Procedura Whistleblowing · Sistema di Segnalazione delle Violazioni

Cos'è il Whistleblowing e perché è importante

Il whistleblowing è la segnalazione, da parte di una persona — lavoratore, collaboratore, cliente o altro soggetto — di comportamenti illeciti, irregolari o non conformi alla normativa di cui sia venuta a conoscenza nell'ambito di un contesto lavorativo o di una relazione professionale o commerciale.

Togo Infinity Limited (di seguito "la Società"), operante con il nome commerciale THE REAL MONEY, ha adottato il presente Sistema di Whistleblowing convinta che la segnalazione tempestiva di eventuali violazioni sia uno strumento fondamentale per:

• Prevenire condotte illecite o non conformi prima che producano danni;
• Proteggere i clienti, i lavoratori e l'integrità della piattaforma THE REAL MONEY;
• Promuovere una cultura aziendale basata su legalità, correttezza e trasparenza.

1.2 Obiettivi del sistema di whistleblowing

• Prevenzione: individuare tempestivamente condotte non conformi o potenzialmente lesive dell'integrità aziendale;
• Protezione: tutelare i segnalanti da qualsiasi forma di ritorsione o discriminazione;
• Trasparenza: garantire un processo chiaro, definito e accessibile ai soggetti legittimati;
• Miglioramento continuo: utilizzare le segnalazioni come strumento di rafforzamento dei presidi di conformità;
• Conformità normativa: assicurare il rispetto della normativa vigente.

1.3 Ambito di applicazione

Il presente documento disciplina il sistema di whistleblowing della Società e, in particolare:

• definisce il sistema di gestione delle segnalazioni;
• stabilisce i ruoli e le responsabilità organizzative in materia di gestione delle segnalazioni;
• disciplina le attività di formazione e sensibilizzazione del personale;
• implementa un sistema di whistleblowing conforme alla Direttiva (UE) 2019/1937;
• garantisce la protezione dei segnalanti e la corretta gestione delle segnalazioni di violazioni normative.

1.4 Principi guida

• riservatezza dell'identità del segnalante;
• divieto di ritorsioni di qualsiasi natura;
• accesso al sistema tramite canale interno unico (piattaforma MITWhistle);
• tempestività nella gestione e riscontro delle segnalazioni;
• proporzionalità delle azioni rispetto alla gravità delle violazioni;
• tracciabilità delle segnalazioni e delle attività di gestione.

1.5 Definizioni

Riferimenti normativi

La presente Procedura è adottata in conformità al quadro normativo europeo e irlandese in materia di whistleblowing, compliance, protezione dei dati personali e prevenzione dei rischi aziendali. In particolare, il sistema di segnalazione della Società è disciplinato dalle seguenti principali fonti normative:

• Direttiva (UE) 2019/1937 sulla protezione dei segnalanti — relativa alla protezione delle persone che segnalano violazioni del diritto dell'Unione;
• Protected Disclosures Act 2014 (come modificato dal Protected Disclosures (Amendment) Act 2022) — normativa irlandese di recepimento della Direttiva UE e disciplina principale in materia di whistleblowing;
• Regolamento (UE) 2016/679 — in materia di protezione dei dati personali e libera circolazione degli stessi;
• Data Protection Act 2018 — normativa nazionale irlandese che integra il GDPR;
• Direttiva 2014/65/UE (MiFID II) — con riferimento ai requisiti organizzativi e di governance applicabili ai soggetti che prestano servizi di consulenza in materia di investimenti, inclusa l'adozione di adeguati sistemi di controllo interno e compliance;
• Eventuali ulteriori normative settoriali europee e irlandesi applicabili alla Società, incluse quelle in materia di prevenzione del riciclaggio e del finanziamento del terrorismo (AML/CFT), servizi finanziari e regolamentazione prudenziale, governance e controlli interni.

Chi può effettuare una segnalazione

Il Sistema di Whistleblowing della Società è accessibile a tutti i soggetti che, nell'ambito di un contesto lavorativo, professionale o commerciale, acquisiscono informazioni relative a potenziali illeciti rilevanti (relevant wrongdoing), ai sensi della normativa applicabile. Le segnalazioni possono essere effettuate sia da soggetti interni sia da soggetti esterni, nel rispetto delle condizioni e delle tutele previste dalla normativa vigente, inclusa la Protected Disclosures Act 2014.

3.1 Segnalanti interni — lavoratori e collaboratori

Sono legittimati a effettuare segnalazioni tutti i soggetti che lavorano o hanno lavorato per la Società, in qualsiasi forma o titolo, tra cui:

• Dipendenti a tempo indeterminato e determinato;
• Collaboratori, consulenti e liberi professionisti;
• Stagisti e tirocinanti, anche non retribuiti;
• Lavoratori in somministrazione;
• Membri degli organi di amministrazione, direzione o controllo;
• Componenti della rete commerciale (inclusi consulenti finanziari e agenti);
• Ex dipendenti o collaboratori, per fatti appresi nel corso del rapporto;
• Candidati, per informazioni acquisite durante il processo di selezione.

Ai fini della presente Procedura, tali soggetti rientrano nella nozione di "lavoratori" prevista dalla normativa applicabile.

3.2 Segnalanti esterni — clienti e terzi

Sono altresì legittimati a effettuare segnalazioni i soggetti esterni che intrattengono o hanno intrattenuto rapporti professionali o commerciali con la società, tra cui:

• Clienti della piattaforma The Real Money, limitatamente a fatti appresi nell'ambito del rapporto con la Società;
• Fornitori, partner commerciali e terze parti che operano o hanno operato per conto della Società;
• Altri soggetti che, nell'ambito di relazioni professionali o commerciali, abbiano acquisito conoscenza di potenziali illeciti.

3.3 Condizioni per la protezione del segnalante

Le tutele previste dalla presente Procedura si applicano ai segnalanti che effettuano una segnalazione a condizione che, al momento della stessa:

• abbiano fondati motivi per ritenere che le informazioni segnalate siano veritiere;
• le informazioni riguardino un illecito rilevante ai sensi della normativa applicabile;
• la segnalazione sia effettuata in buona fede e senza abuso dello strumento.

Non sono coperte dalle tutele le segnalazioni effettuate in mala fede o con grave negligenza, nonché quelle manifestamente infondate o strumentali. Nei limiti consentiti dalla normativa applicabile, tali condotte possono comportare:

• l'adozione di misure disciplinari (per i lavoratori);
• responsabilità contrattuale, civile o, nei casi previsti dalla legge, penale;
• eventuali ulteriori conseguenze previste dalla legge.

Cosa si può segnalare

Possono essere oggetto di segnalazione le violazioni — o le ragionevoli ipotesi di violazione — che costituiscano un illecito rilevante ai sensi della normativa applicabile. Rientrano in tale ambito, a titolo esemplificativo e non esaustivo:

• violazioni del diritto dell'Unione europea;
• violazioni di normative nazionali applicabili;
• carenze nei sistemi di controllo interno, gestione dei rischi e compliance;
• comportamenti illeciti, fraudolenti o non etici;
• condotte volte ad eludere obblighi legali o regolamentari.

4.1 Violazioni della normativa antiriciclaggio (AML/CFT)

Possono essere oggetto di segnalazione le violazioni, o le ragionevoli ipotesi di violazione, della normativa applicabile in materia di prevenzione del riciclaggio di denaro e del finanziamento del terrorismo, ove applicabile alla Società. A titolo esemplificativo, rientrano in tale ambito:

• mancata o inadeguata identificazione e verifica dell'identità dei clienti (Customer Due Diligence);
• carenze nell'applicazione delle procedure interne di conoscenza del cliente (KYC/KYB);
• omessa o inadeguata segnalazione di operazioni sospette alle autorità competenti;
• mancata conservazione o registrazione delle informazioni rilevanti ai fini AML/CFT;
• carenze nei sistemi di controllo interno finalizzati alla prevenzione del riciclaggio e del finanziamento del terrorismo;
• comportamenti volti ad eludere le normative o le procedure interne.

4.2 Violazioni in materia di protezione dei dati personali

Ai sensi del Regolamento (UE) 2016/679, possono essere oggetto di segnalazione le violazioni, o le ragionevoli ipotesi di violazione, della normativa in materia di protezione dei dati personali, tra cui:

• trattamenti di dati personali effettuati in assenza di una base giuridica valida o in violazione dei principi di liceità, correttezza, trasparenza e minimizzazione dei dati;
• mancata adozione di misure tecniche e organizzative adeguate a garantire la sicurezza dei dati personali, inclusi accessi non autorizzati, perdita o divulgazione indebita di dati;
• mancata gestione degli obblighi relativi alla violazione dei dati personali (data breach), inclusa la mancata notifica all'autorità di controllo e, ove previsto, agli interessati;
• violazioni dei diritti degli interessati, tra cui diritto di accesso, rettifica, cancellazione, limitazione del trattamento, portabilità dei dati e opposizione.

4.3 Violazioni della normativa sulla resilienza operativa digitale

Ai sensi del Regolamento (UE) 2022/2554 (DORA), possono essere oggetto di segnalazione le violazioni, o le ragionevoli ipotesi di violazione, della normativa in materia di resilienza operativa digitale, tra cui:

• carenze nella gestione dei rischi relativi alle tecnologie dell'informazione e della comunicazione (ICT), inclusi sistemi, processi e controlli di sicurezza;
• gestione inadeguata degli incidenti informatici e mancata adozione delle misure di risposta e ripristino;
• mancata o incompleta segnalazione di incidenti ICT gravi alle autorità competenti, nei casi previsti dalla normativa.

4.4 Violazioni delle procedure interne

Possono essere oggetto di segnalazione le violazioni, o le ragionevoli ipotesi di violazione, delle procedure interne, delle policy aziendali e dei presidi organizzativi adottati dalla Società, in conformità alla normativa applicabile e ai principi di buona governance. A titolo esemplificativo, rientrano in tale ambito:

• mancato rispetto dei processi di gestione, controllo e monitoraggio previsti dalle procedure operative interne;
• violazioni delle politiche di sicurezza informatica e dei presidi di protezione dei sistemi e dei dati aziendali;
• comportamenti non conformi al Codice Etico aziendale e ai principi di integrità, correttezza e trasparenza della Società;
• carenze o elusioni dei sistemi di controllo interno e dei presidi di compliance;
• condotte non conformi agli obblighi organizzativi e di governance previsti dalla normativa applicabile.

4.5 Cosa NON si può segnalare tramite questo canale

Non rientrano nell'ambito del presente sistema di whistleblowing le segnalazioni che non riguardano illeciti rilevanti ai sensi della normativa applicabile. A titolo esemplificativo, non rientrano nel presente sistema:

• reclami personali relativi al proprio rapporto di lavoro o a rapporti commerciali, che devono essere gestiti tramite i canali ordinari messi a disposizione dalla Società;
• divergenze di opinione su scelte gestionali o strategiche, in assenza di elementi che possano configurare una violazione o un illecito;
• segnalazioni effettuate in mala fede o con abuso dello strumento di segnalazione;
• informazioni già di pubblico dominio, salvo che siano collegate a possibili illeciti rilevanti;
• segnalazioni relative a operazioni sospette di riciclaggio o finanziamento del terrorismo, che devono essere trasmesse attraverso i canali AML dedicati, salvo nei casi in cui riguardino carenze o violazioni dei relativi presidi di controllo;
• reclami relativi a prodotti o servizi, da gestire attraverso la procedura reclami della Società.

Come effettuare una segnalazione — i tre canali

La Società mette a disposizione dei segnalanti un sistema di segnalazione conforme alla normativa vigente, progettato per garantire riservatezza, sicurezza e tutela del segnalante. Le segnalazioni possono essere effettuate anche in forma anonima. Tuttavia, l'indicazione di un recapito personale può facilitare eventuali richieste di chiarimento o aggiornamenti.

La Società rilascia un avviso di ricevimento della segnalazione entro 7 giorni, in linea con quanto previsto dalla normativa applicabile in materia di Whistleblowing.

5.1 Canale interno ufficiale — Piattaforma MITWhistle

Il sistema è erogato da un provider esterno specializzato. Il trattamento dei dati personali avviene nel rispetto della normativa vigente, e i ruoli privacy sono definiti in conformità al GDPR.

5.2 Canale alternativo residuale

In via subordinata e solo qualora non sia possibile utilizzare la piattaforma, è possibile:

• richiedere un colloquio diretto e riservato con il Compliance Officer;
• inviare una segnalazione tramite comunicazione riservata scritta.

Tali canali garantiscono comunque la riservatezza del segnalante e sono gestiti secondo le medesime tutele previste dalla normativa.

5.3 Canale esterno — Autorità competenti

In presenza delle condizioni previste dalla normativa applicabile, il segnalante può effettuare una segnalazione tramite canali esterni rivolgendosi alle autorità competenti designate ai sensi del Protected Disclosures Act 2014 (as amended) (cd. "Prescribed Persons"), in relazione alla natura della violazione segnalata. A titolo esemplificativo, tali autorità possono includere:

• Central Bank of Ireland, per violazioni in ambito finanziario;
• Data Protection Commission, per violazioni in materia di protezione dei dati personali;
• Workplace Relations Commission, per questioni in ambito lavorativo.

Il ricorso al canale esterno è consentito, tra l'altro, nei seguenti casi:

• il canale interno non è attivo o non è conforme alla normativa applicabile;
• la segnalazione interna è già stata effettuata e non ha avuto adeguato seguito;
• sussistono fondati motivi di ritenere che l'utilizzo del canale interno possa esporre il segnalante a rischio di ritorsione;
• sussiste un pericolo imminente o manifesto per l'interesse pubblico.

Resta altresì ferma, nei casi e alle condizioni previste dalla normativa applicabile, la possibilità di effettuare una divulgazione pubblica delle informazioni.

5.4 Divulgazione pubblica

Nei casi previsti dalla normativa, il segnalante può effettuare una divulgazione pubblica delle informazioni, ad esempio tramite stampa o media, qualora:

• non sia stato dato seguito a una segnalazione interna o esterna;
• sussista un pericolo imminente o evidente per il pubblico interesse;
• vi sia fondato motivo di ritenere che la segnalazione non riceverà adeguato riscontro.

Contenuto della segnalazione

Per consentire una gestione efficace della segnalazione, è utile — ma non obbligatorio — fornire le seguenti informazioni:

• descrizione dei fatti segnalati (cosa è accaduto, in quale contesto e con quale eventuale frequenza);
• date o periodo in cui si sono verificati i fatti;
• luogo in cui si sono verificati i fatti;
• soggetti coinvolti, se noti;
• eventuale documentazione a supporto (email, contratti, screenshot, log di sistema, altro);
• modalità con cui si è venuti a conoscenza dei fatti.

Non è necessario che il segnalante abbia la certezza assoluta che la violazione si sia verificata: è sufficiente avere fondati motivi per ritenere che i fatti segnalati corrispondano al vero. Ai sensi della normativa applicabile, la tutela del segnalante si applica anche qualora le verifiche successive dimostrino che i fatti segnalati non erano fondati, purché la segnalazione sia stata effettuata in buona fede e sulla base di elementi ragionevoli.

Misure di protezione del segnalante

La Società garantisce la massima protezione ai segnalanti in buona fede, in conformità alla normativa applicabile.

7.1 Riservatezza dell'identità

L'identità del segnalante è trattata con la massima riservatezza. Essa è conosciuta esclusivamente dai soggetti autorizzati alla gestione della segnalazione e non viene divulgata a terzi senza il consenso esplicito del segnalante. Tutti i report e i documenti relativi alla segnalazione sono predisposti in modo da non contenere riferimenti che possano permettere l'identificazione del segnalante.

L'identità del segnalante può essere rivelata esclusivamente nei seguenti casi previsti dalla legge:

• obbligo di legge, su richiesta dell'Autorità Giudiziaria nell'ambito di indagini penali;
• esigenze di difesa dell'incolpato, nei limiti e secondo le garanzie previste dall'autorità giudiziaria;
• previo consenso esplicito del segnalante.

7.2 Divieto assoluto di ritorsioni

La Società vieta qualsiasi forma di ritorsione, discriminazione o comportamento pregiudizievole nei confronti del segnalante, dei suoi colleghi o dei suoi familiari, in conseguenza della segnalazione. Sono considerate ritorsioni, a titolo esemplificativo:

• licenziamento, sospensione o mancato rinnovo del contratto;
• demansionamento, trasferimenti o modifiche peggiorative delle condizioni di lavoro;
• riduzione della retribuzione o dei benefit;
• valutazioni negative non giustificate da criteri oggettivi;
• mancata promozione o avanzamento;
• atti di mobbing, isolamento o pressione indebita;
• interruzione o peggioramento del rapporto commerciale (per soggetti esterni).

Il segnalante che ritenga di aver subito una ritorsione può:

• utilizzare il canale interno di segnalazione della Società;
• rivolgersi, nei casi previsti dalla normativa applicabile, alle autorità competenti designate (c.d. prescribed persons);
• avvalersi di eventuali ulteriori strumenti di tutela previsti dalla legge, inclusa, ove applicabile, la divulgazione pubblica.

7.3 Protezione estesa

Le tutele previste dalla presente Procedura si estendono anche a:

• Facilitatori: persone che assistono il segnalante nel processo di segnalazione (legale, rappresentante sindacale);
• Colleghi e familiari del segnalante che potrebbero subire ritorsioni per connessione con la segnalazione;
• Enti controllati dal segnalante: società o enti presso cui il segnalante lavora o di cui detiene partecipazioni.

7.4 Trattamento dei dati personali del segnalante

I dati personali del segnalante sono trattati nel rispetto del Regolamento (UE) 2016/679 e della normativa nazionale applicabile, incluso il Data Protection Act 2018. Il trattamento avviene esclusivamente per finalità connesse alla gestione della segnalazione e si basa sull'adempimento di un obbligo legale ai sensi del GDPR. I dati sono conservati per il tempo strettamente necessario alla gestione della segnalazione e comunque non oltre 5 anni dalla chiusura del procedimento, salvo diversi obblighi di legge.

Per ulteriori informazioni si rimanda all'informativa privacy disponibile sul sito aziendale.

Come gestiamo le segnalazioni

La Società adotta un processo strutturato di gestione delle segnalazioni articolato in sei fasi, con tempistiche definite nel rispetto dei termini previsti dalla normativa applicabile:

Gestione dei conflitti di interesse

La Società ha previsto specifiche misure per garantire la gestione indipendente delle segnalazioni nei casi in cui possano emergere conflitti di interesse.

9.1 Segnalazione riguardante il Compliance Officer

Qualora una segnalazione riguardi il Compliance Officer, essa viene gestita tramite la piattaforma MITWhistle e assegnata direttamente al Presidente del Consiglio di Amministrazione, che ne assume la gestione istruttoria. Il Compliance Officer è escluso da qualsiasi accesso o attività relativa alla segnalazione.

9.2 Segnalazione riguardante il Consiglio di Amministrazione

Qualora la segnalazione riguardi uno o più membri del Consiglio di Amministrazione, la gestione è affidata a soggetti indipendenti dotati di adeguata autonomia, quali:

• membri indipendenti del Consiglio di Amministrazione;
• comitato di audit, ove istituito;
• ulteriori soggetti terzi indipendenti, ove necessario.

La segnalazione può essere effettuata tramite:

• piattaforma MITWhistle, selezionando l'opzione relativa a "segnalazioni con conflitto di interesse";
• oppure, nei casi previsti dalla normativa applicabile, tramite i canali esterni previsti dalla normativa irlandese, inclusi i soggetti designati (prescribed persons) ai sensi della Protected Disclosures Act 2014.

Rapporti con le autorità di vigilanza

La Società collabora pienamente con le autorità competenti in materia di whistleblowing, protezione dei dati e applicazione della normativa vigente. In conformità alla normativa applicabile, inclusa la Protected Disclosures Act 2014, il segnalante può, ove ricorrano le condizioni previste dalla legge, effettuare segnalazioni anche a soggetti esterni (c.d. prescribed persons) o alle autorità competenti.

Le principali categorie di autorità competenti possono includere, a titolo esemplificativo:

• autorità competenti designate ai sensi della normativa in materia di whistleblowing (prescribed persons);
• autorità competenti in materia di protezione dei dati personali, inclusa la Data Protection Commission irlandese;
• autorità giudiziarie o investigative competenti, nei casi previsti dalla legge;
• eventuali altre autorità di vigilanza settoriale applicabili.

La Società garantisce che l'utilizzo del canale interno non pregiudica in alcun modo il diritto del segnalante di ricorrere ai canali esterni previsti dalla normativa applicabile.

Formazione e comunicazione

La Società si impegna a garantire che tutti i soggetti destinatari della presente Procedura siano adeguatamente informati e formati sul Sistema di Whistleblowing:

• formazione obbligatoria per tutto il personale all'assunzione e con aggiornamento periodico;
• comunicazione della presente Procedura a tutti i collaboratori, consulenti e soggetti rilevanti della rete commerciale;
• pubblicazione della Procedura sul sito aziendale nella sezione dedicata;
• messa a disposizione dei canali di segnalazione.

Aggiornamenti della procedura

La presente Procedura è soggetta a revisione annuale da parte del Compliance Officer e del Consiglio di Amministrazione, ovvero al verificarsi di modifiche normative rilevanti o di eventi che ne rendano necessario l'aggiornamento. Ogni modifica è approvata dal Consiglio di Amministrazione e comunicata tempestivamente a tutto il personale. La versione aggiornata è sempre disponibile sul sito aziendale nella sezione dedicata al Whistleblowing.