Whistleblowing
Investigazioni interne whistleblowing: guida per il gestore
- Redazione
- Febbraio 2023
- Aggiornato maggio 2026
- 11 min lettura
Share
Hai ricevuto una segnalazione whistleblowing. L’avviso di ricevimento è partito nei sette giorni, la riservatezza è garantita dalla piattaforma. E adesso? È a questo punto che molti gestori si fermano: la fase istruttoria è il passaggio meno regolato dalla legge e quello dove si gioca davvero la conformità dell’intero sistema. Una segnalazione gestita male — archiviata troppo in fretta, motivata in modo generico, condotta senza documentazione — espone l’organizzazione a sanzioni ANAC fino a 50.000 euro e, soprattutto, vanifica lo scopo della procedura.
Da sapere
- L’investigazione interna su una segnalazione whistleblowing non è un’indagine penale: è un‘istruttoria di parte con regole proprie fissate dal D.Lgs. 24/2023 e dalle Linee Guida ANAC n. 1/2025
- Il gestore decide l’esito dell’istruttoria in autonomia, senza supervisione dell’organo di indirizzo sulle singole segnalazioni
- Il riscontro al segnalante va fornito entro 3 mesi dall’avviso di ricevimento — anche in forma interlocutoria nei casi complessi
Le Linee Guida ANAC n. 1/2025, adottate con Delibera n. 478 del 26 novembre 2025, hanno chiarito molti aspetti operativi che prima erano lasciati alla prassi. Sappiamo ora con precisione quanta autonomia ha il gestore, come si articolano le fasi dell’istruttoria, quali esiti sono ammessi e come va trattata la documentazione.
Questa guida ricostruisce il percorso completo dell’investigazione interna sul whistleblowing in sette step operativi, con i riferimenti normativi essenziali e gli errori che è più facile commettere. È pensata per chi gestisce concretamente le segnalazioni: compliance officer, OdV designato come gestore, ufficio interno o soggetto esterno incaricato.
1. Prima di iniziare: la segnalazione è davvero "whistleblowing"?
Il primo passaggio non è investigare, è filtrare. Non tutto ciò che arriva sul canale è una segnalazione whistleblowing ai sensi del D.Lgs. 24/2023, e trattare come whistleblowing una comunicazione che non lo è — o viceversa — è un errore di metodo che inquina tutto il resto.
L’esame preliminare verifica due cose: la legittimazione soggettiva del segnalante e il perimetro oggettivo della segnalazione.
Sul piano soggettivo, l’art. 3 del D.Lgs. 24/2023 include una platea ampia: dipendenti pubblici; dipendenti di enti pubblici economici, società controllate, in house, concessionari; lavoratori subordinati privati; lavoratori autonomi e collaboratori; lavoratori e collaboratori di fornitori; liberi professionisti e consulenti; volontari e tirocinanti; azionisti; soggetti con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza. Le tutele si applicano anche prima dell’inizio del rapporto, durante il periodo di prova e dopo la cessazione, quando le informazioni sono state acquisite nel contesto lavorativo.
Sul piano oggettivo, rientrano le violazioni tutelate dalla normativa: illeciti amministrativi, contabili, civili o penali; violazioni del diritto UE; condotte rilevanti ex D.Lgs. 231/2001; gli altri ambiti dettagliati dall’art. 2.
L’esame preliminare verifica i presupposti soggettivi e oggettivi della segnalazione. Se la comunicazione non è qualificabile come whistleblowing, il gestore può trasmetterla all’ufficio interno competente perché sia trattata, se previsto, come segnalazione ordinaria, dandone comunicazione al segnalante. Anche in questo caso è opportuno mantenere riservata l’identità del segnalante, soprattutto quando questi poteva ragionevolmente attendersi le tutele del canale whistleblowing.
2. Pianificare l'istruttoria: cosa fare nei primi sette giorni
Una volta confermato che la segnalazione è whistleblowing, il gestore organizza l’istruttoria. Non c’è una procedura unica — il D.Lgs. 24/2023 parla di “diligente seguito” (art. 5, comma 1, lett. c) — ma la pianificazione è la fase dove si decide la solidità di tutto ciò che verrà dopo.
Tre cose vanno definite subito:
- Perimetro dell’accertamento. Quali fatti vanno verificati? Quali persone andranno coinvolte? Quali documenti acquisiti? Definirlo in apertura evita che l’istruttoria si espanda in modo non controllato.
- Risorse necessarie. Il gestore può procedere direttamente, oppure coinvolgere strutture interne specializzate (Internal Audit, HR, IT forense), o ancora rivolgersi a consulenti esterni. La scelta dipende dalla complessità tecnica e dal rischio di conflitto di interesse — vedi §5.
- Tempi. Il termine dei tre mesi per il riscontro decorre dall’avviso di ricevimento. Non è perentorio, ma le Linee Guida ANAC chiariscono che è vincolante quanto all’obbligo di riscontro: se l’istruttoria non si può chiudere in tempo, va inviata almeno una comunicazione interlocutoria al segnalante.
In questa fase il gestore può chiedere chiarimenti integrativi al segnalante attraverso il canale (mantenendo la riservatezza dell’identità) o, su richiesta, in un incontro diretto verbalizzato e sottoscritto. Le Linee Guida specificano che le interlocuzioni con il segnalante sono parte integrante dell’istruttoria, non un passaggio accessorio.
3. Condurre l'accertamento: come si raccolgono fatti, documenti e dichiarazioni
L’accertamento sulla fondatezza dei fatti è il cuore dell’investigazione interna. Le Linee Guida ANAC n. 1/2025 indicano due modalità principali, che possono coesistere nello stesso caso:
- Verifiche dirette del gestore: acquisizione di documenti, analisi di dati, audizione del segnalante per integrare elementi informativi.
- Coinvolgimento di altri soggetti: strutture interne (audit, legale, IT, HR) o consulenti esterni quando servono competenze tecniche specifiche — analisi forense informatica, perizie contabili, accertamenti su singoli contesti operativi.
Quattro principi reggono questa fase:
- Riservatezza assoluta. L’identità del segnalante non può essere rivelata ai colleghi coinvolti nell’accertamento senza il consenso espresso del segnalante stesso (art. 12 D.Lgs. 24/2023). Le interlocuzioni con le strutture interne avvengono in forma anonimizzata.
- Tutela del segnalato. La persona o le persone oggetto della segnalazione hanno diritto alla riservatezza fino a quando non emergano elementi tali da giustificare un coinvolgimento formale. Non possono essere comunicate accuse generiche o non ancora verificate.
- Documentazione tracciabile. Ogni step va registrato: chi è stato sentito, quali documenti sono stati acquisiti, quali verifiche tecniche sono state svolte. La piattaforma whistleblowing deve consentire di documentare l’intero percorso istruttorio — non solo la ricezione della segnalazione.
- Proporzionalità. L’accertamento è proporzionato alla gravità e alla verosimiglianza dei fatti. Una segnalazione vaga su un sospetto generico non giustifica audizioni multiple o accessi a sistemi informatici sensibili; una segnalazione circostanziata su un illecito grave richiede una verifica robusta.
4. Diritti del segnalante e del segnalato: il punto più delicato
La gestione dei diritti delle persone coinvolte è il terreno dove le investigazioni interne sbagliano più spesso. Le regole sono diverse per le due parti e vanno tenute distinte.
Il segnalante ha diritto a:
- Riservatezza dell’identità (art. 12), protetta anche nei confronti delle strutture interne coinvolte nell’accertamento;
- Interlocuzione continua con il gestore durante tutta l’istruttoria;
- Riscontro motivato entro tre mesi dall’avviso di ricevimento;
- Protezione da ritorsioni (artt. 17-20), che si applica indipendentemente dall’esito dell’istruttoria, purché la segnalazione fosse fondata su una “ragionevole convinzione” al momento dell’invio.
Il segnalato — la persona indicata come autore dei fatti — ha diritto a:
- Riservatezza nel corso dell’istruttoria, salvo i casi in cui il coinvolgimento sia necessario per l’accertamento;
- Essere sentito: la persona coinvolta può essere sentita nel corso dell’istruttoria e, se lo richiede, deve essere sentita anche mediante osservazioni scritte e documenti;
- Tutela dei dati personali ai sensi del GDPR — non possono essere acquisiti dati eccedenti rispetto alla finalità dell’accertamento.
La persona coinvolta non ha un diritto automatico a conoscere subito l’intero contenuto della segnalazione. Il contraddittorio pieno va garantito soprattutto nei procedimenti conseguenti — ad esempio disciplinari — quando dagli accertamenti derivano contestazioni o misure nei suoi confronti. Il provvedimento del Garante Privacy n. 581/2025 conferma il tema del bilanciamento tra riservatezza, accertamento degli illeciti, diritto di difesa e contraddittorio del segnalato, senza imporre una discovery anticipata della segnalazione nella fase istruttoria whistleblowing.
L’errore più frequente è confondere il livello dell’investigazione interna con quello del procedimento disciplinare: sono due piani distinti, con regole diverse. L’istruttoria whistleblowing accerta i fatti; il procedimento disciplinare — se attivato — è un passaggio separato che si avvia dopo la trasmissione degli atti agli organi competenti.
5. Quando coinvolgere consulenti esterni
Non tutte le investigazioni interne possono essere gestite con risorse interne. Le Linee Guida ANAC riconoscono esplicitamente la possibilità di coinvolgere soggetti specializzati esterni quando servono competenze tecniche o quando l’autonomia del gestore rischia di essere compromessa.
I casi più frequenti in cui rivolgersi all’esterno:
- Analisi forensi informatiche (recupero dati, analisi log, esame dispositivi) — competenza specialistica che richiede strumenti certificati e personale qualificato per produrre evidenze utilizzabili anche in sede giudiziale;
- Indagini contabili e amministrative complesse — frodi, manipolazioni di bilancio, irregolarità su appalti;
- Conflitti di interesse del gestore o di strutture interne potenzialmente coinvolte — quando la segnalazione lambisce funzioni che dovrebbero accertare i fatti;
- Segnalazioni che coinvolgono il vertice aziendale — qui il ricorso a consulenti esterni è praticamente obbligato per tutelare l’autonomia dell’istruttoria.
Il coinvolgimento esterno non solleva il gestore dalla responsabilità dell’istruttoria: il consulente esterno è un supporto tecnico, non un sostituto. La decisione finale sull’esito resta in capo al gestore.
6. Esito dell'istruttoria e riscontro al segnalante
Le Linee Guida ANAC n. 1/2025 individuano tre esiti possibili dell’istruttoria:
- Archiviazione, quando i fatti segnalati non risultano fondati o non rientrano nel perimetro whistleblowing. L’archiviazione va sempre motivata e documentata — è uno dei punti più sensibili in caso di controllo ANAC.
- Accertamento di fondatezza (anche solo nel fumus) e trasmissione agli organi competenti, interni o esterni. Possono essere: l’organo di indirizzo per modifiche organizzative, la funzione disciplinare per provvedimenti sui dipendenti, le autorità giudiziarie per fatti penalmente rilevanti, le autorità di vigilanza di settore.
- Adeguamento delle procedure interne, quando dalla segnalazione emergano carenze di sistema. Il gestore non decide il contenuto delle modifiche — quello è compito dell’organo competente — ma trasmette la relazione finale anonimizzata segnalando il problema.
Le Linee Guida sono chiare su un punto che ribalta una prassi diffusa: l’organo di indirizzo non può supervisionare le singole istruttorie né condizionare l’esito. Il gestore opera in autonomia, riferisce all’organo di indirizzo solo a valle, e l’organo di indirizzo mantiene un ruolo di monitoraggio generale sul funzionamento della procedura, non di controllo sui singoli casi.
Il riscontro al segnalante comunica l’esito dell’istruttoria. Va inviato entro tre mesi dall’avviso di ricevimento e contiene:
- L’esito (archiviazione / trasmissione organi competenti);
- Le motivazioni essenziali — anche sintetiche, ma sostanziali;
- L’indicazione delle eventuali misure adottate o previste.
Se l’istruttoria è particolarmente complessa, il riscontro può essere interlocutorio: il gestore comunica lo stato di avanzamento e i tempi attesi per la chiusura. Ma una segnalazione non può restare senza alcun riscontro oltre i tre mesi senza giustificazione documentata.
7. Conservazione, cancellazione e tracciabilità della documentazione
L’investigazione interna lascia una traccia documentale che va gestita con precisione. Le Linee Guida ANAC e l’art. 14 del D.Lgs. 24/2023 fissano le regole.
La segnalazione e la relativa documentazione sono conservate solo per il tempo necessario al trattamento e comunque non oltre cinque anni dalla comunicazione dell’esito finale al segnalante. I dati personali manifestamente non utili alla specifica segnalazione non devono essere raccolti o, se raccolti accidentalmente, devono essere cancellati immediatamente. Restano distinti gli atti dei procedimenti conseguenti — disciplinari, trasmissioni alle autorità giudiziarie, procedimenti di vigilanza — che possono seguire i propri termini di conservazione, fermo restando l’art. 12 sulla tutela dell’identità del segnalante.
La tracciabilità del processo è un requisito tecnico oltre che organizzativo. La piattaforma whistleblowing deve consentire di documentare ogni step dell’istruttoria — non solo la ricezione della segnalazione e l’invio del riscontro, ma le interlocuzioni intermedie, le verifiche svolte, i documenti acquisiti, le decisioni prese. È su questo livello di documentazione che si misura la conformità in caso di ispezione ANAC.
Errori frequenti che invalidano l'investigazione
Cinque errori che ricorrono nelle istruttorie whistleblowing e che possono compromettere sia la validità degli atti sia la conformità alla normativa:
- Archiviazione non motivata. Chiudere una segnalazione con una formula generica espone a contestazione ANAC. Anche un’archiviazione per infondatezza richiede una motivazione tracciabile.
- Mancata audizione del segnalato che ne ha fatto richiesta. Se la persona coinvolta chiede di essere sentita — anche con osservazioni scritte e documenti — il gestore è tenuto a darle ascolto. Negarlo, o raccogliere dichiarazioni senza un minimo di tracciabilità, espone l’istruttoria a contestazioni nei procedimenti successivi.
- Coinvolgimento dell’organo di indirizzo nelle decisioni istruttorie. Le Linee Guida ANAC vietano la supervisione sulle singole segnalazioni. Una prassi che subordina l’archiviazione al benestare del vertice non è conforme.
- Mancato riscontro o riscontro tardivo oltre i tre mesi senza interlocuzione. Il silenzio integra la fattispecie sanzionata dall’art. 21 del decreto come “mancata adozione di procedure conformi”.
- Confusione tra ruolo di gestore e ruolo di DPO. Le Linee Guida raccomandano la separazione delle funzioni per evitare conflitti di interesse. La concentrazione delle due funzioni è ammessa solo per enti di ridotte dimensioni, con motivazione documentata.
Domande frequenti
Come si gestisce una segnalazione anonima?
Le segnalazioni anonime vanno registrate e conservate in modo da poterle rintracciare se il segnalante viene poi identificato e denuncia ritorsioni. ANAC precisa che possono essere trattate come segnalazioni ordinarie, secondo le regole interne dell’ente, salvo che risultino sufficientemente circostanziate — nel qual caso si procede con l’istruttoria.
Posso conservare la registrazione di un'audizione senza il consenso del segnalante?
No. Per le segnalazioni orali e le audizioni le Linee Guida ANAC richiedono il consenso del segnalante per la registrazione; in mancanza si redige un resoconto dettagliato o un verbale sottoscritto.
Cosa succede se l'istruttoria supera i tre mesi?
L'OdV può essere designato come gestore delle segnalazioni?
Sì, ma le Linee Guida ANAC e l’orientamento CNDCEC del novembre 2025 chiariscono che in tal caso l’OdV opera con incarico separato e distinto dalla funzione di vigilanza sul Modello 231. Sono due ruoli da tenere formalmente distinti anche se concentrati sulla stessa persona o sullo stesso organismo collegiale.