Whistleblowing in azienda: quando scatta l'obbligo del canale e cosa rischia chi non si adegua

Dal 17 dicembre 2023 l'obbligo di attivare un canale interno di segnalazione per chi segnala illeciti (whistleblowing) è pienamente operativo per la generalità delle imprese italiane soggette al D.Lgs. 24/2023, il decreto che ha recepito la Direttiva UE 2019/1937. A quasi tre anni dall'entrata in vigore, molte aziende hanno attivato un canale ma non sanno se è davvero conforme: l'ANAC ha nel frattempo pubblicato nuove linee guida che chiariscono requisiti operativi prima lasciati all'interpretazione, con conseguenze dirette su chi deve adeguarsi e come.

Chi è obbligato: le soglie dimensionali

Secondo quanto pubblicato sul sito dell'ANAC, il decreto si applica ai soggetti del settore pubblico e del settore privato; con particolare riferimento a quest'ultimo settore, la normativa estende le protezioni ai segnalanti che hanno impiegato, nell'ultimo anno, la media di almeno cinquanta lavoratori subordinati o, anche sotto tale limite, agli enti che si occupano dei cd. Settori sensibili (servizi, prodotti e mercati finanziari e prevenzione del riciclaggio o del finanziamento del terrorismo, sicurezza dei trasporti e tutela dell'ambiente) e a quelli adottano modelli di organizzazione e gestione ai sensi del decreto legislativo 231/2001.

In sintesi, l'obbligo riguarda:

Attenzione al calcolo: va conteggiata la media dei dodici mesi precedenti, non l'organico attuale, e nei gruppi societari ogni società con obbligo autonomo deve mantenere un proprio canale interno, eventualmente inserito in una piattaforma comune ma con sottocanali segregati per garantire che ciascun gestore tratti solo le segnalazioni della propria società.

Requisiti di riservatezza del canale

Il principio cardine del sistema è la riservatezza. Le Linee Guida ANAC n. 1/2025, adottate con delibera n. 478 del 26 novembre 2025, hanno chiarito che email ordinaria e PEC non sono canali idonei per le segnalazioni whistleblowing: questi strumenti non garantiscono un livello adeguato di riservatezza dell'identità del segnalante. Il motivo tecnico è che i sistemi di gestione della posta elettronica conservano al loro interno dati che rendono possibile risalire al segnalante, anche indirettamente.

Per le segnalazioni scritte lo strumento indicato come preferibile è la piattaforma informatica dedicata, perché consentono di garantire elevati standard di sicurezza, la cifratura dei dati e una comunicazione riservata con il segnalante. Solo come extrema ratio, per gli enti che non dispongono di strumenti digitali, le linee guida ammettono un sistema cartaceo basato su una "tripla busta" che separa i dati identificativi dal contenuto della segnalazione. Per le segnalazioni orali (telefono, messaggi vocali, incontri diretti) è richiesta comunque la documentazione del colloquio e la possibilità per il segnalante di verificarne il contenuto.

Le aziende con meno di 250 dipendenti e gli enti pubblici minori possono condividere la gestione di un unico canale, a condizione che siano garantiti tutti i requisiti di riservatezza richiesti dalla norma, come precisato dalle linee guida.

La documentazione delle segnalazioni, inclusa quella relativa all'istruttoria, va cancellata al più tardi decorsi cinque anni dalla comunicazione dell'esito finale al segnalante.

Il gestore delle segnalazioni

L'articolo 4, comma 2, del D.Lgs. 24/2023 impone di affidare la gestione del canale a una persona o un ufficio interno autonomo e dedicato, dotato di specifica formazione, oppure a un soggetto esterno con le stesse caratteristiche di autonomia e preparazione. Le linee guida ANAC insistono sul requisito dell'autonomia, intesa come imparzialità, indipendenza operativa e assenza di conflitti di interesse, e chiariscono che il gestore è l'unico soggetto legittimato a ricevere, esaminare e trattare le segnalazioni all'interno dell'ente: se una segnalazione arriva per errore a qualcun altro, va trasmessa al gestore entro sette giorni, nel rispetto della riservatezza.

Il gestore deve ricevere formazione specifica su normativa whistleblowing, GDPR, conflitti di interesse e principi di comportamento (riservatezza, ascolto attivo, collaborazione). Se il gestore si trova in conflitto di interesse rispetto a una segnalazione, l'atto organizzativo dell'ente deve prevedere in anticipo un sostituto; negli enti molto piccoli, dove non è possibile individuarne uno, il segnalante può rivolgersi direttamente ad ANAC.

Le sanzioni ANAC

L'Autorità Nazionale Anticorruzione, in base all'articolo 21 del D.Lgs. 24/2023, dispone di poteri sanzionatori propri. Secondo quanto riportato dall'ANAC stessa, le sanzioni applicabili sono le seguenti:

Vale la pena sottolineare, come segnala la dottrina di settore, che l'elenco delle condotte sanzionabili è più ampio di come viene normalmente percepito: non sanziona solo chi il canale non lo ha: sanziona anche chi lo ha, ma con procedure non conformi, e chi lo ha ma non istruisce le segnalazioni che arrivano. Un canale attivato ma inerte, che non dà seguito alle segnalazioni ricevute, espone comunque l'organizzazione alla sanzione.

Come previsto in generale dalla legge 689/1981 per le sanzioni amministrative, a rispondere è l'organo di indirizzo dell'organizzazione, salva la possibilità di rivalersi sui singoli responsabili della violazione.

Il rapporto con il Modello 231

Per le imprese che hanno adottato un Modello di organizzazione e gestione ai sensi del D.Lgs. 231/2001, l'integrazione con la disciplina whistleblowing non è facoltativa: un Modello privo di un sistema di segnalazione conforme al D.Lgs. 24/2023 rischia di essere considerato non idoneo ai fini dell'esonero da responsabilità dell'ente. Le linee guida ANAC raccomandano, in questi casi, l'adozione di un canale unico idoneo a ricevere sia le segnalazioni rilevanti ai fini 231 sia quelle whistleblowing, per evitare duplicazioni e incertezze tra i potenziali segnalanti. L'aggiornamento del Modello deve prevedere l'esplicitazione del divieto di ritorsione e l'adeguamento del sistema disciplinare interno.

Le novità delle linee guida 2025

Il quadro regolatorio si è completato di recente: oltre alla delibera n. 478/2025 sui canali interni, l'ANAC ha modificato con la delibera n. 479 del 26 novembre 2025 anche le linee guida sul canale esterno (originariamente delibera n. 311 del 12 luglio 2023), per allineare le due discipline. Le aziende che avevano impostato la propria procedura nel 2023 e non l'hanno più aggiornata dovrebbero verificarne la conformità alle nuove indicazioni: una procedura adottata e mai rivista rientra proprio nella fattispecie che la norma descrive come non conforme, e quindi sanzionabile da ANAC.