Whistleblowing e responsabilità da reato degli enti: come cambia il rapporto con il modello 231

Dal d.lgs. 231/2001 al d.lgs. 24/2023, la disciplina delle segnalazioni interne non è più un tassello marginale della compliance aziendale. Per le imprese che adottano un modello organizzativo 231, il whistleblowing è diventato uno snodo operativo del sistema di controllo, con riflessi su governance, procedimenti interni e sistema disciplinare.

La relazione tra “legge 231” e whistleblowing ha cambiato fisionomia negli ultimi anni. In una prima fase, la tutela del segnalante era stata inserita direttamente nel corpo del d.lgs. 231/2001, soprattutto per effetto della legge n. 179/2017. Oggi, invece, la disciplina generale della protezione dei segnalanti è contenuta nel d.lgs. 24/2023, che ha recepito la direttiva UE 2019/1937 e ha ridisegnato gli obblighi per enti pubblici e privati. Il risultato, sul piano pratico, è che il whistleblowing non coincide più con una semplice clausola del modello 231: è una procedura autonoma, ma resta strettamente intrecciata con l’assetto organizzativo richiesto dalla responsabilità amministrativa degli enti.

Il contesto normativo: che cosa resta nel decreto 231 e che cosa passa al decreto 24/2023

Il dato normativo di partenza è noto. Il d.lgs. 231/2001 disciplina la responsabilità degli enti per alcuni reati commessi nel loro interesse o vantaggio da apicali o sottoposti. L’art. 6 collega l’esonero da responsabilità all’adozione e all’efficace attuazione di modelli di organizzazione, gestione e controllo idonei a prevenire i reati della specie di quello verificatosi.

Con il d.lgs. 24/2023, il legislatore ha però spostato la disciplina organica del whistleblowing fuori dal perimetro del 231. L’art. 1 del decreto 24 chiarisce che la nuova normativa tutela chi segnala violazioni di disposizioni nazionali o dell’Unione europea lesive dell’interesse pubblico o dell’integrità dell’amministrazione o dell’ente, apprese in un contesto lavorativo pubblico o privato. L’art. 4 detta poi i requisiti del canale interno, prevedendo la possibilità di segnalazioni scritte e orali, garanzie di riservatezza e una gestione affidata a soggetti autonomi e specificamente formati.

Per il settore privato, sono tenuti a istituire canali interni gli enti che soddisfano almeno una delle condizioni indicate da ANAC in attuazione del decreto: almeno 50 lavoratori nell’ultimo anno; operatività in specifici settori sensibili; oppure adozione di un modello organizzativo ex d.lgs. 231/2001, anche sotto la soglia dei 50 dipendenti. Questo punto è cruciale, perché conferma che il raccordo con la 231 sopravvive in modo strutturale anche dopo il riassetto del 2023.

Il nodo giuridico centrale: il whistleblowing è ancora “parte” del modello 231?

Qui si colloca la questione più rilevante. Dal punto di vista dell’interpretazione, non sembra corretto dire che il whistleblowing sia stato espunto dalla materia 231 in senso sostanziale. È più esatto affermare che la sua disciplina di dettaglio non è più contenuta nel d.lgs. 231/2001, ma nel d.lgs. 24/2023. Per gli enti dotati di modello 231, tuttavia, il canale di segnalazione continua a operare come componente del sistema di prevenzione e controllo.

Le linee guida ANAC sui canali interni, approvate con delibera n. 478 del 26 novembre 2025, lo dicono in modo molto chiaro: il modello 231 deve prevedere che il canale interno soddisfi i requisiti del d.lgs. 24/2023; per gli aspetti di dettaglio il modello può rinviare all’atto organizzativo e alle procedure interne adottate dall’ente. Sempre ANAC precisa che, per i soggetti privati che adottano un MOG 231, anche il sistema disciplinare previsto dall’art. 6, comma 2, lett. e), del d.lgs. 231/2001 deve essere aggiornato per tenere conto della disciplina whistleblowing e delle responsabilità sanzionatorie previste dal decreto 24.

Sul piano sistematico, quindi, il rapporto è di integrazione:
la norma generale sulla protezione del segnalante è il d.lgs. 24/2023;
il modello 231 resta il contenitore organizzativo entro cui quella disciplina deve trovare collocazione coerente quando l’ente ha scelto o è tenuto ad adottarlo.

Le violazioni segnalabili e i limiti della tutela

Un altro profilo centrale riguarda l’ambito oggettivo delle segnalazioni. Il whistleblowing non coincide con qualsiasi lamentela sul rapporto di lavoro. Il decreto 24 protegge la segnalazione di violazioni normative che incidono sull’interesse pubblico o sull’integrità dell’ente, non le contestazioni individuali di natura meramente personale. ANAC, nelle linee guida, distingue infatti le segnalazioni rilevanti dalle doglianze attinenti a rapporti individuali di lavoro, rivendicazioni o conflitti interpersonali, che restano normalmente fuori dal perimetro dell’istituto.

Per gli enti 231 il punto è particolarmente delicato. Molte segnalazioni possono riguardare fatti che, oltre a integrare violazioni del codice etico o delle procedure aziendali, rappresentano anche indici di un rischio-reato presupposto: corruzione tra privati, reati societari, reati in materia di salute e sicurezza, ambientali, tributari o informatici. In questi casi la prassi applicativa tende a utilizzare il canale whistleblowing come meccanismo di emersione anticipata del rischio 231. Ma non ogni violazione interna è, di per sé, una violazione whistleblowing in senso tecnico.

Gli orientamenti applicativi: riservatezza, gestore del canale, tempi e sistema disciplinare

Il legislatore e ANAC insistono soprattutto su quattro profili.

Il primo è la riservatezza. Il canale deve garantire la tutela dell’identità del segnalante, della persona coinvolta e del contenuto della segnalazione. Non si tratta di un adempimento formale: l’inadeguata protezione dei dati e delle informazioni è una delle principali criticità applicative, soprattutto nelle strutture aziendali di minori dimensioni.

Il secondo riguarda il gestore del canale. Il d.lgs. 24/2023 richiede che la gestione sia affidata a una persona o ufficio interno autonomo, oppure a un soggetto esterno, purché dotato di requisiti di autonomia e adeguata formazione. Nelle imprese soggette al 231, questo apre un tema organizzativo non banale: il gestore può coincidere con l’Organismo di vigilanza, con una funzione compliance, con un comitato dedicato o con un provider esterno, ma la scelta deve essere coerente con l’assetto dei controlli, con l’assenza di conflitti e con la concreta capacità di trattare le segnalazioni. La norma non impone una soluzione unica.

Il terzo profilo è procedurale. Le linee guida ANAC ricordano, tra l’altro, l’avviso di ricevimento entro sette giorni e il riscontro al segnalante entro i termini previsti dalla disciplina, oltre alla necessità di tracciare le fasi dell’istruttoria e distinguere tra ricevibilità, ammissibilità e fondatezza della segnalazione. Questo aspetto, nelle imprese, impone procedure scritte e ruoli definiti.

Il quarto è il sistema disciplinare. Qui il collegamento con il modello 231 è diretto: per i soggetti che adottano un MOG 231, ANAC segnala la necessità di aggiornare il sistema disciplinare affinché sanzioni non solo le violazioni del modello, ma anche i comportamenti contrari alla disciplina whistleblowing, comprese le ritorsioni, l’ostacolo alla segnalazione o la violazione della riservatezza nei casi previsti.

Le questioni aperte: piccole imprese, gruppi societari, segnalazioni anonime

Le criticità non mancano.

Una prima questione riguarda le società con meno di 50 dipendenti che adottano il modello 231. Per queste realtà il decreto 24 mantiene l’obbligo del canale interno, ma il quadro applicativo è meno lineare rispetto alle imprese di dimensioni maggiori. Dalle fonti ANAC emerge, ad esempio, l’attenzione per il problema delle società sotto soglia dotate di modello 231, per le quali il canale interno assume spesso un rilievo esclusivo.

Una seconda questione riguarda i gruppi societari. Dalle linee ANAC e dai richiami alla direttiva europea emerge che la condivisione di risorse è ammessa per alcuni soggetti, ma non elimina l’esigenza che ciascun ente mantenga propri obblighi di riservatezza, riscontro e trattazione. In termini 231, questo significa che non basta centralizzare il canale: occorre verificare se la soluzione di gruppo sia compatibile con le autonomie organizzative e con la mappatura dei rischi delle singole società.

Una terza area problematica è quella delle segnalazioni anonime. Le più recenti modifiche ANAC del 2025 hanno precisato che i soggetti pubblici e privati possono trattarle come segnalazioni ordinarie, se ciò è previsto dai propri regolamenti interni. Non vi è quindi un obbligo generalizzato di attribuire all’anonima pieno statuto di whistleblowing; ma, se l’autore viene successivamente identificato e subisce ritorsioni, possono attivarsi specifiche tutele.

Le ricadute pratiche per le imprese che adottano il modello 231

Sul piano dell’applicazione pratica, per un ente che abbia un modello 231 aggiornato non è più sufficiente conservare una procedura di segnalazione costruita sul vecchio art. 6, comma 2-bis, nella logica precedente alla riforma. Occorre, almeno, verificare quattro aspetti.

Il primo è la coerenza tra modello 231, codice etico, procedura whistleblowing e sistema disciplinare. Documenti non coordinati producono un rischio evidente: regole diverse su destinatari, canali, termini, tutele e flussi informativi. Le linee ANAC del 2025 insistono proprio sulla necessità che il modello richiami un canale conforme al decreto 24 e che il resto sia disciplinato in atti organizzativi specifici.

Il secondo è la definizione dei flussi verso l’Organismo di vigilanza. Il whistleblowing non coincide con l’attività dell’OdV, ma nelle organizzazioni 231 la segnalazione può contenere elementi essenziali per il monitoraggio dei rischi-reato. Ne deriva la necessità di bilanciare due esigenze: riservatezza del segnalante e adeguata circolazione delle informazioni verso i soggetti competenti a vigilare sul modello. Questo bilanciamento, più che dalla norma, dipende dalla qualità delle procedure interne.

Il terzo è la scelta del canale e della sua architettura tecnica. Le imprese devono garantire la forma scritta e quella orale, oltre a misure idonee per la conservazione della documentazione e la separazione degli accessi. Il punto non è meramente informatico: è organizzativo e probatorio, perché la tenuta del sistema può incidere anche nella valutazione sull’effettiva attuazione del modello 231.

Il quarto è la formazione. Il decreto 24 e ANAC non si limitano a prescrivere un canale; richiedono, di fatto, un presidio capace di riconoscere ciò che rientra nell’ambito whistleblowing, distinguere le segnalazioni infondate o irricevibili, attivare verifiche proporzionate ed evitare condotte ritorsive. Per gli enti 231, ciò trasforma il whistleblowing da presidio documentale a test concreto dell’efficienza del sistema di controllo interno.

Nel quadro vigente, la “231” e il whistleblowing non sono discipline sovrapponibili, ma neppure separabili. Il d.lgs. 24/2023 ha costruito una disciplina generale della protezione del segnalante; il d.lgs. 231/2001 continua però a rappresentare, per molte imprese, il contesto organizzativo in cui quella disciplina deve essere implementata. Per questo, oggi, il problema non è tanto stabilire se il whistleblowing sia ancora “dentro” la 231, quanto verificare se il modello, i flussi informativi e il sistema disciplinare siano stati realmente riallineati alla normativa sopravvenuta e alle più recenti indicazioni ANAC.