- Cos'è il whistleblowing e perché riguarda sempre più aziende
- Cosa prevede il D.Lgs. 24/2023
- Chi è obbligato ad attivare il canale di segnalazione
- Come deve essere strutturato il canale di segnalazione interno
- Chi può segnalare e le tutele contro le ritorsioni
- Sanzioni per mancato adeguamento
- Come attivare correttamente il canale in azienda
- Domande frequenti
- Conclusione
11 Agosto 2026
Fino a pochi anni fa, in molte aziende italiane la gestione delle segnalazioni interne era un tema lasciato alla buona volontà organizzativa. Con il D.Lgs. 24/2023, che recepisce la Direttiva UE 2019/1937, questo è diventato un vero e proprio obbligo di legge per una platea ampia di imprese, con regole precise su come dev'essere strutturato il canale di segnalazione, chi può utilizzarlo e quali tutele spettano a chi segnala un illecito.
Molti imprenditori scoprono di rientrare tra i soggetti obbligati solo quando è ormai tardi per organizzarsi con calma. In questa guida vedremo cosa prevede la normativa, chi è tenuto ad adeguarsi, come deve essere strutturato il canale interno e quali sono le conseguenze in caso di inadempimento.
Cos'è il whistleblowing e perché riguarda sempre più aziende
Il termine whistleblowing indica la segnalazione, da parte di un soggetto interno o esterno all'organizzazione, di condotte illecite o irregolarità di cui è venuto a conoscenza nel proprio contesto lavorativo. Non si tratta di una semplice lamentela interna, ma di uno strumento specifico, con procedure e tutele dedicate, pensato per far emergere violazioni normative che altrimenti rischierebbero di restare nascoste.
Quello che prima era considerato un tema di governance volontaria, adottato soprattutto da grandi gruppi con modelli organizzativi avanzati, oggi è un obbligo di legge che riguarda anche molte PMI, semplicemente per il superamento di determinate soglie dimensionali o per l'appartenenza a specifici settori regolamentati.
Cosa prevede il D.Lgs. 24/2023
Il Decreto Legislativo 24/2023, entrato in vigore nel marzo 2023, recepisce in Italia la Direttiva UE 2019/1937 e ha ridisegnato in modo organico il sistema di tutela per chi segnala illeciti all'interno di enti pubblici e aziende private. La normativa individua tre canali attraverso cui può avvenire una segnalazione, in ordine di priorità:
- segnalazione interna, attraverso il canale attivato dall'organizzazione stessa;
- segnalazione esterna, indirizzata all'ANAC (Autorità Nazionale Anticorruzione) o ad altre autorità competenti, quando il canale interno non è disponibile o non ha funzionato correttamente;
- divulgazione pubblica, ad esempio tramite organi di stampa, riservata ai casi in cui i primi due canali risultino inadeguati o rischiosi per il segnalante.
L'obiettivo della norma è garantire che chi segnala in buona fede, con la ragionevole convinzione che le informazioni riportate siano veritiere, possa farlo senza subire conseguenze negative sul piano lavorativo.
Chi è obbligato ad attivare il canale di segnalazione
Uno degli aspetti più delicati della normativa riguarda l'individuazione dei soggetti obbligati, perché le soglie e le scadenze non sono uniformi per tutte le aziende.
Soglia dei 50 dipendenti e aziende Modello 231
L'obbligo di attivare un canale di segnalazione interno riguarda, come regola generale, i soggetti del settore privato con una media di almeno 50 lavoratori subordinati negli ultimi dodici mesi. All'interno di questa platea, la normativa distingue due fasce temporali di adeguamento previste in fase di prima applicazione: le aziende con più di 250 dipendenti erano tenute ad adeguarsi per prime, mentre quelle tra 50 e 249 dipendenti hanno avuto un termine successivo. Oggi, superata la fase transitoria, la soglia dei 50 lavoratori vale in modo uniforme per tutti i datori di lavoro privati che vi rientrano.
A questa fascia si aggiungono, indipendentemente dal numero di dipendenti, tutte le aziende che hanno adottato un Modello di Organizzazione, Gestione e Controllo ai sensi del D.Lgs. 231/2001: se un'impresa ha già un Modello 231, deve conformarsi agli obblighi whistleblowing a prescindere dalle proprie dimensioni.
Aziende sempre obbligate, a prescindere dai dipendenti
Esistono inoltre settori considerati sensibili sotto il profilo regolamentare — tra cui servizi e prodotti finanziari, prevenzione del riciclaggio e del finanziamento del terrorismo, sicurezza dei trasporti e tutela dell'ambiente — per i quali l'obbligo di attivare un canale di segnalazione scatta indipendentemente dal numero di lavoratori impiegati.
Per questo motivo, prima di dare per scontato di essere esclusi dalla normativa, ogni azienda dovrebbe verificare con attenzione non solo il proprio organico, ma anche l'eventuale presenza di un Modello 231 o l'appartenenza a uno dei settori regolamentati.
Come deve essere strutturato il canale di segnalazione interno
Non è sufficiente predisporre un semplice indirizzo email dedicato: la norma richiede requisiti tecnici e organizzativi precisi. Il canale interno deve:
- garantire la riservatezza dell'identità del segnalante, della persona coinvolta e del contenuto della segnalazione, anche attraverso strumenti di crittografia;
- essere accessibile non solo ai dipendenti, ma anche a collaboratori, fornitori, liberi professionisti, tirocinanti e altri soggetti che operano nell'ambito dell'organizzazione;
- essere gestito da personale interno appositamente formato oppure affidato a un soggetto terzo indipendente, capace di garantire riservatezza e imparzialità nella gestione;
- prevedere una conferma di ricezione della segnalazione e un riscontro entro i termini stabiliti dalla normativa;
- essere accompagnato da un'informativa chiara, resa disponibile ai potenziali segnalanti, sulle modalità di utilizzo del canale stesso.
Chi può segnalare e le tutele contro le ritorsioni
La platea dei soggetti legittimati a segnalare è molto ampia: comprende dipendenti, lavoratori autonomi, collaboratori, liberi professionisti, ma anche volontari, tirocinanti e azionisti. Un aspetto spesso frainteso riguarda le segnalazioni anonime: la normativa le equipara, sotto il profilo procedurale, alle segnalazioni ordinarie, ma non può garantire la piena protezione a chi resta anonimo, semplicemente perché non è possibile tutelare un'identità sconosciuta. Se il segnalante decide successivamente di rivelare i propri dati, può accedere a tutte le tutele previste dalla legge.
Tra queste tutele, la più rilevante è il divieto di ritorsione: l'azienda non può adottare provvedimenti discriminatori, disciplinari o penalizzanti nei confronti di chi ha segnalato in buona fede. Al contrario, chi effettua segnalazioni infondate, magari con intento calunnioso o vendicativo, può essere soggetto a sanzioni disciplinari e, nei casi più gravi, a responsabilità penale per calunnia o diffamazione.
Sanzioni per mancato adeguamento
Le aziende che non attivano un canale di segnalazione conforme, o che gestiscono le segnalazioni in violazione degli obblighi di riservatezza previsti dalla legge, sono esposte a sanzioni amministrative pecuniarie irrogate dall'ANAC, che possono raggiungere importi rilevanti. Sono sanzionabili anche condotte specifiche, come l'aver adottato ritorsioni nei confronti di un segnalante o l'aver ostacolato in qualsiasi modo l'invio di una segnalazione.
Va inoltre considerato un rischio meno immediato ma altrettanto concreto: in assenza di un canale conforme, un dipendente che non si senta tutelato può rivolgersi direttamente all'ANAC o, nei casi più estremi, ricorrere alla divulgazione pubblica — con un impatto reputazionale per l'azienda difficile da controllare a posteriori.
Come attivare correttamente il canale in azienda
Per adeguarsi alla normativa in modo solido, un'azienda dovrebbe:
- verificare con precisione se rientra tra i soggetti obbligati (soglia dipendenti, Modello 231, settore di attività);
- scegliere uno strumento tecnico adeguato, capace di garantire davvero la riservatezza richiesta dalla legge (non un semplice indirizzo email);
- individuare e formare il personale incaricato della gestione delle segnalazioni, oppure affidarsi a un soggetto terzo indipendente;
- predisporre un'informativa chiara e facilmente accessibile a tutti i potenziali segnalanti;
- coordinare, se già presente, il sistema whistleblowing con il Modello 231 esistente, aggiornandolo dove necessario.
Domande frequenti
Quali aziende sono obbligate ad attivare il canale whistleblowing?
Le aziende private con una media di almeno 50 lavoratori subordinati, tutte quelle che hanno adottato un Modello 231 indipendentemente dai dipendenti, e le aziende di settori specifici (finanziario, antiriciclaggio, trasporti, ambiente) a prescindere dal numero di lavoratori.
Un indirizzo email è sufficiente come canale di segnalazione?
No. La normativa richiede un sistema che garantisca riservatezza, tracciabilità e separazione degli accessi, requisiti che un semplice indirizzo email non è in grado di assicurare.
Le segnalazioni anonime sono tutelate?
Sono equiparate alle segnalazioni ordinarie sul piano procedurale, ma non godono della piena protezione contro le ritorsioni, perché la tutela presuppone la conoscenza dell'identità del segnalante.
Cosa rischia l'azienda che non si adegua?
Sanzioni amministrative pecuniarie irrogate dall'ANAC, oltre al rischio che il segnalante si rivolga direttamente all'autorità esterna o, nei casi più gravi, alla divulgazione pubblica.
Chi può effettuare una segnalazione whistleblowing?
Dipendenti, collaboratori, lavoratori autonomi, liberi professionisti, fornitori, volontari, tirocinanti e azionisti che vengono a conoscenza di un illecito nel contesto lavorativo.
Conclusione
Il whistleblowing non va vissuto come un ulteriore adempimento burocratico da spuntare, ma come un vero presidio di tutela per l'azienda stessa: un canale di segnalazione ben strutturato permette di far emergere problemi interni prima che si trasformino in contenziosi, ispezioni o danni reputazionali. La complessità della normativa — soglie diverse, requisiti tecnici precisi, tutele rafforzate per i segnalanti — rende poco prudente affrontare l'adeguamento in autonomia: un supporto legale specializzato consente di costruire un sistema realmente conforme, evitando sia le sanzioni sia il rischio, ancora più insidioso, di un canale solo formalmente attivo ma nella pratica inefficace.
