Molte imprese considerano il whistleblowing una pratica chiusa nel 2023: canale attivato, procedura approvata, informativa pubblicata sulla intranet. È una convinzione diffusa e, oggi, rischiosa. Alla fine del 2025 l’ANAC ha completato il quadro regolatorio con un documento che trasforma principi generali in requisiti operativi puntuali — e che rende non conformi, di fatto, buona parte dei sistemi costruiti in fretta due anni fa.
Che cosa è cambiato alla fine del 2025
Con la delibera n. 478 del 26 novembre 2025 l’ANAC ha approvato in via definitiva le Linee Guida n. 1/2025 in materia di whistleblowing sui canali interni di segnalazione, pubblicate in Gazzetta Ufficiale il 29 dicembre 2025. Contestualmente, con la delibera n. 479 della stessa data, l’Autorità ha modificato e integrato le precedenti Linee Guida del luglio 2023, dedicate al canale esterno.
I due provvedimenti si completano a vicenda: le Linee Guida del 2023 restano in vigore per il canale esterno, mentre quelle del 2025 intervengono sul canale interno — quello che il legislatore considera la via privilegiata, perché più vicina ai fatti e più efficace nella prevenzione.
Il documento nasce dalle criticità emerse nel primo biennio di applicazione del D.Lgs. 24/2023, rilevate da ANAC attraverso un monitoraggio sui soggetti pubblici e privati e da consultazioni con le associazioni di rappresentanza delle imprese. Nel maggio 2026 Confindustria ha aggiornato la propria Guida operativa per gli enti privati proprio per recepire questi chiarimenti.
Il valore giuridico delle Linee Guida
Le Linee Guida non sono una norma di legge. ANAC le qualifica come esercizio del proprio potere generale di indirizzo in materia di prevenzione della corruzione: sono soft law, e l’ente può discostarsene, ma solo motivando le ragioni della scelta.
Il punto merita attenzione, perché la conseguenza pratica è tutt’altro che morbida: un canale interno o una procedura difformi dagli orientamenti dell’Autorità, se non adeguatamente motivati, integrano una violazione sanzionabile ai sensi dell’articolo 21 del D.Lgs. 24/2023. Le Linee Guida diventano cioè il parametro con cui si misura la conformità agli articoli 4 e 5 del decreto.
Chi è obbligato, e su cosa
Il perimetro soggettivo nel settore privato non è cambiato, ma vale la pena ricordarlo perché continua a essere frainteso. Sono tenuti a istituire il canale interno:
- i soggetti privati che hanno impiegato nell’ultimo anno una media di almeno 50 lavoratori subordinati, con contratto a tempo determinato o indeterminato
- i soggetti che operano in settori regolamentati dal diritto dell’Unione — servizi, prodotti e mercati finanziari, prevenzione del riciclaggio e del finanziamento del terrorismo — indipendentemente dalla dimensione
- i soggetti che hanno adottato un Modello di organizzazione, gestione e controllo ex D.Lgs. 231/2001, anche se sotto la soglia dei 50 dipendenti
Quest’ultimo è il caso che sfugge più spesso. Una PMI con venti dipendenti che si è dotata di un Modello 231 per partecipare a gare o per richiesta di un cliente rientra a pieno titolo nel perimetro dell’obbligo, con effetto dal 17 dicembre 2023 (il 15 luglio 2023 valeva per le pubbliche amministrazioni e per le imprese oltre i 249 dipendenti).
Sul calcolo della soglia, l’orientamento riportato da Confindustria indica come riferimento la media annua degli addetti risultante dalla visura camerale al 31 dicembre dell’anno solare precedente.
Il gestore delle segnalazioni: il punto più critico
È qui che le Linee Guida incidono di più, e dove si concentrano le non conformità più frequenti.
Il gestore — interno o esterno, monocratico o collegiale — deve essere specificamente formato e autonomo, dove autonomia significa imparzialità e indipendenza sostanziali, non dichiarate. Le Linee Guida ribadiscono un principio che nella prassi viene spesso disatteso: il gestore è l’unico soggetto legittimato a ricevere e gestire le segnalazioni. All’organo di indirizzo non possono essere attribuiti poteri di supervisione o di incidenza sull’istruttoria, ma solo un monitoraggio generale sul funzionamento della procedura; il coinvolgimento avviene a valle, per le decisioni di competenza — per esempio l’avvio di un procedimento disciplinare.
Gli elementi che la procedura deve disciplinare esplicitamente:
- conflitto di interessi del gestore, con regole di astensione o sostituzione (indispensabili quando il gestore è monocratico)
- funzione di riserva in caso di assenza prolungata, intesa come superiore a sette giorni
- conferimento dei poteri tramite un contratto che metta il gestore nelle condizioni di dare effettivamente seguito alla segnalazione
- eventuale gruppo di lavoro a supporto, che deve possedere gli stessi requisiti di autonomia e formazione del gestore, essere individuato nella procedura ed essere autorizzato al trattamento dei dati
Una precisazione utile per chi ha concentrato più ruoli su una sola figura: ANAC ritiene che il Responsabile della protezione dei dati non dovrebbe tendenzialmente coincidere con il gestore delle segnalazioni, quantomeno negli enti di grandi dimensioni o a struttura complessa.
Canali e modalità: due strade obbligatorie, con vincoli nuovi
Il sistema deve garantire almeno due modalità di segnalazione, scritta e orale.
Forma scritta. Restano fortemente raccomandate le piattaforme informatiche dedicate, che devono cifrare i dati a riposo e consentire un’interlocuzione riservata con il segnalante. ANAC richiede una due diligence documentata sul fornitore della piattaforma, sotto il profilo delle misure di sicurezza e della conformità al GDPR. In alternativa resta praticabile la protocollazione riservata in doppia busta.
Sulla posta elettronica ordinaria o certificata l’Autorità mantiene una posizione restrittiva: PEO e PEC sono di per sé inadeguate a garantire la riservatezza dell’identità del segnalante, perché i sistemi di gestione della posta generano e conservano metadati idonei a rivelarla. Il loro uso è ammesso solo se accompagnato da misure di mitigazione individuate in sede di valutazione d’impatto (DPIA) ai sensi dell’articolo 35 del GDPR — per esempio la cifratura end-to-end.
Forma orale. Tre modalità alternative: linea telefonica, sistemi di messaggistica vocale, incontro diretto entro un termine ragionevole, con registrazione previo consenso o verbalizzazione sottoscritta.
Sui tempi, le Linee Guida articolano la gestione in fasi con scadenze precise: avviso di ricevimento al segnalante entro sette giorni dalla presentazione, senza alcuna valutazione di merito; riscontro sull’esito dell’istruttoria entro tre mesi; conservazione della documentazione per un massimo di cinque anni dalla comunicazione dell’esito finale. Se la segnalazione arriva a un soggetto diverso dal gestore, va trasmessa a quest’ultimo entro sette giorni.
Il coinvolgimento delle organizzazioni sindacali
L’articolo 4 del decreto impone che i canali interni siano istituiti “sentite” le rappresentanze o le organizzazioni sindacali. ANAC conferma che si tratta di un’interlocuzione preventiva a contenuto informativo e non vincolante, da svolgere prima dell’approvazione della procedura, trasmettendo — preferibilmente via PEC — un’informativa sui principali elementi del sistema.
La novità sta nella periodicità: il coinvolgimento va ripetuto anche in occasione di modifiche sostanziali e aggiornamenti della procedura. Se manca, la procedura è considerata non conforme e l’ente è sanzionabile.
Il coordinamento con il Modello 231
Per gli enti dotati di Modello 231 le Linee Guida dedicano un approfondimento specifico, ed è la parte con l’impatto organizzativo maggiore. L’adeguamento del Modello va condotto su tre profili:
- previsione del canale interno di segnalazione, o adeguamento di quello già attivo
- esplicitazione del divieto di ritorsione e del divieto di ostacolare, o tentare di ostacolare, la segnalazione
- aggiornamento del sistema disciplinare, con sanzioni verso i responsabili degli illeciti sanzionati da ANAC
Il Modello deve inoltre richiamare la procedura whistleblowing e dare conto del contratto stipulato con il gestore, dei compiti e delle responsabilità in caso di canale condiviso, dell’ipotesi in cui la segnalazione arrivi a un soggetto diverso dal gestore e del coinvolgimento delle organizzazioni sindacali.
Su questo punto ANAC orienta le organizzazioni verso un canale whistleblowing unico, che assorba anche le violazioni rilevanti ai sensi del D.Lgs. 231/2001, lasciando al canale dell’Organismo di Vigilanza i soli flussi informativi legati all’attività di vigilanza, distinti dalle segnalazioni protette.
Quanto al ruolo dell’OdV come gestore delle segnalazioni, è una soluzione che ANAC guarda con favore. Dove l’OdV non ricopra questo ruolo, la procedura deve comunque disciplinare raccordi e flussi informativi tra i due organismi, così che l’OdV resti aggiornato sull’esito delle istruttorie. È una scelta che si intreccia con la composizione dell’organismo, tema che abbiamo affrontato nell’articolo su OdV monocratico o collegiale.
L’avvertenza finale delle Linee Guida su questo punto è la più pesante: un Modello 231 non efficacemente adeguato alla disciplina whistleblowing non è in grado di esprimere la propria capacità esimente rispetto alla responsabilità amministrativa da reato dell’ente.
Sanzioni: importi e destinatari
L’articolo 21 del D.Lgs. 24/2023 articola il regime sanzionatorio su due fasce distinte, non su un’unica soglia.
La prima fascia, da 5.000 a 30.000 euro, copre le violazioni sostanziali a danno del segnalante:
- ritorsioni accertate a carico del segnalante o degli altri soggetti protetti dall’articolo 3
- segnalazione ostacolata, o tentativo di ostacolarla
- violazione dell’obbligo di riservatezza previsto dall’articolo 12
La seconda fascia, più severa, da 10.000 a 50.000 euro, riguarda le carenze organizzative dell’ente:
- canale di segnalazione non istituito, o procedure per l’effettuazione e la gestione delle segnalazioni non adottate, o adozione/implementazione non conforme alla normativa
- mancata attività di verifica e analisi delle segnalazioni ricevute
È prevista infine una sanzione da 500 a 2.500 euro a carico della persona segnalante nel caso in cui ne venga accertata la responsabilità penale per diffamazione o calunnia.
Il profilo su cui richiamare l’attenzione dei vertici è però un altro: il potere sanzionatorio viene esercitato — attraverso l’ufficio di vigilanza dedicato dell’Autorità — nei confronti dell’organo di indirizzo dell’ente, che risponde in solido con i suoi singoli componenti, salva l’azione di regresso verso i responsabili. L’inadempimento non è un problema della funzione compliance: è una responsabilità dell’organo che ha assunto le scelte organizzative.
Otto verifiche da fare adesso
Una diagnosi rapida sullo stato del proprio sistema:
- La procedura whistleblowing è stata aggiornata dopo dicembre 2025, o è ancora la versione del 2023?
- Il gestore è formalmente nominato, formato e munito di poteri tramite contratto?
- Esistono regole scritte per il conflitto di interessi del gestore e una funzione di riserva per le assenze oltre i sette giorni?
- Sono attive entrambe le modalità, scritta e orale, con le tre alternative previste per quella orale?
- Se si usa la posta elettronica come canale, esiste una DPIA che individua misure di mitigazione adeguate?
- Il Modello 231 richiama la procedura, il divieto di ritorsione e un sistema disciplinare aggiornato?
- Esiste un unico canale per le violazioni 231 e per quelle whistleblowing, o convivono due binari sovrapposti?
- È documentata la formazione periodica del gestore e l’informazione diffusa a tutto il personale?
Se anche una sola risposta è incerta, il sistema non regge una verifica dell’Autorità — e, negli enti con Modello 231, il rischio non si ferma alla sanzione amministrativa.
Parliamo del tuo sistema di whistleblowing
GB Consulting affianca le organizzazioni nell’allineamento del sistema di segnalazione alle Linee Guida ANAC n. 1/2025: revisione della procedura, assetto del gestore, coordinamento con il Modello 231 e con il sistema di gestione anticorruzione ISO 37001:2025, formazione del personale coinvolto.