Con la delibera n. 478 del 26 novembre 2025, ANAC ha approvato le nuove Linee guida in materia di whistleblowing sui canali interni di segnalazione, completando e integrando il quadro delineato dal d.lgs. 10 marzo 2023, n. 24, di attuazione della Direttiva (UE) 2019/1937. Nella stessa data, l’Autorità ha inoltre modificato e integrato la delibera n. 311 del 12 luglio 2023 relativa alle segnalazioni esterne, al fine di allinearla alle nuove indicazioni sui canali interni e di superare alcune criticità emerse nella prima fase applicativa del decreto.

I provvedimenti si inseriscono in continuità con l’orientamento interpretativo maturato dopo il recepimento del d.lgs. n. 24/2023, rafforzandone l’impianto operativo. In particolare, la delibera n. 478/2025 fornisce indicazioni puntuali su profili centrali della disciplina: progettazione, attivazione e gestione dei canali interni; modalità di segnalazione; ruolo e requisiti del gestore; sistema sanzionatorio; obblighi di condotta per enti pubblici e privati; formazione e funzione di supporto riconosciuta agli Enti del Terzo Settore.

L’intervento muove dalle evidenze emerse nel monitoraggio 2023–2024 e dalla consultazione pubblica avviata nel novembre 2024: le principali criticità non derivano da lacune normative, bensì da modalità di implementazione dei canali interni spesso inadeguate, percepite come fattori di rischio legale più che come strumenti strategici di compliance, trasparenza e legalità. In questa prospettiva, le nuove Linee guida rafforzano la fase di progettazione e gestione dei canali, ponendo le basi per un’applicazione effettiva degli obblighi.

Canali interni: disciplina e atti organizzativi

Con riferimento al settore privato—dove l’ambito oggettivo delle segnalazioni è limitato alle violazioni del diritto UE e a quelle del modello di organizzazione e gestione ex d.lgs. n. 231/2001—le Linee guida chiariscono che i canali devono essere disciplinati da appositi atti organizzativi o, per chi ne è dotato, integrati nel MOG 231. Tali atti devono indicare canali disponibili, modalità di utilizzo, violazioni segnalabili, tutele del segnalante e modalità di attivazione delle stesse. La loro adozione e aggiornamento devono avvenire con il coinvolgimento delle organizzazioni sindacali comparativamente più rappresentative; l’omissione comporta non conformità e l’esposizione a sanzioni da 10.000 a 50.000 euro (art. 21 d.lgs. n. 24/2023).

Modalità di segnalazione e tutela della riservatezza

ANAC ribadisce la centralità del canale interno quale presidio prioritario di emersione degli illeciti, in ragione della sua prossimità alla fonte delle violazioni. Il ricorso al canale esterno resta sussidiario e subordinato alle condizioni previste dal decreto (assenza o non conformità del canale interno, inerzia a fronte di segnalazioni fondate, fondato timore di ritorsioni).
Ferma la discrezionalità organizzativa, l’Autorità individua nelle infrastrutture informatiche dedicate—anche fornite da terzi, in cloud o on-premise—la soluzione più idonea a garantire integrità e riservatezza dei flussi informativi, assicurando l’applicazione dei principi di privacy by design e by default (art. 25 GDPR). Canali alternativi (email, PEC, linee telefoniche, messaggistica vocale) sono ammissibili solo se supportati da rigorose misure tecniche e organizzative e preceduti da una DPIA ex art. 35 GDPR.

Nomina del gestore del canale

Ai sensi dell’art. 4, comma 2, d.lgs. n. 24/2023, il gestore può essere interno o esterno. ANAC raccomanda particolare attenzione al cumulo di incarichi: nelle organizzazioni medio-grandi o complesse, la funzione di DPO non dovrebbe coincidere con quella di gestore del whistleblowing, per evitare conflitti e preservare l’indipendenza dei ruoli. Per enti di piccole dimensioni è ammessa, in via eccezionale e motivata, la concentrazione delle funzioni, previa valutazione ad hoc.

Gestione della segnalazione: tempi e fasi

Le Linee guida definiscono tempi certi e obblighi di comunicazione lungo l’intero iter:

• Avviso di ricevimento entro sette giorni dalla segnalazione.

• Esame preliminare sulla legittimazione del segnalante e sull’oggetto; se estranea al perimetro del whistleblowing, derubricazione a segnalazione ordinaria con informativa all’interessato.

• Istruttoria con attività di verifica, anche tramite strutture interne o consulenti esterni, nel rispetto della riservatezza e con trasmissione di esiti o estratti anonimizzati.

• Riscontro al segnalante entro tre mesi dalla comunicazione di ricevimento.

• Conservazione della documentazione per un massimo di cinque anni dalla comunicazione dell’esito finale.

Profili disciplinari e sanzionatori

La disciplina individua specifiche fattispecie di responsabilità: ritorsioni o condotte ostative (anche tentate), violazioni della riservatezza, carenze organizzative nella istituzione e gestione dei canali, mancato esame delle segnalazioni.

Formazione

Le Linee guida richiamano l’obbligo di attivare iniziative periodiche di formazione e informazione sul whistleblowing, finalizzate a una gestione consapevole delle segnalazioni, al rafforzamento della conoscenza della disciplina e alla tutela del segnalante.

Gruppi societari

È ammessa la gestione centralizzata del canale a livello di holding solo per gruppi con una media di lavoratori subordinati non superiore a 249 nell’ultimo anno. In tali casi è consentito anche l’affidamento esterno della gestione. Per le singole aziende sopra soglia, l’affidamento a un soggetto esterno rappresenta l’unica opzione, con conseguente necessità di definire contrattualmente compiti, poteri e responsabilità del gestore.

Integrazione con i modelli 231

Gli enti dotati di MOG 231 devono adeguarlo al d.lgs. n. 24/2023: previsione di canali conformi, esplicito divieto di ritorsione, aggiornamento del sistema disciplinare. In mancanza, può venir meno l’efficacia esimente del modello. È inoltre raccomandata l’adozione di un canale unico per le segnalazioni rilevanti sia ai fini 231 sia del whistleblowing, per evitare duplicazioni e incertezze.

La conformità alla disciplina sul whistleblowing si consolida così non solo come adempimento obbligatorio, ma come elemento strutturale dei sistemi di compliance, anticorruzione e governance aziendale.