Articolo a cura di: Studio Legale Calvello

Quadro normativo aggiornato e differenza tra whistleblowing interno ed esterno

La disciplina italiana sul whistleblowing, oggi, ruota attorno a un impianto che va letto in modo integrato:

• il D.Lgs. 24/2023 (recepimento della Direttiva UE 2019/1937) che stabilisce chi deve attivare i canali, come vanno gestiti e quali tutele spettano al segnalante;

• le Linee guida ANAC che, oltre a regolamentare la segnalazione esterna, nel tempo sono state aggiornate anche con indicazioni operative sui canali interni.

• gli aspetti privacy e sicurezza (GDPR) che, nel whistleblowing, non sono un corollario: sono parte del sistema(riservatezza, minimizzazione, tracciamenti, accessi, conservazione).

Sul piano pratico, per molte aziende il primo passo non è scegliere “interno vs esterno”, ma capire se e come devono predisporre un canale interno. Per il settore privato, l’ANAC ricorda che l’obbligo riguarda gli enti che:

• hanno impiegato nell’ultimo anno la media di almeno 50 lavoratori subordinati (tempo determinato o indeterminato), oppure

• operano in specifici settori regolati (es. servizi finanziari/antiriciclaggio, sicurezza dei trasporti, tutela dell’ambiente), anche se sotto la soglia numerica.

Se vi interessa un taglio estremamente operativo sull’implementazione, qui abbiamo già approfondito come impostare correttamente il sistema: Implementazione whistleblowing in azienda: guida operativa.

Che cosa intendiamo, concretamente, per “interno” ed “esterno”

Whistleblowing interno significa che la segnalazione viene inviata tramite un canale predisposto dall’azienda(piattaforma, canale scritto/orale, gestione interna o esternalizzata, purché conforme) e viene gestita da un soggetto “gestore” con requisiti di autonomia, competenza, imparzialità e riservatezza. (lo Studio Legale Calvello fornisce questo servizio)

Whistleblowing esterno significa che la segnalazione viene inviata a un canale istituzionale esterno, che in Italia è quello presso ANAC, disciplinato da regole e condizioni precise. Le Linee guida ANAC sul whistleblowing sono pubblicate e aggiornate dall’Autorità, anche con riferimento alle modifiche intervenute nel 2025.

Un equivoco da evitare subito: “interno” non equivale a “meno serio” e “esterno” non equivale a “scorciatoia”. La scelta del canale è una decisione di compliance e di gestione del rischio, perché incide su:

• tracciabilità e riservatezza,

• tempi e qualità del follow-up,

• rischio di escalation (anche reputazionale),

• tutela effettiva del segnalante e del segnalato.

Su questo punto, consigliamo anche la lettura di due approfondimenti mirati, utili per evitare errori tipici:

• Whistleblowing: i canali di segnalazione interni

• Whistleblowing: trattamento dei dati personali

Quando il canale esterno entra davvero in gioco

Il quadro aggiornato chiarisce un concetto chiave: il canale esterno ANAC non è “alternativo per comodità”, ma è utilizzabile quando ricorrono le condizioni previste dalla normativa (ad esempio, quando non è possibile usare efficacemente il canale interno o quando esiste un rischio serio di ritorsioni o di mancato seguito). Le Linee guida ANAC, nel tempo, hanno precisato e aggiornato passaggi interpretativi proprio su questi presupposti.

Se volete inquadrare anche il profilo sanzionatorio e gli obblighi, abbiamo già trattato in modo completo:

• Whistleblowing obbligatorio per le aziende: obblighi e sanzioni

• Whistleblowing: sanzioni ANAC, le diverse fattispecie sanzionate

Tabella pratica: interno vs esterno, cosa cambia davvero

Questa tabella serve a “mettere a terra” il punto: la scelta corretta non è ideologica, è una scelta di assetto organizzativo e di affidabilità del presidio.

Per completare l’inquadramento, c’è un altro errore frequente: ritenere che basti “avere una piattaforma”. In realtà, un sistema whistleblowing credibile si regge su tre pilastri:

1. canale conforme e accessibile, anche per segnalazioni orali dove richiesto;

2. gestione competente e imparziale, con regole chiare su conflitti di interesse e follow-up;

3. protezione della riservatezza, che include misure tecniche e procedure (accessi, log, conservazione, informativa, istruzioni).

Su un punto specifico e molto concreto, segnaliamo anche che l’attenzione privacy non è teorica: nelle analisi più recenti si insiste sulla necessità di evitare che l’uso del canale possa “lasciare tracce” identificative del segnalante (ad esempio tramite apparati di rete aziendali), perché questo vanifica il sistema alla radice.

Whistleblowing interno: quando conviene davvero, requisiti minimi e scelte organizzative

Quando parliamo di whistleblowing interno, parliamo del cuore del sistema di prevenzione degli illeciti aziendali. È qui che un’impresa dimostra, concretamente, se ha scelto di governare il rischio oppure di subirlo. Per questo motivo, nella nostra esperienza professionale, il canale interno non va mai visto come un semplice adempimento normativo, ma come uno strumento di governance, compliance e tutela dell’organizzazione nel suo complesso.

Molte aziende ci chiedono: “Il whistleblowing interno conviene davvero?”. La risposta è sì, a condizione che sia progettato e gestito correttamente. Un canale interno credibile consente all’azienda di intercettare tempestivamente comportamenti illeciti, irregolarità o violazioni prima che degenerino in:

• segnalazioni esterne all’ANAC,

• contenziosi,

• procedimenti sanzionatori,

• danni reputazionali difficilmente reversibili.

È importante chiarire subito un concetto chiave: il whistleblowing interno è la regola, quello esterno è l’eccezione, nel senso che il legislatore e le Linee guida ANAC incoraggiano l’utilizzo del canale interno ogni volta che questo sia effettivamente affidabile e idoneo a garantire la tutela del segnalante.

Quando il whistleblowing interno è la scelta giusta per l’azienda

Il whistleblowing interno conviene soprattutto quando l’impresa:

• ha una struttura organizzativa sufficientemente definita;

• può garantire indipendenza e competenza del soggetto che gestisce le segnalazioni;

• è in grado di assicurare riservatezza, protezione dell’identità e assenza di ritorsioni;

• vuole mantenere il controllo del processo di gestione dell’illecito, senza delegarlo subito a un soggetto esterno.

In questi casi, il canale interno diventa uno strumento di autotutela aziendale, oltre che di tutela del segnalante. Non a caso, la normativa sul whistleblowing insiste molto sulla credibilità del sistema interno: se il canale è percepito come inefficace o pericoloso per chi segnala, il rischio concreto è che il dipendente o collaboratore scelga direttamente il canale esterno.

Su questo aspetto, abbiamo approfondito in modo specifico l’importanza dei canali interni e le modalità corrette di attivazione in Whistleblowing: i canali di segnalazione interni, dove analizziamo anche le criticità più frequenti riscontrate in fase di audit.

I requisiti minimi di un whistleblowing interno conforme ed efficace

Un errore che vediamo spesso è pensare che basti “attivare una piattaforma”. In realtà, il sistema di whistleblowing interno è un insieme coordinato di regole, procedure e responsabilità, che deve poggiare su alcuni requisiti essenziali.

Dal punto di vista giuridico e organizzativo, il canale interno deve garantire:

• riservatezza dell’identità del segnalante, del segnalato e del contenuto della segnalazione;

• possibilità di effettuare segnalazioni in forma scritta e orale, secondo le modalità previste;

• tracciabilità delle attività svolte, senza compromettere l’anonimato;

• tempi certi di riscontro e gestione;

• competenza e imparzialità del soggetto gestore.

Sul piano privacy, il tema è tutt’altro che secondario. Il trattamento dei dati personali nel whistleblowing richiede misure tecniche e organizzative adeguate, come chiarito anche dal Garante per la protezione dei dati personali. Non è un caso che abbiamo dedicato un approfondimento specifico a Whistleblowing e trattamento dei dati personali, perché un sistema formalmente corretto ma tecnicamente fragile espone l’azienda a rischi molto seri.

Nota operativa
Un sistema interno che non protegge realmente l’identità del segnalante non è solo inefficace: è pericoloso. In questi casi, il whistleblowing interno perde credibilità e diventa un incentivo indiretto alla segnalazione esterna.

La scelta del soggetto che gestisce le segnalazioni (lo Studio Legale Calvello fornisce questo servizio)

Un altro nodo cruciale riguarda chi gestisce il whistleblowing interno. La normativa non impone una soluzione unica, ma impone un risultato: autonomia, indipendenza e competenza. La gestione può essere affidata a:

• una funzione interna adeguatamente strutturata,

• un organismo di vigilanza,

• un soggetto esterno specializzato.

La scelta non è mai neutra. In molte realtà, soprattutto nelle PMI, la gestione esclusivamente interna può creare conflitti di interesse o timori di ritorsione. In questi casi, una gestione esternalizzata o mista può rafforzare la fiducia nel sistema. Questo tema è trattato in modo puntuale anche in Whistleblowing: i soggetti a cui va affidata la gestione delle segnalazioni.

Perché un whistleblowing interno ben progettato riduce il rischio di segnalazioni esterne

Dal punto di vista strategico, un buon whistleblowing interno è la miglior prevenzione del whistleblowing esterno. Quando i lavoratori percepiscono che:

• la segnalazione viene presa sul serio,

• non subiscono conseguenze negative,

• l’azienda agisce in modo trasparente e coerente,

la probabilità che si rivolgano direttamente all’ANAC si riduce drasticamente. Questo non significa “nascondere i problemi”, ma gestirli in modo strutturato e conforme, prima che diventino incontrollabili.

Per comprendere cosa accade quando il sistema interno manca o è inadeguato, è utile leggere Whistleblowing: la mancata istituzione dei canali interni e delle relative procedure, che analizza le conseguenze più rilevanti sul piano sanzionatorio e organizzativo.

In sintesi, il whistleblowing interno non è solo una risposta a un obbligo normativo, ma una scelta di maturità organizzativa. È il primo banco di prova per capire se l’azienda è realmente pronta a gestire il rischio di illeciti al proprio interno, oppure se rischia di subire interventi esterni con impatti ben più pesanti.

Whistleblowing esterno: quando è legittimo (e prudente) ricorrere al canale ANAC

Nel dibattito tra whistleblowing interno o esterno, il ricorso al canale esterno ANAC viene spesso percepito come una scelta “radicale” o addirittura conflittuale. In realtà, dal punto di vista giuridico e operativo, il whistleblowing esterno è uno strumento di garanzia, previsto dal legislatore proprio per quei casi in cui il canale interno non è utilizzabile, non è affidabile oppure espone il segnalante a rischi concreti.

È fondamentale chiarire un punto che, nella pratica, genera molti errori: la segnalazione esterna non è una scorciatoia, ma una facoltà regolata da presupposti precisi. Quando tali presupposti sussistono, ricorrere al canale ANAC non è solo legittimo, ma può essere la scelta più prudente sia per il segnalante sia, indirettamente, per l’azienda.

Quando il whistleblowing esterno è ammesso dalla normativa

La normativa sul whistleblowing stabilisce che il segnalante possa rivolgersi al canale esterno ANAC, tra l’altro, quando:

• non è previsto un canale interno, pur essendo obbligatorio;

• il canale interno esiste ma non è conforme o non garantisce adeguata riservatezza;

• la segnalazione interna non ha avuto seguito nei termini previsti;

• il segnalante ha fondati motivi di ritenere che la segnalazione interna possa esporlo a ritorsioni;

• vi è il rischio che la violazione non venga efficacemente affrontata.

Questo impianto normativo mira a evitare che il whistleblowing interno diventi una “finzione organizzativa”. Se il sistema interno non funziona, il legislatore apre consapevolmente la porta all’esterno.

Un aspetto spesso sottovalutato riguarda il fatto che la segnalazione esterna non è una “denuncia generica”, ma segue regole procedurali rigorose, definite nelle Linee guida ANAC. Proprio per questo, abbiamo dedicato un approfondimento specifico a Whistleblowing ANAC: linee guida e tutela contro le eventuali ritorsioni, utile per comprendere come funziona realmente il canale esterno.

Whistleblowing esterno e rischio reputazionale per l’azienda

Dal punto di vista aziendale, il whistleblowing esterno viene spesso temuto per il suo potenziale impatto reputazionale. Questo timore, però, va letto correttamente. Non è la segnalazione esterna in sé a generare il danno, ma la mancanza di un sistema interno credibile che spinge il segnalante a rivolgersi all’esterno.

Quando un’impresa non:

• istituisce correttamente i canali interni,

• informa adeguatamente lavoratori e collaboratori,

• garantisce la riservatezza,

• gestisce in modo serio e documentato le segnalazioni,

il rischio di un’escalation verso l’ANAC aumenta in modo fisiologico. Su questo punto, è utile richiamare l’attenzione su Whistleblowing: la mancata istituzione dei canali interni e delle relative procedure, che analizza le conseguenze concrete di queste omissioni.

In altre parole, il whistleblowing esterno è spesso l’effetto, non la causa, di una governance interna carente.

Whistleblowing esterno come “ultima ratio”, non come alternativa ordinaria

Dal punto di vista sistematico, il whistleblowing esterno è concepito come una tutela rafforzata, non come un canale ordinario alternativo a quello interno. Quando però il sistema interno è:

• inesistente,

• inaffidabile,

• percepito come pericoloso,

il ricorso all’esterno diventa non solo legittimo, ma coerente con la ratio della normativa.

Per questo motivo, quando assistiamo un’azienda, la domanda che poniamo non è “come evitare il whistleblowing esterno?”, ma “come rendere il whistleblowing interno sufficientemente credibile da non rendere necessario quello esterno?”. È su questo equilibrio che si gioca la vera efficacia del sistema.

Esempio reale di vita quotidiana: dalla segnalazione alla scelta del canale corretto

Per comprendere davvero quando scegliere il whistleblowing interno e quando quello esterno, è utile calare la normativa nella realtà quotidiana delle aziende, perché è lì che emergono dubbi, paure e decisioni sbagliate.

Immaginiamo una società privata di medie dimensioni, con oltre 50 dipendenti, operante nel settore dei servizi. L’azienda ha formalmente attivato un canale di whistleblowing interno, pubblicato una pagina informativa sul sito e adottato una procedura scritta. Tuttavia, la gestione delle segnalazioni è affidata a una figura interna che, nella prassi, risponde direttamente all’amministratore delegato.

Un dipendente dell’area amministrativa rileva anomalie ripetute nella gestione di alcuni contratti: affidamenti sistematici allo stesso fornitore, mancanza di documentazione giustificativa e pressioni informali a “non approfondire”. Il lavoratore conosce l’esistenza del whistleblowing interno, ma sa anche che il soggetto gestore:

• lavora quotidianamente a stretto contatto con i vertici,

• non ha una reale autonomia decisionale,

• non ha mai gestito segnalazioni delicate.

In questa situazione, il dipendente si pone una domanda molto concreta, che intercetta perfettamente le ricerche online di imprenditori e lavoratori:
“Posso fidarmi del whistleblowing interno o rischio ritorsioni?”

La valutazione del segnalante: interno o esterno?

Dal punto di vista giuridico, questo è un caso tipico in cui la valutazione non è astratta, ma sostanziale. Formalmente, il canale interno esiste. Sostanzialmente, però, non offre garanzie adeguate di indipendenza e tutela.

Se il dipendente utilizza il canale interno e:

• la segnalazione non viene gestita correttamente,

• viene archiviata senza adeguata istruttoria,

• oppure emergono comportamenti ritorsivi anche indiretti,

il sistema di whistleblowing interno fallisce la sua funzione. In un contesto simile, la normativa consente al segnalante di ricorrere legittimamente al whistleblowing esterno, rivolgendosi all’ANAC.

Questo esempio chiarisce un concetto centrale: la scelta tra whistleblowing interno o esterno non dipende solo dall’esistenza del canale, ma dalla sua effettiva affidabilità.

Il punto di vista dell’azienda: dove nasce l’errore

Dal lato aziendale, l’errore non è aver previsto un canale interno, ma averlo progettato in modo meramente formale. In molti casi che seguiamo come studio legale, il whistleblowing interno viene:

• “copiato” da modelli standard,

• affidato a soggetti non realmente indipendenti,

• scollegato dal sistema di compliance complessivo (231, controlli interni, audit).

Il risultato è un sistema che esiste sulla carta, ma che non viene utilizzato o, peggio, viene aggirato attraverso segnalazioni esterne.

Proprio per evitare queste situazioni, abbiamo approfondito il tema della gestione delle segnalazioni e delle attività cui è tenuto il soggetto gestore in Whistleblowing: le attività cui è tenuto chi gestisce le segnalazioni, perché è lì che spesso si annida la criticità.

Quando l’esempio diventa un rischio concreto

Riprendendo l’esempio, se il dipendente decide di rivolgersi direttamente all’ANAC, l’azienda può trovarsi esposta a:

• verifiche sulla corretta istituzione dei canali interni,

• valutazioni sulla conformità della procedura adottata,

• accertamenti su eventuali condotte ritorsive.

In questo scenario, l’attenzione non si concentra solo sull’illecito segnalato, ma anche sulla tenuta complessiva del sistema di whistleblowing. È il motivo per cui ANAC, nelle proprie attività di vigilanza, valuta non solo il contenuto delle segnalazioni, ma anche come l’ente ha strutturato e comunicato il proprio sistema.

Un’azienda che investe correttamente nel whistleblowing interno riduce drasticamente la probabilità che casi come questo sfocino in segnalazioni esterne. Al contrario, un sistema debole spinge fisiologicamente verso l’esterno.

La lezione pratica per imprese e imprenditori

Questo esempio reale ci consente di fissare alcuni punti fermi:

• il whistleblowing interno deve essere credibile prima ancora che conforme;

• il whistleblowing esterno non è un abuso, ma una tutela prevista dal legislatore;

• la scelta del canale dipende dalla qualità del sistema interno, non solo dalla sua esistenza formale.

Per le aziende, la vera domanda non è “come evitare le segnalazioni esterne”, ma come progettare un whistleblowing interno tale da non renderle necessarie. È su questo terreno che si gioca la prevenzione del rischio legale, sanzionatorio e reputazionale.

Domande frequenti sul whistleblowing interno ed esterno

Di seguito rispondiamo alle domande più frequenti che riceviamo da imprese, imprenditori, HR manager e responsabili compliance quando valutano whistleblowing interno o esterno. Le risposte sono formulate in modo pratico, coerente con la normativa vigente e orientate a chiarire dubbi reali, non teorici.

Il whistleblowing interno è obbligatorio per tutte le aziende?

No. Il whistleblowing interno è obbligatorio per le aziende che hanno occupato, nell’ultimo anno, una media di almeno 50 lavoratori subordinati, nonché per determinati soggetti che operano in settori specificamente regolati. Per le imprese sotto soglia, non sempre l’obbligo sussiste, ma l’adozione del sistema può comunque essere fortemente consigliata in ottica di prevenzione del rischio.

Il whistleblowing esterno può essere utilizzato liberamente?

No. Il whistleblowing esterno non è un canale alternativo libero, ma può essere utilizzato solo al ricorrere delle condizioni previste dalla normativa. In particolare, quando il canale interno non esiste, non è conforme, non funziona o espone il segnalante a un rischio concreto di ritorsioni.

Cosa succede se l’azienda ha il canale interno ma non funziona?

Se il whistleblowing interno è inefficace o solo formale, il segnalante può legittimamente rivolgersi al canale esterno ANAC. In questi casi, l’azienda rischia verifiche sulla conformità del sistema e, se emergono criticità, anche sanzioni. È un tema che abbiamo approfondito in Whistleblowing: la mancata istituzione dei canali interni o istituzione non conforme.

È possibile fare una segnalazione anonima?

Sì. La normativa consente anche segnalazioni anonime, purché siano adeguatamente circostanziate. Tuttavia, l’anonimato non esonera l’azienda dall’obbligo di gestire correttamente la segnalazione. Abbiamo dedicato un focus specifico al tema in Whistleblowing: l’anonimato.

Chi deve gestire le segnalazioni di whistleblowing?

La gestione deve essere affidata a soggetti autonomi, indipendenti e competenti, interni o esterni all’organizzazione. La scelta errata del gestore è una delle principali cause di inefficacia del sistema. Per approfondire: Whistleblowing: i soggetti a cui va affidata la gestione delle segnalazioni. Lo Studio Legale Calvello fornisce il servizio di gestione delle segnalazioni.

Il whistleblowing riguarda solo i dipendenti?

No. Il sistema di whistleblowing può essere utilizzato anche da collaboratori, consulenti, lavoratori autonomi, tirocinanti, e in generale da soggetti che hanno un rapporto professionale con l’ente. Questo aspetto è spesso sottovalutato nella fase di implementazione.

Cosa rischia l’azienda se ignora una segnalazione?

Ignorare o archiviare superficialmente una segnalazione espone l’azienda a rischi elevati, soprattutto se il segnalante decide di rivolgersi all’esterno. Inoltre, l’inerzia può essere valutata negativamente in sede di controllo o ispezione.

Le ritorsioni contro il segnalante sono sempre sanzionate?

Sì. Le condotte ritorsive, dirette o indirette, sono espressamente vietate e sanzionate. L’ANAC ha già irrogato sanzioni in diversi casi. Sul punto segnaliamo Whistleblowing e condotte ritorsive: ANAC sanziona.

Il whistleblowing è collegato al modello 231?

Sì. In molte realtà, il whistleblowing è strettamente integrato con il Modello 231, il PTPCT o altri atti organizzativi. Una gestione disallineata tra questi strumenti può creare vulnerabilità rilevanti. Il tema è approfondito in La disciplina della procedura di gestione delle segnalazioni nel MOG 231 o in altro atto organizzativo.

Il whistleblowing comporta obblighi privacy specifici?

Assolutamente sì. Il trattamento dei dati personali nel whistleblowing richiede misure tecniche e organizzative rafforzate. Errori su questo fronte possono vanificare l’intero sistema. Per un approfondimento mirato: Whistleblowing: trattamento dei dati personali.

---

Perché affidarsi allo Studio Legale Calvello per il whistleblowing aziendale

Lo Studio Legale Calvello supporta imprese ed enti nella progettazione, implementazione e gestione dei sistemi di whistleblowing, offrendo un servizio completo “chiavi in mano”, pienamente conforme alla normativa vigente.

Il servizio include:

• Piattaforma di whistleblowing conforme ai requisiti ANAC, sicura e adeguata agli standard di legge

• Servizio esterno di gestione delle segnalazioni, per garantire indipendenza, riservatezza e corretto trattamento dei dati

• Supporto legale nella strutturazione delle procedure interne e nella conformità privacy-GDPR

Puoi consultare il dettaglio del servizio whistleblowing chiavi in mano a questo link: https://www.studiolegalecalvello.it/whistleblowing-ecco-il-nostro-servizio-alle-aziende-chiavi-in-mano/

Per una consulenza personalizzata sull’implementazione del whistleblowing, oppure per ricevere un preventivo su misura, è possibile contattare direttamente lo Studio tramite la pagina di contatto e consulenza dello Studio Legale Calvello.