Dejan Jasnic · Co-fondatore e Compliance Lead, Trusty · Oltre 20 anni di esperienza in anti-frode & compliance · Membro del consiglio direttivo dell’ACFE Swiss Chapter
La procedura whistleblowing, spesso chiamata protocollo del canale di segnalazione, è il documento interno che stabilisce come l’impresa riceve, valuta e chiude le segnalazioni. Il D.Lgs. 10 marzo 2023, n. 24 ne fissa i contenuti essenziali e le linee guida ANAC sui canali interni (delibera n. 478 del 26 novembre 2025) ne precisano molti aspetti operativi. Ecco come impostarla.
Che cos'è la procedura whistleblowing e chi la adotta?
La procedura traduce in regole interne gli obblighi degli articoli 4, 5, 12, 13 e 14 del decreto. Secondo le linee guida ANAC, l’ente disciplina il canale in un atto organizzativo o, se lo ha adottato, nel modello 231, che può rinviare a un atto separato. L’atto è approvato dall’organo di indirizzo, per esempio il consiglio di amministrazione. Il decreto richiede inoltre che il canale sia attivato sentite le rappresentanze o le organizzazioni sindacali (art. 4, comma 1). Per l’ANAC si tratta di un coinvolgimento informativo, da svolgere prima dell’approvazione e in caso di modifiche sostanziali.
Contenuti minimi della procedura whistleblowing
Una procedura completa dovrebbe disciplinare almeno:
- chi può segnalare e che cosa, secondo gli articoli 1, 2 e 3 del decreto;
- i canali: forma scritta, preferibilmente su piattaforma informatica, forma orale tramite linea telefonica o messaggistica vocale e incontro diretto su richiesta (art. 4, comma 3);
- il gestore: persona o ufficio interno autonomo e formato, oppure soggetto esterno (art. 4, comma 2), con i relativi compiti e poteri;
- i sostituti e i conflitti di interesse del gestore;
- i termini: avviso di ricevimento entro sette giorni e riscontro entro tre mesi (art. 5);
- la riservatezza dell’identità del segnalante e delle persone coinvolte (art. 12);
- la protezione dei dati: ruoli privacy, informative e valutazione d’impatto (art. 13);
- la conservazione: non oltre cinque anni dalla comunicazione dell’esito finale (art. 14);
- le sanzioni disciplinari per ritorsioni, violazioni della riservatezza e segnalazioni diffamatorie o calunniose.
Secondo le linee guida ANAC, la posta elettronica ordinaria o certificata non è di per sé adeguata a garantire la riservatezza dell’identità.
Le fasi di gestione di una segnalazione
- Ricezione: la segnalazione arriva tramite il canale; se perviene a una persona diversa dal gestore, va trasmessa entro sette giorni al soggetto competente, informandone il segnalante (art. 4, comma 6).
- Avviso di ricevimento: entro sette giorni dalla ricezione (art. 5, comma 1, lettera a).
- Valutazione preliminare: il gestore verifica che la segnalazione rientri nell’ambito del decreto e sia sufficientemente circostanziata; se necessario chiede integrazioni al segnalante (art. 5, comma 1, lettera b).
- Istruttoria: il gestore dà diligente seguito alla segnalazione, coinvolgendo le funzioni necessarie senza rivelare l’identità del segnalante (art. 5, comma 1, lettera c, e art. 12).
- Riscontro: entro tre mesi dalla data dell’avviso o, in mancanza, dalla scadenza dei sette giorni (art. 5, comma 1, lettera d). Il riscontro informa sul seguito dato o che si intende dare, per esempio l’archiviazione, l’avvio di un’indagine interna o la trasmissione alle autorità competenti.
- Chiusura e conservazione: esito, misure adottate e documentazione vengono archiviati in modo riservato per il tempo necessario e comunque non oltre cinque anni (art. 14).
Segnalazioni orali e incontri diretti
Se il canale prevede una linea telefonica registrata o un sistema di messaggistica vocale, la segnalazione, previo consenso del segnalante, è documentata con la registrazione o con una trascrizione integrale, che il segnalante può verificare, rettificare e confermare (art. 14, comma 2). Se la linea non è registrata, il gestore redige un resoconto dettagliato. L’incontro diretto richiesto dal segnalante si documenta, con il suo consenso, tramite registrazione o verbale da lui sottoscritto (art. 14, comma 4).
Conflitti di interesse e sostituto del gestore
Le linee guida ANAC chiedono che l’atto organizzativo disciplini i conflitti di interesse e individui in anticipo un sostituto del gestore. Nei gestori collegiali, il componente in conflitto deve astenersi. Se anche il sostituto è in conflitto, o se l’ente è troppo piccolo per nominarne uno, il segnalante può rivolgersi al canale esterno dell’ANAC. Per gli enti di grandi dimensioni o complessi, l’ANAC indica inoltre che il responsabile della protezione dei dati non dovrebbe coincidere con il gestore.
Diffusione, formazione e aggiornamento della procedura
Le informazioni sul canale interno, sul canale esterno dell’ANAC, sulle procedure e sui presupposti per segnalare vanno esposte nei luoghi di lavoro e pubblicate in una sezione dedicata del sito web (art. 5, comma 1, lettera e). Le linee guida ANAC raccomandano una formazione specifica e periodica per il gestore e una formazione generale per tutto il personale. Conviene rivedere la procedura dopo ogni modifica organizzativa e almeno una volta l’anno. Per redigere la policy può partire dal nostro modello di policy whistleblowing.
Una procedura whistleblowing che funziona davvero
La procedura è efficace solo se lo strumento la rende applicabile: termini monitorati, comunicazione riservata con il segnalante e documentazione completa di ogni passaggio. Con il software whistleblowing di Trusty può attivare un canale di segnalazione conforme alla direttiva UE, anche anonimo, senza progetti IT, da 49 EUR al mese.
Letture correlate: canale whistleblowing nelle aziende, DPIA per il whistleblowing e segnalazione whistleblowing.
Domande frequenti
È l'atto interno che disciplina il canale di segnalazione: chi può segnalare, attraverso quali canali, chi gestisce le segnalazioni, in quali termini e con quali garanzie di riservatezza e conservazione.
L'organo di indirizzo dell'ente, per esempio il consiglio di amministrazione, nel modello 231 o in un atto organizzativo. Il canale va attivato sentite le rappresentanze o le organizzazioni sindacali (art. 4, comma 1, D.Lgs. 24/2023).
Avviso di ricevimento entro sette giorni dalla ricezione e riscontro entro tre mesi dall'avviso o, in mancanza, dalla scadenza dei sette giorni (art. 5). Le segnalazioni ricevute da persone non competenti vanno trasmesse al gestore entro sette giorni (art. 4, comma 6).
Per il tempo necessario al trattamento e comunque non oltre cinque anni dalla data della comunicazione dell'esito finale (art. 14, comma 1).
DA 49 EUR AL MESE
Trusty Whistleblowing: un canale di segnalazione conforme alla Direttiva UE sul Whistleblowing, attivo in pochi minuti senza progetti IT. Da 49 EUR al mese, prova gratuita di 7 giorni.