Ashio whistleblowing software

Sep 22, 2026

Whistleblowing e Consiglio di Amministrazione: come formare i dirigenti italiani sugli obblighi del D.Lgs. 24/2023

Whistleblowing e Consiglio di Amministrazione: come formare i dirigenti italiani sugli obblighi del D.Lgs. 24/2023

In molte PMI italiane il canale di whistleblowing è già attivo, ma il Consiglio di Amministrazione non sa ancora esattamente cosa risponde in caso di ispezione ANAC. Questa guida colma quel gap, traducendo gli obblighi del D.Lgs. 24/2023 in compiti concreti che amministratori e dirigenti devono padroneggiare. Sapere come formare il CdA sul whistleblowing non è solo buona prassi: è una tutela documentale che fa la differenza tra un audit chiuso senza rilievi e una sanzione che può arrivare a 50.000 euro per le persone fisiche e a 1 milione di euro per gli enti, secondo quanto previsto dallo stesso decreto.

Indice

Punti chiave

  • Gli obblighi del D.Lgs. 24/2023 ricadono personalmente sugli amministratori: la formazione del CdA è un elemento di esonero dalla responsabilità, non un'opzione.
  • I termini chiave sono sette giorni per l'avviso di ricevimento della segnalazione e tre mesi per il riscontro finale al segnalante.
  • Un programma di formazione efficace si articola in quattro momenti: onboarding, formazione annuale, simulazioni di caso e aggiornamento normativo.
  • Le evidenze richieste in caso di ispezione sono documentabili: verbali, registri di presenza, test di comprensione e log di accesso al canale.
  • Gli errori più comuni che invalidano la formazione sono la genericità dei contenuti, l'assenza di verbali e la mancata periodicità degli aggiornamenti.

Perché il CdA italiano non può ignorare il whistleblowing dopo il D.Lgs. 24/2023

Il D.Lgs. 24/2023, che ha recepito la Direttiva UE 2019/1937, ha introdotto in Italia un regime di responsabilità personale per gli amministratori che non garantiscono un canale di segnalazione efficace e una governance documentabile della materia. La formazione del consiglio di amministrazione non è più un investimento discrezionale: è una componente strutturale della funzione di compliance, richiesta esplicitamente sia dalla normativa italiana sia dalle linee guida europee di settore.

In concreto, l'ANAC può chiedere, durante un'ispezione, di vedere i verbali delle sessioni formative, i test di comprensione somministrati e le evidenze che dimostrino la conoscenza, da parte dei singoli consiglieri, dei termini procedurali e delle responsabilità loro assegnate. Le aziende che hanno attivato il canale senza coinvolgere il CdA nella formazione si trovano nella condizione più esposta: un canale tecnicamente funzionante ma con un organo di governo che non sa rispondere alle domande dell'autorità. Per chi opera nel settore regolamentato, il quadro si fa ancora più stretto: le aspettative di vigilanza su segnalazioni nei servizi finanziari e in ambito sanitario partono da standard già elevati, e la formazione del CdA è il primo elemento che un ispettore verifica.

Quali sono gli obblighi del CdA sul whistleblowing?

Quali sono gli obblighi del CdA sul whistleblowing? Gli obblighi degli amministratori previsti dal D.Lgs. 24/2023 si articolano su tre livelli: istituzione del canale, governance del processo e vigilanza sull'efficacia. Il CdA deve innanzitutto assicurare che il canale interno sia attivo, accessibile e conforme ai requisiti tecnici della direttiva, comprensivo della possibilità di segnalazione anonima e della comunicazione bidirezionale con il segnalante. Deve poi nominare un gestore — interno o esterno — dotato di autonomia e competenze specifiche, e approvare una procedura scritta che disciplini tempi, flussi e responsabilità.

Il consiglio è inoltre tenuto a vigilare sull'effettiva applicazione della procedura, con una cadenza almeno annuale, e a garantire che le segnalazioni ricevute vengano trattate entro i termini previsti: sette giorni per l'avviso di ricevimento e tre mesi per il riscontro al segnalante, come disciplinato dagli articoli 5 e 12 del decreto. La cornice europea di riferimento per l'allineamento di questi obblighi è descritta nella pagina sulla direttiva UE sul whistleblowing, che le aziende italiane usano come checklist di coerenza.

Qual è la responsabilità personale degli amministratori?

La responsabilità degli amministratori non si esaurisce nella scelta del fornitore del canale: essa si estende alla conoscenza effettiva delle regole. In caso di segnalazione di gravi illeciti, l'amministratore che non abbia ricevuto formazione adeguata non può invocare la delega operativa per giustificare omissioni. La giurisprudenza civilistica sull'articolo 2381 del Codice civile, applicata per analogia, richiede che la delega sia accompagnata da un flusso informativo e formativo costante verso l'organo delegante. In materia di whistleblowing, questo significa che il CdA deve poter dimostrare di conoscere i termini, le tutele del segnalante e i flussi di reporting.

Quali sono le sanzioni per il mancato rispetto degli obblighi?

Le sanzioni amministrative previste dal D.Lgs. 24/2023 arrivano fino a 50.000 euro per le persone fisiche e fino a 1 milione di euro per gli enti, in caso di violazione degli obblighi di istituzione del canale o di gestione delle segnalazioni. A queste si aggiungono le sanzioni accessorie tipiche della normativa ANAC: divieto di contrarre con la pubblica amministrazione, pubblicazione del provvedimento sanzionatorio e, per le società quotate o di interesse pubblico, effetti reputazionali difficili da quantificare ma spesso più rilevanti di quelli economici.

Come costruire un programma di formazione per amministratori e dirigenti

Un programma di formazione efficace si sviluppa su un ciclo annuale strutturato in quattro fasi distinte, ciascuna con obiettivi formativi misurabili e con evidenze documentali da conservare. La prima fase è l'onboarding: ogni nuovo amministratore o dirigente neo-nominato riceve, entro trenta giorni dall'insediamento, una sessione dedicata alla struttura del canale interno, ai termini procedurali e alle responsabilità individuali. Questa fase si collega idealmente alla lettura della procedura aziendale e della pagina istituzionale sul canale interno di segnalazione, che funge da riferimento condiviso.

La seconda fase è la formazione ricorrente, da erogare almeno una volta l'anno a tutto il CdA e ai dirigenti apicali. La terza fase è costituita dalle simulazioni di caso: un caso realistico — una segnalazione di frode interna, una violazione del Modello 231, una segnalazione di molestie — viene presentato al CdA, che deve discutere in seduta formale le decisioni da assumere e verbalizzare gli esiti. La quarta fase è l'aggiornamento normativo, che recepisce tempestivamente modifiche legislative, pronunce ANAC e linee guida di settore.

Quanto deve durare la formazione annuale?

La durata consigliata per la sessione annuale è di almeno quattro ore, suddivise in due moduli: il primo dedicato al quadro normativo e alle responsabilità personali, il secondo a un caso pratico con discussione collegiale. Per i presidenti del CdA e per i componenti dei comitati controllo e rischi è opportuno prevedere un modulo aggiuntivo di due ore, focalizzato sul ruolo di vigilanza e sui flussi informativi verso l'organo.

Chi deve essere formato oltre il CdA?

La formazione deve coprire almeno quattro livelli: il CdA, i dirigenti apicali, i responsabili di funzione che gestiscono segnalazioni operative (HR, legale, compliance) e il gestore del canale. Trascurare uno di questi livelli crea un punto di rottura nella catena documentale: un ispettore che verifichi solo l'organo amministrativo troverà una formazione completa, ma potrà ugualmente contestare l'operatività del canale se il gestore non è adeguatamente formato.

Quali evidenze servono per dimostrare la formazione in caso di ispezione

Le evidenze documentali che l'ANAC si aspetta di trovare durante un'ispezione sono di tre tipi: anagrafiche, contenutistiche e probative. Le evidenze anagrafiche sono i registri di presenza firmati, con data, ora, durata e partecipanti, conservati per almeno cinque anni. Le evidenze contenutistiche sono i materiali didattici utilizzati, le slide, i riferimenti normativi citati e i casi discussi. Le evidenze probative sono i test di comprensione somministrati a fine sessione, con soglia minima di superamento (tipicamente l'80% delle risposte corrette) e con conservazione dei risultati individuali.

Un elemento spesso sottovalutato è il verbale della seduta del CdA in cui la formazione viene approvata come parte del piano annuale di compliance: questo atto documenta che l'organo consiliare non solo ha ricevuto la formazione, ma l'ha anche formalmente recepita nel proprio sistema di controllo. È prassi virtuosa allegare al verbale il calendario delle sessioni formative programmate per l'anno successivo. La pagina sulla sicurezza della piattaforma e quella sul GDPR applicato al canale sono due riferimenti che possono essere inclusi nel materiale didattico per dimostrare coerenza tra formazione e strumenti adottati.

Qual è la differenza tra formazione documentata e formazione effettiva?

La formazione documentata è quella di cui si conservano le evidenze anagrafiche e contenutistiche sopra elencate. La formazione effettiva è quella che produce un cambiamento misurabile nella conoscenza dei partecipanti, verificabile attraverso i test di comprensione e, indirettamente, attraverso la qualità delle decisioni assunte dal CdA in occasione di segnalazioni reali. Durante un'ispezione, l'ANAC valuta entrambe: un verbale perfetto ma test di comprensione con esiti scadenti viene letto come un'evidenza di formazione solo formale.

Checklist annuale di aggiornamento per il CdA

Una checklist annuale ben strutturata permette al CdA di dimostrare la continuità dell'impegno formativo e di intercettare per tempo le modifiche normative rilevanti. Si articola in sei voci, ciascuna con una cadenza definita e un responsabile designato.

  • Gennaio: revisione della procedura di whistleblowing alla luce delle eventuali novità normative dell'anno precedente, con delibera del CdA.
  • Marzo: sessione formativa annuale per CdA e dirigenti, con test di comprensione finale.
  • Giugno: simulazione di caso con discussione collegiale verbalizzata in seduta consiliare.
  • Settembre: verifica indipendente dell'efficacia del canale, anche tramite audit interno o revisione esterna.
  • Novembre: aggiornamento mirato su pronunce ANAC, linee guida di settore e modifiche organizzative interne.
  • Dicembre: rendicontazione annuale al CdA, con sintesi delle segnalazioni ricevute, dei tempi medi di gestione e delle azioni correttive adottate.

Questa cadenza non è rigida: va adattata alla dimensione dell'azienda, al settore di appartenenza e alla complessità del canale. Nelle PMI con meno di cinquanta dipendenti, per le quali il D.Lgs. 24/2023 prevede un regime semplificato, alcune voci possono essere compresse, ma la formazione del CdA resta un obbligo pieno. Per i responsabili della conformità che desiderano una struttura di riferimento già pronta, la pagina dedicata ai responsabili compliance offre un quadro operativo utile a tradurre la checklist in attività calendarizzate.

Con quale frequenza va aggiornata la formazione in caso di novità normative rilevanti?

In caso di pronunce ANAC, linee guida europee o modifiche legislative che impattino direttamente sugli obblighi del CdA, è buona prassi organizzare una sessione di aggiornamento straordinaria entro sessanta giorni dalla pubblicazione della novità, senza attendere la cadenza annuale. La sessione straordinaria deve essere verbalizzata con la stessa formalità di quella ordinaria e il relativo materiale conservato nelle evidenze documentali.

Errori tipici che invalidano la formazione agli occhi del Garante

Gli errori più frequenti che trasformano un programma di formazione in un'evidenza inutilizzabile durante un'ispezione sono sei, e tutti hanno una caratteristica comune: la distanza tra la formalità del documento e la sostanza della formazione. Il primo errore è la genericità dei contenuti: slide che ripetono il testo della direttiva senza calarlo nelle responsabilità specifiche del CdA. Il secondo è l'assenza di verbali: sessioni formative erogate ma non verbalizzate non possono essere provate. Il terzo è la mancata periodicità: una formazione erogata una tantum al momento dell'attivazione del canale non dimostra la vigilanza richiesta dall'articolo 4 del decreto.

Il quarto errore è l'esclusione dei dirigenti apicali dal perimso dei formati, che crea un'asimmetria tra il livello consiliare e quello operativo. Il quinto errore è la formazione solo teorica, senza simulazioni né test di comprensione, che l'ANAC interpreta come formazione non effettiva. Il sesto errore è la conservazione disordinata delle evidenze, sparse tra sistemi diversi e difficili da ricostruire: in sede ispettiva, la frammentazione documentale è letta come disattenzione organizzativa. La cornice completa dei requisiti della direttiva europea sul whistleblowing offre una sintesi utile per verificare che nessuno di questi errori sia presente nel proprio programma.

Domande frequenti

La formazione del CdA è obbligatoria anche per le PMI sotto i cinquanta dipendenti?

Sì, la formazione del CdA è obbligatoria per tutte le società tenute a istituire il canale interno di segnalazione, incluse le PMI nel regime semplificato del D.Lgs. 24/2023. Il decreto prevede modalità semplificate per la gestione del canale nelle imprese con meno di cinquanta dipendenti, ma non esonera l'organo amministrativo dall'obbligo di conoscere i propri doveri di vigilanza e i termini procedurali.

Ogni quanto va somministrata la formazione agli amministratori?

La cadenza minima consigliata è annuale, con un aggiornamento straordinario entro sessanta giorni da ogni novità normativa o pronuncia rilevante. Le sessioni devono essere documentate con verbali, registri di presenza e test di comprensione, conservati per almeno cinque anni insieme al resto della documentazione di compliance.

Cosa rischia concretamente un amministratore che non si è mai formato sul whistleblowing?

Un amministratore non formato non può dimostrare la diligenza richiesta dall'articolo 2381 del Codice civile e resta esposto alle sanzioni amministrative previste dal D.Lgs. 24/2023 — fino a 50.000 euro per le persone fisiche — oltre alle conseguenze in termini di responsabilità civile verso la società e i terzi. In caso di gravi illeciti emersi da una segnalazione mal gestita, l'assenza di formazione documentata aggravia significativamente la posizione dell'amministratore.

Il test di comprensione è davvero necessario o basta il registro firme?

Il test di comprensione è l'unico elemento che distingue la formazione effettiva da quella meramente documentale: senza test, l'evidenza è formale. L'ANAC, in linea con le migliori prassi europee, considera il test una componente essenziale della formazione, soprattutto quando deve valutare l'effettiva conoscenza dei termini e delle responsabilità da parte dei consiglieri.

Come si dimostra la formazione quando il canale è gestito da un fornitore esterno?

Quando il canale è gestito da un fornitore esterno, la formazione del CdA resta una responsabilità dell'azienda e deve essere documentata in modo autonomo rispetto alla documentazione tecnica del fornitore. È opportuno conservare una dichiarazione del fornitore che confermi la conformità tecnica del canale, separata dalle evidenze formative dell'organo amministrativo, così che l'ispettore possa valutare distintamente i due piani.

Fonti