Tempi di gestione delle segnalazioni whistleblowing: scadenze e procedura operativa nel 2026

Ricevere una segnalazione attraverso il canale interno è soltanto l’inizio del processo di whistleblowing.

Dopo la ricezione, l’organizzazione deve confermare la presa in carico, verificare che la segnalazione sia pertinente, mantenere le interlocuzioni con il segnalante, svolgere gli approfondimenti necessari e fornire un riscontro entro i termini previsti.

Una piattaforma sicura è importante, ma non basta: servono una procedura definita, un gestore autonomo e adeguatamente formato, responsabilità chiare e strumenti che consentano di documentare ogni passaggio senza compromettere la riservatezza.

Vediamo quali sono i principali tempi di gestione di una segnalazione whistleblowing e come trasformare gli obblighi normativi in un processo realmente operativo.

Quali sono le principali scadenze whistleblowing?

Nel canale interno, i due termini fondamentali sono:

• 7 giorni per rilasciare al segnalante l’avviso di ricevimento;
• 3 mesi per fornire un riscontro sul seguito dato o che si intende dare alla segnalazione.

Il termine di tre mesi decorre dalla data dell’avviso di ricevimento. Se l’avviso non è stato trasmesso, decorre dalla scadenza del termine di sette giorni successivo alla presentazione della segnalazione.

Questi obblighi derivano dall’articolo 5 del D.Lgs. 24/2023 e sono ripresi nelle Linee guida ANAC n. 1/2025, approvate con Delibera n. 478 del 26 novembre 2025.

Il riscontro entro tre mesi non coincide sempre con la chiusura dell’indagine

Un equivoco frequente consiste nel considerare il termine di tre mesi come una scadenza entro la quale ogni indagine interna debba necessariamente essere conclusa.

La normativa richiede di fornire un riscontro, cioè comunicare al segnalante informazioni sul seguito dato o che si intende dare alla segnalazione. Il riscontro può riguardare, ad esempio:

• l’avvenuta archiviazione;
• l’apertura di un’istruttoria;
• l’adozione o la programmazione di misure correttive;
• il coinvolgimento delle funzioni aziendali competenti;
• la trasmissione degli elementi a un’autorità competente.

Quando gli approfondimenti non sono ancora terminati, il gestore può comunicare lo stato della procedura e le attività previste, senza rivelare informazioni che possano compromettere la riservatezza, i diritti delle persone coinvolte o le verifiche in corso.

La Direttiva (UE) 2019/1937 sottolinea la necessità di informare il segnalante sul seguito previsto o adottato, anche quando la valutazione non è ancora conclusa.

Le fasi operative della gestione di una segnalazione

1. Ricezione e registrazione

La segnalazione deve essere acquisita attraverso il canale autorizzato e resa accessibile esclusivamente al gestore o ai soggetti espressamente autorizzati.

In questa fase è opportuno registrare almeno:

• data e ora di ricezione;
• modalità utilizzata;
• identificativo univoco della segnalazione;
• eventuale documentazione allegata;
• data entro cui inviare l’avviso di ricevimento;
• soggetto incaricato della gestione.

La registrazione non deve generare copie incontrollate dei contenuti né notifiche che espongano l’identità del segnalante.

2. Avviso di ricevimento entro sette giorni

Il gestore deve inviare l’avviso di ricevimento entro sette giorni dalla presentazione. L’avviso conferma che la segnalazione è stata acquisita, ma non implica che i fatti siano già stati valutati o ritenuti fondati.

Una buona comunicazione dovrebbe confermare la ricezione, indicare il codice della segnalazione, spiegare come proseguiranno le comunicazioni e ricordare al segnalante di conservare le credenziali di accesso, evitando anticipazioni sull’esito.

Una piattaforma dotata di un’area riservata consente di mantenere le interlocuzioni senza utilizzare email ordinarie. Sul tema è utile approfondire se email o PEC siano adeguate per il whistleblowing.

3. Verifica preliminare di procedibilità e ammissibilità

Il gestore deve verificare se la comunicazione rientra nell’ambito del D.Lgs. 24/2023 e se contiene elementi sufficienti per avviare gli approfondimenti.

La valutazione può riguardare il rapporto tra il segnalante e l’organizzazione, la tipologia di violazione, il contesto lavorativo in cui le informazioni sono state acquisite, la presenza di fatti sufficientemente descritti e la pertinenza dei documenti allegati.

Una segnalazione poco dettagliata non dovrebbe essere automaticamente archiviata se è possibile chiedere chiarimenti attraverso il canale riservato.

4. Richiesta di integrazioni

Il D.Lgs. 24/2023 prevede che il gestore mantenga le interlocuzioni con il segnalante e possa richiedere integrazioni quando necessario.

Le richieste dovrebbero essere specifiche e proporzionate. Si possono domandare, ad esempio, il periodo e il luogo dei fatti, le persone o funzioni coinvolte, i documenti disponibili e gli elementi che consentano di verificare quanto rappresentato.

È importante evitare domande non necessarie che aumentino il trattamento di dati personali senza offrire un beneficio concreto all’istruttoria.

5. Istruttoria e accertamenti

Quando la segnalazione risulta ammissibile, il gestore avvia le verifiche necessarie.

A seconda del caso, possono essere coinvolte funzioni legali, compliance, audit, risorse umane, Organismo di Vigilanza o consulenti esterni. La condivisione deve tuttavia avvenire secondo il principio di necessità: ciascun soggetto dovrebbe ricevere soltanto le informazioni indispensabili per il proprio compito.

Le Linee guida ANAC 2025 ribadiscono la centralità del gestore e la necessità di disciplinare preventivamente anche i conflitti d’interesse, le sostituzioni e le assenze prolungate. L’organizzazione non dovrebbe trovarsi senza un soggetto legittimato a intervenire proprio mentre decorrono i termini.

6. Riscontro entro tre mesi

Entro tre mesi, il segnalante deve ricevere informazioni sul seguito della segnalazione.

Il contenuto varierà in base allo stato del procedimento. Il gestore potrà comunicare l’archiviazione motivata, l’avvio o la prosecuzione dell’istruttoria, la trasmissione alla funzione competente, le misure correttive previste o adottate oppure l’invio degli atti all’autorità competente.

“Riscontro” non significa trasmettere integralmente verbali, relazioni investigative o dati disciplinari. La comunicazione deve essere calibrata per proteggere riservatezza, indagine e diritti delle persone coinvolte.

7. Chiusura e conservazione

Al termine degli accertamenti, la procedura dovrebbe documentare le attività effettuate, gli elementi valutati, le conclusioni raggiunte, le decisioni adottate, la comunicazione dell’esito e il termine previsto per la cancellazione.

Le segnalazioni e la relativa documentazione possono essere conservate per il tempo necessario alla gestione e comunque per non oltre cinque anni dalla comunicazione dell’esito finale.

Il Garante per la protezione dei dati personali richiama inoltre la necessità di cancellare i dati manifestamente non utili, adottare misure tecniche e organizzative adeguate e svolgere una valutazione d’impatto sulla protezione dei dati.

Gli errori organizzativi più frequenti

Gli errori non dipendono sempre dalla tecnologia. Tra le criticità più comuni rientrano:

• assenza di un sostituto del gestore;
• notifiche inviate a caselle condivise;
• mancato controllo delle scadenze;
• richieste di integrazione non tracciate;
• condivisione eccessiva dell’identità del segnalante;
• documenti esportati e conservati senza protezione;
• mancata distinzione tra riscontro e conclusione dell’indagine;
• conservazione indefinita delle segnalazioni;
• assenza di una procedura per i conflitti d’interesse.

Per prevenire questi problemi, il canale dovrebbe essere integrato con una procedura organizzativa concreta, non limitarsi a un modulo di raccolta.

Quali funzioni dovrebbe offrire una piattaforma whistleblowing?

Per sostenere correttamente il processo, una piattaforma dovrebbe consentire almeno di:

• generare un identificativo univoco;
• inviare l’avviso di ricevimento entro i termini;
• mantenere comunicazioni riservate;
• assegnare la segnalazione soltanto ai soggetti autorizzati;
• registrare attività e scadenze;
• gestire richieste di integrazione;
• applicare ruoli e permessi granulari;
• proteggere documenti e allegati;
• programmare conservazione e cancellazione;
• documentare il processo in caso di verifica.

Per una valutazione più completa è disponibile anche la checklist dei 15 requisiti di una piattaforma whistleblowing conforme.

Dalla conformità formale a una gestione realmente efficace

Rispettare i sette giorni e i tre mesi è indispensabile, ma non sufficiente.

Un processo efficace deve garantire che la segnalazione venga affidata rapidamente al soggetto competente, che le verifiche siano documentate, che le comunicazioni restino riservate e che nessuna attività dipenda dalla memoria o dall’iniziativa occasionale del gestore.

La combinazione tra procedura, formazione e tecnologia permette di trasformare il canale whistleblowing da semplice adempimento a strumento concreto di prevenzione e governance.

GuardianVox supporta organizzazioni e professionisti nella costruzione di processi di segnalazione strutturati, riservati e verificabili. Per valutare il modello più adatto alla propria organizzazione è possibile richiedere un confronto dedicato.

Questo contenuto ha finalità informativa e non sostituisce una valutazione legale, organizzativa o privacy riferita al caso concreto.