Premessa
Il whistleblowing rappresenta oggi uno degli strumenti più importanti attraverso i quali le imprese possono individuare tempestivamente comportamenti illeciti, prevenire violazioni normative e rafforzare i propri sistemi di controllo interno.
Con il D. Lgs. 10 marzo 2023, n. 24, il legislatore ha introdotto una disciplina organica della protezione delle persone che segnalano violazioni delle disposizioni nazionali ed europee, imponendo a determinate categorie di soggetti pubblici e privati l’istituzione di appositi canali di segnalazione.
Per le imprese, tuttavia, l’adeguamento alla normativa non si esaurisce nell’attivazione di una piattaforma informatica o nella predisposizione di una procedura aziendale. Richiede scelte organizzative, misure di riservatezza, l’individuazione di un gestore competente e autonomo, la definizione delle modalità di trattamento delle segnalazioni e, ove presente, il coordinamento con il Modello di organizzazione, gestione e controllo previsto dal D. Lgs. 231/2001.
Le indicazioni contenute nella Guida operativa di Confindustria[1], anche alla luce delle Linee guida ANAC[2], offrono un riferimento per tradurre gli obblighi normativi in soluzioni concretamente applicabili all’organizzazione aziendale.
Quali imprese sono tenute ad applicare la disciplina whistleblowing?
L’ambito di applicazione della normativa varia in relazione alle dimensioni dell’impresa, al settore di attività e all’eventuale adozione di un Modello organizzativo 231.
Nel settore privato, la disciplina interessa, in particolare:
- i soggetti che hanno impiegato, nell’ultimo anno, una media di almeno 50 lavoratori subordinati;
- i soggetti operanti in determinati settori disciplinati dalla normativa europea, anche al di sotto di tale soglia;
- i soggetti che rientrano nell’ambito del D. Lgs. 231/2001 e adottano un Modello organizzativo, anche con meno di 50 lavoratori.
È importante precisare che non tutte le imprese sono assoggettate agli stessi obblighi e non tutte le violazioni rientrano indistintamente nell’ambito delle segnalazioni tutelate.
In particolare, per gli enti con Modello 231 che non raggiungono la soglia dimensionale prevista dalla legge e non operano nei settori specificamente individuati, la disciplina riguarda le segnalazioni relative alle condotte illecite rilevanti ai sensi del D. Lgs. 231/2001 e alle violazioni del Modello organizzativo.
Per le altre imprese rientranti nell’ambito applicativo possono assumere rilievo anche le violazioni della normativa europea individuate dal decreto, tra cui quelle concernenti appalti pubblici, tutela dell’ambiente, sicurezza dei prodotti, protezione dei dati personali e sicurezza delle reti e dei sistemi informativi.
Restano invece escluse, in linea generale, le contestazioni di carattere esclusivamente personale relative al rapporto individuale di lavoro.
La corretta individuazione delle violazioni segnalabili costituisce, pertanto, il primo passaggio per la predisposizione di una procedura whistleblowing conforme.
Il segnalante e il segnalato: due posizioni da tutelare
La disciplina whistleblowing riconosce una protezione che non riguarda esclusivamente i lavoratori dipendenti.
Possono rientrare tra i soggetti legittimati a segnalare, nei casi previsti dalla legge, anche lavoratori autonomi, collaboratori, consulenti, volontari, tirocinanti, soci e persone che esercitano funzioni di amministrazione, direzione, controllo o vigilanza.
La tutela può operare durante il rapporto di lavoro, nel periodo di prova, nella fase precontrattuale e anche successivamente alla cessazione del rapporto, purché le informazioni siano state acquisite nel contesto lavorativo rilevante.
La riservatezza dell’identità del segnalante e il divieto di ritorsione costituiscono due garanzie fondamentali del sistema.
Il segnalante deve tuttavia avere fondati motivi per ritenere vere le informazioni comunicate e rispettare le condizioni previste dal decreto. La protezione non equivale a un’esenzione generalizzata da responsabilità per segnalazioni consapevolmente false.
Accanto alle garanzie riconosciute al segnalante, la normativa tutela anche la persona alla quale viene attribuita la violazione.
Il soggetto segnalato ha diritto alla riservatezza della propria identità, alla protezione dei dati personali e a una gestione imparziale delle verifiche. La segnalazione, infatti, non costituisce di per sé prova della responsabilità della persona coinvolta.
Ne deriva l’esigenza di organizzare un’istruttoria che salvaguardi, contemporaneamente, l’efficacia degli accertamenti e i diritti delle persone interessate.
Il canale interno: non basta istituirlo, deve essere adeguato
L’art. 4 del D. Lgs. 24/2023 richiede che il canale interno garantisca la riservatezza dell’identità del segnalante, delle persone coinvolte e menzionate, del contenuto della segnalazione e della relativa documentazione.
La riservatezza deve essere assicurata attraverso misure organizzative e tecniche adeguate, con accesso alle informazioni limitato ai soggetti autorizzati alla gestione.
Un aspetto particolarmente rilevante riguarda le modalità di presentazione delle segnalazioni.
L’impresa deve mettere a disposizione sia una modalità scritta sia una modalità orale. La scelta tra queste forme compete al segnalante.
Per le segnalazioni scritte è possibile utilizzare una piattaforma informatica oppure strumenti analogici, come la posta cartacea, purché siano rispettati i requisiti di riservatezza.
La Guida operativa Confindustria illustra, ad esempio, un sistema basato sull’utilizzo di tre buste chiuse: una contenente i dati identificativi del segnalante, una dedicata alla descrizione dei fatti e una terza destinata a contenere le prime due, con indicazione riservata al gestore.
Particolare cautela richiede invece l’utilizzo della posta elettronica ordinaria e della PEC.
Tali strumenti non sono, di per sé, idonei a garantire la riservatezza dell’identità del segnalante, anche a causa della possibile conservazione dei dati di tracciamento delle comunicazioni.
Le più recenti indicazioni ANAC considerano la possibilità di specifiche contromisure tecniche, adeguatamente motivate e valutate sotto il profilo della protezione dei dati personali. Confindustria, tuttavia, continua a raccomandare di evitare il ricorso alla posta elettronica come strumento ordinario di segnalazione.
Il canale orale: telefono, messaggistica vocale e incontro diretto
Una delle questioni operative che le imprese devono affrontare riguarda l’organizzazione del canale di segnalazione in forma orale.
Il D. Lgs. 24/2023 prevede la possibilità di utilizzare linee telefoniche o sistemi di messaggistica vocale.
Le modalità di documentazione della segnalazione dipendono dalle caratteristiche dello strumento utilizzato.
Quando il sistema consente la registrazione, questa può avvenire previo consenso del segnalante, con conservazione su un dispositivo idoneo.
Quando, invece, la linea telefonica non è registrata, la segnalazione deve essere documentata mediante un resoconto dettagliato, che il segnalante può verificare, rettificare e confermare secondo le modalità previste dalla normativa.
Un’ulteriore possibilità è rappresentata dall’incontro diretto con il gestore della segnalazione, da organizzare su richiesta del segnalante entro un termine ragionevole.
La Guida Confindustria indica, a titolo esemplificativo, un intervallo di 10–15 giorni, che non costituisce un termine legale fisso.
L’incontro deve svolgersi in un ambiente idoneo a garantire la riservatezza e può essere documentato mediante registrazione, con il consenso dell’interessato, oppure attraverso un verbale sottoposto alla sua verifica e sottoscrizione.
Questi adempimenti devono essere disciplinati preventivamente, soprattutto quando la gestione del canale viene affidata a un soggetto esterno all’impresa.
L’istituzione del canale e l’informativa alle organizzazioni sindacali
L’attivazione del canale interno richiede una scelta organizzativa formalizzata.
Secondo le indicazioni ANAC richiamate dalla Guida Confindustria, l’organo amministrativo deve adottare un apposito atto che individui le modalità di segnalazione, il soggetto incaricato della gestione e le principali regole procedurali.
L’atto organizzativo deve disciplinare anche la gestione dei conflitti di interessi, la conservazione della documentazione e le misure necessarie a garantire la riservatezza.
Un passaggio che merita particolare attenzione è quello previsto dall’art. 4, comma 1, del D. Lgs. 24/2023, secondo cui l’attivazione dei canali interni deve avvenire sentite le rappresentanze o le organizzazioni sindacali competenti.
Si tratta di un adempimento preventivo che non comporta l’obbligo di raggiungere un accordo con le organizzazioni sindacali, né attribuisce a queste ultime un potere di veto sulle scelte aziendali.
È tuttavia opportuno che l’impresa documenti l’avvenuta informativa, conservando le relative comunicazioni.
Quali sono le conseguenze dell’omissione dell’informativa sindacale?
Occorre distinguere l’obbligo procedurale dal regime sanzionatorio.
Il D. Lgs. 24/2023 non prevede una specifica sanzione amministrativa autonoma per la sola omissione dell’informativa sindacale.
Tale omissione può, tuttavia, assumere rilievo nella valutazione della conformità della procedura di istituzione del canale interno, anche ai fini dell’applicazione delle fattispecie sanzionatorie previste dall’art. 21 del decreto, qualora ne ricorrano i presupposti.
Non è quindi corretto affermare che qualsiasi mancata comunicazione alle organizzazioni sindacali comporti automaticamente una sanzione pecuniaria.
Chi può gestire le segnalazioni? Il ruolo dell’Organismo di Vigilanza 231
L’art. 4, comma 2, del D. Lgs. 24/2023 prevede che la gestione del canale interno sia affidata a una persona o a un ufficio interno autonomo e con personale specificamente formato, oppure a un soggetto esterno dotato degli stessi requisiti.
La scelta del gestore costituisce uno dei momenti più delicati dell’intero sistema.
Non è sufficiente individuare formalmente un responsabile: occorre verificare che il soggetto incaricato disponga di autonomia, competenze adeguate, risorse e strumenti idonei allo svolgimento delle attività.
È inoltre necessario prevenire le situazioni di conflitto di interessi, disciplinando le modalità alternative di gestione delle segnalazioni che riguardino direttamente il gestore.
L’Organismo di Vigilanza può essere nominato gestore del canale whistleblowing?
La risposta è affermativa.
La Guida Confindustria considera possibile l’affidamento della gestione delle segnalazioni all’Organismo di Vigilanza istituito ai sensi del D. Lgs. 231/2001.
Questa soluzione può risultare particolarmente interessante per le imprese che dispongono già di un Modello organizzativo, in considerazione delle competenze dell’OdV in materia di prevenzione dei reati e controllo dei presìdi aziendali.
L’affidamento non deve, tuttavia, essere considerato automatico.
È necessario verificare che l’Organismo possieda i requisiti richiesti dalla disciplina whistleblowing e sia concretamente in grado di svolgere le ulteriori attività.
L’incarico deve essere formalizzato, con una chiara definizione dei compiti e delle risorse necessarie.
Qualora, invece, l’impresa scelga un gestore diverso dall’OdV, assume particolare importanza la previsione di flussi informativi tra il gestore delle segnalazioni e l’Organismo di Vigilanza, nel rispetto degli obblighi di riservatezza.
La Guida Confindustria distingue, in particolare, l’informativa sulle segnalazioni rilevanti ai fini del D. Lgs. 231/2001 dagli aggiornamenti periodici sul funzionamento complessivo del sistema.
Il coordinamento tra i due soggetti deve essere disciplinato nel Modello organizzativo e nelle procedure aziendali.
Dalla ricezione della segnalazione alla conclusione dell’istruttoria
La gestione della segnalazione non può ridursi a un’attività di mera ricezione e archiviazione.
L’art. 5 del D. Lgs. 24/2023 individua precisi adempimenti a carico del gestore.
In primo luogo, deve essere rilasciato al segnalante un avviso di ricevimento entro sette giorni dalla data di ricezione della segnalazione.
Successivamente, il gestore deve valutare l’ammissibilità della segnalazione e, quando necessario, avviare le verifiche, mantenendo le interlocuzioni con il segnalante e richiedendo eventuali integrazioni.
L’attività istruttoria deve essere condotta con diligenza, imparzialità e proporzionalità, assicurando la tracciabilità delle verifiche e la riservatezza delle persone coinvolte.
Un ulteriore obbligo riguarda il riscontro al segnalante.
La normativa prevede che esso venga fornito entro tre mesi dalla data dell’avviso di ricevimento oppure, in mancanza dell’avviso, dalla scadenza del termine di sette giorni previsto per il suo rilascio.
È importante sottolineare che il termine di tre mesi non impone necessariamente la conclusione di tutte le attività istruttorie.
Come chiarito dalla Guida Confindustria, il riscontro può avere anche natura interlocutoria, qualora gli accertamenti siano ancora in corso.
In tale ipotesi, dovrà essere successivamente comunicato al segnalante anche l’esito finale dell’istruttoria.
All’esito delle verifiche, il gestore potrà procedere all’archiviazione motivata della segnalazione oppure, qualora emergano elementi di fondatezza, trasmettere le risultanze agli organi aziendali competenti.
Il gestore non è chiamato a sostituirsi agli organi competenti nell’accertamento delle responsabilità individuali o nell’adozione di eventuali provvedimenti disciplinari.
La distinzione tra gestione della segnalazione e assunzione delle decisioni conseguenti rappresenta una garanzia essenziale di corretto funzionamento del sistema.
Whistleblowing e Modello 231: l’adeguamento del sistema disciplinare
Per le imprese che hanno adottato un Modello organizzativo 231, la disciplina whistleblowing richiede un coordinamento tra i due sistemi.
L’art. 6, comma 2-bis, del D. Lgs. 231/2001 impone che il Modello contempli canali di segnalazione interna conformi alla normativa, il divieto di ritorsione e un sistema disciplinare adeguato.
Non è quindi sufficiente affiancare al Modello una procedura whistleblowing formalmente autonoma.
Occorre verificare la coerenza tra le disposizioni della procedura, il Codice Etico, il sistema disciplinare e gli ulteriori protocolli organizzativi.
In particolare, il sistema disciplinare deve prevedere misure idonee a sanzionare le violazioni della normativa whistleblowing, tra cui le condotte ritorsive, gli ostacoli alla presentazione delle segnalazioni e le violazioni degli obblighi di riservatezza.
Devono inoltre essere considerate le violazioni delle procedure di gestione e le responsabilità connesse a segnalazioni illecite, nei casi e alle condizioni stabiliti dalla legge.
L’effettività del sistema disciplinare assume rilievo non soltanto ai fini della conformità normativa, ma anche per la credibilità dell’intero sistema di prevenzione.
Le sanzioni ANAC: quali rischi per le imprese?
Il D. Lgs. 24/2023 attribuisce all’Autorità Nazionale Anticorruzione specifici poteri sanzionatori.
L’art. 21 prevede sanzioni amministrative pecuniarie da 10.000 a 50.000 euro per le condotte ritorsive, per i comportamenti diretti a ostacolare le segnalazioni e per la violazione degli obblighi di riservatezza.
La medesima fascia sanzionatoria è prevista, nei casi individuati dalla norma, quando:
- non siano stati istituiti i canali di segnalazione;
- non siano state adottate procedure per l’effettuazione e la gestione delle segnalazioni, oppure queste non risultino conformi alle prescrizioni normative;
- non siano state svolte le attività di verifica e analisi delle segnalazioni ricevute.
Il decreto contempla inoltre una sanzione amministrativa pecuniaria da 500 a 2.500 euro nei confronti del segnalante, nei casi di responsabilità accertata previsti dall’art. 16, comma 3, salvo le esclusioni stabilite dalla legge.
Occorre ricordare che l’individuazione del destinatario della sanzione dipende dalla specifica violazione e dall’accertamento delle relative responsabilità.
In questo quadro, assume particolare rilievo la distinzione tra le responsabilità dell’organo amministrativo, relative all’istituzione e all’adeguatezza organizzativa del sistema, e quelle del gestore, connesse allo svolgimento delle attività di ricezione, verifica e analisi delle segnalazioni.
La prevenzione del rischio sanzionatorio richiede, pertanto, non soltanto l’adozione formale delle procedure, ma anche la loro concreta applicazione.
Conclusioni: dall’adempimento normativo alla cultura della legalità
L’istituzione di un sistema whistleblowing conforme non dovrebbe essere interpretata dalle imprese esclusivamente come un costo organizzativo o come un obbligo imposto dalla normativa.
Un canale di segnalazione adeguatamente strutturato consente di intercettare tempestivamente situazioni potenzialmente critiche, favorire l’emersione delle irregolarità e migliorare l’efficacia dei sistemi di controllo.
Per le PMI, in particolare, la sfida consiste nell’individuare soluzioni proporzionate alla propria struttura, senza rinunciare alle garanzie di autonomia, riservatezza e tutela richieste dalla legge.
La scelta del gestore, l’adozione di procedure chiare, la formazione del personale e il coordinamento con il Modello 231 rappresentano elementi di un unico sistema organizzativo.
Il whistleblowing non è soltanto uno strumento per segnalare comportamenti illeciti: è anche un indicatore della capacità dell’impresa di ascoltare, prevenire e affrontare le proprie criticità.
Un sistema realmente efficace può contribuire a rafforzare la fiducia delle persone nell’organizzazione, ridurre i rischi e promuovere una cultura aziendale fondata sulla responsabilità e sulla legalità.
[1] Confindustria, Nuova disciplina “whistleblowing”. Guida operativa per gli enti privati, maggio 2026.
[2] Autorità Nazionale Anticorruzione, Linee guida in materia di whistleblowing sui canali interni di segnalazione, approvate con Delibera n. 478 del 26 novembre 2025.
