Come gestire una segnalazione whistleblowing: guida operativa per RPCT e ODV

Chi gestisce le segnalazioni whistleblowing, cosa fare quando ne arriva una, i termini di 7 giorni e 3 mesi, come si conduce l'istruttoria e gli errori che costano sanzioni ANAC personali da 10.000 a 50.000 euro.

In breve — Nel settore pubblico le segnalazioni whistleblowing sono gestite dal RPCT; nel privato da un gestore autonomo scelto dall’ente, spesso l’ODV con incarico separato. Il gestore conferma il ricevimento entro 7 giorni, dà riscontro al segnalante entro 3 mesi e garantisce la riservatezza dell’identità. Gli errori di gestione costano sanzioni ANAC personali da 10.000 a 50.000 euro.

Nella nostra esperienza, abbiamo seguito RPCT e Organismi di Vigilanza alle prese con le segnalazioni più diverse, e una cosa è chiara: l’istituto è partito in sordina, ma oggi i numeri raccontano un’altra storia. Le segnalazioni esterne ad ANAC sono cresciute di quasi dieci volte rispetto al 2015, e i canali interni di amministrazioni e imprese seguono la stessa curva. Ricevere una segnalazione non è più un’ipotesi remota: è una probabilità concreta, che trova molti gestori impreparati. Questo articolo condensa le regole del d.lgs. 24/2023 e delle Linee guida ANAC in una guida operativa per chi quel canale deve gestirlo. Sugli obblighi di adozione del canale rinviamo invece alla guida su chi è obbligato al whistleblowing.

1. Chi gestisce le segnalazioni whistleblowing

La competenza a gestire una segnalazione whistleblowing dipende dalla natura dell’ente che la riceve. Se l’ente è un soggetto pubblico tenuto a nominare il Responsabile della prevenzione della corruzione e della trasparenza, la gestione spetta al RPCT: lo prevede direttamente il d.lgs. 24/2023, senza margini di scelta per l’amministrazione e senza possibilità di rifiuto per il responsabile, che si trova questo compito sommato a quelli che già svolge.

Se l’ente è un soggetto privato, la scelta è invece rimessa alla sua autonomia organizzativa. Il canale può essere affidato a una persona interna, a un ufficio con personale dedicato anche non in via esclusiva, oppure a un soggetto esterno. Nella pratica l’incarico finisce spesso all’Organismo di Vigilanza, all’internal audit o a un professionista esterno, e proprio sul primo le Linee guida ANAC n. 478/2025 hanno sciolto un dubbio che circolava da tempo: l’ODV può essere designato gestore, ma con un incarico separato e distinto dalla funzione di vigilanza sul Modello 231.

Pubblico o privato che sia, chi gestisce le segnalazioni deve possedere il requisito dell’autonomia, che ANAC declina come imparzialità e indipendenza, essere autorizzato al trattamento dei dati personali e ricevere una formazione specifica sulla disciplina, anche su casi concreti. Quando il gestore è esterno assume la qualifica di responsabile del trattamento sulla base di un accordo scritto con l’ente; e se lo stesso professionista gestisce le segnalazioni di più enti, ciascuno deve poter accedere soltanto alle proprie.

2. Cosa fare quando arriva una segnalazione

Quando una segnalazione arriva, la prima cosa che il gestore deve fare è darne avviso di ricevimento al segnalante entro sette giorni. Può sembrare una formalità, ma da quella data decorrono i termini del procedimento, ed è anche il primo segnale concreto, per chi ha segnalato, che il canale funziona davvero.

Ricevuta la segnalazione, il gestore deve chiedersi se ci sono i presupposti per trattarla come segnalazione whistleblowing. Perché lo sia, devono ricorrere tre condizioni insieme:

1. deve provenire da uno dei soggetti tutelati dal decreto — dipendenti, ma anche collaboratori, consulenti, tirocinanti, volontari e tutte le altre figure legate all’ente da un rapporto qualificato, anche cessato o non ancora iniziato;
2. deve avere ad oggetto una delle violazioni previste dal d.lgs. 24/2023, e non una contestazione personale legata al proprio rapporto di lavoro, che la disciplina esclude espressamente;
3. la violazione deve essere stata appresa nel contesto lavorativo del segnalante.

Se dalla segnalazione queste informazioni non emergono con chiarezza, il gestore deve chiedere integrazioni attraverso il canale dedicato, così da avere certezza sulla normativa da applicare.

Se anche all’esito delle integrazioni i presupposti mancano — perché chi segnala non rientra tra i soggetti tutelati, o perché la doglianza resta una vertenza personale — la segnalazione esce dal perimetro del whistleblowing e va gestita come segnalazione ordinaria, secondo le procedure che l’ente si è dato per quel tipo di atti.

A queste ipotesi si aggiunge quella della segnalazione anonima. Secondo ANAC, le segnalazioni dalle quali non è possibile ricavare l’identità del segnalante vanno gestite come segnalazioni ordinarie: è la regola che l’Autorità applica al proprio canale esterno, e che gli enti possono adottare per i canali interni disciplinandola nei propri atti organizzativi. Anche le anonime, però, vanno registrate e conservate, perché se il segnalante si dichiara successivamente — o viene comunque identificato — e subisce una ritorsione, le tutele del decreto scattano ugualmente.

3. L’istruttoria: cosa può fare e cosa non può fare il gestore

Accertato che la segnalazione è di whistleblowing, il gestore avvia l’istruttoria. Il punto di partenza è capire bene qual è il suo ruolo: il gestore non è un giudice. Il gestore — RPCT o ODV — deve compiere una prima valutazione imparziale sulla sussistenza di quanto rappresentato, che si muove sul piano della verosimiglianza più che della verità accertata: i fatti descritti sono coerenti tra loro? Trovano riscontro nei documenti allegati o negli atti dell’ente? Le circostanze di tempo e di luogo reggono a un controllo elementare? Se la risposta è sì, la segnalazione merita seguito, anche quando la certezza non c’è e non potrebbe esserci; del resto la stessa logica vale per il segnalante, che è tutelato anche quando i fatti si rivelano poi inesatti, purché al momento della segnalazione avesse una convinzione ragionevole della loro veridicità.

Per condurre questa verifica la normativa mette a disposizione del gestore strumenti precisi. Può dialogare con il segnalante attraverso il canale dedicato, o di persona se questi ha chiesto un incontro, per ottenere chiarimenti, documenti e informazioni ulteriori; può acquisire atti da altri uffici dell’amministrazione e avvalersi del loro supporto; può sentire terze persone in audizione. In ogni passaggio resta fermo un vincolo: l’identità del segnalante, del segnalato e delle persone menzionate non deve essere esposta — il che significa, in concreto, oscurare i dati identificativi ogni volta che la segnalazione o i suoi allegati devono circolare per ragioni istruttorie.

4. Le tempistiche da rispettare

Il riscontro a tre mesi può essere interlocutorio: comunicare le attività che si intende intraprendere e lo stato dell’istruttoria è sufficiente, purché gli esiti finali vengano poi comunicati. Ciò che non è ammesso è il silenzio. La segnalazione interna rimasta senza seguito nei termini è una delle condizioni che autorizzano il segnalante a rivolgersi direttamente ad ANAC e, dopo, alla divulgazione pubblica: ogni termine mancato sposta la vicenda fuori dal controllo dell’ente.

5. Come si chiude l’istruttoria

L’istruttoria del gestore non sfocia mai in un accertamento di responsabilità: qualora i fatti risultino fondati, l’accertamento delle eventuali responsabilità civili, penali, amministrative o disciplinari spetta agli organi competenti, non al gestore. Il suo compito è filtrare e indirizzare, non giudicare. Da qui discendono due possibili esiti.

L’archiviazione. Se emergono elementi di manifesta infondatezza — i fatti non trovano alcun riscontro, le circostanze non reggono, la segnalazione è palesemente strumentale, oppure il contenuto è talmente generico da non consentire alcuna verifica nemmeno dopo la richiesta di integrazioni — la segnalazione viene archiviata con adeguata motivazione. La motivazione non è un adempimento formale: è ciò che resta agli atti e protegge il gestore da contestazioni future, dimostrando che la valutazione è stata condotta in modo serio e imparziale. L’archiviazione va in ogni caso comunicata al segnalante nell’ambito del riscontro finale, e la documentazione conservata nei termini di legge.

La trasmissione. Se invece l’istruttoria fa emergere un fumus di fondatezza, il gestore non approfondisce oltre — non gli compete — ma trasmette senza indugio agli organi competenti, ciascuno per il proprio ambito:

• agli organi interni dell’ente, quando il fatto rileva sul piano disciplinare o organizzativo (ad esempio l’ufficio competente per i procedimenti disciplinari o il vertice dell’amministrazione);
• all’Autorità giudiziaria penale, quando i fatti integrano una possibile notizia di reato;
• alla Corte dei conti, quando emerge un possibile danno erariale;
• alle autorità di vigilanza di settore (ad esempio ANAC, autorità indipendenti competenti per materia), nei casi di rispettiva competenza.

In tutti questi passaggi la trasmissione avviene proteggendo la riservatezza dell’identità del segnalante, che può essere rivelata solo nei casi e con le garanzie previste dal decreto. Il lavoro del gestore finisce dove comincia l’accertamento: ma è proprio la qualità del filtro che esercita — coerenza della valutazione, tempestività, motivazione degli atti — a determinare se la segnalazione produrrà effetti o si disperderà. È questo il punto in cui un affiancamento specialistico fa la differenza concreta tra una gestione che regge a un controllo successivo e una che espone l’ente e il gestore a contestazioni.

6. Lo Studio Legale Calzoni a supporto di RPCT e ODV

Lo Studio Legale Calzoni affianca RPCT e Organismi di Vigilanza nella gestione delle segnalazioni whistleblowing: valutazione di ammissibilità, conduzione dell’istruttoria, redazione degli atti del procedimento e rapporti con ANAC, con un approccio che integra disciplina anticorruzione, Modello 231 e protezione dei dati personali.

Domande frequenti

Chi riceve le segnalazioni whistleblowing nella pubblica amministrazione? Il RPCT, negli enti tenuti a nominarlo. Se la segnalazione arriva a un soggetto diverso — un dirigente, il protocollo, il superiore gerarchico — e il segnalante ha dichiarato di volersi avvalere delle tutele, o tale volontà è desumibile, chi la riceve deve trasmetterla al RPCT entro sette giorni, dandone notizia al segnalante e senza aprirla se è riconoscibile come segnalazione whistleblowing.

L’Organismo di Vigilanza può essere il gestore delle segnalazioni? Sì. Le Linee guida ANAC n. 478/2025 hanno chiarito che l’ODV può essere designato gestore, purché con un incarico separato e distinto dalla funzione di vigilanza sul Modello 231. Se più enti affidano la gestione allo stesso soggetto esterno, ciascuno deve poter accedere esclusivamente alle segnalazioni di propria competenza.

Quanto tempo ho per rispondere a una segnalazione? Sette giorni per l’avviso di ricevimento e tre mesi per il riscontro, che può essere anche interlocutorio: è sufficiente comunicare le attività intraprese o che si intende intraprendere, fermo l’obbligo di comunicare poi gli esiti finali dell’istruttoria.

Cosa faccio se la segnalazione riguarda il gestore stesso? È un’ipotesi di conflitto di interessi che il decreto considera espressamente: il segnalante può rivolgersi direttamente al canale esterno di ANAC, perché non è assicurato che alla segnalazione interna sia dato efficace seguito. L’atto organizzativo dovrebbe prevedere un gestore supplente per queste situazioni.

La segnalazione è accessibile con l’accesso agli atti o con il FOIA? No. La segnalazione e la documentazione allegata sono sottratte sia al diritto di accesso degli artt. 22 e seguenti della l. 241/1990 sia all’accesso civico generalizzato del d.lgs. 33/2013.

Il segnalato ha diritto di sapere della segnalazione? Non sempre. Il diritto a essere informato sorge solo nell’ambito del procedimento eventualmente avviato nei suoi confronti, e solo se fondato in tutto o in parte sulla segnalazione. Il segnalato può chiedere di essere sentito, anche mediante procedimento cartolare con osservazioni scritte e documenti.

I contenuti di questa pagina si riferiscono a fattispecie generali e non possono in alcun modo sostituire il contributo di un avvocato. Per ottenere un parere legale in ordine alla questione giuridica che interessa è possibile richiedere una consulenza, oppure fissare un appuntamento. Gli autori declinano ogni responsabilità per errori od omissioni, nonché per un utilizzo improprio o non aggiornato delle presenti informazioni.