed enti controllati

Viene definito che ciascun soggetto controllato e/o vigilato debba dotarsi di un proprio piano anticorruzione e relativi adempimenti, incluso il sistema di segnalazioni di whistleblowing. 

Tuttavia, risulta consolidata come best practice organizzativa che la holding di ciascun gruppo implementi un sistema di raccolta di segnalazioni di illeciti anche per tutte le società ed enti controllati. In questo modo si offre ai whistleblower che non trovino un clima di fiducia nel segnalare alla società controllata rifugio nella controllante, senza dover per forza rivolgersi all’ente regolatore nazionale (“ANAC”).

A titolo di esempio virtuoso il Comune di Torino, come prima richiesta del questionario visibile all’indirizzo https://anticorruzione.comune.torino.it va ad indicare:

“La tua segnalazione si riferisce all’ente pubblico o a un’azienda partecipata o controllata dallo stesso? *

SELETTORE: Ente / Azienda Controllata/Partecipata”

È prassi consolidata che, nel design dei questionari dinamici di segnalazione delle procedure informatiche, gli enti controllanti esplicitino in modo chiaro e ben evidente la possibilità di effettuare una segnalazione nei confronti di atti e fatti illeciti relativi a società controllate. 

La procedura informatica è molto distante dagli esempi virtuosi di altre grandi città

In sintesi, la procedura informatica appare disegnata per disincentivare i segnalanti attraverso l’introduzione di barriere e ostacoli alla segnalazione, impedendone la possibilità ai dipendenti indiretti e scoraggiando quelli diretti.

Tutti i sistemi di whistleblowing moderni, compliant con le best practice nazionali e internazionali, richiedono che le procedure informatiche di segnalazione siano accessibili senza alcuna forma di identificazione preventiva, senza la registrazione degli indirizzi IP nei log di accesso per impedirne il tracciamento tramite re-identificazione informatica, oltre alla integrazione esplicita di tecnologie di anonimato digitale, sempre mantenendo un “filtro elettronico di qualità” dato da un questionario interattivo che innalzi la qualità informatica delle segnalazioni e ne riduca la quantità.

L’esperienza sul campo insegna che tale processo virtuoso incoraggia i segnalanti, con una prevalenza di segnalazioni anonime con interattività digitale bi-direzionale, che dopo un dialogo attraverso sistemi di messaggistica sicura con i riceventi (tipicamente chi incaricato dell’istruttoria) per la migliore circostanziazione della segnalazione, acquisiscono fiducia e arrivano a disvelare la propria identità con il fine di ottenere la tutela giuridica.

Approcci di identificazione preventiva per la segnalazione hanno un impatto dirompente sulla efficacia dell’intera procedura di whistleblowing.

A tal proposito si riportano esempi virtuosi di procedure informatiche di Whistleblowing che sono dotate di molti dei requisiti contestati come mancanti alla procedura del Comune di Roma:

Comune di Milano https://whistleblowing.comune.milano.it 

Comune di Torino https://anticorruzione.comune.torino.it 

Comune di Firenze https://anticorruzione.comune.fi.it/ 

Provincia di Trento https://whistleblowing.provincia.tn.it/Come-funziona-l-applicazione su https://pat.whistleblowing.it/

ANAC https://www.anticorruzione.it/portal/public/classic/Servizi/ServiziOnline/SegnalazioneWhistleblowing 

Miglioramenti che il Comune di Roma dovrebbe apportare

Nelle varie best practice implementate dalle realtà succitate, quelle che non si riscontrano nella procedura del Comune di Roma, sono:

  • Accettare esplicitamente anche segnalazioni in forma anonima
  • Non richiedere identificazione per l’accesso al portale informatico di segnalazione
  • Non registrare indirizzi IP che consentirebbero una re-identificazione informatica del segnalante
  • Integrare tecnologie di anonimato digitale, quali Tor, che forniscono fiducia ai segnalanti
  • Disporre di un questionario dinamico e interattivo per innalzare la qualità delle segnalazioni e ridurre drasticamente fenomeni delatori
  • Accettare esplicitamente segnalazioni per le società ed enti controllati

In sintesi, si ritiene che il Comune di Roma debba integrare i requisiti succitati per arrivare a disporre di un impianto anticorruzione efficace.

Piattaforme Informatiche

Si sottolinea come esistano già piattaforme software gratuite basate su Software Libero specificamente orientate per la sicurezza digitale dei whistleblower oltreché per le esigenze di coloro che devono con questi interagire all’interno di una istruttoria.

La più usata è GlobaLeaks, sulla cui versione non più allineata da 4 anni è basata l’edizione rilasciata da ANAC, con migliaia di enti pubblici italiani (ed esteri, dal Comune di Barcellona all’Autorità Anticorruzione del Madagascar fino alla Corte Penale Internazionale) che implementano procedure informatiche di segnalazione secondo il paradigma del riuso e del seguire le best practices nazionali e internazionali.

Si ricorda come la piattaforma GlobaLeaks sia già disponibile nel catalogo riuso del portale Developers Italia.

Il Centro Hermes per la Trasparenza e i Diritti Umani Digitali si mette a disposizione per offrire un supporto pro-bono affinché il Comune di Roma possa dotarsi di una procedura informatica (con o senza globaleaks) di segnalazione virtuosa e rispettosa dell’identità dei Whistleblowers, anche sotto il profilo digitale.