Whistleblowing e Modello 231: la compliance non è più un adempimento, ma un sistema di prevenzione
L’entrata in vigore del D. Lgs.vo 24/2023 e le recenti Linee Guida ANAC n. 1/2025 segnano un passaggio decisivo nell’evoluzione della compliance aziendale. Il whistleblowing cessa definitivamente di essere percepito come un semplice canale attraverso cui ricevere segnalazioni e diventa uno dei principali strumenti di prevenzione dei rischi penalmente rilevanti.
L’aspetto di maggiore interesse, soprattutto per le imprese dotate di Modello di Organizzazione, Gestione e Controllo ai sensi del D. Lgs.vo 231/2001, è rappresentato dalla stretta integrazione tra il sistema di segnalazione interna e il Modello 231. Non si tratta più di due discipline autonome destinate a convivere, bensì di componenti di un unico sistema di controllo interno.
Il D. Lgs.vo 24/2023 ridefinisce organicamente la disciplina del whistleblowing, articolandola su tre profili fondamentali: l’individuazione dei soggetti e delle violazioni oggetto di tutela, la regolamentazione dei canali di segnalazione e il sistema di protezione del segnalante.
Sotto il profilo soggettivo, la disciplina adotta ambito applicativo particolarmente ampio, estendendo le tutele non solo ai lavoratori subordinati, ma anche ad autonomi, collaboratori, professionisti, componenti degli organi sociali, soci, volontari e tirocinanti, nonché ai soggetti che abbiano acquisito le informazioni nel corso della selezione, del periodo di prova o dopo la cessazione del rapporto.
Quanto all’oggetto delle segnalazioni, il Decreto ricomprende un ampio spettro di illeciti, amministrativi, civili, penali e contabili, comprese le violazioni del diritto dell’Unione europea e, soprattutto, le condotte rilevanti ai sensi del D. Lgs.vo 231/2001 e le violazioni dei Modelli di Organizzazione, Gestione e Controllo, rafforzando così il collegamento tra whistleblowing e compliance aziendale.
Il sistema introdotto dal Decreto privilegia il canale interno di segnalazione, affiancato dal canale esterno gestito da ANAC.
Completa il quadro un articolato sistema di garanzie a tutela del segnalante, fondato sul divieto di qualsiasi forma di ritorsione, sulla riservatezza dell’identità delle persone coinvolte e su un regime sanzionatorio affidato all’ANAC, cui compete l’irrogazione delle sanzioni amministrative previste dall’art. 21 del Decreto.
Si tratta di indicazioni che impongono alle imprese una revisione concreta dei propri Modelli 231, superando approcci meramente formali che, nella prassi, hanno spesso caratterizzato l’adozione della compliance.
Le Linee Guida ANAC definiscono puntualmente anche i requisiti organizzativi del canale interno di segnalazione. Gli enti sono tenuti a garantire modalità di segnalazione sia scritte sia orali, privilegiando, per le prime, piattaforme informatiche idonee ad assicurare riservatezza, cifratura dei dati e tracciabilità delle interlocuzioni. L’utilizzo della posta elettronica, ordinaria o certificata, è ritenuto generalmente inadeguato, salvo l’adozione di specifiche misure di mitigazione del rischio. Per le segnalazioni orali sono invece previsti canali telefonici, sistemi di messaggistica vocale o incontri diretti, con obbligo di adeguata verbalizzazione o registrazione previo consenso.
Le Linee Guida impongono, inoltre, che la procedura di whistleblowing disciplini in modo dettagliato le modalità di ricezione e gestione delle segnalazioni e ribadiscono l’obbligo di preventiva informazione alle organizzazioni sindacali, la cui omissione può comportare l’irrogazione delle sanzioni amministrative previste dall’art. 21 del D. Lgs.vo 24/2023.
Particolare rilievo assume la figura del gestore del canale interno, che deve operare in condizioni di autonomia, imparzialità e indipendenza, possedendo adeguate competenze giuridiche e organizzative. Le Linee Guida limitano il cumulo di tale funzione con altri incarichi, escludendo, di regola, la coincidenza con il Responsabile della Protezione dei Dati negli enti di maggiori dimensioni, e introducono l’obbligo di individuare un sostituto in caso di conflitto di interessi o di assenza prolungata del gestore, al fine di garantire la continuità del sistema di segnalazione.
L’assenza o l’inadeguatezza del sistema di whistleblowing in seno alla Società non determina automaticamente la responsabilità dell’ente ai sensi del D. Lgs.vo 231/2001. Come più volte affermato dalla giurisprudenza di legittimità, il giudizio sulla responsabilità dell’ente continua a fondarsi sull’accertamento della cosiddetta “colpa di organizzazione”, ossia sulla verifica concreta dell’idoneità del sistema preventivo adottato rispetto al rischio di commissione del reato. Il whistleblowing rappresenta certamente uno degli indicatori della qualità dell’organizzazione, ma non esaurisce da solo il giudizio di adeguatezza del Modello.
La vera novità risiede, dunque, nell’approccio culturale richiesto alle imprese. Il Modello 231 non può più essere considerato un documento statico predisposto esclusivamente per finalità difensive, ma deve trasformarsi in uno strumento dinamico di governo del rischio, costantemente alimentato dalle informazioni provenienti dall’organizzazione. In questa prospettiva, il whistleblowing assume una funzione di “early warning”, consentendo all’ente di individuare tempestivamente anomalie, correggere i propri assetti organizzativi e prevenire la commissione dei reati presupposto.
Paper a cura dell’Avv. Carlo Zaccagnini, fondatore dello studio Zaccagnini, con sedi a Roma e Milano: avvocato penalista a Roma e avvocato penalista a Milano.
Per l’assistenza agli enti e agli Organismi di Vigilanza: responsabilità amministrativa degli enti e Modelli 231.