Linee guida ANAC whistleblowing sui canali interni: cosa devono fare le imprese

Che cosa sono le linee guida ANAC n. 1/2025

L'ANAC (Autorità nazionale anticorruzione) è l'autorità che vigila sul whistleblowing e sanziona le violazioni del d.lgs. 24/2023. Nel 2023 aveva adottato linee guida soprattutto sul canale esterno, gestito dalla stessa Autorità (delibera n. 311 del 12 luglio 2023).

Con la delibera n. 478 del 26 novembre 2025 ha approvato, dopo una consultazione pubblica e il parere del Garante privacy, le prime linee guida dedicate ai canali interni: quelli che imprese ed enti devono attivare al proprio interno. Con la delibera n. 479 di pari data ha aggiornato anche le linee guida del 2023 sul canale esterno.

Le linee guida non sono una legge: sono indicazioni dell'Autorità che vigila e sanziona. Discostarsene non è vietato in sé, ma rende più difficile dimostrare, in caso di controllo, che il canale è conforme.

Chi deve applicarle

Le linee guida riguardano tutti i soggetti obbligati ad attivare un canale interno: enti pubblici e imprese private. Nel settore privato sono obbligate, come spiegato nell'articolo su quali imprese private devono attivare il whistleblowing:

• le imprese con una media di almeno 50 lavoratori subordinati nell'ultimo anno;
• le imprese dei settori regolati dall'Unione europea elencati nel decreto, a prescindere dalle dimensioni;
• le imprese che hanno adottato un modello 231, anche con meno di 50 dipendenti.

Per le imprese che hanno già un canale, le linee guida sono l'occasione per verificarlo; per quelle che non l'hanno ancora, sono la base da cui partire.

Il confronto con i sindacati

Il d.lgs. 24/2023 prevede che il canale interno sia attivato "sentite" le rappresentanze sindacali. Le linee guida chiariscono che si tratta di un coinvolgimento solo informativo: l'impresa non deve raggiungere un accordo.

In pratica l'impresa:

• invia un'informativa alla RSA o alla RSU o, se mancano, alle sedi territoriali delle organizzazioni sindacali comparativamente più rappresentative;
• descrive gli elementi principali del canale: come si segnala, come si gestisce la segnalazione, chi è il gestore, come è formato, come verrà fatto conoscere il canale;
• lo fa prima di approvare l'atto organizzativo o l'aggiornamento del modello 231, assegnando un termine per le osservazioni e la disponibilità a un incontro.

Le osservazioni dei sindacati non sono vincolanti e il termine non è perentorio. Saltare del tutto questo passaggio, invece, espone a sanzione.

Come si presenta la segnalazione: forma scritta e orale

L'impresa deve garantire entrambe le modalità, e il canale deve essere accessibile a tutti i possibili segnalanti, compresi consulenti, collaboratori e fornitori.

Forma scritta. La soluzione raccomandata è una piattaforma informatica dedicata, configurata per cifrare i dati e per mantenere un dialogo riservato con il segnalante tramite un codice identificativo noto solo a lui. In alternativa si può usare la posta cartacea con il sistema delle tre buste: una con i dati del segnalante, una con la segnalazione, entrambe dentro una terza busta chiusa con la dicitura "riservata" indirizzata al gestore.

La posta elettronica, ordinaria o certificata, è considerata di per sé non adeguata a garantire la riservatezza, salvo specifiche contromisure; il rischio aumenta se si usa una casella del sistema aziendale, che genera registri di accesso consultabili da altri.

Forma orale. Sono ammessi linee telefoniche, sistemi di messaggistica vocale o un incontro diretto su richiesta del segnalante. La segnalazione orale si registra solo con il consenso del segnalante; altrimenti il gestore redige un resoconto o un verbale, che il segnalante può verificare e sottoscrivere.

Il gestore delle segnalazioni

Il gestore può essere una persona o un ufficio interno dedicato, oppure un soggetto esterno. Le linee guida insistono su tre requisiti:

• autonomia: imparzialità e indipendenza. Gli organi di vertice non devono avere poteri di supervisione sull'istruttoria né la decisione finale su di essa;
• formazione specifica sul whistleblowing, sulla protezione dei dati e sulla gestione dei conflitti di interessi;
• gestione dei conflitti di interessi: va individuato in anticipo un sostituto per i casi in cui il gestore è coinvolto nella segnalazione o è assente a lungo.

Il gestore può farsi aiutare da un gruppo di supporto indicato nell'atto organizzativo o nel modello 231. Negli enti più grandi il ruolo di gestore non dovrebbe coincidere con quello di DPO; negli enti più piccoli la sovrapposizione è possibile, con una motivazione adeguata.

Le fasi di gestione e i tempi

Le linee guida descrivono le attività del gestore in quattro passaggi:

1. avviso di ricevimento al segnalante entro 7 giorni dalla presentazione;
2. esame preliminare: verifica che chi segnala e il fatto segnalato rientrino nel d.lgs. 24/2023; se mancano i requisiti, la segnalazione può essere trattata come segnalazione ordinaria, informandone il segnalante;
3. istruttoria: verifiche sui fatti, anche con l'aiuto di altre funzioni interne o di consulenti esterni, senza rivelare l'identità del segnalante;
4. riscontro al segnalante entro 3 mesi dall'avviso di ricevimento (o, se manca l'avviso, dalla scadenza dei 7 giorni).

Se la segnalazione arriva a una persona diversa dal gestore, questa la trasmette al gestore entro 7 giorni, avvisando il segnalante.

Le segnalazioni anonime possono essere trattate come segnalazioni ordinarie, se l'impresa lo prevede, ma vanno comunque registrate e conservate: se in seguito il segnalante viene identificato e subisce ritorsioni, gode delle tutele del decreto.

Segnalazioni e documentazione si conservano per il tempo necessario e comunque non oltre cinque anni dalla comunicazione dell'esito finale.

Condivisione del canale e fornitori della piattaforma

Le imprese private con non più di 249 dipendenti possono condividere il canale interno con altre imprese, per esempio nello stesso gruppo. Serve un contratto tra le imprese; la piattaforma può essere unica ma separata per ciascuna, e ogni impresa nomina un proprio gestore. Ai fini privacy le imprese che condividono il canale sono contitolari del trattamento.

Qualunque impresa, anche grande, può invece affidare a un fornitore esterno la sola infrastruttura informatica, in cloud o installata presso di sé, con un contratto che ne disciplini il funzionamento e la sicurezza. Il fornitore della piattaforma va designato responsabile del trattamento.

Imprese con modello 231

Per le imprese che hanno adottato un modello 231 le linee guida richiedono che:

• il canale interno e le procedure di gestione siano previsti nel modello (art. 6, comma 2-bis, d.lgs. 231/2001);
• il modello esprima chiaramente il divieto di ritorsione;
• il sistema disciplinare sia aggiornato con sanzioni per chi commette le violazioni punite dall'ANAC, come ritorsioni o violazioni della riservatezza.

Secondo l'ANAC, un modello non adeguato a queste regole rischia di non avere efficacia esimente. Le imprese senza modello 231 sono invitate a integrare il codice etico o i regolamenti interni con i doveri collegati al whistleblowing.

Formazione e informazione

Le linee guida raccomandano due livelli di formazione: quella specifica per chi gestisce le segnalazioni e quella rivolta a tutto il personale, interno ed esterno. L'impresa deve anche pubblicare informazioni chiare su canale, procedure e presupposti per segnalare, nel sito e nei luoghi di lavoro, compreso il rinvio al canale esterno dell'ANAC.

Errori da evitare

• Considerare il passaggio con i sindacati un accordo da negoziare, o al contrario saltarlo: va fatto, ma è solo informativo.
• Attivare solo la forma scritta: anche quella orale è obbligatoria.
• Usare la casella e-mail aziendale come canale.
• Dare all'amministratore il potere di decidere sull'istruttoria: il gestore deve essere autonomo.
• Non prevedere un sostituto del gestore per i casi di conflitto di interessi.
• Non aggiornare il modello 231 e il sistema disciplinare.

Esempio pratico

Una srl della provincia di Ancona con 70 dipendenti e un modello 231 usa come canale una casella e-mail interna gestita dall'ufficio del personale.

Alla luce delle linee guida ANAC, l'impresa:

1. adotta una piattaforma dedicata con cifratura e codice identificativo per il segnalante, e una linea per le segnalazioni orali;
2. affida la gestione a un soggetto esterno formato, indicando un sostituto per i casi di conflitto;
3. invia l'informativa alla RSU prima dell'aggiornamento del modello 231, con un termine per le osservazioni;
4. aggiorna il modello 231 e il sistema disciplinare;
5. pubblica le informazioni sul canale nel sito e nella bacheca aziendale e forma il personale.

Senza questi interventi l'impresa rischierebbe una sanzione dell'ANAC da 10.000 a 50.000 euro per procedure non conformi, oltre a un modello 231 più difficile da difendere.

Riferimenti normativi e di prassi

• D.lgs. 10 marzo 2023, n. 24, artt. 4, 5, 14 e 21
• D.lgs. 8 giugno 2001, n. 231, art. 6, comma 2-bis
• ANAC, Linee guida n. 1/2025 in materia di whistleblowing sui canali interni di segnalazione, approvate con delibera n. 478 del 26 novembre 2025
• ANAC, delibera n. 479 del 26 novembre 2025, di modifica delle linee guida approvate con delibera n. 311 del 12 luglio 2023 (canale esterno)

Domande frequenti

Leggi anche

• Whistleblowing: quali imprese private sono obbligate
• Il modello 231 è obbligatorio? Quando la legge lo impone e quando conviene
• Codice etico aziendale: cos'è, a cosa serve e cosa deve contenere

Avv. Alessandro Mancinelli – aggiornato al 7 novembre 2026

Le informazioni hanno carattere generale e non sostituiscono una consulenza sul caso specifico.