Ashio whistleblowing software

Oct 4, 2026

Whistleblowing: gli obblighi del datore di lavoro secondo il D.Lgs. 24/2023 (guida operativa)

Whistleblowing: gli obblighi del datore di lavoro secondo il D.Lgs. 24/2023 guida operativa

Molte piccole e medie imprese italiane hanno attivato un canale di whistleblowing perché "lo fanno tutti", senza mappare gli obblighi concreti del D.Lgs. 24/2023. Il risultato è una conformità di facciata che non regge a un'ispezione ANAC: termini non monitorati, gestore non designato, nessuna policy interna. Questa guida elenca, punto per punto, ciò che il legislatore chiede davvero al datore di lavoro in materia di whistleblowing — e ciò che i software generici non risolvono da soli.

Indice

Punti chiave

  • Il D.Lgs. 24/2023, in vigore dal 30 marzo 2023, impone obblighi precisi a chi, nell'ultimo anno, ha impiegato in media almeno 50 lavoratori subordinati con contratto a tempo determinato o indeterminato.
  • Il datore di lavoro deve designare un gestore delle segnalazioni, garantire la riservatezza dell'identità del segnalante e fornire un riscontro entro tre mesi dalla segnalazione, con avviso di ricevimento entro sette giorni.
  • Le sanzioni per la mancata attivazione del canale interno possono arrivare fino a 50.000 euro, con importi distinti per violazioni delle tutele del segnalante e per l'assenza del canale stesso.
  • I soggetti obbligati includono enti pubblici, società private con almeno 50 dipendenti e specifici settori regolamentati (servizi finanziari, antiriciclaggio, sicurezza dei trasporti) indipendentemente dalla dimensione.
  • Una checklist operativa in sette punti consente di verificare se l'organizzazione è oggi in regola su designazione del gestore, termini, registro delle segnalazioni e tutele documentali.

A chi si applica il D.Lgs. 24/2023: la soglia dei 50 dipendenti e le eccezioni

Il D.Lgs. 24/2023 si applica al settore pubblico nella sua interezza e, nel settore privato, alle organizzazioni che, nell'ultimo anno, hanno impiegato in media almeno 50 lavoratori subordinati con contratto a tempo determinato o indeterminato. Il calcolo si basa sulla media annua dei lavoratori in organico, non sul numero di dipendenti in forza in un preciso giorno: conta l'effettiva forza lavoro subordinata dell'anno precedente, inclusi i lavoratori stagionali e i somministrati, mentre i collaboratori con partita IVA e gli stagisti non rientrano nel computo.

Sono obbligati, indipendentemente dalla dimensione, i soggetti che operano nei settori dei servizi finanziari, della prevenzione del riciclaggio e del finanziamento del terrorismo, della sicurezza dei trasporti e della tutela dell'ambiente: banche, assicurazioni, intermediari finanziari, società di trasporto e soggetti vigilati dalle autorità di settore devono dotarsi del canale interno anche con meno di 50 dipendenti.

La soglia si abbassa a 10 dipendenti per i soggetti che operano in specifici comparti regolamentati dal decreto, come il settore dei giochi e delle scommesse, la sicurezza alimentare e la sicurezza nucleare. Per le imprese sotto soglia l'adesione al canale resta facoltativa, ma il decreto prevede il divieto di atti di ritorsione anche nei confronti di segnalazioni effettuate in assenza di un canale interno formale.

Sul piano soggettivo, il decreto copre non solo i lavoratori subordinati, ma anche i collaboratori coordinati e continuativi, i liberi professionisti che operano per l'azienda, i volontari e stagisti retribuiti, gli azionisti e i membri degli organi amministrativi e di controllo. Una platea ampia, che obbliga il datore di lavoro a considerare tutti i soggetti che possono venire a conoscenza di violazioni nell'ambito della propria attività professionale.

I sette obblighi operativi del datore di lavoro: cosa cambia rispetto alla Direttiva UE

Il legislatore italiano ha recepito la Direttiva UE 2019/1937 introducendo sette obblighi operativi in capo al datore di lavoro, alcuni dei quali escono dall'ambito della direttiva europea e rappresentano un'estensione tipica dell'ordinamento interno.

Il primo obbligo è l'istituzione di un canale di segnalazione interno, accessibile a tutti i soggetti indicati dal legislatore e idoneo a ricevere segnalazioni scritte o orali. Il canale deve essere gestito da una persona o da un ufficio interno dedicato, oppure affidato a un soggetto esterno purché offra garanzie di indipendenza e riservatezza.

Il secondo obbligo riguarda la designazione formale del gestore delle segnalazioni, soggetto autonomo e competente, privo di conflitti di interesse e formato sulla normativa. Il terzo obbligo impone il rispetto dei termini procedurali: avviso di ricevimento al segnalante entro sette giorni e riscontro entro tre mesi. Il quarto obbligo è la garanzia della riservatezza sull'identità del segnalante, di chiunque sia coinvolto nella segnalazione e del contenuto della stessa, con divieto di accesso non autorizzato.

Il quinto obbligo attiene alla tenuta di un registro delle segnalazioni, con annotazione della data di ricezione, dei soggetti coinvolti, dello stato di lavorazione e dell'esito: il registro va conservato per il tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni dalla chiusura. Il sesto obbligo è l'adozione di una procedura interna chiara e pubblicata, che informi i lavoratori sull'esistenza del canale, sulle tutele e sulle modalità di utilizzo. Il settimo obbligo riguarda la protezione del segnalante contro ogni atto di ritorsione, divieto che si estende ai facilitatori, ai colleghi e ai parenti del segnalante.

Rispetto alla direttiva europea, che prevedeva la soglia di 50 dipendenti per il settore privato, l'Italia ha ampliato l'ambito soggettivo includendo esplicitamente i soggetti del terzo settore e delle società partecipate, e ha reso più stringente la disciplina della riservatezza, prevedendo sanzioni specifiche per la sua violazione.

I termini da rispettare: 7 giorni per l'avviso di ricevimento e 3 mesi per il riscontro

I termini procedurali del D.Lgs. 24/2023 sono tassativi e la loro violazione espone l'organizzazione a contestazioni in sede ispettiva e a sanzioni. L'avviso di ricevimento della segnalazione va comunicato al segnalante entro sette giorni dalla data di ricezione: può consistere in una conferma automatica generata dal canale o in una comunicazione personalizzata del gestore. La conferma non equivale ad ammissione di fondatezza, ma attesta che la segnalazione è entrata nel circuito di lavorazione.

Il riscontro al segnalante, ovvero la comunicazione delle attività svolte e dell'esito della lavorazione, va fornito entro tre mesi dalla data dell'avviso di ricevimento. Il riscontro può essere intermedio, se la lavorazione richiede ulteriori approfondimenti, o finale, se l'istruttoria si chiude con l'archiviazione o con l'avvio di un procedimento interno. Nei casi di particolare complessità il gestore può comunicare al segnalante uno stato di avanzamento, purché la chiusura definitiva non superi i sei mesi complessivi.

Il datore di lavoro deve documentare il rispetto di entrambi i termini, registrando le date di ricezione, di avviso e di riscontro, e le motivazioni di eventuali ritardi. La mancata annotazione nel registro delle segnalazioni equivale, sul piano probatorio, a omessa dimostrazione del rispetto dei termini: in caso di ispezione, spetta al datore di lavoro provare di averli rispettati.

Sanzioni e responsabilità: cosa rischia l'azienda che non rispetta gli obblighi

Il D.Lgs. 24/2023 prevede un sistema sanzionatorio articolato in due fasce, distinte per natura della violazione. Le sanzioni per la mancata istituzione del canale interno o per la sua gestione non conforme possono arrivare fino a 50.000 euro. Le sanzioni per violazione delle tutele del segnalante — ritorsioni, violazione della riservatezza, ostacoli alla segnalazione — partono da 5.000 euro e possono raggiungere i 30.000 euro per singola violazione. Gli importi si applicano per ciascuna segnalazione lesiva e per ciascun soggetto leso, e sono cumulabili tra loro.

La competenza sanzionatoria è di ANAC per il settore pubblico e per i soggetti privati che operano nei comparti vigilati, mentre per gli altri soggetti privati la vigilanza è demandata all'Ispettorato del Lavoro, che può disporre ispezioni, diffide e contestazioni. Le sanzioni sono amministrative, ma la violazione degli obblighi può integrare anche responsabilità penale nei casi previsti dal Codice Penale, ad esempio per rivelazione di segreti o per violazione della privacy.

Il rischio reputazionale non è quantificabile in modo puntuale, ma va considerato: un'ispezione ANAC che contesti la mancata conformità del canale è documentazione pubblica, e una sanzione definitiva viene pubblicata sul sito dell'autorità, con effetti diretti sulla fiducia di clienti, partner e istituti di credito.

Checklist pratica: come verificare se la tua organizzazione è in regola oggi stesso

Checklist pratica: come verificare se la tua organizzazione è in regola oggi stesso La verifica di conformità si articola in sette punti operativi, ciascuno da documentare con evidenze scritte e tracciabili.

  1. Operatività del canale: il canale è attivo, accessibile ai lavoratori e idoneo a ricevere segnalazioni scritte e orali.
  2. Designazione del gestore: esiste un atto formale di nomina, con descrizione di ruolo, requisiti e formazione ricevuta.
  3. Procedura interna: esiste un documento pubblicato che descrive il funzionamento del canale, i termini, le tutele e i divieti di ritorsione.
  4. Registro delle segnalazioni: il registro è tenuto aggiornato, con annotazione delle date chiave e degli esiti.
  5. Formazione e informazione: i lavoratori sono stati informati dell'esistenza del canale e delle tutele.
  6. Tutele documentali: esiste una policy anti-ritorsione e sono documentati i casi di applicazione.
  7. Riservatezza tecnica: il canale è progettato per impedire la ricostruzione dell'identità del segnalante tramite metadati tecnici.

Una checklist efficace richiede evidenze oggettive per ciascun punto: la semplice affermazione "il canale esiste" non basta in sede di verifica. Servono screenshot del canale, copia della procedura, atto di nomina del gestore, estratto del registro e documentazione delle comunicazioni ai lavoratori.

Designare il gestore delle segnalazioni: ruolo, requisiti e incompatibilità

Chi può svolgere il ruolo di gestore delle segnalazioni in una PMI italiana, e quali requisiti deve possedere per essere considerato autonomo e competente? La designazione del gestore è l'atto più delicato dell'intera procedura, perché da essa dipende l'effettiva indipendenza del canale e la validità della documentazione. Il gestore può essere una persona fisica interna all'organizzazione, un ufficio (ad esempio compliance o internal audit) o un soggetto esterno purché offra garanzie di autonomia.

I requisiti soggettivi del gestore sono l'assenza di conflitti di interesse, la competenza in materia di gestione delle segnalazioni e di indagine interna, e la formazione specifica sulla normativa whistleblowing e sulla protezione dei dati personali. La formazione deve essere documentata e aggiornata, e deve coprire sia gli aspetti procedurali sia le tecniche di gestione dei casi e di protezione della riservatezza.

Le incompatibilità riguardano i soggetti che ricoprono ruoli che possono generare conflitto: il responsabile HR che gestisce rapporti sindacali, il responsabile legale che rappresenta l'azienda in controversie, l'amministratore delegato che è il soggetto stesso della segnalazione. Nei casi di incompatibilità si applica la disciplina del conflitto di interessi, con astensione e designazione di un supplente.

Garantire la riservatezza dell'identità del segnalante: cosa significa davvero

Cosa si intende davvero per riservatezza dell'identità del segnalante, e come si realizza in un canale software? La riservatezza è il pilastro della normativa: il D.Lgs. 24/2023 vieta la rivelazione dell'identità del segnalante a soggetti diversi dal gestore, e vieta altresì la rivelazione di informazioni che possano condurre, direttamente o indirettamente, alla sua identificazione. La norma si estende all'identità del facilitatore, dei colleghi e dei parenti del segnalante, e al contenuto della segnalazione.

Sul piano tecnico, la riservatezza si realizza con la cifratura end-to-end del contenuto della segnalazione, con l'assenza di registrazione di IP, cookie e fingerprint del browser del segnalante, e con l'accesso al registro limitato ai soggetti autorizzati e tracciato da un log immutabile. Il gestore delle segnalazioni accede al contenuto della segnalazione tramite chiavi crittografiche che non risiedono sul server.

Una segnalazione anonima vera, non tracciabile dal punto di vista tecnico, è la forma più avanzata di tutela: il segnalante non fornisce nome né recapiti, e il canale non raccoglie dati che possano portare alla sua identificazione. Si distingue dalla segnalazione riservata, in cui l'identità è nota al gestore ma coperta da riservatezza. Per una PMI con 80 dipendenti, la scelta tra le due modalità non è solo tecnica: ha effetti diretti sul livello di fiducia dei lavoratori e sull'efficacia del canale nel far emergere irregolarità.

Come evitare le sanzioni con un canale software e un registro delle segnalazioni

Quali sono gli strumenti operativi che consentono al datore di lavoro di evitare le sanzioni e dimostrare la conformità agli ispettori? La risposta richiede due componenti integrate: un canale software che automatizzi i termini e la tracciabilità, e un registro delle segnalazioni che documenti ogni passaggio.

Il canale software deve essere in grado di inviare automaticamente l'avviso di ricevimento entro sette giorni, di monitorare le scadenze del riscontro a tre mesi, di cifrare i messaggi tra segnalante e gestore e di mantenere un log immutabile degli accessi. Senza automazione, il rispetto dei termini dipende dalla memoria del gestore e dalla puntualità manuale, entrambi elementi fragili in caso di ferie, malattie o turnover. Un canale interno di segnalazione strutturato è progettato per gestire automaticamente l'invio delle conferme e dei promemoria delle scadenze, riducendo il rischio di dimenticanze e di contestazioni.

Il registro delle segnalazioni deve essere tenuto in forma scritta, anche su supporto informatico, e deve riportare per ciascuna segnalazione: data di ricezione, oggetto, soggetti coinvolti, stato di lavorazione, data dell'avviso di ricevimento, data del riscontro, esito finale e motivazione. Il registro non deve essere confuso con il log tecnico del software, che registra gli accessi al sistema ma non il merito della lavorazione.

Dal punto di vista operativo, la PMI con 80 dipendenti ha due strade per costruire l'infrastruttura: sviluppare un canale interno con risorse proprie (ufficio compliance, supporto IT, software custom) oppure adottare una piattaforma dedicata che automatizzi i termini, la cifratura e il registro. La prima strada richiede investimenti significativi e una competenza specialistica che difficilmente giustifica l'onere; la seconda permette di arrivare a una piattaforma pronta all'uso e conforme al GDPR by design. Strumenti come ashio sono progettati per le organizzazioni medio-piccole che devono attivare un canale conforme al D.Lgs. 24/2023 senza costruire internamente un'infrastruttura di crittografia, registro e monitoraggio delle scadenze.

Per i responsabili della compliance, la priorità operativa è dimostrare che ogni segnalazione viene confermata entro sette giorni e seguita entro tre mesi, e che ogni accesso al registro è tracciato. La piattaforma deve offrire evidenza documentale di questi tre elementi per ogni singola segnalazione, in modo che l'ispezione si chiuda con esito positivo.

Domande frequenti

Chi deve avere un canale di segnalazione interno secondo il D.Lgs. 24/2023?

Sono obbligate le organizzazioni del settore privato che, nell'ultimo anno, hanno impiegato in media almeno 50 lavoratori subordinati con contratto a tempo determinato o indeterminato. Sono in ogni caso obbligati, indipendentemente dalla dimensione, i soggetti che operano nei settori dei servizi finanziari, della prevenzione del riciclaggio, della sicurezza dei trasporti e della tutela dell'ambiente, con soglia ridotta a 10 dipendenti per specifici comparti regolamentati dal decreto.

Quali sono i termini entro cui il gestore deve rispondere al segnalante?

Il gestore delle segnalazioni deve inviare l'avviso di ricevimento al segnalante entro sette giorni dalla ricezione della segnalazione e deve fornire un riscontro sulle attività svolte e sull'esito entro tre mesi dalla data dell'avviso di ricevimento. In casi di particolare complessità il termine può essere prorogato fino a sei mesi complessivi, con comunicazione di stato di avanzamento al segnalante.

Quali sanzioni rischia l'azienda che non attiva il canale di whistleblowing?

L'azienda che non attiva il canale interno o che lo gestisce in modo non conforme al D.Lgs. 24/2023 può essere sanzionata con importi fino a 50.000 euro, mentre le violazioni delle tutele del segnalante (ritorsioni, violazione della riservatezza, ostacoli alla segnalazione) prevedono sanzioni fino a 30.000 euro. Gli importi sono cumulabili per singola violazione e per singolo soggetto leso, e la competenza è di ANAC per i soggetti vigilati e dell'Ispettorato del Lavoro per gli altri soggetti privati.

Il datore di lavoro può gestire direttamente le segnalazioni senza nominare un gestore?

No, il D.Lgs. 24/2023 richiede che il canale sia gestito da una persona o da un ufficio interno dedicato, oppure da un soggetto esterno che offra garanzie di autonomia e riservatezza. La gestione diretta da parte del datore di lavoro è incompatibile con il ruolo, perché il datore può essere esso stesso oggetto della segnalazione, e perché la posizione gerarchica genera conflitto di interessi strutturale.

La segnalazione anonima è ammessa dalla normativa italiana?

Sì, il D.Lgs. 24/2023 ammette espressamente le segnalazioni in forma anonima, equiparandole sotto il profilo delle tutele a quelle nominali, purché il canale sia idoneo a garantirne la tracciabilità e la lavorazione. La sicurezza tecnica del canale è l'elemento che distingue una vera segnalazione anonima da una segnalazione pseudo-anonima in cui l'identità può essere ricostruita tramite metadati tecnici.

Fonti