Il D.Lgs. 24/2023 è in vigore da oltre due anni, ma una parte significativa delle aziende italiane non ha ancora attivato un canale interno di segnalazione conforme. Non sempre per disattenzione: spesso perché non è chiaro se l’obbligo si applica alla propria realtà, cosa richiede concretamente la norma e quali rischi comporta non adeguarsi. Se la tua azienda supera determinate soglie dimensionali, gli obblighi di whistleblowing aziendale ti riguardano direttamente, indipendentemente dal settore in cui operi.
Chi è obbligato ad attivare un canale di whistleblowing
Nel settore privato, il D.Lgs. 24/2023 impone l’adozione di un canale interno di segnalazione a tutte le aziende che, nell’ultimo anno, hanno impiegato mediamente cinquanta o più lavoratori. La soglia dimensionale è il criterio principale, ma non l’unico.
Vi sono casi in cui l’obbligo scatta indipendentemente dalla dimensione: le imprese che operano in settori regolati come i servizi finanziari, la prevenzione del riciclaggio o la sicurezza dei trasporti sono soggette alla normativa a prescindere dal numero di dipendenti. Per il settore pubblico, invece, l’obbligo è generalizzato e si applica a tutte le pubbliche amministrazioni senza eccezioni.
Il punto di partenza per qualsiasi organizzazione è quindi verificare due parametri: la media dei lavoratori impiegati nell’anno precedente e il settore di appartenenza. In presenza di entrambe le condizioni, l’adeguamento non è facoltativo.
Cosa prevede concretamente la normativa
Attivare un canale di segnalazione non è sufficiente se non rispetta i requisiti che la norma definisce in modo puntuale.
Il D.Lgs. 24/2023 richiede che il canale garantisca la riservatezza dell’identità del segnalante, delle persone coinvolte e del contenuto delle comunicazioni. Questa riservatezza non è una preferenza organizzativa: è un obbligo di legge, e la sua violazione espone l’azienda a conseguenze specifiche.
La norma stabilisce anche tempi vincolanti: l’azienda deve accusare ricevuta della segnalazione entro sette giorni dalla ricezione e fornire un riscontro al segnalante entro tre mesi. Il canale interno deve inoltre essere distinto e separato da qualsiasi altro strumento di comunicazione aziendale ordinaria.
Le linee guida emanate da ANAC a fine 2025 hanno chiarito alcuni aspetti interpretativi rilevanti, in particolare riguardo alla figura del gestore delle segnalazioni e alle modalità con cui deve essere garantita l’indipendenza del processo interno rispetto alla catena gerarchica aziendale.
Quali rischi corre chi non si adegua
Le conseguenze del mancato adeguamento si articolano su più livelli.
Sul piano sanzionatorio, ANAC ha il potere di comminare sanzioni amministrative pecuniarie nei confronti delle organizzazioni che non attivano il canale, che adottano sistemi non conformi o che violano gli obblighi di riservatezza. Le sanzioni si applicano anche in caso di comportamenti ritorsivi nei confronti dei segnalanti: la protezione di chi effettua una segnalazione è uno dei pilastri della direttiva europea recepita dal decreto.
Sul piano della responsabilità civile, l’azienda che non tutela adeguatamente il segnalante può essere chiamata a rispondere dei danni subiti da quest’ultimo come conseguenza diretta della mancata protezione.
C’è poi un rischio meno quantificabile ma non meno rilevante: un sistema di segnalazione assente o non funzionante non intercetta comportamenti illeciti interni prima che si trasformino in problemi concreti. Il canale non è quindi soltanto un adempimento formale, ma anche uno strumento di presidio organizzativo.
Come scegliere uno strumento di segnalazione conforme
Non tutti gli strumenti disponibili sul mercato soddisfano i requisiti che la norma pone. Scegliere una soluzione inadeguata, anche in buona fede, non esonera dall’obbligo di conformità.
Un canale conforme deve garantire almeno quattro condizioni: la crittografia delle comunicazioni, l’impossibilità tecnica di risalire all’identità del segnalante senza il suo consenso esplicito, la tracciabilità di tutte le fasi di gestione della segnalazione e la conformità al GDPR per il trattamento dei dati personali coinvolti.
Sul piano organizzativo, è utile che il sistema permetta di associare diverse tipologie di violazione a responsabili specifici, in modo che ogni segnalazione raggiunga direttamente il soggetto competente. La possibilità di comunicare con il segnalante in modo riservato, anche quando questi ha scelto di restare anonimo, è un requisito ulteriore che le linee guida ANAC considerano rilevante.
Per chi vuole approfondire le funzionalità che uno strumento conforme dovrebbe offrire, il team Naviger mette a disposizione la soluzione in cloud My Whistleblowing di Zucchetti, sviluppata per rispondere a questi requisiti operativi e normativi.
FAQ
Cos’è il whistleblowing aziendale e quando è obbligatorio?
Il whistleblowing aziendale è il sistema attraverso cui dipendenti e collaboratori possono segnalare comportamenti illeciti o irregolari in modo riservato. Il D.Lgs. 24/2023 rende obbligatoria l’adozione di un canale interno conforme per le aziende private con cinquanta o più dipendenti e per tutte le pubbliche amministrazioni.
Cosa deve garantire un canale di whistleblowing per essere conforme al D.Lgs. 24/2023?
Un canale conforme deve assicurare la riservatezza dell’identità del segnalante, la crittografia delle comunicazioni, la gestione tracciabile dell’intero processo e il rispetto dei termini previsti dalla norma: ricevuta entro sette giorni e riscontro entro tre mesi. La conformità al GDPR per il trattamento dei dati è un requisito parallelo e obbligatorio.
Quali conseguenze rischia un’azienda che non attiva il canale di segnalazione?
Le aziende che non si adeguano rischiano sanzioni amministrative da parte di ANAC, responsabilità civile in caso di mancata protezione del segnalante e l’esposizione a illeciti interni non intercettati. La norma prevede inoltre sanzioni specifiche per comportamenti ritorsivi nei confronti di chi effettua una segnalazione.
Gli obblighi di whistleblowing aziendale non riguardano solo le grandi imprese. Molte realtà italiane rientrano già nelle soglie previste dal D.Lgs. 24/2023 e non dispongono ancora di un canale conforme. Adeguarsi non è un esercizio formale: è una scelta che riduce l’esposizione al rischio e rafforza la governance interna.
Il team Naviger può aiutarti a valutare la soluzione più adatta alla struttura della tua organizzazione.
