Piano triennale anticorruzione (PTPCT): chi lo adotta, cosa contiene, quando si approva

Il piano triennale di prevenzione della corruzione e della trasparenza (PTPCT), previsto dalla legge 190/2012, è il documento con cui enti e società pubbliche mappano i rischi corruttivi e individuano le misure per prevenirli. Chi è tenuto ad adottarlo e a predisporlo, le due sezioni di cui si compone — anticorruzione e trasparenza — l'integrazione con il modello 231 e il rapporto con la privacy.

In breve — Il Piano triennale di prevenzione della corruzione e della trasparenza (PTPCT) è il documento, previsto dalla legge 190/2012, con cui enti e società pubbliche individuano i propri rischi corruttivi e definiscono le misure per prevenirli. La sua adozione e il suo aggiornamento sono un obbligo di legge, sanzionabile da ANAC. Per le pubbliche amministrazioni il PTPCT è oggi confluito nel PIAO; le società in controllo pubblico lo integrano con il modello 231. Il piano si compone di due sezioni — una dedicata all’anticorruzione e una alla trasparenza — ed è predisposto dal RPCT e approvato dall’organo di indirizzo.

1. Che cos’è il piano triennale di prevenzione della corruzione

Il PTPCT è lo strumento di programmazione introdotto dalla legge 6 novembre 2012, n. 190 (la “legge anticorruzione”) per prevenire — non reprimere — i fenomeni corruttivi all’interno delle organizzazioni pubbliche.

L’obiettivo del piano è definire un insieme di misure di prevenzione capaci di ridurre il rischio non solo di illeciti di rilievo penale, ma anche di quelle condotte di cattiva amministrazione che possono pregiudicare — o anche solo influenzare potenzialmente — l’imparzialità e il buon andamento della gestione. La nozione di “corruzione” rilevante per la legge 190/2012 è infatti più ampia di quella penalistica: comprende ogni situazione in cui, nel corso dell’attività amministrativa, si riscontri un abuso del potere affidato al fine di ottenere vantaggi privati.

L’adozione e l’aggiornamento del piano costituiscono un obbligo di legge, la cui violazione è sanzionabile dall’Autorità competente. In particolare, ANAC ha chiarito che l’obbligo si considera non ottemperato non solo quando il piano non viene affatto adottato, ma anche nell’ipotesi in cui esso non sia aggiornato alle ultime istruzioni dell’Autorità. Per un quadro d’insieme rimandiamo all’area dedicata all’anticorruzione e trasparenza.

2. Chi è tenuto ad adottare il piano

L’ambito soggettivo della normativa è ampio: il perimetro è quello tracciato dall’art. 2-bis del d.lgs. 33/2013 e ripreso, per le misure anticorruzione, dalle Linee guida ANAC (determinazione n. 1134/2017). In sintesi sono tenuti:

• le pubbliche amministrazioni — che però, dal 2022, non adottano più un PTPCT autonomo: i suoi contenuti sono confluiti nella sezione “Rischi corruttivi e trasparenza” del PIAO (Piano Integrato di Attività e Organizzazione, art. 6 d.l. 80/2021);
• gli enti pubblici economici e gli ordini professionali;
• le società in controllo pubblico (art. 2, c. 1, lett. m, d.lgs. 175/2016), con esclusione delle società quotate e, di regola, delle loro partecipate;
• le associazioni, le fondazioni e gli enti di diritto privato con bilancio superiore a 500.000 €, finanziati in modo maggioritario da pubbliche amministrazioni e con organi di amministrazione o indirizzo designati da PA.

La medesima disciplina si applica inoltre, in quanto compatibile e limitatamente ai dati e ai documenti inerenti all’attività di pubblico interesse, alle società in sola partecipazione pubblica e agli enti di diritto privato (sopra i 500.000 € di bilancio) che esercitano funzioni amministrative, producono beni e servizi a favore delle PA o gestiscono servizi pubblici. Sul perimetro di questi soggetti rimandiamo all’area società pubbliche e partecipate.

3. Chi è tenuto a predisporre il piano

Una cosa è adottare il piano, un’altra è predisporlo. La predisposizione spetta al Responsabile della prevenzione della corruzione e della trasparenza (RPCT), che redige il PTPCT e lo sottopone all’approvazione dell’organo di indirizzo.

Predisporre non significa però scrivere da soli. Il piano va costruito con il contributo di tutta la struttura, perché sono gli uffici a conoscere i processi che gestiscono e i rischi che vi si annidano: è questa la ragione per cui l’ANAC attribuisce al RPCT una funzione di raccordo, di raccolta e messa a sistema delle informazioni che arrivano dalle singole aree. Il RPCT non può lavorare in isolamento, e un piano redatto a tavolino dal solo responsabile è tipicamente quello che l’Autorità considera meramente formale. Sul ruolo e sui poteri di vigilanza del RPCT, incluse le verifiche su inconferibilità e incompatibilità degli incarichi, abbiamo dedicato un approfondimento specifico.

4. Cosa deve contenere il piano: le due sezioni

Il piano si articola in due sezioni, distinte ma collegate:

• la sezione anticorruzione, che mappa i rischi corruttivi e individua le misure di prevenzione;
• la sezione trasparenza, che programma gli obblighi di pubblicazione e disciplina l’accesso civico.

Le due parti non sono compartimenti stagni: la trasparenza è essa stessa una misura di prevenzione della corruzione. Vediamo cosa deve contenere ciascuna.

5. La sezione anticorruzione: contesto, rischio, misure

La redazione della sezione anticorruzione deve rispettare la metodologia dettata dal Piano Nazionale Anticorruzione — oggi il PNA 2022 e il suo aggiornamento 2024, approvato con delibera ANAC n. 31 del 30 gennaio 2025. Non è una sequenza rituale: ogni passaggio serve a rendere possibile il successivo.

Si comincia con l’analisi del contesto interno. Deve descrivere come l’ente è organizzato — quali sono gli uffici, come sono distribuiti i compiti, chi decide e chi controlla — per verificare se l’organizzazione in sé costituisca un fattore di rischio. Un ufficio in cui una sola persona istruisce, decide e liquida è vulnerabile a prescindere dalle intenzioni di chi vi lavora, e va rilevato prima di qualunque valutazione.

Segue l’analisi del contesto esterno, che guarda al territorio e all’ambiente in cui l’ente opera: dinamiche economiche, tessuto imprenditoriale, presenza di fenomeni criminali, tutti elementi che incidono sul grado di esposizione delle sue attività.

Definito il quadro, si individuano le aree di rischio e i processi: le attività concretamente esposte, dalle procedure di gara alla gestione dei contributi, dalle autorizzazioni al personale. Su ciascuna si passa alla misurazione del rischio, che stima quanto quell’attività sia esposta e con quale probabilità, così da stabilire le priorità: l’obiettivo non è compilare una tabella, ma sapere dove l’ente è davvero vulnerabile.

Solo a questo punto si definiscono le misure di prevenzione, calibrate sul livello di rischio misurato. Alcune sono obbligatorie, perché imposte dalla legge — i controlli su inconferibilità e incompatibilità, il rispetto del divieto di pantouflage, la gestione delle segnalazioni di whistleblowing, l’obbligo di astensione in caso di conflitto di interessi, il codice di comportamento —, altre facoltative, scelte dall’ente in base alle proprie vulnerabilità, come la rotazione del personale negli incarichi più esposti, la formazione mirata o i controlli a campione.

Il passaggio che chiude il cerchio è il monitoraggio: una misura scritta ma non verificata, per l’ANAC, equivale a una misura non prevista. Il piano deve quindi indicare, per ciascuna, chi ne verifica l’attuazione, con quali indicatori e con quale periodicità.

6. La sezione trasparenza e il rapporto con la privacy

La sezione trasparenza programma gli obblighi di pubblicazione previsti dal d.lgs. 33/2013 e disciplina l’accesso civico (semplice e generalizzato). La trasparenza è essa stessa una misura di prevenzione della corruzione: rendere conoscibile l’azione pubblica riduce le zone d’ombra in cui l’illecito prospera.

Qui però si apre un equilibrio delicato, troppo spesso trascurato: quello con la protezione dei dati personali. Pubblicare per obbligo di trasparenza non autorizza a diffondere qualsiasi dato. Valgono alcuni principi fermi:

• si pubblica solo ciò che una norma impone di pubblicare (principio di legalità del trattamento): non esiste una “trasparenza fai-da-te”;
• vanno rispettati i principi di minimizzazione e proporzionalità del GDPR e del Codice privacy, evitando la diffusione di dati eccedenti;
• è vietata la diffusione di dati relativi alla salute e alla vita sessuale, e va prestata particolare cautela per le altre categorie particolari di dati;
• occorre tenere conto delle indicazioni del Garante per la protezione dei dati personali sulla pubblicazione di atti e documenti online.

Una sezione trasparenza redatta senza coordinarsi con la disciplina privacy espone l’ente a un duplice rischio: sanzioni del Garante da un lato, contestazioni per opacità dall’altro. È il motivo per cui questa parte del piano va costruita insieme alla funzione privacy/GDPR dell’ente, non in un silos separato.

7. L’integrazione con il modello 231

Per le società pubbliche il nodo più delicato è il rapporto tra piano anticorruzione e modello 231. I due sistemi nascono da logiche diverse — il 231 tutela la società dalla responsabilità amministrativa da reato nel suo interesse, la 190/2012 tutela l’imparzialità e il buon andamento nell’interesse pubblico — ma operano sugli stessi processi.

Le Linee guida ANAC chiedono di integrare, non di duplicare: la società che ha un modello 231 deve estenderne l’ambito ai rischi corruttivi rilevanti per la legge 190/2012 (compresa la corruzione “passiva” e i fenomeni di cattiva amministrazione che il 231 non copre), evitando però due piani scollegati che si ignorano a vicenda. La soluzione corretta è un sistema integrato, coerente, con un unico flusso di analisi del rischio e misure che dialogano tra loro. È uno dei punti su cui un’impostazione approssimativa espone l’ente a rilievi.

8. Quanto dura il piano e dove va pubblicato

Il piano ha durata triennale ma è aggiornato ogni anno: non si riscrive da capo, si rivede alla luce di ciò che è cambiato — l’organizzazione, i processi, gli esiti del monitoraggio, i rilievi ricevuti. L’adozione, come si è visto, va deliberata entro il 31 gennaio di ogni anno, e l’atto va trasmesso all’ANAC.

Quanto alla pubblicazione, il piano va reso disponibile sul sito dell’ente nella sezione «Amministrazione trasparente» — «Società trasparente» per le partecipate — nella sotto-sezione «Altri contenuti — Prevenzione della corruzione», insieme agli aggiornamenti e alla relazione annuale del RPCT. È il luogo in cui l’ANAC e chiunque altro vanno a cercarlo: un piano adottato ma non pubblicato lì equivale, sul piano della trasparenza, a un piano non adottato.

9. Il piano nelle istituzioni scolastiche

Le scuole statali seguono un regime particolare, che genera confusione ricorrente. Le istituzioni scolastiche non adottano un proprio piano anticorruzione: le funzioni di RPCT sono attribuite al direttore dell’Ufficio scolastico regionale, e la programmazione delle misure avviene a quel livello, secondo le indicazioni date dall’ANAC con la delibera n. 430 del 13 aprile 2016.

Al dirigente scolastico restano però obblighi propri e non delegabili, in primo luogo la pubblicazione dei dati nella sezione «Amministrazione trasparente» del sito della scuola e l’attuazione delle misure che il piano dell’Ufficio scolastico regionale gli assegna. È una distinzione che conviene tenere ferma: l’assenza di un piano proprio non significa assenza di obblighi.

10. Quando conviene farsi affiancare

Il piano va adottato entro il 31 gennaio, il che significa che il lavoro vero si concentra fra ottobre e dicembre. Sono i mesi in cui gli enti si accorgono di avere un problema, e i casi ricorrenti sono cinque.

1. Il piano è stato ereditato e negli anni è stato aggiornato solo nelle date: l’analisi del contesto è ferma a un’organizzazione che non esiste più.
2. Il RPCT è stato nominato da poco e si trova a firmare un documento costruito da altri, di cui risponde personalmente.
3. L’ANAC ha mosso rilievi — o li ha mossi l’OIV in sede di attestazione — e il piano va rifatto nella parte contestata.
4. La società in controllo pubblico parte da zero, spesso senza una struttura interna che possa occuparsene.
5. L’ente è piccolo e il RPCT cumula l’incarico con le funzioni ordinarie, senza tempo per la mappatura dei processi.

In tutti questi casi il supporto esterno non sostituisce il RPCT — la legge non lo consente — ma gli fornisce metodo, strumenti e verifica: è la differenza fra un piano che regge a un controllo e uno che espone chi lo ha firmato.

11. Come ti assiste lo Studio Legale Calzoni

Lo Studio affianca pubbliche amministrazioni, enti e società in controllo pubblico e i rispettivi RPCT nella predisposizione del PTPCT e della sezione anticorruzione e trasparenza del PIAO. L’attività segue la metodologia del PNA passo per passo: analisi del contesto interno ed esterno, mappatura dei processi, valutazione del rischio, definizione delle misure obbligatorie e facoltative, sistema di monitoraggio con indicatori e responsabili.

Comprende anche ciò che al piano si collega: il raccordo con il modello 231 dove l’ente lo ha adottato, la procedura di whistleblowing, i controlli su inconferibilità e incompatibilità, il codice di comportamento e la formazione del personale. E prosegue dopo l’adozione, nella fase in cui il piano va attuato e monitorato — che è quella su cui si misurano i rilievi.

Il perimetro è chiaro: l’elaborazione del piano resta dell’ente, come impone l’art. 1, comma 8, della legge 190/2012. Noi mettiamo il metodo, le schede di lavoro e la verifica giuridica; il RPCT mantiene la titolarità del documento. È parte dell’attività dello Studio in materia di anticorruzione e trasparenza.

Domande frequenti

Chi adotta il piano triennale anticorruzione? L’organo di indirizzo dell’ente, su proposta del RPCT, entro il 31 gennaio di ogni anno. Negli enti locali il piano è approvato dalla giunta, e l’atto va trasmesso all’ANAC.

Chi lo predispone? Il RPCT, che però raccoglie il contributo degli uffici: l’elaborazione non può essere affidata a soggetti estranei all’amministrazione, come stabilisce l’art. 1, comma 8, della legge 190/2012.

Quanto dura? Tre anni, con aggiornamento annuale: non si riscrive da capo ogni anno, si rivede alla luce dei cambiamenti dell’organizzazione e degli esiti del monitoraggio.

Dove va pubblicato? In «Amministrazione trasparente» — «Società trasparente» per le partecipate — sotto-sezione «Altri contenuti — Prevenzione della corruzione», insieme agli aggiornamenti e alla relazione annuale del RPCT.

Che cos’è il PTPCT? È il Piano triennale di prevenzione della corruzione e della trasparenza, previsto dalla legge 190/2012: il documento con cui un ente o una società pubblica individua i rischi corruttivi nei propri processi e stabilisce le misure per prevenirli. Per le pubbliche amministrazioni è oggi la sezione “Rischi corruttivi e trasparenza” del PIAO.

Chi deve adottare il piano e chi deve predisporlo? L’adozione spetta all’organo di indirizzo dei soggetti tenuti (PA, enti pubblici economici, ordini professionali, società in controllo pubblico, enti privati con i requisiti dell’art. 2-bis d.lgs. 33/2013). La predisposizione spetta invece al RPCT, che redige il piano e lo sottopone all’approvazione.

Ogni quanto va aggiornato il PTPCT? Ogni anno, di norma entro il 31 gennaio, su proposta del RPCT. L’aggiornamento deve recepire i cambiamenti del contesto, gli esiti del monitoraggio e le ultime istruzioni di ANAC: un piano non aggiornato è considerato inadempiente.

Qual è la differenza tra PTPCT e modello 231? Il modello 231 tutela la società dalla responsabilità da reato nel proprio interesse; il piano anticorruzione tutela l’imparzialità e il buon andamento nell’interesse pubblico. Per le società pubbliche i due sistemi vanno integrati in un impianto coerente, non tenuti separati.

La sezione trasparenza può entrare in conflitto con la privacy? Sì, ed è un punto critico. Si possono pubblicare solo i dati che una norma impone di pubblicare, nel rispetto dei principi di minimizzazione e proporzionalità e dei divieti del GDPR e del Codice privacy. La sezione trasparenza va perciò coordinata con la funzione privacy dell’ente.

Cosa succede se il piano è carente o “fotocopia”? Un piano privo di un’analisi del rischio calata sulla realtà dell’ente è il rilievo più frequente di ANAC. Oltre alle conseguenze in termini di vigilanza, un piano debole non protegge l’organizzazione: non riduce davvero i rischi che dovrebbe presidiare.

I contenuti di questa pagina si riferiscono a fattispecie generali e non possono in alcun modo sostituire il contributo di un avvocato. Per ottenere un parere legale in ordine alla questione giuridica che interessa è possibile richiedere una consulenza, oppure fissare un appuntamento. Gli autori declinano ogni responsabilità per errori od omissioni, nonché per un utilizzo improprio o non aggiornato delle presenti informazioni.