Chi può gestire le segnalazioni, e quando serve un esterno.

L’art. 4, comma 2 del D.Lgs. 24/2023 dice che la gestione del canale «è affidata a una persona o a un ufficio interno autonomo dedicato e con personale specificamente formato», ovvero «a un soggetto esterno, anch’esso autonomo e con personale specificamente formato». Una riga sola, che apre la questione più scomoda dell’intera disciplina: in un’organizzazione di cinquanta o duecento persone, chiunque gestisca internamente conosce personalmente sia chi segnala sia chi è segnalato.

Le tre opzioni previste dalla legge

Il decreto ne prevede tre, e le mette sullo stesso piano quanto a requisiti.

1. Una persona interna dedicata. Un singolo, individuato nominativamente nell’atto organizzativo o nel Modello 231.
2. Un ufficio interno autonomo dedicato. Struttura collegiale, tipicamente un comitato o una funzione già esistente a cui il compito viene attribuito.
3. Un soggetto esterno. Un terzo, con gli stessi requisiti, legato all’ente da un contratto.

Due precisazioni che cambiano il perimetro della scelta.

Nel settore pubblico spesso non c’è scelta. L’art. 4, comma 5 stabilisce che i soggetti pubblici tenuti a prevedere la figura del Responsabile della prevenzione della corruzione e della trasparenza affidano a quest’ultimo la gestione del canale interno, anche nelle ipotesi di condivisione. Il resto di questa guida riguarda quindi soprattutto il settore privato e gli enti pubblici che quel vincolo non hanno.

Nel settore privato la scelta è rimessa all’autonomia organizzativa dell’ente, in relazione a dimensioni, natura dell’attività e realtà organizzativa concreta. Nelle Linee Guida del 2023 ANAC indica, a titolo esemplificativo, gli organi di internal audit, l’Organismo di vigilanza previsto dal D.Lgs. 231/2001 e i comitati etici. È un elenco aperto, non un vincolo.

Il requisito che decide tutto: l’autonomia

Le Linee Guida ANAC n. 1/2025 dedicano al punto un paragrafo intero e scompongono l’autonomia in due componenti.

• Imparzialità: il gestore «deve operare in maniera neutrale ed equidistante rispetto alle parti coinvolte», senza condizionamenti né favoritismi.
• Indipendenza: deve poter svolgere le sue attività «senza interferenze, ossia in autonomia operativa e valutativa».

Da qui l’Autorità ricava una conseguenza che molte procedure aziendali violano senza accorgersene: agli organi di indirizzo non devono essere attribuiti poteri di supervisione della gestione delle segnalazioni. Il gestore non può demandare la decisione finale dell’istruttoria al consiglio di amministrazione. L’organo di indirizzo può essere coinvolto solo a valle, quando emergano profili di sua competenza, e conserva un compito diverso: il monitoraggio generale sul corretto funzionamento della procedura.

Una procedura che prevede «il gestore riferisce all’amministratore delegato prima di ogni determinazione» non è una procedura conforme. E la non conformità alle prescrizioni degli artt. 4 e 5 rientra fra le condotte sanzionate dall’art. 21 del decreto.

Al requisito di autonomia si aggiunge quello di formazione specifica. ANAC ritiene preferibile un soggetto con buona conoscenza in campo giuridico, etico e dell’integrità, formato sia sul whistleblowing sia sul trattamento dei dati personali, e con adeguata conoscenza dell’organizzazione e del funzionamento dell’ente. Sono due requisiti che tirano in direzioni opposte, ed è esattamente qui che nasce il problema pratico.

Perché la scelta non è neutra

Il decreto ragiona in termini di requisiti. Chi deve decidere se segnalare ragiona in termini di volti.

In un’organizzazione con cinquanta o duecento dipendenti, la persona designata come gestore è qualcuno con cui il segnalante prende il caffè, e con cui il segnalato ha pranzato la settimana scorsa. Non è un problema di integrità: si può essere perfettamente onesti e comunque trovarsi nella posizione di dover istruire una segnalazione contro una persona che si conosce da dieci anni. È un problema di percezione, e la percezione determina se qualcuno segnala oppure no.

Questo è il motivo per cui il numero di segnalazioni non è un indicatore affidabile della salute di un’organizzazione. Zero segnalazioni può voler dire che non succede nulla, oppure che nessuno si fida del canale. I due scenari sono indistinguibili dall’interno e producono, per un po’, gli stessi report.

Quando l’interno è strutturalmente impraticabile

Ci sono situazioni in cui il problema non è di percezione ma di logica. Sono tre, e sono frequenti nelle imprese italiane.

• Il presunto autore è il titolare. Nelle società a proprietà familiare o con un socio operativo dominante, nessun dipendente può istruire con indipendenza una segnalazione che riguarda chi decide il suo stipendio.
• Il presunto autore è il direttore generale o l’amministratore delegato. Stessa dinamica, aggravata dal fatto che il gestore interno spesso riporta gerarchicamente proprio a lui.
• Il presunto autore è l’unico responsabile HR, che in moltissime organizzazioni è anche la persona designata come gestore. Qui il conflitto è strutturale, non eventuale.

Il decreto non ignora il problema, ma lo risolve solo in parte. Le Linee Guida 1/2025 chiedono che l’atto organizzativo o il Modello 231 disciplinino a monte le ipotesi di conflitto di interessi del gestore e individuino un sostituto, prima che il conflitto si presenti. Se il gestore è un organo collegiale e solo un componente è in conflitto, può bastare l’obbligo di astensione di quel componente.

E se anche il sostituto è in conflitto? La risposta di ANAC è netta e vale la pena leggerla per quello che implica: la persona segnalante può rivolgersi direttamente ad ANAC tramite il canale esterno, ricorrendo una delle condizioni dell’art. 6. Lo stesso vale per gli enti di ridotte dimensioni che, per carenza di personale, non sono in grado di nominare un sostituto.

Tradotto: nelle organizzazioni piccole la legge prevede che il caso più grave — quello che coinvolge chi comanda — esca dall’azienda e arrivi all’Autorità. Se questa prospettiva non piace, l’alternativa non è irrigidire la procedura interna: è costruire un percorso che sia credibile anche quando riguarda il vertice.

Cosa deve garantire un gestore esterno

Le Linee Guida 1/2025 dedicano al tema un paragrafo specifico. I requisiti sono cinque, e sono verificabili prima di firmare.

C’è un sesto elemento, meno noto: il soggetto esterno deve adottare un proprio atto organizzativo o Modello 231 che disciplini come gestisce le segnalazioni, e quel documento va richiamato nel contratto. È una richiesta ragionevole da fare in fase di selezione, e discrimina rapidamente.

Quello che l’esternalizzazione non sposta

Questo è il punto che chi vende servizi di gestione tende a lasciare implicito. Le Linee Guida 1/2025 lo dicono in modo diretto: ogni ente sottoposto al decreto «è tenuto a istituire e a rendere attivo il proprio canale di segnalazione; la responsabilità dell’ente non può quindi escludersi per il solo fatto che questi abbia affidato a terzi la gestione del canale».

Il committente risponde della mancata attivazione o della non conformità agli artt. 4 e 5 quando, al momento della stipulazione del contratto, ha ignorato l’assoluta inidoneità del terzo. La scelta di un soggetto idoneo spetta a chi affida l’incarico: se il terzo non è autonomo, o se la disciplina che ha predisposto non è conforme, la responsabilità torna sul committente, che può essere sottoposto alla sanzione dell’art. 21. Lo stesso vale se il terzo ha sede all’estero: ANAC vigila sul committente con sede in Italia.

Esternalizzare la gestione, quindi, non è un modo per scaricare il rischio. È un modo per risolvere il problema dell’autonomia, che è una cosa diversa e per molte organizzazioni più utile. Il rischio resta, e si sposta sulla qualità della selezione del fornitore.

L’OdV del Modello 231 come gestore

È la soluzione più frequente nelle società che hanno già un Modello, e ANAC la ammette espressamente: nelle Linee Guida del 2023 l’Organismo di vigilanza compare fra i soggetti a cui il ruolo di gestore può essere affidato, insieme agli organi di internal audit e ai comitati etici.

Quando funziona. L’OdV nasce con un requisito di autonomia e indipendenza dal vertice che è esattamente quello richiesto al gestore; conosce l’organizzazione; ha già canali informativi propri; e nelle società con Modello 231 la sovrapposizione fra segnalazioni whistleblowing e flussi informativi verso l’OdV è ampia. In un OdV collegiale, con almeno un componente esterno, la soluzione è solida.

Quando diventa una forzatura. Tre casi ricorrenti.

• OdV monocratico coincidente con un consulente stabile della società. Il requisito di indipendenza sostanziale è difficile da argomentare quando lo stesso professionista fattura all’ente altre attività rilevanti.
• OdV composto da persone che riportano al vertice, o che ricoprono ruoli operativi nell’organizzazione. Formalmente organismo, sostanzialmente interno alla catena gerarchica.
• OdV senza formazione specifica sul whistleblowing e sulla privacy. La competenza 231 non copre automaticamente la gestione dei termini dell’art. 5, il regime di riservatezza dell’art. 12 e gli obblighi di protezione dei dati.

C’è poi un tema di cumulo di incarichi che le Linee Guida 1/2025 affrontano con riferimento al Responsabile della protezione dei dati, ma il ragionamento è generalizzabile: negli enti di grandi dimensioni o a struttura complessa è preferibile che le due funzioni non coincidano, per non limitare l’effettività di nessuna delle due; negli enti di ridotte dimensioni — ANAC intende quelli con una media di dipendenti inferiore a cinquanta — il cumulo è ammissibile sulla base di una valutazione ad hoc e con adeguata motivazione.

Cinque domande prima di decidere

1. Se la segnalazione riguardasse il vertice, chi la istruirebbe? Se la risposta è «nessuno» o «il vertice stesso», l’opzione interna è già esclusa.
2. Chi è il sostituto, ed è scritto? Il sostituto va individuato nell’atto organizzativo prima che serva, non improvvisato quando arriva il caso.
3. Il gestore designato può chiudere un’istruttoria senza chiedere il permesso a nessuno? Se no, la procedura non è conforme.
4. Ha ricevuto formazione documentata su whistleblowing e trattamento dei dati personali? La formazione va provata, non dichiarata.
5. Un dipendente che non conoscete direbbe che quella persona è indipendente? È la domanda meno giuridica e la più predittiva.

Questo articolo ha scopo informativo e non costituisce parere legale. Riferimenti: D.Lgs. 24/2023, artt. 4, 5, 6, 12, 13 e 21; Linee Guida ANAC n. 1/2025 (delibera n. 478 del 26 novembre 2025); Linee guida ANAC di cui alla delibera n. 311 del 12 luglio 2023; art. 28 del Regolamento (UE) 2016/679; D.Lgs. 231/2001. La prassi applicativa sulla figura del gestore esterno è recente: le indicazioni più dettagliate risalgono a novembre 2025 e non esiste ancora una casistica sanzionatoria consolidata su questo profilo. Per la valutazione di un assetto concreto rivolgiti a un legale.