Con la delibera n. 478 del 26 novembre 2025 l’Autorità Nazionale Anticorruzione ha adottato le nuove Linee Guida sulla gestione del canale interno di segnalazione, affiancate dalla delibera n. 479 sulle segnalazioni esterne. Sono state pubblicate a dicembre e sono entrate in vigore senza periodo transitorio: non c’è stata una finestra per adeguarsi, e chi non l’ha fatto è già fuori tempo.
A distanza di qualche mese il quadro applicativo si è assestato — a maggio è uscito anche un vademecum operativo di Assonime — e permette di mettere a fuoco la questione che interessa davvero le imprese dotate di Modello 231: il canale di segnalazione non è un adempimento informatico, è un pezzo del sistema disciplinare. E come tale va documentato.
La posta elettronica non è più una risposta
Molte organizzazioni hanno assolto all’obbligo introdotto dal d.lgs. 24/2023 nel modo più rapido: una casella di posta dedicata, a volte una PEC, comunicata ai dipendenti come canale per le segnalazioni.
Le Linee Guida indicano ora con chiarezza la preferenza per piattaforme informatiche dedicate, riconoscendo come alternativa residuale — ammessa in assenza di piattaforma — la protocollazione con separazione fra i dati identificativi del segnalante e il contenuto della segnalazione, la cosiddetta doppia busta.
La ragione è tecnica prima che formale. Una casella di posta non separa l’identità dal contenuto, conserva traccia nei log del sistema di posta, è accessibile agli amministratori di sistema e replica il messaggio su ogni dispositivo sincronizzato. Non è che sia una soluzione debole: è una soluzione che rende strutturalmente impossibile garantire ciò che la norma impone, cioè la riservatezza dell’identità del segnalante.
Chi oggi ha ancora una casella come unico canale non ha un canale carente. Ha un canale che, se venisse verificato, sarebbe difficile difendere.
Il gestore: una funzione, non una casella di posta
Il secondo punto riguarda chi le segnalazioni le riceve e le tratta.
Le Linee Guida richiedono che il gestore possieda autonomia e indipendenza, una formazione specifica e la conoscenza dell’organizzazione in cui opera. Può essere l’Organismo di Vigilanza, l’internal audit, un comitato etico o un soggetto esterno; ed è prevista la figura del sostituto, per i casi in cui il gestore si trovi in conflitto di interessi rispetto a una segnalazione determinata.
Quest’ultimo elemento è quello che nella pratica manca più spesso. Se la segnalazione riguarda proprio la funzione che gestisce il canale — o la persona che la dirige — non esiste un modo corretto di trattarla, a meno che il sistema non abbia previsto in anticipo chi subentra. È una previsione che costa una riga di procedura e che, in sua assenza, blocca il procedimento nel momento peggiore.
Il punto che riguarda chi ha già un Modello 231
Per le organizzazioni dotate di Modello, l’aggiornamento non consiste nell’aggiungere un capitolo sul whistleblowing. Consiste in cinque interventi puntuali:
- Unicità del canale. Le violazioni del Modello e quelle rilevanti ai sensi del d.lgs. 24/2023 devono confluire nello stesso canale. Due sistemi paralleli generano segnalazioni che si perdono nel mezzo, e la domanda su quale delle due procedure applicare arriva sempre dopo.
- Divieto di ritorsione esplicito. Non basta che la ritorsione sia vietata dalla legge: il Modello deve dichiararlo, perché è la premessa della sanzione disciplinare che segue.
- Sanzioni disciplinari specifiche per le ritorsioni, per gli ostacoli — anche solo tentati — alle segnalazioni, per la violazione della riservatezza e per la mancata o scorretta gestione del canale. Un sistema disciplinare che non le prevede non è attuabile su questi comportamenti.
- Raccordo formale fra gestore e Organismo di Vigilanza, con flussi informativi periodici. Se il gestore non è l’OdV, l’OdV deve comunque sapere che il canale funziona.
- Accesso esteso. Il canale deve essere praticabile non solo dai dipendenti, ma anche da consulenti, collaboratori e fornitori. Chi vede un illecito spesso non ha un contratto di lavoro subordinato.
Cosa deve vigilare l’organismo
All’Organismo di Vigilanza le Linee Guida assegnano un compito che va oltre la presa d’atto: verificare che il canale sia stato effettivamente attivato, che le segnalazioni ricevute siano state trattate secondo la procedura, che la formazione sia stata erogata e che le procedure interne siano fra loro coerenti.
È un controllo che si scontra con un ostacolo pratico evidente: l’organismo non può leggere le segnalazioni senza compromettere la riservatezza che il sistema deve proteggere. La vigilanza va quindi costruita su dati aggregati e su indicatori di processo — quante segnalazioni sono pervenute, entro quanto tempo è stato dato riscontro, quante si sono chiuse e in che modo, se il sostituto è mai intervenuto — non sul merito dei singoli casi.
È una distinzione che va scritta nel Modello, perché altrimenti l’organismo si trova a scegliere fra non vigilare e vigilare male.
Una questione aperta: gestore e responsabile della protezione dei dati
Circola con una certa insistenza l’affermazione che nelle organizzazioni complesse il gestore delle segnalazioni e il responsabile della protezione dei dati debbano essere persone diverse.
Conviene essere precisi: il testo delle Linee Guida non affronta espressamente il punto, e la tesi dell’incompatibilità si ricava in via interpretativa. La ragione sostanziale però esiste ed è solida: il DPO deve poter valutare in modo indipendente la conformità del trattamento dei dati connesso alle segnalazioni, e non può farlo se quel trattamento lo gestisce lui. È lo stesso principio per cui il DPO non può decidere finalità e mezzi dei trattamenti che è chiamato a sorvegliare.
Nelle organizzazioni di dimensioni contenute il cumulo può risultare inevitabile, e in quel caso la scelta va motivata e messa per iscritto. La questione merita comunque una verifica diretta sul testo delle Linee Guida e sugli orientamenti dell’Autorità prima di assumere una decisione organizzativa.
Le cinque domande da porsi adesso
- Qual è oggi il canale? Se la risposta contiene le parole «indirizzo email», il primo intervento è quello.
- Chi è il gestore, e chi lo sostituisce? Entrambi i nomi devono esistere prima che arrivi la segnalazione che li mette in conflitto.
- Il sistema disciplinare prevede sanzioni per le ritorsioni e per gli ostacoli alle segnalazioni? Se non le prevede, la tutela del segnalante resta un principio senza strumento.
- Chi può accedere al canale? Verificare che consulenti, collaboratori e fornitori sappiano che possono usarlo, e come.
- L’organismo riceve un flusso periodico sul funzionamento del canale? In caso contrario, non è in condizione di vigilare su una delle aree che gli competono.
Resta un’osservazione di fondo. Un canale di segnalazione conforme sulla carta ma di cui nessuno si fida non produce segnalazioni, e un sistema che non produce segnalazioni non è un sistema che funziona: è un sistema che nessuno usa. La differenza fra i due casi non si legge nelle procedure — si legge nel numero di segnalazioni ricevute negli anni e in come sono state trattate. È il primo dato che verrebbe chiesto, se qualcuno dovesse valutare l’idoneità del Modello dopo un fatto.
Il presente contributo ha finalità informativa e riflette il quadro alla data di pubblicazione. I riferimenti alle Linee Guida richiamate vanno riscontrati sul testo integrale prima di ogni utilizzo operativo. Nulla di quanto scritto costituisce parere legale sul caso concreto: l’adeguatezza di un canale di segnalazione dipende dalla struttura e dalle dimensioni della singola organizzazione.
Fonti: ANAC, delibere n. 478 e n. 479 del 26 novembre 2025; d.lgs. 10 marzo 2023, n. 24; vademecum operativo Assonime, maggio 2026.
