Whistleblowing: obblighi aziendali, soglia dipendenti, canali e tutele

Il whistleblowing è il sistema che consente a lavoratori, collaboratori e altri soggetti legati all’organizzazione di segnalare violazioni, illeciti o comportamenti non conformi di cui siano venuti a conoscenza nel contesto lavorativo. Per le aziende, non si tratta solo di predisporre una casella e-mail o un modulo interno, ma di costruire un processo conforme, riservato, tracciabile e realmente idoneo a gestire le segnalazioni.

La disciplina italiana è oggi regolata principalmente dal D.Lgs. 10 marzo 2023, n. 24, che recepisce la Direttiva (UE) 2019/1937 e definisce obblighi, canali, tutele, divieti di ritorsione e sanzioni. L’Autorità Nazionale Anticorruzione, ANAC, ha inoltre approvato le Linee guida sui canali interni di segnalazione con delibera n. 478 del 26 novembre 2025, fornendo indicazioni operative per una gestione uniforme ed efficace.

Per le imprese, il whistleblowing è uno strumento di compliance e prevenzione. Un sistema ben progettato permette di intercettare tempestivamente condotte illecite, criticità organizzative, violazioni del Modello 231, rischi ambientali, violazioni in materia di sicurezza, frodi o altre situazioni che possono danneggiare l’integrità dell’organizzazione.

Quali aziende sono obbligate ad attivare il whistleblowing

L’obbligo di predisporre canali di segnalazione interna riguarda sia il settore pubblico sia il settore privato, ma il perimetro applicativo cambia in base alla natura del soggetto e ad alcune condizioni dimensionali o organizzative.

Nel settore privato, secondo quanto indicato da ANAC, devono attivare i canali di segnalazione gli enti che hanno impiegato, nell’ultimo anno, una media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato. Rientrano inoltre nell’obbligo gli enti che operano in specifici settori sensibili, come servizi, prodotti e mercati finanziari, prevenzione del riciclaggio o del finanziamento del terrorismo, sicurezza dei trasporti e tutela dell’ambiente, anche se non raggiungono la soglia dei cinquanta lavoratori.

Un ulteriore caso rilevante riguarda gli enti che adottano modelli di organizzazione e gestione ai sensi del D.Lgs. 231/2001. In questi casi il canale di segnalazione deve essere coordinato con il Modello 231 e con le procedure interne dell’ente, perché le segnalazioni possono riguardare anche condotte rilevanti ai fini della responsabilità amministrativa degli enti.

Per il settore pubblico, il perimetro comprende amministrazioni pubbliche, autorità indipendenti, enti pubblici economici, organismi di diritto pubblico, concessionari di pubblico servizio, società a controllo pubblico e società in house, secondo quanto previsto dal D.Lgs. 24/2023 e richiamato da ANAC.

Soglia dipendenti e casi in cui si applica l’obbligo

La soglia dei dipendenti è uno degli aspetti più importanti per le aziende private. Il riferimento è alla media dei lavoratori subordinati impiegati nell’ultimo anno, con contratti a tempo indeterminato o determinato. Non è quindi sufficiente guardare solo al numero di dipendenti presenti in un singolo giorno, ma occorre verificare correttamente la media occupazionale rilevante.

Le imprese tra 50 e 249 lavoratori sono state interessate dall’estensione dell’obbligo a partire dal 17 dicembre 2023. Per questi soggetti, la normativa e le indicazioni ANAC consentono la condivisione del canale interno e delle risorse per il ricevimento e la gestione delle segnalazioni, fermo restando l’obbligo di garantire riservatezza, riscontro al segnalante e corretta gestione della violazione segnalata.

La possibilità di condividere il canale non deve essere interpretata come una riduzione delle responsabilità. Ogni ente deve comunque disciplinare nel proprio atto organizzativo o nel proprio Modello 231 le modalità di ricezione delle segnalazioni, i compiti e i poteri del gestore e le modalità di gestione del processo.

Per le aziende sotto i 50 dipendenti è necessario verificare caso per caso se l’obbligo derivi da altri presupposti: settore di attività, applicazione della normativa europea richiamata dal decreto, adozione del Modello 231 o altri elementi specifici.

Canali di segnalazione previsti dal whistleblowing

Il sistema di whistleblowing deve prevedere canali interni idonei a garantire la riservatezza dell’identità della persona segnalante, della persona coinvolta, delle persone menzionate nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione.

Le segnalazioni devono poter essere presentate in forma scritta, anche attraverso piattaforme informatiche, oppure in forma orale. Su richiesta della persona segnalante, deve essere possibile anche un incontro diretto entro un termine ragionevole. La scelta dello strumento non è neutra: il canale deve essere sicuro, accessibile e organizzato in modo da impedire accessi non autorizzati alle informazioni.

Le Linee guida ANAC del 2025 sottolineano l’importanza di definire in un atto organizzativo o nel Modello 231 i compiti e i poteri del soggetto destinatario delle segnalazioni, le modalità di ricezione, il processo di gestione e le misure di riservatezza adottate.

Sul piano privacy, il Garante ha richiamato l’esigenza di progettare i canali in modo coerente con il GDPR, adottando misure tecniche e organizzative adeguate, accessi selettivi, protezione dei dati personali e, quando opportuno, strumenti informatici in grado di assicurare un elevato livello di sicurezza.

Come deve essere gestita una segnalazione whistleblowing

La gestione della segnalazione non può essere improvvisata. Il soggetto o l’ufficio incaricato della gestione del canale interno deve rilasciare al segnalante un avviso di ricevimento entro sette giorni dalla data di ricezione della segnalazione. Deve, inoltre, mantenere le interlocuzioni con la persona segnalante, richiedere eventuali integrazioni, dare diligente seguito alla segnalazione e fornire riscontro entro tre mesi.

Il processo operativo dovrebbe prevedere almeno cinque fasi: ricezione della segnalazione, verifica preliminare dei presupposti soggettivi e oggettivi, eventuale richiesta di chiarimenti, istruttoria interna e riscontro alla persona segnalante. Se la segnalazione risulta fondata o meritevole di approfondimento, il gestore può coinvolgere le funzioni competenti, nel rispetto della riservatezza e senza diffondere informazioni non necessarie.

ANAC evidenzia che l’ente deve disciplinare anche i casi di conflitto di interessi del gestore, l’eventuale assenza prolungata del gestore e le modalità di trasmissione delle segnalazioni ricevute da soggetti non competenti. In questi casi, se la segnalazione è chiaramente qualificabile come whistleblowing, deve essere trasmessa al soggetto interno competente entro sette giorni, con contestuale comunicazione al segnalante.

La documentazione deve essere conservata per il tempo necessario alla gestione della segnalazione e comunque nel rispetto dei limiti previsti dalla normativa. Una volta concluse le attività, le Linee guida ANAC indicano la cancellazione della segnalazione e della relativa documentazione al più tardi decorsi cinque anni, salvo specifiche esigenze connesse a procedimenti o obblighi di legge.

Tutele del segnalante e divieti di ritorsione

Le tutele del whistleblowing non riguardano solo il dipendente che segnala. Possono essere protetti anche lavoratori autonomi, collaboratori, liberi professionisti, consulenti, volontari, tirocinanti, azionisti e persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza. Le tutele possono estendersi anche a facilitatori, colleghi, familiari e soggetti collegati alla persona segnalante nei casi previsti dalla normativa.

La tutela centrale è il divieto di ritorsione. Sono vietati comportamenti, atti e omissioni, anche solo tentati o minacciati, posti in essere a causa della segnalazione e idonei a provocare un danno ingiusto. Possono rientrare tra le ritorsioni, ad esempio, licenziamento, sospensione, demansionamento, mancata promozione, mutamento di mansioni, trasferimento, misure disciplinari, discriminazioni o altre condotte penalizzanti.

La riservatezza dell’identità del segnalante è un elemento essenziale. L’identità non può essere rivelata a persone diverse da quelle competenti a ricevere o dare seguito alle segnalazioni, salvo i casi espressamente previsti dalla legge. Devono essere protetti anche l’identità della persona coinvolta e delle persone menzionate, oltre al contenuto della segnalazione.

Per beneficiare delle tutele, la persona segnalante deve avere fondati motivi di ritenere che le informazioni segnalate siano vere al momento della segnalazione e che rientrino nell’ambito oggettivo previsto dalla normativa. Le tutele non coprono segnalazioni manifestamente infondate, effettuate con dolo o colpa grave, nei casi in cui sia accertata la responsabilità del segnalante.

Sanzioni per mancato whistleblowing

Il mancato rispetto degli obblighi whistleblowing può comportare conseguenze rilevanti per l’organizzazione. L’art. 21 del D.Lgs. 24/2023 attribuisce ad ANAC il potere di applicare sanzioni amministrative pecuniarie in diverse ipotesi.

Le sanzioni possono riguardare, tra l’altro, l’assenza di canali di segnalazione, l’adozione di procedure non conformi agli artt. 4 e 5 del decreto, la mancata attività di verifica e analisi delle segnalazioni ricevute, la violazione dell’obbligo di riservatezza, l’ostacolo alla segnalazione o il tentativo di ostacolarla, nonché l’adozione di misure ritorsive.

ANAC, nelle Linee guida sui canali interni, richiama sanzioni amministrative pecuniarie da 10.000 a 50.000 euro nei casi di mancata istituzione del canale, procedure non conformi o gestione non corretta. La sanzione può essere applicata all’esito del procedimento sanzionatorio nei confronti del responsabile individuato secondo la normativa e l’organizzazione dell’ente.

Per evitare sanzioni, non basta quindi acquistare una piattaforma o pubblicare un indirizzo e-mail. L’azienda deve verificare il proprio obbligo, adottare una procedura, individuare il gestore, garantire riservatezza e protezione dei dati, formare i soggetti coinvolti e documentare l’intero processo.

Tabella operativa per le aziende

Domande frequenti

Quali aziende sono obbligate ad attivare il whistleblowing?

Sono obbligati i soggetti pubblici e, nel settore privato, gli enti che rientrano nei presupposti previsti dal D.Lgs. 24/2023, tra cui le imprese con media di almeno 50 lavoratori subordinati, gli enti in specifici settori sensibili e gli enti che adottano Modelli 231.

Qual è la soglia di dipendenti per l’obbligo di whistleblowing?

Per molte aziende private il riferimento è la media di almeno 50 lavoratori subordinati impiegati nell’ultimo anno, con contratti a tempo determinato o indeterminato. La verifica deve però considerare anche settore di attività e Modello 231.

Quali canali di segnalazione deve prevedere un sistema di whistleblowing?

Il sistema deve consentire segnalazioni scritte, anche con piattaforma informatica, segnalazioni orali e, su richiesta, incontri diretti. I canali devono garantire riservatezza, accessibilità e gestione tracciabile.

Come deve essere gestita una segnalazione whistleblowing?

Il gestore deve rilasciare l’avviso di ricevimento entro 7 giorni, mantenere interlocuzioni con il segnalante, valutare la segnalazione, svolgere l’istruttoria e fornire riscontro entro 3 mesi secondo quanto previsto dal D.Lgs. 24/2023.

Chi può fare una segnalazione whistleblowing?

Possono segnalare diversi soggetti legati all’organizzazione: lavoratori subordinati, collaboratori, autonomi, consulenti, volontari, tirocinanti, azionisti e persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza.

Quali tutele ha il segnalante?

Il segnalante ha diritto alla riservatezza della propria identità e alla protezione da ritorsioni, se la segnalazione rientra nel perimetro normativo e se al momento della segnalazione vi erano fondati motivi di ritenere vere le informazioni comunicate.

Quali sono i divieti di ritorsione nel whistleblowing?

Sono vietate misure come licenziamento, sospensione, demansionamento, trasferimento, mancata promozione, discriminazioni o altri comportamenti penalizzanti collegati alla segnalazione.

Quali sanzioni sono previste per chi non attiva il whistleblowing?

ANAC può applicare sanzioni amministrative pecuniarie, ad esempio da 10.000 a 50.000 euro nei casi di mancata attivazione del canale, procedure non conformi, violazione della riservatezza, ostacolo alla segnalazione o ritorsioni.