Il whistleblowing aziendale è il sistema che permette a dipendenti, collaboratori, fornitori e altri soggetti legati a un’organizzazione di segnalare illeciti, violazioni normative o comportamenti scorretti appresi sul lavoro, con la garanzia di anonimato e protezione da ritorsioni.
Fino a qualche anno fa era una pratica facoltativa, adottata soprattutto da grandi gruppi con un Modello Organizzativo 231. Dal 2023, con il D.Lgs. 24/2023, non è più così: per un numero crescente di aziende italiane (non solo le grandi imprese) attivare un canale di segnalazione conforme è un obbligo di legge, con sanzioni concrete per chi non si adegua.
Questa guida raccoglie tutto quello che un’azienda deve sapere: chi è obbligato, cosa prevede la normativa più recente, come deve essere fatto un canale davvero conforme e quanto costa attivarlo.
Il termine whistleblowing, letteralmente “soffiare il fischietto”, indica l’atto di segnalare un illecito di cui si è venuti a conoscenza in un contesto lavorativo.
Il whistleblower è la persona che effettua la segnalazione: non necessariamente un dipendente diretto, ma chiunque abbia un rapporto professionale con l’organizzazione; un collaboratore, consulente, fornitore, azionista, ex dipendente nei primi mesi dopo la cessazione del rapporto, o anche un candidato che ha appreso l’illecito durante un colloquio di selezione.
In Italia la materia è regolata dal D.Lgs. 24/2023, che recepisce la Direttiva (UE) 2019/1937 del Parlamento Europeo e del Consiglio, approvata per garantire una protezione uniforme dei segnalanti in tutti gli Stati membri. Il decreto disciplina due canali distinti: quello interno, che ogni ente obbligato deve attivare autonomamente, e quello esterno, gestito direttamente dall’ANAC per i casi in cui il canale interno non sia percorribile o non abbia dato esito.
Al centro della normativa c’è la tutela del segnalante: divieto di ritorsioni (ad esempio demansionamento, licenziamento, mancata promozione, discriminazioni), garanzia di riservatezza sulla sua identità, e in molti casi la possibilità di segnalare in forma anonima.
Soddisfare la normativa whistleblowing non è quindi solo un adempimento tecnico da IT: è un sistema che intreccia obblighi organizzativi, tutele legali e requisiti di sicurezza dei dati.
L’obbligo non riguarda tutte le aziende indistintamente. Il D.Lgs. 24/2023 individua i soggetti obbligati in base a soglie dimensionali e a caratteristiche specifiche del settore:
Guida approfondita su soglie, scadenze e cosa fare se l’azienda supera i 50 dipendenti solo di recente:
Whistleblowing obbligatorio – guida dedicata
La tua azienda è dotata di Modello Organizzativo 231?
Consulta questa pagina dedicata: Whistleblowing Modello 231
[pagina in aggiornamento]
Il quadro normativo non si è fermato al 2023. Il 26 novembre 2025 l’ANAC ha approvato la delibera n. 478/2025, che introduce le nuove Linee Guida n. 1/2025 sui canali interni di segnalazione, in vigore da subito, senza periodo transitorio. Un canale attivato nel 2023 potrebbe non essere più conforme oggi.
Le novità principali:
Preferenza per i canali telematici dedicati rispetto alla PEC o all’email, ritenute insufficienti a garantire da sole anonimato reale, cifratura e separazione degli accessi
Requisiti più precisi per il gestore delle segnalazioni
Separazione dei ruoli tra organo di indirizzo e gestore, obbligo di ruoli distinti tra DPO e gestore negli enti più grandi, nomina di un sostituto del gestore per assenze o conflitti di interesse
Separazione dei canali nei gruppi societari
Condivisione ammessa (con segregazione dei dati per società) solo se tutte le società del gruppo hanno una media fino a 249 dipendenti; oltre questa soglia, solo l’esternalizzazione della gestione è ammessa
Tempi procedurali definiti
Avviso di ricevimento al segnalante entro 7 giorni, riscontro entro 3 mesi dalla scadenza dei 7 giorni, oltre a nuovi obblighi come i canali di segnalazione orale e il coinvolgimento preventivo delle organizzazioni sindacali
Lo stesso giorno ANAC ha approvato anche la delibera n. 479/2025, che aggiorna le Linee Guida sul canale esterno (n. 311/2023) per allinearle alle nuove indicazioni.
Per l’analisi completa di ogni singola novità, con checklist pratica di adeguamento:
Delibera ANAC 478/2025: cosa cambia per il whistleblowing aziendale
Per essere davvero conforme al D.Lgs. 24/2023 e alle Linee Guida ANAC non basta “avere una piattaforma”: un canale di segnalazione deve garantire tre condizioni, tutte insieme e nel tempo, non solo al momento dell’attivazione.
Non è sufficiente dichiarare che le segnalazioni sono anonime: serve un'architettura tecnica che impedisca la ricostruzione dell'identità del segnalante, anche da parte dello stesso gestore del canale. Un modulo email o un form non progettato per questo scopo lascia quasi sempre tracce (indirizzo IP, metadati, log del server) che vanificano l'anonimato dichiarato.
Oltre all'anonimato tecnico, la normativa tutela chi segnala anche quando la sua identità è nota: divieto di ritorsioni, riservatezza sul contenuto della segnalazione, accesso limitato a chi ha necessità di conoscerla per la gestione del caso. Il segnalante deve inoltre poter dialogare con il gestore per fornire chiarimenti, senza che questo comprometta la sua protezione.
Ogni fase della gestione (ricezione, istruttoria, richieste di chiarimento, chiusura) deve essere documentata e conservata, con log degli accessi consultabili in caso di verifica ANAC. Un canale che "funziona" ma non lascia traccia della propria gestione non è dimostrabile come conforme, anche se nella pratica lo fosse.
Scopri Segnala Sicuro, per gestire whistleblowing e tutte le segnalazioni aziendali
È la soluzione più comune tra le aziende che si sono adeguate in fretta nel 2023: una casella email dedicata, o l’uso della PEC aziendale già esistente. Sembra una scorciatoia ragionevole (nessun costo aggiuntivo, nessuno strumento nuovo da imparare) ma non soddisfa i requisiti della normativa, per tre motivi concreti.
❌ L’anonimato non è garantito Un’email arriva con un mittente, e anche volendo inviarla da un indirizzo anonimo, il server di posta conserva log e metadati che possono ricondurre al mittente |
❌ Manca la separazione degli accessi Una casella email è quasi sempre accessibile a più persone (IT, segreteria, a volte lo stesso datore di lavoro), mentre la normativa richiede che solo il gestore designato possa consultare le segnalazioni |
❌ Manca la tracciabilità strutturata richiesta dalle Linee Guida ANAC 478/2025, che indicano esplicitamente una preferenza per i canali telematici dedicati proprio per questi motivi |
Il risultato è che molte aziende, convinte di essere in regola dal 2023, oggi non lo sono. Per capire nel dettaglio cosa rischiano:
Email e PEC non sono canali whistleblowing conformi
[pagina in aggiornamento]
Il canale di segnalazione, una volta attivato, può essere esteso ad altri ambiti che condividono gli stessi requisiti tecnici (anonimato, cifratura, tracciabilità) pur avendo basi normative diverse dal whistleblowing.
Parità di genere (UNI PdR 125:2022)
La certificazione richiede un sistema strutturato per raccogliere segnalazioni interne su disparità e discriminazioni di genere, non solo una policy dichiarata.
SA 8000
Lo standard internazionale sulla responsabilità sociale d’impresa richiede un canale per segnalazioni relative a condizioni di lavoro, diritti dei lavoratori e pratiche etiche lungo la filiera.
ESG
Le segnalazioni su temi ambientali, sociali e di governance rientrano sempre più spesso tra i requisiti richiesti da investitori, clienti corporate e bandi di certificazione.
Attivare un solo canale in grado di gestire tutti questi ambiti, invece di un fornitore diverso per ciascuno, riduce la complessità di configurazione e il numero di referenti da coordinare. È l’approccio su cui è costruita la piattaforma Segnala Sicuro.
Vuoi approfondire?
Software whistleblowing: come funziona la piattaforma
Vuoi vedere Segnala Sicuro in azione?
Non adeguarsi, o adeguarsi in modo solo apparente, espone l’azienda a rischi su tre livelli distinti.
Sanzioni ANAC da 10.000 a 50.000 euro per la mancata istituzione del canale, per procedure non conformi al D.Lgs. 24/2023 o alle Linee Guida ANAC, per la mancata adozione di una policy interna, e per le ritorsioni accertate contro chi segnala.
Violazioni GDPR: un canale che non garantisce anonimato reale, cifratura e separazione degli accessi tratta in modo non conforme i dati personali del segnalante, esponendo l’azienda anche a sanzioni del Garante Privacy, che si sommano e non sostituiscono, quelle ANAC.
Responsabilità organizzativa: per le aziende con Modello Organizzativo 231, un canale whistleblowing carente o assente indebolisce l’efficacia esimente del Modello stesso rispetto alla responsabilità amministrativa dell’ente. Vanno inoltre considerate le conseguenze indirette di una ritorsione accertata contro un segnalante: danno reputazionale, contenzioso giuslavoristico, perdita di fiducia interna.
Vuoi approfondire?
Sanzioni whistleblowing
Ritorsioni
[pagine in aggiornamento]
Il D.Lgs. 10 marzo 2023, n. 24 è il decreto che ha recepito in Italia la Direttiva (UE) 2019/1937, introducendo per la prima volta un impianto organico sul whistleblowing nel settore privato, prima disciplinato solo in modo frammentario tramite il Modello 231.
Il decreto stabilisce: i soggetti obbligati e le relative soglie; i requisiti minimi del canale interno (anonimato, riservatezza, sicurezza); i tempi procedurali (avviso di ricevimento entro 7 giorni, riscontro entro 3 mesi); le tutele per il segnalante, incluso il divieto di ritorsioni; il regime sanzionatorio, affidato all’ANAC; e il canale esterno, attivabile quando quello interno non è disponibile o non ha dato riscontro.
Le successive delibere ANAC, la n. 311/2023 sul canale esterno, e le più recenti n. 478 e 479 del 2025 sui canali interni, non modificano il decreto, ma ne forniscono l’attuazione operativa: come vanno configurati i canali, quali requisiti deve avere il gestore, come gestire i casi particolari (gruppi societari, enti di piccole dimensioni, conflitti di interesse).
Il costo di un canale whistleblowing conforme si compone di tre voci, spesso sottovalutate quando l’azienda tenta una soluzione “fatta in casa”: la piattaforma tecnica, la configurazione iniziale (policy, informativa, formazione del gestore) e la manutenzione nel tempo, compresi gli aggiornamenti normativi come quello richiesto dalla delibera 478/2025.
Con Segnala Sicuro, il costo è definito e include tutte e tre le voci:
300€/anno per il canale whistleblowing, con attivazione entro 48 ore
+200€/anno per ogni ambito aggiuntivo gestito sulla stessa piattaforma (parità di genere PdR 125, SA 8000, ESG)
Non ci sono costi di configurazione separati né canoni nascosti per gli aggiornamenti normativi.
Il confronto più rilevante non è tra “gratis” e “a pagamento”:
una casella email è gratuita ma non conforme, e le sanzioni ANAC per un canale non conforme partono da 10.000 euro (oltre trenta volte il costo annuo di un canale whistleblowing completo).
Valutare un fornitore di whistleblowing significa guardare oltre il prezzo di listino. Quattro criteri fanno davvero la differenza:
Tempi di attivazione
Un canale whistleblowing non è un progetto da mesi: se un fornitore propone tempistiche lunghe per l’attivazione, è spesso un segnale che la piattaforma richiede configurazioni complesse o personalizzazioni non standardizzate. Un’attivazione in 48 ore, come quella di Segnala Sicuro, indica una piattaforma pensata per essere operativa da subito.
Copertura di più ambiti
Whistleblowing, PdR 125, SA 8000, ESG: se la tua azienda dovrà gestire più di uno di questi ambiti, ed è sempre più spesso il caso, un’unica piattaforma evita di moltiplicare fornitori, configurazioni e referenti.
Gestione affidata a specialisti, non solo un software
Un software lasciato a sé stesso, senza un referente che ne segua l’evoluzione normativa, rischia di diventare non conforme nel tempo, come è successo a molte aziende con la delibera 478/2025. Una soluzione gestita, con aggiornamenti automatici e supporto continuativo, riduce questo rischio.
Supporto legale e DPO
La conformità tecnica non basta senza quella organizzativa: policy interna, informativa privacy, formazione del gestore. Un fornitore che coordina e affianca al lato tecnico anche la consulenza legale e di protezione dati evita all’azienda di dover coordinare più fornitori diversi per ottenere una conformità completa.
Whistleblowing, parità di genere, SA 8000, ESG: sembra più naturale affidare ognuno a chi se ne occupa già scegliendo un consulente per la certificazione PdR 125, un altro per SA 8000, magari uno strumento diverso per il reporting ESG. Ma prima di scegliere vale la pena fare una distinzione: la competenza normativa su ciascun ambito è specialistica, e resta specialistica. Il canale attraverso cui arrivano le segnalazioni no.
Anonimato reale, cifratura, tracciabilità, separazione degli accessi: questi requisiti tecnici sono identici, che la segnalazione riguardi whistleblowing o parità di genere. Attivarli quattro volte, con quattro fornitori diversi, non significa quattro volte più specializzazione ma significa quattro configurazioni da mantenere aggiornate, quattro referenti da coordinare, quattro canali che rischiano di disallinearsi ogni volta che cambia qualcosa, come è successo a molte aziende con la delibera ANAC 478/2025.
Centralizzare il canale tecnico permette di ottimizzare i costi di infrastruttura in modo concreto e reale, senza ridurre la specializzazione sui contenuti.
Con Segnala Sicuro il canale è uno solo, aggiornato una sola volta, gestito da un solo referente indipendentemente da quanti ambiti la tua azienda deve coprire.
Segnala Sicuro è la piattaforma per la gestione delle segnalazioni whistleblowing conforme al D.Lgs. 24/2023 e alle Linee Guida ANAC. Il servizio è fornito, implementato e gestito da Ambient7, Managed Service Provider IT con sede in Friuli Venezia Giulia attivo da oltre 15 anni in sicurezza informatica, continuità operativa e compliance normativa.
Segnala Sicuro è un’estensione diretta del lavoro che Ambient7 svolge ogni giorno come referente informatico per moltissime aziende attive in tutta Italia.
La piattaforma è certificata ISO 27001 e ospitata su infrastruttura europea, in linea con i requisiti GDPR su trattamento e localizzazione dei dati.
Domande frequenti su come gestire la conformità whistleblowing aziendale
Un’azienda con meno di 50 dipendenti può comunque attivare un canale whistleblowing?
Sì. Non è obbligatorio, ma è una buona pratica sempre più richiesta da clienti corporate, bandi di gara e certificazioni, oltre a rafforzare la cultura della trasparenza interna anche sotto soglia.
Il whistleblowing riguarda solo gli illeciti penali?
No. Riguarda violazioni di normative nazionali o europee, irregolarità amministrative, contabili o organizzative, comportamenti contrari ai codici etici interni — non solo reati in senso stretto.
Chi gestisce le segnalazioni può essere un consulente esterno all’azienda?
Sì. La normativa consente di affidare la gestione delle segnalazioni a un soggetto esterno qualificato, purché siano garantite le stesse tutele di indipendenza e riservatezza richieste per un gestore interno.
Cosa succede se un dipendente segnala in mala fede, sapendo che l’accusa è falsa?
Le tutele del whistleblowing non coprono le segnalazioni effettuate con dolo o colpa grave, sapendo cioè che l’informazione è falsa: in questi casi il segnalante può essere chiamato a risponderne, anche disciplinarmente.