Whistleblowing e linee guida ANAC: che cosa chiedono le delibere 478 e 479 sui canali di segnalazione

EcosAgile relatore 00:00

L'obiettivo di questo webinar è riprendere il tema del whistleblowing in relazione alle linee guida contenute nelle delibere dell'ANAC. Le delibere sono essenzialmente due, la 478 e la 479 del novembre 2025. Definiscono e dettagliano alcuni aspetti delle delibere precedenti e delle norme precedenti sul whistleblowing.

Il tema nasce in un quadro europeo, applicato in Italia con il Decreto Legislativo 24 del 2023, e ha coinvolto anche le indicazioni del Garante per quanto riguarda il GDPR. L'ANAC è l'autorità che ha in carico l'applicazione, ma anche le sanzioni e il controllo.

Si tratta di puntualizzazioni e di aggiornamenti che riguardano l'Italia. Se devi essere conforme, lo devi essere secondo la normativa italiana: il whistleblowing parte da un'indicazione europea, ma poi deve essere declinato. Lo scopo non è tanto implementare un processo gestionale, quanto essere conformi alle indicazioni date. Se non sei conforme a quello che dicono l'ANAC e il GDPR, quello che stai facendo è inutile. Bisogna essere estremamente precisi rispetto a quello che indicano le delibere.

EcosAgile relatore 02:32

Da parte nostra abbiamo fatto una revisione complessiva della piattaforma, controllando che sia applicata correttamente, compresi i messaggi. Abbiamo aggiornato anche la documentazione di supporto: la manualistica e la DPIA relativa alla piattaforma.

La DPIA, il documento di valutazione d'impatto sulla protezione dei dati, definisce nel dettaglio come funziona la piattaforma: i criteri di sicurezza, i canali, i diritti, i profili, le notifiche, la cifratura e la logica di anonimizzazione. Non è più un elemento accessorio: nel video è detta obbligatoria, addirittura prima dell'istituzione del canale. Prima di istituirlo, il canale deve avere questa valutazione, formalizzata e provata. Serve quella dell'azienda e quella del fornitore. Ne parliamo più avanti con maggior dettaglio.

EcosAgile relatore 04:31

Un altro aspetto introdotto riguarda le comunicazioni. È necessario formalizzare una comunicazione verso le rappresentanze sindacali. Non è un passaggio accessorio: va formalizzato, per esempio con una PEC, alla rappresentanza sindacale aziendale o territoriale o, se non sono presenti, a quella di maggiore rappresentatività. È indispensabile tracciarlo, per dare spazio alla rappresentanza di fare un eventuale approfondimento.

La rappresentanza sindacale non ha un diritto di veto o di vincolo, ma deve essere messa nelle condizioni di dare le sue raccomandazioni e di avere un'interlocuzione. Il suo parere non è vincolante, ma il passaggio è vincolante. È uno dei punti fondamentali della 478. Si può dare alla rappresentanza un tempo limite per chiedere un incontro o un approfondimento, ma il passaggio va formalizzato.

Sono dettagli che non sono gestionali: servono a rispondere alla normativa. Più avanti rivedremo come alcuni passaggi sono gestiti sulla piattaforma.

EcosAgile relatore 06:39

Buona parte delle due delibere riguarda aspetti organizzativi. Alcuni riguardano la piattaforma, altri aspetti più normativi. Noi siamo una società che fornisce il software e non facciamo consulenza legale, ma è importante richiamare questi punti.

L'aspetto organizzativo comprende la governance dei ruoli, la gestione della riservatezza nelle comunicazioni, la protezione del segnalante, i conflitti di interesse e le assenze. I canali devono essere presidiati, con un'attribuzione legata all'ente giuridico: ogni società all'interno di un gruppo deve avere il suo canale presidiato da un gestore.

Il gestore deve essere autonomo, cioè non controllato nel suo lavoro dall'organo direttivo della società. Deve essere autonomo nella valutazione e nell'istruttoria, imparziale e formato. Le delibere insistono sulla formazione di chi gestisce il canale: deve essere dimostrabile che è un soggetto competente sul tema, tipicamente con una competenza giuridica.

Chi gestisce il canale non è chi emette sanzioni o provvedimenti. Fa l'istruttoria: raccoglie la segnalazione, la verifica, valuta la pertinenza e apre l'istruttoria, che può includere la raccolta di informazioni, con accessi a basi dati, interviste e altro. Deve essere nelle condizioni, per carico di lavoro, ruolo e competenze, di svolgerla, senza conflitti di interesse e con continuità.

Sulla continuità le delibere precisano che va nominato in anticipo un sostituto, o più sostituti, perché non ci sia un'interruzione per assenza. Viene indicato un termine di sette giorni. Il sostituto va indicato a priori e deve avere le stesse caratteristiche del gestore: competenza, autonomia, imparzialità. Va quindi definito in anticipo e validato.

Tutto questo deve stare in un documento aziendale, un atto organizzativo, che dice come è organizzato il canale, chi ha quali ruoli e quali sono i canali di comunicazione.

EcosAgile relatore 10:55

Il conflitto di interesse è un tema emerso spesso, e la delibera lo tratta in una sezione dedicata. Prima di tutto deve essere previsto che, in caso di conflitto di interesse, il gestore si astenga e passi la gestione della segnalazione a qualcun altro. Il conflitto c'è anche quando il gestore non è il destinatario della segnalazione ma è potenzialmente coinvolto come soggetto interessato, come testimone, come parte del processo o delle unità coinvolte. Questo va scritto chiaramente nelle nomine, negli incarichi e nella normativa interna.

Un caso utile è la definizione di un comitato di gestione delle segnalazioni. Con un comitato di, per esempio, tre persone si soddisfa più facilmente sia il requisito di continuità, cioè la sostituzione, sia la gestione dei conflitti di interesse. L'ANAC dice espressamente di prevedere che il soggetto con un potenziale conflitto si astenga all'interno del comitato: con un comitato di tre persone, se una deve astenersi ci sono comunque le altre a controllare. Questa forma funziona abbastanza bene sia per le sostituzioni sia per i conflitti di interesse.

EcosAgile relatore 12:44

I gestori possono essere interni o esterni. Se sono esterni, per esempio un legale esterno o un organismo esterno, ci deve essere un contratto preciso che formalizza ruoli e responsabilità. Se è interno va bene, purché sia garantita l'autonomia e l'indipendenza rispetto agli organi direttivi della società.

Devono essere gestori specifici dell'ente giuridico. Nel caso di un gruppo, ogni società deve indicare chi sono gli attori: non può essere nominato un gestore unico per tutto il gruppo. Nel caso di un gruppo con soggetti non italiani, non va bene demandare la gestione all'estero: devono esserci gestori italiani, e l'ANAC fa riferimento formalmente alla società italiana, soprattutto quando la segnalazione parte dall'Italia.

Ci sono poi i ruoli privacy. Se il modello prevede un gestore esterno, questo deve essere nominato responsabile del trattamento, così come il gestore della piattaforma, cioè noi. Se durante l'istruttoria la società coinvolge altri soggetti, per esempio la capogruppo, è importante che anche questo venga formalizzato, perché quei soggetti possono essere coinvolti nei dati e nelle informazioni della segnalazione, e serve la massima riservatezza. Resta la possibilità, interna o esterna, di mantenere la responsabilità a livello dell'ente giuridico.

I gestori possono essere uno o più di uno, purché rispettino le caratteristiche viste: competenti, formati, indipendenti, imparziali, e dimostrabili nell'atto di nomina.

EcosAgile relatore 16:15

Nella piattaforma c'è una sezione di reportistica generale di controllo. Serve perché da un lato si gestiscono le segnalazioni e dall'altro si controlla il processo. La responsabilità del funzionamento del whistleblowing, cioè che sia attivo, che operi nei tempi previsti e che la sua struttura sia conforme per attori e responsabilità, resta in capo all'organo direttivo della società. Il gestore risponde del suo lavoro, ma del canale risponde la società.

Esiste quindi una reportistica generale: quante segnalazioni, in che tempi, chi ha risposto. Dovrebbe essere controllata da un responsabile o dirigente che appartiene all'organo direttivo, perché alla società resta la responsabilità che il canale sia operativo, non solo in termini informatici ma di processo. Dal punto di vista tecnico ci sono due profili per creare utenti che possono controllare il canale.

Le tempistiche di riferimento sono due. Entro sette giorni occorre dare un riscontro al segnalante: non è l'esito, ma il fatto che la segnalazione è stata accettata o meno. Entro tre mesi si comunica la conclusione dell'istruttoria, durante la quale la società svolge la sua attività con il coinvolgimento di tutti i soggetti interessati, interni ed esterni, compresa la segnalazione eventualmente alle autorità competenti.

EcosAgile relatore 19:01

Il canale deve essere rivolto a tutti e deve avere una gestione strutturata. Si deve poter dimostrare che questi elementi di governance sono stati applicati, con evidenze documentali: il canale deve avere una disposizione organizzativa che definisce gli attori e le caratteristiche, in coerenza con altra documentazione come la DPIA e l'interlocuzione con le associazioni sindacali.

Per le società che hanno la 231 viene detto espressamente di controllare la coerenza della 231 con il whistleblowing. Bisogna verificare quali aspetti disciplinari sono regolamentati, perché riguardano i gestori e tutti i soggetti coinvolti: l'anonimato e la riservatezza nella gestione, la protezione del segnalante, che non deve subire ritorsioni, e la gestione attenta di possibili rischi o comunicazioni di ritorsioni.

Un aspetto riguarda anche il segnalante. Le segnalazioni non pertinenti vengono chiuse. Ma se si fanno segnalazioni a danno di altri, mentendo, il segnalante potrebbe a sua volta essere segnalato. Anche questo va previsto.

EcosAgile relatore 21:42

Il tema dei canali condivisi è abbastanza complicato. Riguarda i contesti in cui ci sono più società all'interno di un gruppo, e le delibere danno indicazioni di tipo numerico. Si parla del numero medio annuo di dipendenti con rapporto subordinato, a tempo determinato o indeterminato. Le soglie sono due.

Chi ha meno di 50 persone potrebbe non istituire il canale. Se però si applica la 231, il canale è necessario anche con meno di 50 persone. Se la 231 è attiva, la raccomandazione è di fare un canale unico, basato sui requisiti del whistleblowing, che sono più restrittivi. La 231 ha previsto di recente anche lei un canale di comunicazione obbligatorio, ma le delibere dell'ANAC indicano che, per semplicità, non conviene farne due. Il canale whistleblowing ha requisiti nettamente più stringenti: cifratura, anonimizzazione, non tracciatura dei log. La raccomandazione è quindi di andare in quella direzione.

Per i soggetti tra 50 e 249 dipendenti medi, inclusi, è possibile gestire canali condivisi all'interno del gruppo. Con un gruppo di tre società si può gestire un canale condiviso, separando molto bene le responsabilità: deve essere chiaro chi è responsabile di cosa, perché la responsabilità resta in capo all'ente giuridico. È una semplificazione in termini di costi di implementazione, molto ben precisata nella 478.

Da 250 dipendenti in su il canale condiviso non è permesso, e questo ora è chiarito molto bene. Se in un gruppo ci sono due società da 100 persone e una da 300, la società da 300 non può stare nella stessa gestione: va su un canale separato, mentre le altre possono stare su un canale condiviso ben partizionato. Si ragiona sempre per singola società: tre società con meno di 50 persone potrebbero non avere l'obbligo.

C'è un punto di attenzione introdotto in modo molto chiaro. Se l'azienda non istituisce il canale, le segnalazioni vanno comunque all'ANAC: non è che non vengano fatte. Anche per chi ha meno di 50 dipendenti, se ci sono rischi in questo senso è opportuno avere il canale: altrimenti il canale diventa necessariamente quello predisposto dall'ANAC, e l'azienda si apre a un interlocutore esterno.

EcosAgile relatore 26:23

Sulla DPIA: la DPIA deve essere fatta. Tra i documenti forniamo una DPIA che è un buon supporto alla predisposizione, perché abbiamo cercato di trattare tutto ciò che riguarda la piattaforma. Resta però un documento che l'azienda deve produrre, anche se con il supporto del nostro.

Nelle delibere alcune cose non sono date in assoluto come vincolo indispensabile, ma come fortemente raccomandate. La DPIA è praticamente diventata un requisito.

C'è poi un'altra cosa che questa volta viene esclusa in modo molto forte: le comunicazioni via email e via PEC. Non devono più essere previste. Vengono considerate solo in casi di assoluta eccezione, espressamente indicati, e non sono più un canale considerabile.

EcosAgile relatore 27:48

Vi faccio vedere come funziona la piattaforma, riprendendo anche alcuni punti già trattati. Il primo punto è come si predispone il canale: di fatto è un link. La raccomandazione dell'ANAC è che sia facilmente raggiungibile. Va indicato nelle comunicazioni, con informazione e formazione secondo i canali dell'azienda, e va messo nelle normative. Tipicamente si crea una sezione nel sito, in un punto facile da vedere, perché non si parla solo di dipendenti o di personale dell'azienda, ma di chiunque. Per gli esterni il link va nel sito, ben raggiungibile; per gli interni, nei canali di comunicazione aziendali.

Dal link si accede alla sezione di segnalazione. Si indica la società: ci può essere uno o più soggetti, nei limiti della condivisione del canale vista prima. Qui, per esempio, non potrei mettere una società da 300 persone nello stesso canale condiviso. Si indica dove si è verificato l'evento. Poiché è un canale pubblico, senza utente e password, ci sono controlli anti-spam, e c'è il riferimento alla normativa privacy.

Nella segnalazione si inseriscono le informazioni: la causale a cui ci si riferisce, che può essere personalizzata e dettagliata ma è già in linea con la normativa e le direttive, e che è associata ai vari canali. In base alla società scelta, vengono associati i gestori, che hanno tutte le caratteristiche viste prima. Poi l'oggetto, la data, la descrizione, il luogo fisico e la possibilità di mettere allegati.

Dopo la segnalazione si riceve un codice, che permette di rivedere le segnalazioni già fatte e di interloquire con l'azienda. Siccome tutto deve essere anonimo, non possono girare email: le email non sono cifrate, sono facilmente intercettabili e tracciate in tutti i passaggi, quindi non garantiscono l'anonimato. La PEC, a maggior ragione, è totalmente tracciata: non permette l'anonimato, per questo non va bene. La segnalazione deve essere recepita senza tracciare gli IP e senza tracciare i log. Al segnalante non si risponde con una email ma con un codice, che permette una comunicazione simile a una chat, ma protetta. Il segnalante scrive o controlla le sue comunicazioni inserendo il codice e trova la segnalazione, il riscontro entro i sette giorni e le altre comunicazioni scambiate con la società. Può così seguire lo sviluppo ed essere informato.

EcosAgile relatore 32:36

Quando una segnalazione viene inserita, parte una email al gestore. La email non contiene nessuna informazione e non è immediata: avviene in modo asincrono, entro una giornata, in modo da non essere facilmente collegabile all'evento di segnalazione. È semplicemente la notifica al gestore che ha una segnalazione da vedere. Poi il gestore deve collegarsi con le sue credenziali, con un'autenticazione che normalmente è a due fattori, e accedere alla sezione di gestione.

C'è una pagina con la reportistica di controllo, pensata per la direzione, per il controllo del processo. Qui non è possibile vedere dati sensibili: si vede quante segnalazioni arrivano e ci sono indicatori sulle tempistiche, per esempio se si rispettano i sette giorni per la presa in carico e i tempi di chiusura. Si controlla che il canale sia attivo, ma non si può entrare nel merito del contenuto.

Il gestore ha invece un suo accesso alle segnalazioni che gli sono state fatte. Riceve la notifica, entra e le vede. Se c'è un conflitto di interesse può rimandare la segnalazione, se ritiene che l'attribuzione non sia corretta. L'attribuzione può essere fatta a più persone che hanno i diritti di gestione, e ciascuna vede solo le proprie segnalazioni: serve per garantire, in caso di comitato, anche l'aspetto del conflitto di interesse. Normalmente l'attribuzione avviene in base alla causale e alla società, ma per alcune segnalazioni, per gestire il tema del conflitto di interesse, si attribuisce il responsabile a mano.

Nella sezione sotto c'è l'indicazione per il segnalante: il riscontro deve arrivare entro sette giorni, e il sistema manda una serie di promemoria prima della scadenza per aiutare a rispettare le tempistiche del processo. La segnalazione può passare alla fase di istruttoria, cioè di lavorazione, oppure essere respinta, sospesa o inoltrata. Ci sono gli allegati e le comunicazioni.

La gestione interna è importante perché è uno dei punti fondamentali che vengono controllati in una verifica sul canale. Non basta mettere il canale: bisogna dimostrare che le segnalazioni sono svolte e presidiate. L'istruttoria prevede prima la verifica di pertinenza e poi tutti i passaggi necessari: approfondimenti documentali, approfondimenti con altre persone o reparti, raccomandazioni.

Il gestore non si occupa di sanzioni o di aspetti disciplinari. Prepara le sue conclusioni, fa le verifiche e le raccomandazioni e attiva gli organi necessari. Poi la segnalazione deve essere passata, se serve, all'organismo disciplinare, oppure segnalata ad autorità esterne, oppure deve dare seguito a una revisione documentale o procedurale fatta dagli enti preposti. Tutti questi passaggi sono tracciati, in modo che in fase di controllo non ci siano ambiguità e si veda che l'istruttoria è stata fatta in modo conforme dal soggetto preposto.

Esiste anche una sezione dei soggetti informati: si possono nominare o definire altre persone interessate alla comunicazione. È interessante perché, se ricevo la segnalazione e coinvolgo altre persone al di fuori della piattaforma, esco dalla gestione controllata. Farlo dentro la piattaforma permette di applicare tutti i controlli di cifratura, l'autenticazione a due fattori e la logica di chi vede e chi non vede.

EcosAgile relatore 38:24

Un soggetto non italiano non è necessariamente non a norma, ma è tipicamente molto difficile che lo sia, perché deve seguire tutto l'aspetto normativo italiano secondo le tempistiche dettate da queste delibere. L'inizio di questa frase non è chiaro nella registrazione.

Non si tratta di scegliere una piattaforma che faccia più o meno le segnalazioni: è un tema normativo, un obbligo. Il tema ha le sue motivazioni di trasparenza e di miglioramento della gestione dei rapporti delle società, assolutamente razionali e condivisibili. Ma dal punto di vista aziendale si tratta di usare uno strumento che stia in piedi.

Le sanzioni vanno da 10.000 a 50.000 euro e riguardano la non conformità dell'organizzazione predisposta: la struttura organizzativa, la rispondenza ai vari parametri, la tracciatura. Ogni nazione implementa il tema secondo le sue disposizioni: qui è fondamentale applicare quella italiana, altrimenti il discorso non sta in piedi.

EcosAgile relatore 40:04

La delibera 478 tratta espressamente la comunicazione orale. Da un lato non è possibile esimersi dalla modalità orale. Dall'altro la sola comunicazione orale non basta: viene considerata troppo limitante. Non deve essere necessariamente fatta di persona. Noi abbiamo previsto nella piattaforma la registrazione: il segnalante registra la comunicazione orale e la invia, e alla registrazione applichiamo una distorsione. È un canale di comunicazione orale che viene così già risolto come requisito all'interno della piattaforma.

Si può mettere anche, volendo, una segreteria o altro. Ma allora nell'atto organizzativo va detto chi la presidia e come si mantiene riservata la registrazione. Va previsto anche che il segnalante possa chiedere un incontro: lo può chiedere all'interno della sua segnalazione e gli deve essere permesso un incontro di persona. Ci si deve preparare anche a questo.

Quanto ai gruppi, il canale condiviso si può gestire, come ho mostrato, purché nell'atto organizzativo si prevedano molto chiaramente i responsabili, i sostituti, le competenze. Non si può avere un unico responsabile: la responsabilità deve essere chiara nelle nomine delle diverse società. Più complicato è il caso del gruppo internazionale: non si può delegare all'estero la gestione, e restano comunque soggetti italiani.

EcosAgile relatore 43:11

Riassumo i punti da verificare. Il primo riguarda la definizione degli incarichi: la nomina dei gestori deve essere reale, ci devono essere i sostituti, e devono essere chiare nelle nomine la gestione dei conflitti di interesse e la gestione delle assenze. Se l'assenza supera i sette giorni, la società deve avere una forma di gestione del subentro. La formazione e le competenze del gestore sono una delle prime cose e non vanno sottovalutate.

Va definito chi vede i contenuti e chi vede i KPI, cioè gli aggregati. Anche qui serve un presidio, perché i KPI sono una responsabilità aziendale: sono il controllo del processo.

Poi la DPIA. Per i nostri clienti abbiamo aggiornato tutta la documentazione, compresa la DPIA: è online e ve la forniamo. Bisogna fare una revisione a seguito delle delibere dell'ANAC di cui parliamo, la 478 e la 479: vanno citate, e vanno controllati e aggiornati i documenti. Se avete la 231, oltre all'atto organizzativo va aggiornato anche il modello organizzativo gestionale della 231. Infine si guarda la formazione dei gestori.

EcosAgile non è solo whistleblowing: è una suite completa per la gestione dei processi delle risorse umane. Vi ringraziamo della partecipazione, trovate i nostri riferimenti insieme al prodotto presentato oggi. Aspettiamo al prossimo webinar.