Procedura whistleblowing: come si gestisce una segnalazione

Chi gestisce le segnalazioni whistleblowing, cosa fare quando ne arriva una, i termini di 7 giorni e 3 mesi, come si conduce l'istruttoria e gli errori che costano sanzioni ANAC personali da 10.000 a 50.000 euro.

In breve — Ricevuta una segnalazione, il gestore ha quattro passaggi da compiere: riscontrare entro sette giorni, verificare se rientra nel whistleblowing, svolgere l’istruttoria e chiudere il procedimento entro tre mesi. Nel settore pubblico il gestore è il RPCT, nel privato un soggetto autonomo scelto dall’ente, spesso l’ODV con incarico separato. In nessun caso ha poteri sanzionatori: valuta la verosimiglianza dei fatti e trasmette agli organi competenti. Gli errori di gestione costano sanzioni ANAC personali da 10.000 a 50.000 euro.

1. Che cosa prevede la procedura whistleblowing

Come noto, il d.lgs. 24/2023 ha introdotto nel nostro ordinamento la disciplina delle segnalazioni di illeciti, stabilendo chi è obbligato ad attivare un canale interno, chi può segnalare e quali tutele spettano a chi lo fa — temi che abbiamo trattato nella guida sulla normativa whistleblowing.

Lo stesso decreto stabilisce però anche la procedura che il RPCT o l’ODV devono seguire quando una segnalazione arriva davvero: entro quanto va riscontrata, come si svolge l’istruttoria, quali poteri ha chi la conduce e come si chiude il procedimento. Di seguito analizziamo i principali passaggi di quella procedura, nell’ordine in cui si presentano a chi la segnalazione se la trova sul tavolo.

2. Primo passo: riscontrare entro sette giorni

Il primo adempimento è anche il più semplice da rispettare e quello che più spesso viene mancato: dare atto al segnalante di aver ricevuto la segnalazione.

Non è una formalità: da quella data decorrono i tre mesi entro cui va dato riscontro, ed è il primo segnale concreto, per chi ha segnalato, che il canale funziona davvero. Il silenzio, al contrario, è una delle condizioni che legittimano il segnalante a rivolgersi direttamente all’ANAC.

Un accorgimento che l’esperienza suggerisce: in quell’avviso non qualificare subito la segnalazione come whistleblowing. Conviene dare atto della presa in carico e riservare espressamente ogni valutazione sulla natura della segnalazione, che verrà comunicata in un secondo momento. Qualificarla d’istinto espone a due errori opposti — promettere tutele che poi non spettano, oppure negarle a chi ne aveva diritto — ed entrambi si pagano. Se gli elementi per decidere non ci sono, è in questa fase che vanno chieste le integrazioni, attraverso il canale dedicato o in un incontro diretto se il segnalante lo ha richiesto.

3. Secondo passo: verificare se è una segnalazione di whistleblowing

Non tutto ciò che arriva sul canale è una segnalazione di whistleblowing, e la qualificazione decide quale disciplina applicare. Perché la segnalazione rientri nel decreto devono ricorrere quattro condizioni insieme:

1. deve provenire da un soggetto identificato: se la segnalazione è anonima, il gestore non è in grado di sapere se proviene effettivamente da un soggetto tutelato;
2. il segnalante deve rientrare fra i soggetti tutelati — dipendenti, ma anche collaboratori, consulenti, tirocinanti, volontari e le altre figure legate all’ente da un rapporto qualificato, anche cessato o non ancora iniziato;
3. deve avere ad oggetto una delle violazioni previste dal d.lgs. 24/2023, e non una contestazione personale legata al proprio rapporto di lavoro, che la disciplina esclude espressamente;
4. deve essere adeguatamente circostanziata, cioè contenere elementi di fatto verificabili — tempi, luoghi, soggetti coinvolti, documenti — e non un sospetto generico, e riguardare fatti appresi nel contesto lavorativo.

Se le condizioni ricorrono, il gestore lo comunica al segnalante, indicando che il procedimento si concluderà entro tre mesi e che nel frattempo verranno svolte le attività istruttorie necessarie.

Al contrario, se i presupposti mancano — chi segnala non è fra i soggetti tutelati, la doglianza resta una vertenza personale, il contenuto è irrimediabilmente generico — la segnalazione esce dal perimetro del whistleblowing e va gestita come segnalazione ordinaria, secondo le procedure interne dell’ente.

Caso a sé è la segnalazione anonima: manca il primo requisito, quindi secondo ANAC va trattata come ordinaria. Va però registrata e conservata, perché se il segnalante si identifica in seguito e subisce una ritorsione le tutele del decreto si applicano ugualmente.

4. Terzo passo: l’istruttoria, e i limiti dei poteri dell’RPCT o dell’ODV

L’RPCT o l’ODV non è un giudice e non ha poteri repressivi o sanzionatori. Compie una valutazione imparziale che si muove sul piano della verosimiglianza, non della verità accertata, e che si articola in tre domande.

Per comprendere se i fatti segnalati sono verosimili, l’RPCT e l’ODV possono:

1. dialogare con il segnalante attraverso il canale dedicato, o di persona se ha chiesto un incontro, per ottenere chiarimenti, documenti e informazioni ulteriori;
2. acquisire atti da altri uffici dell’ente e avvalersi del loro supporto;
3. sentire terze persone in audizione.

Non possono invece accertare responsabilità individuali, adottare misure disciplinari o svolgere controlli di legittimità o di merito sugli atti dell’ente: quelle competenze restano degli organi a cui la segnalazione, se fondata, va trasmessa.

In ogni passaggio resta fermo un vincolo: l’identità del segnalante, del segnalato e delle persone menzionate non deve essere esposta. In concreto, significa oscurare i dati identificativi ogni volta che la segnalazione o i suoi allegati devono circolare per ragioni istruttorie.

5. Quarto passo: chiudere il procedimento

L’istruttoria si chiude con l’archiviazione oppure con la trasmissione agli organi competenti.

L’archiviazione interviene quando emergono elementi di manifesta infondatezza, le circostanze non reggono, la segnalazione è palesemente strumentale, o il contenuto resta talmente generico da non consentire alcuna verifica nemmeno dopo le integrazioni. Va disposta con adeguata motivazione: non è un adempimento formale, è ciò che resta agli atti e protegge il gestore da contestazioni successive.

La trasmissione interviene quando emerge un fumus di fondatezza. Il gestore non approfondisce oltre — non gli compete — ma trasmette senza indugio agli organi competenti: agli organi interni dell’ente quando il fatto rileva sul piano disciplinare o organizzativo, all’autorità giudiziaria quando i fatti integrano una possibile notizia di reato, alla Corte dei conti in caso di possibile danno erariale, alle autorità di vigilanza di settore nei casi di rispettiva competenza. Sempre proteggendo la riservatezza del segnalante.

In entrambi i casi l’esito va comunicato al segnalante nel riscontro finale.

6. I termini da rispettare

Il termine di tre mesi non è il termine entro cui l’istruttoria deve essere conclusa, ma quello entro cui il segnalante deve ricevere una risposta. Se le verifiche richiedono più tempo — perché servono documenti, audizioni o accertamenti presso altri uffici — l’istruttoria può proseguire oltre i tre mesi, purché entro quel termine venga data comunicazione al segnalante delle attività intraprese e dello stato del procedimento. Il riscontro, in altre parole, può essere interlocutorio, e gli esiti finali saranno comunicati quando ci saranno.

Quello che non è ammesso è lasciare il segnalante senza alcuna risposta. La segnalazione interna rimasta priva di riscontro nei termini è infatti una delle condizioni che gli consentono di rivolgersi direttamente all’ANAC e, ricorrendone i presupposti, di procedere alla divulgazione pubblica: il termine mancato non produce una sanzione automatica, ma sposta la vicenda fuori dal controllo dell’ente.

7. Come ti assiste lo Studio Legale Calzoni

Lo Studio affianca RPCT e Organismi di Vigilanza nel momento in cui la segnalazione arriva, che è quello in cui gli errori costano di più: la valutazione di ammissibilità e la qualificazione della segnalazione, la conduzione dell’istruttoria, la redazione degli atti del procedimento — avviso di ricevimento, richieste di integrazione, verbali, provvedimento di archiviazione — e i rapporti con l’ANAC.

L’assistenza copre anche la fase a monte, cioè la costruzione del canale e del regolamento interno, e quella a valle, quando il segnalante lamenta una ritorsione o l’Autorità apre un procedimento sanzionatorio. È un’attività che tiene insieme la disciplina anticorruzione, il Modello 231 e la protezione dei dati personali, perché una segnalazione gestita bene sul piano procedurale ma male su quello privacy espone comunque l’ente.

Domande frequenti

Che cosa prevede la procedura whistleblowing? Deve indicare chi gestisce il canale, come si segnala, quali violazioni rientrano nel decreto, i termini di sette giorni e tre mesi, le misure di riservatezza e il rinvio ai canali esterni. Va adottata con atto formale e resa conoscibile a tutti i potenziali segnalanti.

Chi riceve le segnalazioni whistleblowing nella pubblica amministrazione? Il RPCT, negli enti tenuti a nominarlo. Se la segnalazione arriva a un soggetto diverso — un dirigente, il protocollo, il superiore gerarchico — e il segnalante ha dichiarato di volersi avvalere delle tutele, o tale volontà è desumibile, chi la riceve deve trasmetterla al RPCT entro sette giorni, dandone notizia al segnalante e senza aprirla se è riconoscibile come segnalazione whistleblowing.

L’Organismo di Vigilanza può essere il gestore delle segnalazioni? Sì. Le Linee guida ANAC n. 478/2025 hanno chiarito che l’ODV può essere designato gestore, purché con un incarico separato e distinto dalla funzione di vigilanza sul Modello 231. Se più enti affidano la gestione allo stesso soggetto esterno, ciascuno deve poter accedere esclusivamente alle segnalazioni di propria competenza.

Quanto tempo ho per rispondere a una segnalazione? Sette giorni per l’avviso di ricevimento e tre mesi per il riscontro, che può essere anche interlocutorio: è sufficiente comunicare le attività intraprese o che si intende intraprendere, fermo l’obbligo di comunicare poi gli esiti finali dell’istruttoria.

Cosa faccio se la segnalazione riguarda il gestore stesso? È un’ipotesi di conflitto di interessi che il decreto considera espressamente: il segnalante può rivolgersi direttamente al canale esterno di ANAC, perché non è assicurato che alla segnalazione interna sia dato efficace seguito. L’atto organizzativo dovrebbe prevedere un gestore supplente per queste situazioni.

La segnalazione è accessibile con l’accesso agli atti o con il FOIA? No. La segnalazione e la documentazione allegata sono sottratte sia al diritto di accesso degli artt. 22 e seguenti della l. 241/1990 sia all’accesso civico generalizzato del d.lgs. 33/2013.

Il segnalato ha diritto di sapere della segnalazione? Non sempre. Il diritto a essere informato sorge solo nell’ambito del procedimento eventualmente avviato nei suoi confronti, e solo se fondato in tutto o in parte sulla segnalazione. Il segnalato può chiedere di essere sentito, anche mediante procedimento cartolare con osservazioni scritte e documenti.

I contenuti di questa pagina si riferiscono a fattispecie generali e non possono in alcun modo sostituire il contributo di un avvocato. Per ottenere un parere legale in ordine alla questione giuridica che interessa è possibile richiedere una consulenza, oppure fissare un appuntamento. Gli autori declinano ogni responsabilità per errori od omissioni, nonché per un utilizzo improprio o non aggiornato delle presenti informazioni.