Whistleblowing e revisori legali: guida operativa 2026

Una segnalazione whistleblowing che riguarda il revisore legale o il collegio sindacale mette alla prova l'intera architettura di governance: chi gestisce l'indagine senza compromettere l'indipendenza dell'organo di controllo, e come si concilia l'anonimato del segnalante con gli obblighi di legge. Questa guida operativa affronta whistleblowing revisori legali nelle società italiane, con riferimento al D.Lgs. 24/2023 e alle prassi richieste da CONSOB e dal MEF, e si rivolge ai responsabili compliance e agli HR manager che devono rendere operativo il flusso senza aumentare la complessità. Quando l'oggetto della segnalazione è proprio chi dovrebbe vigilare, la catena decisionale si complica: il responsabile delle segnalazioni non può coincidere con il segnalato, e l'indagine interna rischia di trasformarsi in un conflitto di interessi se non viene gestita con regole precise.

Indice

Punti chiave
Quali segnalazioni whistleblowing riguardano revisori e sindaci
Chi gestisce la segnalazione se il segnalato è il collegio sindacale o la società di revisione
Come coordinare l'indagine interna con la società di revisione senza violare l'anonimato
Quali obblighi di trasmissione a CONSOB o al MEF scattano in questi casi
Il ruolo dei canali interni ed esterni secondo il D.Lgs. 24/2023
Procedura operativa in 6 passi per il compliance officer
Domande frequenti
Fonti

Punti chiave

Il D.Lgs. 24/2023 obbliga i soggetti con almeno 50 dipendenti a dotarsi di un canale interno idoneo anche quando la segnalazione riguarda revisori o sindaci; la gestione non può mai essere affidata al segnalato.
Quando il segnalato è il collegio sindacale o la società di revisione, la competenza passa all'organo di amministrazione o a un comitato ad hoc, con obbligo di verbalizzazione e di astensione del soggetto coinvolto.
I termini di presa in carico di 7 giorni e di riscontro di 3 mesi decorrono sempre dalla ricezione della segnalazione, anche quando serva nominare un revisore sostitutivo o un indagatore esterno.
Le segnalazioni che riguardano revisori di enti di interesse pubblico o società quotate possono attivare obblighi di trasmissione a CONSOB o al MEF, distinti dalla semplice archiviazione interna.
L'anonimato del segnalante va protetto anche rispetto alla società di revisione, coordinando le richieste di informazioni senza rivelare l'identità né il contenuto integrale della segnalazione.

Quali segnalazioni whistleblowing riguardano revisori e sindaci

Rientrano nell'ambito del whistleblowing sui revisori legali tutte le segnalazioni che hanno ad oggetto condotte illecite, irregolarità contabili o violazioni normative attribuibili al collegio sindacale, al revisore legale o alla società di revisione. La fattispecie più ricorrente nelle società quotate e negli enti di interesse pubblico riguarda presunte indebite influenze sul giudizio di revisione, omissioni di segnalazioni di errori significativi, carenze nei controlli di qualità e violazioni delle norme sull'indipendenza.

Il D.Lgs. 24/2023 estende espressamente la tutela del segnalante a chi riferisce violazioni che ledono l'interesse pubblico, tra cui quelle che integrano illeciti civili, penali, amministrativi e contabili. Rientrano in questa categoria i comportamenti del revisore che compromettono l'attendibilità del bilancio, le situazioni di incompatibilità non comunicate, la sottoscrizione di relazioni non conformi agli ISA Italia e le ipotesi di collusione con l'organo amministrativo. Lo stesso decreto include tra le violazioni segnalabili gli atti suscettibili di arrecare un pregiudizio all'integrità dell'ente, che possono comprendere la mancata effettuazione delle procedure di revisione richieste dalla legge.

Una segnalazione anonima al revisore assume rilevanza quando descrive fatti specifici, indicandone tempi, luoghi e documenti di supporto. Le segnalazioni generiche o quelle che si limitano a invocare generici sospetti senza elementi circostanziati non impongono di per sé un obbligo di indagine, ma devono comunque essere protocollate e valutate per decidere se procedere o archiviare con motivazione. È buona prassi documentare sempre la valutazione di ricevibilità, anche quando la decisione è di non dare seguito, per dimostrare all'autorità di vigilanza che la segnalazione è stata esaminata e non ignorata.

Chi gestisce la segnalazione se il segnalato è il collegio sindacale o la società di revisione

Se il segnalato coincide con il collegio sindacale o con la società di revisione, la gestione della segnalazione si sposta sull'organo di amministrazione o su un comitato costituito ad hoc, perché il responsabile delle segnalazioni non può essere il soggetto sottoposto a indagine né un suo sottoposto. La sostanza della regola è che il segnalato non può in alcun modo partecipare all'istruttoria, alla decisione sull'archiviazione o alla comunicazione del riscontro al segnalante, pena la nullità della procedura sotto il profilo della tutela dell'autonomia dell'organo di controllo.

Nelle società per azioni quotate la pratica più diffusa prevede che il consiglio di amministrazione, su proposta del comitato controllo e rischi o del presidente, nomini un gruppo di tre membri indipendenti, esterni al collegio sindacale e privi di conflitti di interesse, con il compito di istruire la segnalazione e di riferire al consiglio stesso. Nelle società a responsabilità limitata di dimensioni minori la stessa funzione può essere svolta dall'amministratore unico, eventualmente coadiuvato da un consulente esterno. In entrambi i casi, la nomina deve essere formalizzata con una delibera che identifichi i componenti, il perimetro dell'incarico e la durata, e che venga allegata al fascicolo della segnalazione.

Una questione ricorrente riguarda il revisore unico nelle s.r.l.: quando la segnalazione investe proprio il revisore, l'art. 2477 del codice civile impone che l'assemblea dei soci provveda alla sostituzione con un nuovo revisore, ma tale sostituzione non deve avvenire prima che la segnalazione sia stata adeguatamente istruita, per evitare che il cambio di incarico venga percepito come una rimozione strumentale del segnalato. È opportuno quindi distinguere due fasi: la fase istruttoria, che resta in capo all'organo amministrativo o al comitato, e la fase eventuale di sostituzione del revisore, che può essere deliberata solo al termine dell'istruttoria e su proposta motivata del consiglio di amministrazione, con la necessità di coordinarsi con il registro dei revisori legali per gli adempimenti conseguenti. Per un quadro più ampio degli Whistleblowing è utile confrontare questo schema con le altre situazioni in cui il segnalato riveste un ruolo apicale.

Come coordinare l'indagine interna con la società di revisione senza violare l'anonimato

Il coordinamento tra chi gestisce l'indagine interna e la società di revisione sottoposta a segnalazione richiede un protocollo scritto che separi tre flussi informativi distinti: le richieste di chiarimento tecnico al revisore, l'accesso ai documenti di revisione e l'eventuale coinvolgimento del revisore stesso come testimone. In ciascuno di questi flussi va preservato l'anonimato del segnalante e, dove possibile, anche l'anonimato dei fatti specifici che potrebbero consentire una re-identificazione.

La via operativa più diffusa prevede che il comitato istruttore chieda alla società di revisione un'autonoma relazione scritta sui fatti oggetto di segnalazione, senza trasmettere il testo della segnalazione. La richiesta deve essere formulata in termini generali, indicando i presunti profili di irregolarità (ad esempio, "procedure di revisione sul ciclo X") senza rivelare chi li ha segnalati né le circostanze specifiche che renderebbero riconoscibile il segnalante. La società di revisione è tenuta a rispondere in qualità di destinataria di una richiesta di informazioni da parte dell'organo amministrativo, e la sua risposta entra a far parte del fascicolo della segnalazione. Quando poi il comitato ritenga necessario acquisire le carte di lavoro, è opportuno che ciò avvenga alla presenza di un legale esterno, con impegno di riservatezza sottoscritto da tutti i soggetti che accedono alla documentazione.

Una variante che merita attenzione riguarda l'ipotesi in cui la segnalazione provenga da un dipendente della stessa società di revisione che effettua il controllo contabile: in questo caso, l'oggetto della segnalazione può riguardare decisioni assunte dal partner responsabile dell'incarico o dai manager della società di revisione, e l'indagine interna si intreccia con le procedure di quality control previste dall'ordinamento professionale dei revisori. Il comitato istruttore, in siffatta ipotesi, dovrebbe informare tempestivamente il responsabile della qualità della società di revisione, segnalando l'esistenza di una segnalazione ricevuta, omettendone i contenuti specifici, e chiedendo che la società di revisione attivi le proprie procedure interne di verifica.

Sul piano della tutela del segnalante, il D.Lgs. 24/2023 vieta espressamente ogni forma di ritorsione, diretta o indiretta, nei confronti di chi ha inoltrato la segnalazione in buona fede. Quando il segnalato è il revisore, il rischio di ritorsione indiretta è particolarmente elevato, perché il revisore ha un rapporto contrattuale annuale con la società e può condizionare l'assegnazione di incarichi futuri a professionisti che operano con l'azienda. Per questo, è raccomandabile che l'identità del segnalante venga conosciuta solo dal presidente del comitato istruttore e dal legale esterno che lo assiste, e che ogni accesso ai dati identificativi sia tracciato in un registro riservato. Una indagine interna whistleblowing procedura accuratamente definita consente di ridurre questi rischi e di dimostrare all'autorità giudiziaria che l'istruttoria è stata condotta in modo indipendente.

Quali obblighi di trasmissione a CONSOB o al MEF scattano in questi casi

Quando la segnalazione ha ad oggetto fatti rilevanti per la vigilanza sui revisori legali, scattano obblighi distinti di comunicazione verso CONSOB per gli enti di interesse pubblico e verso il MEF per i soggetti non quotati ma vigilati. La distinzione segue la linea del Testo unico della finanza e delle relative disposizioni di attuazione: le società quotate, gli emittenti strumenti finanziari diffusi, le banche, le assicurazioni e i gestori di fondi rientrano nell'area CONSOB, mentre gli altri enti sottoposti a vigilanza ministeriale seguono il canale MEF.

Nella prassi, l'obbligo di trasmissione non è automatico per ogni segnalazione, ma scatta quando dalla stessa emergano profili di possibile violazione delle norme che regolano la revisione legale, in particolare quando ricorrano indizi di inadempimenti gravi del revisore, di compromissione della sua indipendenza o di falsificazione dei libri contabili. In tali ipotesi, l'organo amministrativo è tenuto a trasmettere a CONSOB o al MEF una nota sintetica che descriva i fatti segnalati, lo stato dell'istruttoria e le misure cautelari eventualmente adottate, rispettando l'anonimato del segnalante e omettendo ogni informazione che possa ricondurre alla sua identità. La trasmissione va effettuata senza ritardo, e in ogni caso entro il termine di riscontro di 3 mesi previsto dal D.Lgs. 24/2023, salvo che l'istruttoria richieda tempi più lunghi per la complessità dei fatti.

Una distinzione importante riguarda il rapporto tra l'obbligo di trasmissione e il divieto di ritorsione: trasmettere la segnalazione all'autorità di vigilanza non equivale a violare l'anonimato del segnalante, ma presuppone che la nota trasmessa sia redatta in modo da non consentire l'identificazione, neppure indiretta, del segnalante. Per le società che operano in settori regolati, l'attivazione immediata di un whistleblowing settore finanziario italia integrato con la compliance CONSOB e Banca d'Italia consente di rispettare questo equilibrio tra obbligo di comunicazione e tutela dell'anonimato, mantenendo un fascicolo documentale che dimostri all'autorità di vigilanza l'effettiva conduzione dell'istruttoria.

Il ruolo dei canali interni ed esterni secondo il D.Lgs. 24/2023

Il D.Lgs. 24/2023 prevede un sistema a doppio binario: il segnalante può scegliere se utilizzare il canale interno messo a disposizione dalla propria organizzazione oppure, in determinate circostanze, il canale esterno gestito da ANAC. La scelta tra i due canali non è libera ma è condizionata dalla ricorrenza di alcune condizioni esplicite: il segnalante può rivolgersi al canale esterno quando il canale interno non è operativo, quando non è conforme alle prescrizioni del decreto, quando ha fondati motivi di ritenere che una segnalazione interna possa determinare un rischio di ritorsione, o quando la segnalazione interna non ha avuto un seguito adeguato.

Quando la segnalazione riguarda i revisori legali, la scelta del canale assume un significato particolare. Il canale interno è preferibile quando l'oggetto della segnalazione può essere istruito all'interno dell'organizzazione senza compromettere l'indipendenza del segnalato, e quando la società è in condizione di adottare misure correttive tempestive. Il canale esterno, gestito da ANAC, diventa invece preferibile quando il segnalante ha ragioni fondate di temere ritorsioni, quando la gravità dei fatti richiede l'intervento di un'autorità indipendente, o quando l'organizzazione non è in grado di garantire un'istruttoria effettivamente indipendente. In entrambi i casi, il segnalante che ha scelto il canale interno conserva la facoltà di rivolgersi successivamente al canale esterno qualora l'esito della procedura interna non lo soddisfi, purché siano rispettate le condizioni previste dal decreto.

Una segnalazione anonima revisore è ammessa e tutelata dal D.Lgs. 24/2023, ma l'anonimato può essere mantenuto solo se il canale è progettato per non registrare l'indirizzo IP, i cookie o altri identificativi del mittente, condizione che non tutti i sistemi garantiscono. Sotto il profilo del valore probatorio, l'anonimato non pregiudica l'avvio dell'istruttoria, ma il segnalante perde la possibilità di essere avvisato dell'esito e di accedere alle tutele contro le ritorsioni, perché queste presuppongono che l'identità sia nota almeno al gestore del canale. Per questo la prassi raccomanda di privilegiare, quando possibile, segnalazioni confidenziali piuttosto che anonime, riservando l'anonimato ai casi in cui il segnalante ha un fondato timore di ritorsioni. La Relazione annuale whistleblowing che il responsabile delle segnalazioni è tenuto a redigere annualmente deve dare conto distintamente delle segnalazioni anonime ricevute e delle relative decisioni di seguito o archiviazione, in modo da dimostrare all'autorità di vigilanza che ogni segnalazione è stata valutata.

Procedura operativa in 6 passi per il compliance officer

Ricezione e protocollazione della segnalazione. Il primo passo consiste nel registrare la segnalazione in un registro riservato, assegnandole un codice univoco e la data di ricezione, che fa decorrere il termine di 7 giorni per la presa in carico. La registrazione deve essere effettuata anche quando la segnalazione provenga da un canale non presidiato, come una email del personale, perché il dies a quo del termine decorre comunque dalla conoscenza dei fatti da parte del soggetto obbligato.
Verifica della ricevibilità e del conflitto di interessi. Entro i 7 giorni successivi il responsabile delle segnalazioni verifica che la segnalazione rientri tra quelle tutelate dal D.Lgs. 24/2023, che non sia manifestamente infondata e, soprattutto, che il segnalato non coincida con il responsabile stesso o con un soggetto privo dei requisiti di indipendenza. Quando il segnalato è il revisore legale o il collegio sindacale, il responsabile delle segnalazioni deve dichiarare l'astensione e investire della gestione l'organo di amministrazione o il comitato appositamente costituito.
Costituzione del gruppo istruttore. L'organo di amministrazione nomina un gruppo di tre membri indipendenti, scelti tra amministratori non esecutivi, sindaci supplenti, componenti dell'organismo di vigilanza o professionisti esterni, con il compito di condurre l'istruttoria. La nomina viene formalizzata con delibera e comunicata al segnalante attraverso il canale riservato, senza rivelare i nominativi del segnalato quando l'anonimato è richiesto.
Istruttoria e acquisizione di elementi. Il gruppo istruttore raccoglie la documentazione necessaria, richiede informazioni al revisore o alla società di revisione con le cautele descritte in precedenza e, se del caso, si avvale di un consulente tecnico indipendente per la valutazione dei profili contabili e di revisione. Ogni atto dell'istruttoria viene verbalizzato e inserito in un fascicolo riservato, con accesso tracciato.
Decisione e riscontro al segnalante. All'esito dell'istruttoria, il gruppo propone all'organo di amministrazione l'archiviazione motivata o l'adozione di misure correttive, che possono andare dalla richiesta di integrazione delle procedure di revisione alla sostituzione del revisore, dalla segnalazione a CONSOB o al MEF fino alla promozione di un'azione di responsabilità nei confronti del segnalato. Il riscontro al segnalante deve essere fornito entro il termine di 3 mesi dalla ricezione della segnalazione, anche quando la decisione finale richieda tempi più lunghi, con una comunicazione interlocutoria che illustri lo stato di avanzamento dell'istruttoria.
Monitoraggio e relazione annuale. Il responsabile delle segnalazioni verifica che le misure correttive vengano effettivamente attuate e redige, entro i termini previsti, la relazione annuale ai sensi dell'art. 5 del D.Lgs. 24/2023, nella quale dà conto delle segnalazioni ricevute che hanno riguardato revisori o sindaci, delle decisioni assunte e dei tempi medi di chiusura. La relazione viene messa a disposizione dell'autorità di vigilanza competente, conservata per almeno cinque anni e allegata al fascicolo della segnalazione per ogni successivo controllo.

Domande frequenti

Cosa succede se la segnalazione anonima riguarda proprio il revisore legale della società?

La segnalazione viene ricevuta e protocollata come qualsiasi altra, ma il responsabile delle segnalazioni deve dichiararsi in conflitto di interessi e investire della gestione l'organo di amministrazione, che nomina un gruppo istruttore indipendente. L'anonimato del segnalante è tutelato anche rispetto alla società di revisione segnalata, alla quale vengono chieste informazioni in termini generali senza trasmettere il testo della segnalazione.

Il segnalante può rivolgersi direttamente a CONSOB senza passare dal canale interno?

Sì, il D.Lgs. 24/2023 consente di rivolgersi al canale esterno gestito da ANAC quando il canale interno non è operativo, non è conforme, quando vi è un fondato rischio di ritorsioni o quando la segnalazione interna non ha avuto un seguito adeguato. Nelle materie di competenza CONSOB, l'autorità di vigilanza può essere informata anche indipendentemente dal canale ANAC, ma è buona prassi coordinare le due comunicazioni per evitare duplicazioni.

Quali termini si applicano quando la segnalazione riguarda il collegio sindacale?

Si applicano i termini ordinari del D.Lgs. 24/2023: 7 giorni per la presa in carico e la comunicazione al segnalante dello stato di ricevibilità, 3 mesi per il riscontro finale dalla data di ricezione della segnalazione. Questi termini decorrono anche quando sia necessario nominare un gruppo istruttore ad hoc o un consulente esterno, perché l'organizzazione deve essere in grado di gestire l'istruttoria nei tempi di legge.

Il datore di lavoro può sostituire il revisore segnalato prima della conclusione dell'istruttoria?

La sostituzione immediata è sconsigliata perché potrebbe essere interpretata come una rimozione strumentale del segnalato. È preferibile concludere l'istruttoria, formalizzare le risultanze e solo successivamente deliberare la sostituzione su proposta motivata dell'organo amministrativo, dandone comunicazione al registro dei revisori legali secondo le procedure vigenti.

La relazione annuale ex art. 5 D.Lgs. 24/2023 deve essere pubblicata?

La relazione deve essere messa a disposizione dell'autorità di vigilanza competente e conservata per almeno cinque anni, ma la sua pubblicazione integrale sul sito web non è obbligatoria. È buona prassi, soprattutto per le società quotate, predisporre almeno una versione sintetica pubblica che dia conto del numero di segnalazioni ricevute, della loro tipologia e dei tempi medi di gestione, a beneficio di stakeholder e revisori.