Ashio whistleblowing software

Sep 30, 2026

Whistleblowing nel settore finanziario italiano: banche, assicurazioni e obblighi del D.Lgs. 24/2023

Whistleblowing nel settore finanziario italiano: banche, assicurazioni e obblighi del D.Lgs. 24/2023

Il D.Lgs. 24/2023 si applica pienamente anche a banche, intermediari finanziari e compagnie di assicurazione, con sanzioni che si sommano a quelle già previste dai regolatori di settore — Banca d'Italia, IVASS e UIF. Molte funzioni compliance si trovano o dovranno costruire da zero un canale di whistleblowing per il settore finanziario italiano distinto dal flusso antiriciclaggio, senza sapere dove finisce uno e dove inizia l'altro. La conseguenza pratica è un rischio concreto: segnalazioni ricevute sul canale sbagliato, scadenze dei sette giorni non rispettate, mancata dimostrabilità della gestione in caso di ispezione. Questa guida è dedicata in particolare al whistleblowing settore finanziario Italia, perché qui la sovrapposizione tra flussi regolatori rende la conformità più articolata che in altri comparti.

Questa guida è scritta per il responsabile compliance di una banca o di una compagnia assicurativa che deve attivare un canale conforme senza duplicare né confondere i flussi antiriciclaggio già esistenti. L'obiettivo è chiaro: capire chi è obbligato, cosa cambia rispetto alla SOS antiriciclaggio, come strutturare il canale per rispettare anonimato, scadenze e catena di custodia, e dove gli istituti meno preparati stanno commettendo errori costosi.

Indice

Punti chiave

  • Il D.Lgs. 24/2023 (recepimento italiano della Direttiva UE 2019/1937) si applica a banche, intermediari finanziari, compagnie di assicurazione e riassicurazione, con sanzioni amministrative fino a 1 milione di euro per le persone giuridiche.
  • La segnalazione antiriciclaggio (SOS/UTR) e la segnalazione whistleblowing hanno finalità, basi normative e circuiti diversi: una segnalazione interna whistleblowing non può essere dirottata verso l'UIF, e una SOS non può essere gestita come una segnalazione di illeciti ex D.Lgs. 24/2023.
  • L'anonimato tecnico basato sull'architettura della piattaforma, conforme ai requisiti del D.Lgs. 24/2023 è ciò che distingue un canale whistleblowing davvero conforme da un modulo con una casella "nome facoltativa".
  • Le scadenze di sette giorni per la conferma e di tre mesi per il follow-up sono misurabili: servono strumenti che producano automaticamente la prova dell'avvenuta gestione, non fogli Excel.
  • La catena di custodia verso la Procura della Repubblica richiede che le evidenze raccolte nel canale interno siano integrabili con i requisiti del CPP, senza alterazioni e con tracciamento delle segnalazioni conforme ai requisiti di non modificabilità del D.Lgs. 24/2023.

Perché banche e assicurazioni non possono limitarsi alla segnalazione antiriciclaggio

Perché banche e assicurazioni non possono limitarsi alla segnalazione antiriciclaggio Il canale di whistleblowing per il settore finanziario italiano non è un duplicato della SOS antiriciclaggio, e nemmeno un suo allegato: è un obbligo autonomo, con una base normativa, un perimetro di illeciti, dei destinatari e delle scadenze differenti. Confondere i due flussi è l'errore più frequente e più sanzionabile che le funzioni compliance stanno facendo.

Il D.Lgs. 24/2023, che ha recepito la Direttiva UE 2019/1937, introduce un diritto universale alla segnalazione di violazioni del diritto dell'Unione e di specifiche violazioni nazionali, e impone a soggetti pubblici e privati con almeno dieci lavoratori dipendenti (o con determinate soglie di settore) di attivare canali interni dedicati. Gli enti creditizi e finanziari e le imprese di assicurazione e riassicurazione rientrano a pieno titolo tra i soggetti obbligati, indipendentemente dalla dimensione: per loro la soglia dei dieci dipendenti non si applica. La Direttiva UE sui whistleblower è consultabile sul portale ufficiale dell'Unione europea.

La ragione è storica. Le banche e le assicurazioni avevano già un sistema strutturato di segnalazioni verso l'UIF per le operazioni sospette di riciclaggio e di finanziamento del terrorismo, e canali dedicati verso Banca d'Italia e IVASS per le irregolarità prudenziali. Il legislatore europeo ha però esteso l'obbligo di whistleblowing a un perimetro molto più ampio di illeciti: non solo riciclaggio e finanziamento del terrorismo, ma anche frode, corruzione, market abuse, violazioni della protezione dei consumatori, della sicurezza dei prodotti, della privacy, fino ai reati tributari.

In concreto, il canale whistleblowing ex D.Lgs. 24/2023 deve:

  • accettare segnalazioni da parte di dipendenti, ma anche di collaboratori, fornitori, clienti, azionisti e chiunque entri in contatto con l'organizzazione;
  • garantire l'anonimato del segnalante e la riservatezza della sua identità;
  • confermare la ricezione della segnalazione entro sette giorni;
  • fornire un riscontro al segnalante entro tre mesi;
  • tenere un registro delle segnalazioni e della loro lavorazione;
  • non ostacolare le segnalazioni esterne all'ANAC né quelle verso le autorità giudiziarie.

Le funzioni compliance che pensano di "ricevere tutto sulla SOS e poi dirottare" si espongono a tre rischi: violazione del perimetro normativo della SOS (che è solo antiriciclaggio), violazione dell'obbligo di anonimato ex D.Lgs. 24/2023 (la SOS è nominale verso l'UIF), e infine impossibilità di dimostrare la gestione delle segnalazioni non-AML nei confronti di Banca d'Italia, IVASS e ANAC.

La sovrapposizione che inganna molte banche italiane

Il punto di sovrapposizione è proprio lì dove i confini sembrano sfumare: una frode interna al servizio prestiti di una banca può essere sia un'operazione sospetta ai fini antiriciclaggio sia un illecito ex D.Lgs. 24/2023. In quel caso, il flusso whistleblowing e il flusso SOS sono entrambi attivabili, ma non si sostituiscono l'uno all'altro. Il canale whistleblowing riceve, gestisce e documenta; la SOS va comunque inoltrata all'UIF secondo il D.Lgs. 231/2007. Servono due filiere parallele, non una sola. La gestione corretta di queste sovrapposizioni è uno dei nodi pratici del whistleblowing settore finanziario Italia, dove i regolatori di settore e l'ANAC verificano entrambi i fronti.

Quali enti finanziari sono obbligati dal D.Lgs. 24/2023 e da quando

L'ambito soggettivo degli obblighi di whistleblowing nel settore finanziario italiano è definito dall'articolo 4 del D.Lgs. 24/2023 e copre tutti i soggetti che operano sotto la vigilanza di Banca d'Italia, IVASS, UIF e altre autorità di settore, senza alcuna soglia dimensionale. La decorrenza degli obblighi è scaglionata in due finestre: dal 15 luglio 2023 per i soggetti con più di 250 dipendenti, dal 17 dicembre 2023 anche per i soggetti sotto soglia.

In concreto, sono obbligati:

  • banche e gruppi bancari, incluse le succursali italiane di banche extracomunitarie;
  • intermediari finanziari iscritti all'albo ex art. 106 del TUB;
  • istituti di moneta elettronica (IMEL) e istituti di pagamento;
  • imprese di assicurazione e riassicurazione con sede legale in Italia, incluse le sedi secondarie di imprese extracomunitarie;
  • società di gestione del risparmio (SGR), SICAV, SICAF;
  • società di intermediazione mobiliare (SIM);
  • succursali italiane di enti equivalenti esteri.

Come si coordina l'obbligo whistleblowing con le discipline di vigilanza settoriale

Per le banche e gli intermediari, la disciplina di Banca d'Italia sul sistema dei controlli interni (Circolare 285/2013 e successivi aggiornamenti) impone già canali interni per segnalazioni di irregolarità da parte del personale. Il whistleblowing ex D.Lgs. 24/2023 non sostituisce quei canali, ma si integra: per le materie che ricadono nel perimetro del Decreto, il canale interno di segnalazione deve rispettare gli standard del Decreto stesso (anonimato, sette giorni, tre mesi, registro). Il tema è centrale per chi cerca un riferimento aggiornato sul whistleblowing per banche secondo il D.Lgs. 24/2023.

Per le assicurazioni, la stessa logica vale rispetto alla regolamentazione IVASS (Regolamento IVASS n. 38/2018 sul sistema di governo societario): la funzione di verifica della conformità alle norme (compliance) deve poter ricevere segnalazioni che vanno oltre la sola dimensione distributiva e includono ogni violazione del diritto dell'Unione.

Il punto chiave è questo: il canale whistleblowing ex D.Lgs. 24/2023 convive con i flussi regolatori esistenti, ma non è sostitutivo. Una banca che riceve una segnalazione interna su una violazione antiriciclaggio la gestisce sia ai fini whistleblowing sia ai fini SOS, con tracciamenti paralleli. La duplicazione della documentazione è la regola, non l'eccezione: ogni filiera mantiene il proprio registro, le proprie evidenze e i propri riferimenti normativi, anche quando la vicenda sottostante è la stessa.

Qual è la differenza tra segnalazione AML e segnalazione whistleblowing

Le due segnalazioni hanno scopi, basi normative, perimetri di illecito e circuiti di trasmissione diversi. Confonderle porta a errori procedurali gravi: illecito antiriciclaggio non gestito dalla UIF, segnalazione whistleblowing gestita in modo non anonimo, documentazione inadeguata per uno dei due flussi. Una segnalazione whistleblowing e una SOS si distinguono su almeno quattro dimensioni.

Finalità. La segnalazione antiriciclaggio (SOS) serve a comunicare all'UIF operazioni sospette di riciclaggio o di finanziamento del terrorismo, sulla base del D.Lgs. 231/2007. La segnalazione whistleblowing serve a segnalare violazioni del diritto dell'Unione e di specifiche leggi nazionali, sulla base del D.Lgs. 24/2023.

Perimetro di illecito. La SOS copre riciclaggio, riciclaggio di proventi di attività criminose, finanziamento del terrorismo e le fattispecie presupposto. La segnalazione whistleblowing copre un perimetro molto più ampio: appalti pubblici, servizi finanziari, sicurezza dei prodotti, sicurezza dei trasporti, protezione dell'ambiente, radioprotezione, sicurezza informatica, privacy, frode, corruzione, market abuse, reati tributari, abusi di mercato.

Identità del segnalante. La SOS prevede l'identificazione del segnalante e della catena di soggetti coinvolti nell'operazione sospetta, con obblighi di conservazione. La segnalazione whistleblowing tutela l'anonimato e la riservatezza dell'identità del segnalante, anche nei confronti dell'organizzazione stessa.

Destinatario finale. La SOS va all'UIF, che la valuta e la trasmette eventualmente alle autorità investigative. La segnalazione whistleblowing va gestita internamente e, se il segnalante lo richiede o se la gestione interna non è efficace, può essere trasmessa all'ANAC, alle autorità competenti o alla Procura della Repubblica. In ogni caso, la decisione spetta al segnalante.

Quando una stessa vicenda attiva entrambi i flussi

Una frode interna ai danni dei clienti, in cui un dipendente manipola pratiche di finanziamento per favorire terzi, può integrare sia un'operazione sospetta ai fini antiriciclaggio sia un illecito ex D.Lgs. 24/2023. In quel caso, la gestione è doppia: il canale whistleblowing riceve la segnalazione in modo anonimo, conferma entro sette giorni, avvia l'istruttoria; parallelamente, la funzione antiriciclaggio valuta se trasmettere una SOS all'UIF, secondo il D.Lgs. 231/2007 e gli orientamenti dell'UIF. Le due filiere non si escludono, ma nemmeno si sostituiscono. Il modo più pulito di strutturare il processo è prevedere, nel regolamento interno del canale, un protocollo che indichi voce per voce quando la segnalazione whistleblowing deve essere inoltrata alla funzione AML e quando no.

Quali obblighi specifici deve rispettare il canale: anonimato, scadenza 7 giorni, registro

Il canale di whistleblowing per il settore finanziario italiano deve rispettare tre obblighi centrali, misurabili e sanzionabili: anonimato tecnico, rispetto delle scadenze di sette giorni e tre mesi, tenuta di un registro immutabile. Questi non sono adempimenti formali: ciascuno di essi è oggetto di verifica da parte di ANAC, Banca d'Italia e IVASS.

Anonimato. Il D.Lgs. 24/2023 vieta di rivelare l'identità del segnalante e di qualsiasi persona menzionata nella segnalazione, salvo il consenso espresso del segnalante o la necessità di disclosure alle autorità giudiziarie. La raccolta di indirizzi IP, cookie e altri identificativi tecnici del browser rende tecnicamente impossibile garantire l'anonimato, e nei fatti espone l'organizzazione a contestazioni. Un canale realmente anonimo non deve registrare IP, non deve usare cookie, non deve fare fingerprinting del browser, non deve richiedere email né credenziali per inviare una segnalazione. Le caratteristiche di un sistema anonimo di segnalazione sono descritte in dettaglio sul portale Ashio.

Scadenza di sette giorni. Il gestore del canale deve inviare al segnalante una conferma di ricezione entro sette giorni dalla data di invio della segnalazione. La conferma non è una generica "ricevuta": è l'attestazione che la segnalazione è stata presa in carico e che il processo di lavorazione è avviato. Il rispetto della scadenza deve essere dimostrabile: timestamp di invio, timestamp di presa in carico, prova di consegna al segnalante.

Scadenza di tre mesi. Entro tre mesi dalla conferma di ricezione — prorogabili a sei mesi in casi motivati — il gestore deve fornire al segnalante un riscontro sullo stato di lavorazione della segnalazione. Anche qui, il riscontro deve essere documentato e tracciato.

Registro delle segnalazioni. Tutte le segnalazioni ricevute, e quelle poi scartate, devono essere iscritte in un registro. Il registro deve essere protetto da accessi non autorizzati e deve garantire l'immutabilità delle informazioni. Ogni accesso al registro deve essere tracciato. I dati identificativi del segnalante, se raccolti, sono conservati separatamente e non possono essere associati alla segnalazione se non per il tempo strettamente necessario alla gestione.

Le soglie di sanzione che pesano sugli enti finanziari

Le sanzioni amministrative previste dal D.Lgs. Per banche e assicurazioni si aggiungono le sanzioni delle rispettive autorità di vigilanza, fino alle misure di early intervention previste dal Single Supervisory Mechanism per le banche significative. Il rischio reputazionale, una sanzione ANAC pubblicata sul sito, è spesso superiore al rischio pecuniario, perché viene rilevato dalle controparti istituzionali e dai mercati. Per i soggetti vigilati, una sanzione sul canale whistleblowing può inoltre rilevare ai fini della valutazione dei controlli interni da parte di Banca d'Italia e IVASS, con effetti che vanno oltre la singola multa.

Come strutturare il canale per non violare il segreto d'ufficio e la catena di custodia verso la Procura

La catena di custodia è l'elemento più sottovalutato nella progettazione dei canali di whistleblowing per il settore finanziario italiano. Le evidenze raccolte — chat, documenti, screenshot, registrazioni — diventano materiale probatorio solo se l'integrità è dimostrabile in ogni passaggio: ricezione, archiviazione, analisi, eventuale trasmissione alla Procura. Qualsiasi interruzione della catena di custodia rende l'evidenza inutilizzabile o, peggio, contestabile.

Il primo pilastro è la crittografia dei dati conforme agli obblighi di sicurezza previsti dalla normativa applicabile. Le segnalazioni e i messaggi scambiati tra segnalante e gestore devono essere cifrati in modo che neppure il fornitore del software possa leggerne il contenuto. Una simile architettura di sicurezza è il prerequisito per garantire sia la riservatezza sia la non alterabilità dei dati trasmessi.

Il secondo pilastro è la tenuta del registro immutabile. Ogni accesso al sistema, ogni modifica di stato della segnalazione, ogni download di un allegato deve essere loggato. Il log deve essere a sua volta firmato o comunque protetto da manomissioni. La funzione di revisione interna, in caso di indagine interna, deve poter ricostruire l'intera storia della segnalazione senza lacune.

Il terzo pilastro è il protocollo di trasmissione alla Procura. Quando la segnalazione interna riveste rilevanza penale, il gestore del canale deve poter produrre un pacchetto di evidenze — segnalazione integrale, allegati, log di accesso, cronologia dei messaggi — che sia esportabile in un formato standard (PDF con hash, oppure un container crittografato con firma digitale) e accompagnato da una dichiarazione di catena di custodia. La Procura della Repubblica, ai sensi del CPP, deve poter verificare che le evidenze non siano state alterate.

Il coordinamento tra funzione compliance, legale e AML

Nelle banche e nelle assicurazioni, il canale whistleblowing non può essere un'isola. Serve un protocollo scritto, approvato dal CdA e dall'organo di controllo, che definisca:

  • chi gestisce il canale (di norma, il responsabile della funzione compliance o un comitato whistleblowing);
  • come il gestore del canale interagisce con la funzione antiriciclaggio per le ipotesi di illecito AML;
  • come il gestore interagisce con la funzione legale per le ipotesi di reato;
  • come e quando il gestore riferisce al CdA o al Collegio sindacale;
  • come vengono anonimizzate le informazioni prima di essere condivise con organi di governo.

Un protocollo chiaro riduce il rischio che la catena di custodia venga interrotta da passaggi informali, e dimostra all'autorità di vigilanza che l'ente ha un presidio organizzativo effettivo.

Quali errori stanno facendo gli istituti meno preparati e come evitarli

L'esperienza dei primi anni di applicazione del D.Lgs. 24/2023 mostra pattern ricorrenti di errore nelle banche e nelle compagnie assicurative italiane. Alcuni sono banali ma costosi, altri sono più sottili. Conoscerli in anticipo è il modo più efficace per evitarli.

Errore 1: canale unico AML + whistleblowing. Diverse banche hanno provato a ricevere sullo stesso modulo sia le segnalazioni antiriciclaggio sia quelle whistleblowing. Il problema è che il modulo AML richiede l'identificazione, il modulo whistleblowing vieta l'identificazione. Il risultato è un modulo che non soddisfa nessuno dei due regimi.

Errore 2: anonimato solo formale. Un modulo con la casella "nome facoltativo" non è un canale anonimo. Se la pagina raccoglie IP, se i log del server web registrano l'accesso, se la connessione HTTPS non è configurata per non loggare, l'anonimato è solo dichiarato. I regolatori verificano la componente tecnica.

Errore 3: conferma di ricezione via email al segnalante identificato. Se il segnalante invia una segnalazione anonima e poi riceve una conferma via email, l'email stessa lo identifica. La conferma deve essere recapitata attraverso un canale che preservi l'anonimato, come una chat cifrata accessibile da un link non personale.

Errore 4: registro condiviso con altri sistemi. Un registro delle segnalazioni whistleblowing che risiede sullo stesso database dei reclami clienti, o delle segnalazioni AML, è una violazione della riservatezza. Il registro deve essere separato, accessibile solo al gestore del canale e a soggetti autorizzati.

Errore 5: mancata formazione del personale. Il canale è attivo, ma il personale non sa di poterlo usare, non sa cosa segnalare, non sa che è protetto da ritorsioni. La conseguenza è che il canale resta vuoto, e quando arriva una segnalazione vera i tempi di sette giorni non vengono rispettati.

Errore 6: trattamento delle segnalazioni esterne ANAC come "minacce". Alcuni enti trattano la segnalazione esterna come una contestazione. Il D.Lgs. 24/2023 prevede esplicitamente che il segnalante possa rivolgersi all'ANAC se la gestione interna non è efficace. Ostacolare quel passaggio è di per sé una violazione sanzionabile.

Le tre contromisure che fanno la differenza

Una policy interna scritta, diffusa e firmata da tutti i dipendenti. La policy non è un documento da scaffale: deve essere accessibile dall'intranet, presentata in formazione, richiamata nelle comunicazioni periodiche. Le banche più avanti sull'applicazione del D.Lgs. 24/2023 (riferimento normativo) investono in comunicazione interna quanto in tecnologia.

Un sistema tecnico che produca automaticamente le prove del rispetto delle scadenze. Timestamp di ricezione, timestamp di conferma, log delle azioni, export firmato. Senza automazione, il rispetto dei sette giorni è una promessa, non un fatto.

Un audit annuale del canale. Una revisione indipendente — interna o esterna — che verifichi la conformità tecnica, organizzativa e documentale, e produca un report destinato al Collegio sindacale e all'autorità di vigilanza competente.

Per i responsabili compliance che devono implementare questi presidi, può essere utile confrontare i requisiti del Decreto con le funzionalità di un sistema pensato per il whistleblowing regolamentato: la pagina software per responsabili della compliance offre un quadro orientativo delle capacità richieste.

Domande frequenti sul whistleblowing per banche e assicurazioni in Italia

Le banche con meno di 10 dipendenti sono obbligate al whistleblowing?

Sì, se operano come enti creditizi o finanziari. Il D.Lgs. 24/2023 esclude la soglia dimensionale dei dieci dipendenti per i soggetti che operano in settori specifici, tra cui i servizi finanziari. Una banca, un intermediario finanziario ex art. 106 TUB, un IMEL, un istituto di pagamento e una compagnia assicurativa sono obbligati anche con organico inferiore a dieci dipendenti, perché la normativa settoriale prevale sul criterio dimensionale generale.

La segnalazione whistleblowing può essere inviata direttamente all'UIF?

No, non è questa la funzione dell'UIF. L'UIF gestisce le segnalazioni di operazioni sospette di riciclaggio e finanziamento del terrorismo ex D.Lgs. 231/2007. Una segnalazione whistleblowing, anche se contiene elementi che potrebbero configurare un'operazione sospetta, segue il perimetro del D.Lgs. 24/2023: viene gestita internamente dal canale dedicato, e solo se la gestione interna non è efficace o se il segnalante lo richiede, può essere trasmessa all'ANAC o alla Procura della Repubblica. Il canale verso l'UIF è parallelo e distinto, e va attivato secondo i criteri dell'antiriciclaggio.

Cosa succede se la banca non rispetta la scadenza di 7 giorni?

Il mancato rispetto della scadenza di sette giorni è una violazione sanzionabile. La sanzione può aggiungersi a quelle di Banca d'Italia o IVASS per carenze organizzative e procedurali. La raccomandazione operativa è dotarsi di un sistema che generi automaticamente la conferma di ricezione, senza dipendere da processi manuali soggetti a ritardi.

L'identità del segnalante può essere rivelata al datore di lavoro?

No, se non con il consenso espresso del segnalante o quando la disclosure è indispensabile alle autorità giudiziarie nell'ambito di indagini penali. Il D.Lgs. 24/2023 prevede la tutela della riservatezza anche all'interno dell'organizzazione: il gestore del canale e i soggetti autorizzati a conoscere l'identità del segnalante sono tenuti a non diffonderla. La violazione di questo obbligo è sanzionata anche sotto il profilo penale nei casi più gravi.

Le compagnie assicurative e riassicurazioni gestiscono le segnalazioni whistleblowing in modo diverso?

No, la disciplina è la stessa del D.Lgs. 24/2023 e si applica integralmente anche alle imprese di riassicurazione con sede legale in Italia. IVASS esercita la propria vigilanza sull'effettiva operatività del canale, sul rispetto delle scadenze e sulla tenuta del registro, secondo le proprie metodologie di supervisione. La pagina dedicata al whistleblowing per IVASS e banche approfondisce le interazioni tra i due regimi di vigilanza.

Una segnalazione whistleblowing anonima vale quanto una segnalazione nominativa?

Sì, ai fini della lavorazione il D.Lgs. 24/2023 equipara le due. Anzi, in molti contesti finanziari l'anonimato è preferibile perché riduce il rischio di ritorsioni e aumenta la propensione alla segnalazione. La differenza pratica è solo nella modalità di comunicazione con il segnalante: in caso di anonimato, il riscontro avviene attraverso il canale cifrato del sistema, senza dover ricorrere a email o altri strumenti che rivelino l'identità.

Fonti