Sanzioni whistleblowing: quanto si rischia davvero.

Chi cerca «sanzioni whistleblowing» di solito non sta studiando: sta decidendo se muoversi. La risposta breve è da 10.000 a 50.000 euro. La risposta utile riguarda altre due cose che quasi nessuno scrive: quella somma non la paga l’azienda, e il presupposto più frequente non è l’assenza del canale, ma la sua gestione.

Gli importi, fattispecie per fattispecie

La norma è l’art. 21 del D.Lgs. 10 marzo 2023 n. 24. Il comma 1 apre con una formula che vale la pena leggere per intero, perché delimita tutto il resto: «Fermi restando gli altri profili di responsabilità, l’ANAC applica al responsabile le seguenti sanzioni amministrative pecuniarie». Poi tre lettere.

Due precisazioni sulla tabella, perché la lettura corrente è spesso approssimativa.

Non esiste un importo per fattispecie. La legge indica una forbice unica di 10.000–50.000 euro per tutte le condotte delle lettere a) e b), senza graduarle fra loro. Chi pubblica tabelle con importi distinti per il canale mancante e per la ritorsione sta aggiungendo qualcosa che nel testo non c’è. La quantificazione avviene caso per caso nel provvedimento finale del Consiglio dell’Autorità: nell’unico provvedimento sanzionatorio del 2025 che ANAC riporta per esteso nella Relazione annuale, l’Autorità ha motivato l’importo osservando che la sanzione non sarebbe «effettiva» se fissata al minimo, vista la gravità e la reiterazione delle condotte.

La lettera c) colpisce il segnalante, non l’ente. È il caso dell’art. 16, comma 3: quando è accertata la responsabilità del segnalante per diffamazione o calunnia, le tutele decadono. Il Regolamento ANAC precisa che il potere sanzionatorio dell’Autorità si esercita quando è accertata, anche con sentenza di primo grado, la responsabilità civile per diffamazione o calunnia nei casi di dolo o colpa grave; l’ipotesi della condanna penale è oggetto della clausola di salvezza contenuta nella stessa lettera c).

C’è poi un comma 2 che riguarda solo gli enti privati con Modello 231: devono prevedere, nel sistema disciplinare adottato ai sensi dell’art. 6, comma 2, lettera e) del D.Lgs. 231/2001, sanzioni nei confronti di coloro che risultano responsabili degli illeciti del comma 1. Non è una sanzione ulteriore di ANAC: è un obbligo di contenuto del Modello. Un Modello che non lo prevede è, sotto questo profilo, incompleto.

Chi paga: non è l’ente

Qui la lettura diffusa è sbagliata, e l’errore è rilevante perché cambia chi ha interesse a muoversi. La norma dice «al responsabile», senza specificare. Il Regolamento ANAC adottato con delibera n. 301 del 12 luglio 2023 specifica, e le Linee Guida n. 1/2025, approvate con delibera n. 478 del 26 novembre 2025, confermano.

Sulla quarta riga le Linee Guida sono esplicite: il responsabile «è individuato nell’organo di indirizzo», sia nel settore pubblico sia in quello privato, e l’organo risponde della sanzione in solido con i suoi singoli componenti, fatta salva l’azione di regresso verso i responsabili della violazione ai sensi dell’art. 6 della legge 689/1981. Il Regolamento aggiunge che nel provvedimento sanzionatorio è indicata «la sua ripartizione in ragione delle responsabilità individuali di ciascun componente dell’organo di indirizzo».

Tradotto: la delibera che rimanda l’attivazione del canale non produce un costo aziendale astratto, ne produce uno personale per chi l’ha adottata. E il gestore che riceve una segnalazione e non la lavora risponde per sé, non per l’organizzazione.

Affidare la gestione all’esterno non sposta questa responsabilità. Le Linee Guida 1/2025 lo dicono in modo diretto: ogni ente è tenuto a istituire e rendere attivo il proprio canale, e la responsabilità «non può quindi escludersi per il solo fatto che questi abbia affidato a terzi la gestione». Se la scelta ricade su un soggetto non autonomo, o se la disciplina predisposta dal fornitore non è conforme al decreto, la responsabilità torna sul committente.

Come si arriva all’accertamento

Il Regolamento del 2023 stabilisce che l’Autorità esercita il potere sanzionatorio d’ufficio o, a seconda dei casi, su comunicazione o esposto. Non serve una denuncia formale: la vigilanza di ANAC può partire da sé, tipicamente in occasione della trattazione di una segnalazione esterna.

I percorsi sono due, e sono diversi.

Il procedimento semplificato: canale assente o non conforme

Quando nell’attività di vigilanza emerge l’assenza dei canali, la mancata adozione delle procedure o la loro non conformità, il procedimento si svolge in forma semplificata. La comunicazione di avvio è inviata all’organo di indirizzo dell’ente e indica in modo puntuale i presupposti di fatto e le ragioni di diritto. I destinatari hanno 30 giorni per presentare memorie, documenti e deduzioni. Il Dirigente, entro 120 giorni dal ricevimento dell’esposto o dal perfezionamento dell’attività avviata d’ufficio, trasmette al Consiglio la proposta di provvedimento conclusivo, che può essere di archiviazione o sanzionatorio.

Il procedimento ordinario: ritorsioni, ostacolo, riservatezza, mancata gestione

Qui c’è una fase di pre-istruttoria. L’esposto o la comunicazione devono contenere, a pena di inammissibilità, i recapiti completi dell’interessato, l’autore della condotta, i fatti e i documenti a sostegno: un esposto anonimo non attiva questo procedimento. L’Ufficio valuta entro 90 giorni, prorogabili una sola volta e per non più di 30, e decide se archiviare o avviare il procedimento sanzionatorio. La comunicazione di avvio contiene la contestazione dell’addebito e indica un termine non superiore a 180 giorni per la conclusione. Segue l’istruttoria, con accesso agli atti, memorie ed eventuale audizione, e infine la fase decisoria davanti al Consiglio.

Due conseguenze che di solito restano fuori dai conti.

• Il provvedimento finale viene pubblicato. Il Regolamento prevede la pubblicazione, debitamente omissata, sul sito istituzionale dell’Autorità nella sezione whistleblowing; il Consiglio può inoltre disporre la pubblicazione sul sito dell’ente cui appartiene il sanzionato.
• Nel settore privato la vicenda non finisce in ANAC. In caso di provvedimento sanzionatorio per ritorsioni commesse nel contesto lavorativo di un soggetto privato, l’Ufficio informa l’Ispettorato nazionale del lavoro per i provvedimenti di competenza.

Il presupposto più frequente non è l’assenza del canale

È il punto che cambia le priorità. Delle sette condotte sanzionate dalle lettere a) e b), cinque presuppongono un canale che esiste: la ritorsione presuppone una segnalazione ricevuta, l’ostacolo presuppone qualcuno che ha provato a segnalare, la violazione della riservatezza presuppone dati che sono stati raccolti, la mancata verifica presuppone una segnalazione arrivata, la non conformità presuppone procedure adottate.

Un canale che non c’è espone a una sola contestazione, statica. Un canale che c’è ma non viene gestito espone a molte di più, per una ragione strutturale: genera aspettative e lascia tracce. L’avviso di ricevimento mancato è documentato, i tre mesi decorrono da una data certa, ogni inoltro e ogni copia sono ricostruibili. La stessa documentazione che serve a difendersi serve, se il presidio non ha funzionato, a fondare la contestazione.

I termini che fanno scattare l’inadempimento

L’art. 5 del decreto elenca le attività di chi gestisce il canale. Due sono scadenze secche.

1. Avviso di ricevimento entro sette giorni dalla data di ricezione della segnalazione.
2. Riscontro entro tre mesi dalla data dell’avviso di ricevimento o, in mancanza di tale avviso, entro tre mesi dalla scadenza del termine di sette giorni dalla presentazione della segnalazione.

La seconda formulazione merita attenzione: non rilasciare l’avviso non allunga il tempo per rispondere. Il decreto prevede espressamente il decorso alternativo, quindi l’inerzia iniziale non sposta la scadenza dei tre mesi, la anticipa rispetto a chi l’avviso lo ha mandato tardi.

Le altre attività dell’art. 5 non hanno un termine numerico ma contano allo stesso modo: mantenere le interlocuzioni con il segnalante, dare «diligente seguito» alle segnalazioni, esporre nei luoghi di lavoro e pubblicare sul sito informazioni chiare su canale e procedure. L’informazione mancante è una non conformità dell’art. 5, quindi rientra nella lettera b).

Se il canale non c’è, la segnalazione va ad ANAC

L’art. 6 elenca le condizioni che aprono al canale esterno dell’Autorità. La prima riguarda direttamente il tema: la persona può segnalare ad ANAC quando nel suo contesto lavorativo il canale interno non è previsto come obbligatorio, oppure quando questo, anche se obbligatorio, non è attivo, oppure quando, anche se attivato, non è conforme all’art. 4. Le altre tre: segnalazione interna già effettuata e rimasta senza seguito; fondati motivi di ritenere che non le sarebbe dato efficace seguito o che ne deriverebbe una ritorsione; pericolo imminente o palese per il pubblico interesse.

La conseguenza pratica è asimmetrica rispetto a come viene di solito percepita. L’organizzazione senza canale interno non è più protetta dal fatto che «tanto nessuno segnala»: è l’unica in cui la segnalazione arriva direttamente all’Autorità che ha il potere di sanzionarla, senza alcun passaggio interno. E arriva insieme all’informazione che il canale non c’è.

Quanto succede davvero: i numeri del 2025

Qui serve onestà, perché il settore tende a raccontare un enforcement più aggressivo di quello documentato. I dati che seguono vengono dalla Relazione annuale ANAC al Parlamento pubblicata nel 2026 e riferita all’attività 2025.

L’unico caso definito con sanzione è la delibera n. 337 del 9 settembre 2025: misure organizzative di natura ritorsiva adottate dal direttore di un ente sanitario nei confronti di un medico che aveva segnalato condotte di rilevanza penale e contabile. Sanzione irrogata: 16.000 euro, a carico del firmatario delle misure. La disciplina applicata ratione temporis era l’art. 54-bis del D.Lgs. 165/2001, non l’art. 21, perché i fatti precedevano il decreto del 2023.

Quante sanzioni siano state irrogate per canale assente o procedure non conformi non è determinabile da fonte pubblica. La Relazione annuale non riporta quel dato disaggregato e i provvedimenti, pur pubblicati in forma omissata, non sono organizzati in una statistica consultabile. Chi indica un numero preciso lo sta stimando. Vale la pena dirlo, invece di riempire il vuoto.

Che cosa se ne ricava. Per un’impresa privata che non ha mai ricevuto segnalazioni il rischio immediato di sanzione oggi non è alto, e i numeri lo dicono. Ma i 460 fascicoli improcedibili sono altrettante persone che si sono rivolte ad ANAC senza sapere come funziona il canale interno, le Linee Guida 1/2025 sono il primo documento che chiarisce nel dettaglio quando una procedura non è conforme, e soprattutto la sanzione non è il danno principale: un procedimento con contestazione all’organo di indirizzo, memorie difensive e provvedimento pubblicato costa in tempo, consulenze e reputazione molto prima di costare in euro.

E l’art. 15 z-bis? Nessuna sanzione autonoma

Va detto qui, perché il rischio di allarmismo incrociato è concreto. L’obbligo di prevenzione delle condotte violente o moleste introdotto nell’art. 15 del D.Lgs. 81/2008 non ha una sanzione propria: non esiste una multa «per non aver prevenuto le molestie», e nessuna Autorità ha su quell’obbligo il potere sanzionatorio che ANAC ha sul whistleblowing. Quell’obbligo rileva in via indiretta, attraverso l’impianto penale già esistente sulla valutazione dei rischi, e in occasione delle verifiche degli organi di vigilanza sulla sicurezza.

Sono due regimi diversi che vanno tenuti distinti anche quando si sceglie un unico strumento per coprirli entrambi. La differenza fra i due obblighi, con la tabella comparativa e i casi di sovrapposizione, è in questa guida.

Questo articolo ha scopo informativo e non costituisce parere legale. Riferimenti: D.Lgs. 24/2023, artt. 4, 5, 6, 12, 16 e 21; direttiva UE 2019/1937; Regolamento ANAC di cui alla delibera n. 301 del 12 luglio 2023; Linee Guida ANAC n. 1/2025 di cui alla delibera n. 478 del 26 novembre 2025; Relazione annuale ANAC 2026 sull’attività 2025; art. 6 della legge 689/1981; art. 6, comma 2, lett. e) del D.Lgs. 231/2001; D.Lgs. 81/2008 art. 15. La prassi applicativa dell’art. 21 è ancora limitata e i criteri di quantificazione della sanzione non sono consolidati. Per la valutazione di una posizione concreta rivolgiti a un legale.