Ashio whistleblowing software

Sep 23, 2026

Registro delle segnalazioni whistleblowing: come compilarlo secondo il D.Lgs. 24/2023

Registro delle segnalazioni whistleblowing: come compilarlo secondo il D.Lgs. 24/2023

Il registro delle segnalazioni è il primo documento che un ispettore ANAC chiede di vedere. Se è incompleto, il canale è fuori norma anche se le segnalazioni vengono gestite bene: ecco i campi obbligatori e come strutturarli.

Una PMI italiana con 80 dipendenti che si prepara a un'ispezione ANAC deve poter esibire, in qualsiasi momento, un registro segnalazioni whistleblowing compilato in conformità al D.Lgs. 24/2023. Questo registro non è un allegato facoltativo: è l'evidenza documentale che dimostra la corretta gestione delle segnalazioni, il rispetto dei termini di sette giorni per l'avviso di ricevimento e di tre mesi per il feedback, e la protezione dell'identità del segnalante. La guida che segue traduce i requisiti dell'articolo 12 del decreto in campi concreti, errori da evitare e un modello pronto da adattare.

Indice

Punti chiave

  • Il registro segnalazioni whistleblowing D.Lgs 24/2023 deve essere tenuto dal gestore delle segnalazioni, non dal singolo dipendente, e deve coprire ogni segnalazione ricevuta dal canale interno.
  • L'articolo 12 impone almeno l'identificativo, la data di ricezione, la categoria della violazione, lo stato di lavorazione e l'esito finale: saltare anche un solo campo rende il registro non conforme.
  • I termini vincolanti sono sette giorni per l'avviso di ricevimento e tre mesi per il riscontro finale; vanno annotati come date e mai come semplici "fatto" o "completato".
  • La conservazione del registro segue il limite massimo di cinque anni dalla comunicazione dell'esito finale, in linea con le indicazioni del Garante Privacy.
  • Gli errori più gravi — registri paralleli, identificativi intuibili, cancellazione anticipata — espongono a sanzioni ANAC e a contestazioni sulla tenuta del canale.

Perché il registro è l'evidenza numero uno in caso di ispezione

Il registro è la prova documentale che il canale di segnalazione funziona davvero, e non solo sulla carta. Durante un'ispezione ANAC il funzionario non si limita a verificare che esista un indirizzo email o un form: chiede di vedere quante segnalazioni sono arrivate, come sono state classificate, in quanto tempo sono state lavorate e con quale esito. Senza un registro coerente, ogni其他 prova — log del software, email scambiate, report interni — perde di valore, perché manca il quadro d'insieme che il decreto richiede.

Una definizione operativa del canale interno chiarisce che il registro è il punto di contatto tra la procedura descritta nel documento organizzativo e la realtà dei fatti: è lì che l'ispettore cerca la dimostrazione che i sette giorni di avviso di ricevimento e i tre mesi di feedback sono stati rispettati segnalazione per segnalazione.

Il registro serve anche al gestore stesso, non solo all'ispettore. Permette di individuare segnalazioni dimenticate, scadenze in arrivo, schemi ricorrenti (per esempio, più segnalazioni sullo stesso reparto) e di produrre la reportistica annuale che il decreto prevede. Senza registro, la gestione diventa reattiva e si rischia di scoprire una pratica dimenticata solo quando è troppo tardi.

Cosa prevede esattamente l'articolo 12 del D.Lgs. 24/2023

L'articolo 12 del decreto impone al gestore delle segnalazioni di tenere un registro aggiornato in cui annotare, per ogni segnalazione ricevuta dal canale interno, una serie minima di informazioni necessarie a dimostrare la corretta applicazione della procedura. Il testo del decreto è pubblicato in Gazzetta Ufficiale e la versione consolidata è disponibile su Normattiva: è da questi due documenti che vanno estratti i riferimenti citabili in caso di audit.

Il registro deve essere compilato anche quando la segnalazione viene archiviata perché manifestamente infondata o non rientrante nell'ambito del decreto: l'archiviazione è un esito a tutti gli effetti, e deve essere documentata con la motivazione. Allo stesso modo, va registrata ogni richiesta di integrazione fatta al segnalante, ogni proroga dei termini motivata e ogni trasmissione all'autorità competente.

Le Linee guida ANAC 311/2023 specificano che il registro deve poter essere esibito su richiesta dell'ANAC e deve essere strutturato in modo da impedire l'identificazione del segnalante a chi non è autorizzato. Questo significa che il registro contiene dati personali e deve quindi rispettare anche la disciplina del GDPR e del Codice privacy italiano.

Quali informazioni devono comparire: identificativo, categoria, esito, tempi di gestione

Quali informazioni devono comparire: identificativo, categoria, esito, tempi di gestione Il nucleo minimo del modello registro segnalazioni whistleblowing previsto dall'articolo 12 è composto da cinque campi, ognuno dei quali ha una funzione precisa durante un'ispezione. Vediamoli uno per uno.

Identificativo univoco della segnalazione. Un codice alfanumerico non sequenziale (per esempio, una stringa casuale di otto caratteri) che renda impossibile risalire all'ordine di arrivo e quindi al segnalante. Gli identificativi come "SEGN-001", "SEGN-002" sono da evitare perché un terzo che conosce la sequenza può dedurre chi ha segnalato e quando.

Data e ora di ricezione. Il momento in cui la segnalazione è entrata nel canale, non quando è stata letta dal gestore. Questa data fa scattare il termine di sette giorni per l'avviso di ricevimento.

Categoria della violazione. La classificazione della segnalazione in base all'ambito (appalti, sicurezza sul lavoro, frode, discriminazione, ambiente, ecc.) e, se rilevante, al riferimento normativo (articolo del decreto, norma nazionale violata, articolo della direttiva UE).

Stato di lavorazione e tempi di gestione. Lo stato corrente ("ricevuta", "in istruttoria", "richiesta integrazione", "archiviata", "trasmessa all'autorità", "chiusa con esito"), insieme alle date di passaggio tra uno stato e l'altro. È qui che si dimostra il rispetto dei sette giorni e dei tre mesi.

Esito finale e motivazione. La decisione adottata ("archiviata per infondatezza", "procedura disciplinare avviata", "segnalazione trasmessa alla Procura", "misure correttive adottate") con una sintesi della motivazione, sufficiente a dimostrare che l'istruttoria è stata svolta e non è stata una formalità.

Quanto tempo si conserva il registro delle segnalazioni?

Il registro va conservato per il tempo necessario alla definizione della segnalazione e comunque per un periodo non superiore a cinque anni dalla comunicazione dell'esito finale, come indicato dal Garante Privacy nel parere sulle linee guida. Per le segnalazioni che si concludono con una trasmissione all'autorità giudiziaria, il termine può essere esteso per tutta la durata del procedimento penale.

Il registro deve contenere il nome del segnalante?

No, e anzi non deve poterlo contenere in chiaro. Il registro deve poter essere esibito all'ANAC senza rivelare l'identità del segnalante a chi non è autorizzato, e deve quindi prevedere una separazione tra l'identità (custodita in un sistema diverso) e il riferimento alla segnalazione (l'identificativo univoco).

Come evitare i tre errori più comuni che invalidano il registro (e cosa rischi)

Gli ispettori ANAC hanno visto centinaia di registri e riconoscono subito gli errori ricorrenti. Eccone tre che, da soli, possono invalidare l'intero canale.

1. Registri paralleli o incoerenti. Succede spesso che il gestore tenga un registro "ufficiale" e i responsabili di funzione tengano registri locali in Excel o su carta. In ispezione, l'ANAC chiede di incrociare i dati e scopre le discrepanze: la conseguenza è una contestazione di tenuta non corretta del canale. La regola è una sola: esiste un unico registro, tenuto dal gestore, e tutti i flussi confluiscono lì.

2. Identificativi intuitivi o cancellazione prematura. Codici come "MAR-001" o "2024-001" permettono a un osservatore attento di risalire al mittente o alla sequenza. Allo stesso modo, cancellare o anonimizzare le segnalazioni prima dei cinque anni dall'esito equivale a distruggere prove documentali. Entrambe le pratiche espongono a contestazioni dirette dell'ANAC.

3. Date assenti o approssimate. Scrivere "ricevuta a marzo" o "chiusa dopo qualche mese" rende impossibile verificare il rispetto dei sette giorni e dei tre mesi. Le date devono essere complete (giorno, mese, anno) e, dove rilevante, anche l'ora di ricezione.

Le conseguenze non sono solo sanzionatorie. Un registro non conforme può essere usato dalla controparte in un contenzioso per dimostrare che il canale non era gestito correttamente, e può esporre l'azienda a richieste di risarcimento da parte del segnalante che dimostri di non aver ricevuto l'avviso di ricevimento nei tempi previsti.

Modello pronto da adattare: campi, formato e criteri di conservazione

Un registro segnalazioni ANAC conforme può essere un foglio di calcolo strutturato, un database interno o il registro generato automaticamente dal software di whistleblowing. Il formato non è imposto, ma la struttura sì.

Formato consigliato. Una riga per segnalazione, una colonna per ciascuno dei campi obbligatori, accesso limitato al solo gestore e ai soggetti autorizzati. Le colonne minime sono: identificativo, data e ora ricezione, categoria, stato corrente, data di ogni cambio di stato, esito finale, data esito finale, motivazione dell'esito.

Criteri di conservazione. Il file o il database va conservato per cinque anni dalla data dell'esito finale, su un sistema protetto da backup, con accesso tracciato (chi ha letto, quando, cosa ha modificato). Per le organizzazioni che operano anche in ambito antiriciclaggio, il modello registro segnalazioni antiriciclaggio convive con il registro whistleblowing ma va tenuto separato, perché le finalità, i termini e le autorità competenti sono diverse.

Backup e integrità. I backup non devono essere su dispositivi personali o cloud non europei: meglio un sistema con accesso limitato e cifratura, che produca anche un log delle esportazioni. Ogni esportazione del registro, anche per fini interni, va annotata con data, finalità e soggetto che l'ha eseguita.

Una panoramica degli obblighi per il responsabile compliance aiuta a inquadrare il registro dentro l'insieme degli adempimenti documentali previsti dal D.Lgs 24/2023 obblighi documentali: il registro è solo uno dei documenti da produrre in ispezione, accanto alla designazione del gestore, all'informativa privacy, alla procedura interna e alla prova della formazione.

Collegamento tra registro, audit trail del software e reportistica annuale

Il registro è il documento sintetico, ma non è l'unica fonte di prova. Il software utilizzato per ricevere e gestire le segnalazioni produce un audit trail — un log dettagliato di ogni accesso, modifica, lettura — che in caso di contestazione diventa la prova puntuale di cosa è accaduto. Tenere registro whistleblowing senza un audit trail è come avere una contabilità senza le fatture: formalmente corretto, ma fragile di fronte a un controllo.

L'audit trail e il registro vanno tenuti allineati. Ogni evento rilevante annotato nel registro (cambio di stato, invio di un messaggio al segnalante, archiviazione) deve avere un corrispondente nel log del software, con data e soggetto che ha eseguito l'azione. Quando le due fonti divergono, l'ANAC chiede spiegazioni: la divergenza è di per sé un'anomalia documentale.

Una volta all'anno, il registro alimenta la reportistica annuale che il gestore presenta alla direzione o all'organo di controllo. La reportistica riassume il volume, le aree più segnalate, i tempi medi di gestione, gli esiti e le azioni correttive intraprese. È su questo documento che la direzione valuta l'efficacia del canale e decide eventuali aggiornamenti alla procedura.

Il glossario del whistleblowing è utile per uniformare la terminologia usata nel registro e nella reportistica: termini come "segnalazione", "segnalante", "facilitatore", "esito" e "archiviazione" hanno significati precisi nel D.Lgs 24/2023, e usarli in modo coerente riduce il rischio di contestazioni interpretative.

Un aspetto spesso trascurato è la sicurezza dell'infrastruttura che ospita il registro: se il file è su un cloud extraeuropeo, o se l'accesso non è cifrato, l'ANAC può eccepire che la documentazione non è adeguatamente protetta. Il registro contiene dati personali e, in alcuni casi, dati sensibili, e va quindi custodito con le stesse garanzie previste per ogni altro trattamento di categoria particolare.

Domande frequenti

Chi deve tenere il registro delle segnalazioni whistleblowing?

Il registro deve essere tenuto dal gestore delle segnalazioni designato dall'organizzazione, che è il soggetto responsabile della corretta applicazione della procedura e dell'annotazione di ogni segnalazione ricevuta. Nei soggetti con meno di cinquanta dipendenti che condividono il canale, il gestore è comunque unico e identificabile.

Il registro può essere un semplice foglio Excel?

Sì, a condizione che sia strutturato con tutti i campi richiesti, protetto da accesso limitato, sottoposto a backup regolari e conservato per cinque anni dalla comunicazione dell'esito finale. Un foglio Excel è sufficiente, ma diventa fragile se non è accompagnato da un audit trail che dimostri chi ha fatto cosa e quando.

Cosa succede se perdo una segnalazione e non la registro?

La mancata registrazione equivale, di fatto, a una gestione fuori procedura: la segnalazione risulta non lavorata, i termini di sette giorni e tre mesi non possono essere dimostrati e il canale è considerato non conforme. In caso di ispezione ANAC, l'episodio viene contestato come violazione degli obblighi documentali e può dare origine a un'espordimento delle sanzioni previste.

Il registro delle segnalazioni whistleblowing è diverso da quello antiriciclaggio?

Sì, sono due registri distinti con finalità, riferimenti normativi e autorità competenti diverse. Il registro antiriciclaggio è disciplinato dal D.Lgs 231/2007 e successive modifiche, è alimentato dall'operatore antiriciclaggio e segue le indicazioni della UIF; il registro whistleblowing è disciplinato dal D.Lgs 24/2023, è alimentato dal gestore delle segnalazioni e risponde all'ANAC. Possono convivere nella stessa organizzazione, ma vanno tenuti separati.

Come si dimostra il rispetto dei sette giorni e dei tre mesi?

Si dimostra annotando nel registro le date di ricezione della segnalazione, di invio dell'avviso di ricevimento al segnalante (entro sette giorni) e di comunicazione dell'esito finale (entro tre mesi). Le date devono essere complete e l'audit trail del software deve confermare l'effettivo invio. Una sola segnalazione con tempi non documentati è sufficiente per una contestazione.

Fonti