Whistleblowing e sicurezza: guida completa alla normativa 2026

Il whistleblowing nella sicurezza sul lavoro è il processo con cui un dipendente, un collaboratore o un soggetto vicino all’organizzazione segnala in modo protetto e riservato violazioni di norme, comportamenti illeciti o rischi per la compliance. Il segnalante, definito whistleblower, agisce nell’interesse pubblico e dell’organizzazione stessa, non per ragioni personali. La normativa italiana di riferimento è il D.Lgs. 24/2023, che ha recepito la Direttiva UE 2019/1937 estendendo obblighi e tutele a enti pubblici e privati. Sul piano tecnico-operativo, lo standard UNI ISO 37002:2021 fornisce le linee guida per costruire un sistema di gestione delle segnalazioni strutturato e affidabile.

I principi fondanti di qualsiasi sistema di whistleblowing efficace sono tre: fiducia, imparzialità e protezione. Lo standard UNI ISO 37002 articola il processo in quattro fasi operative sequenziali:

1. Ricezione del rapporto di illeciti
2. Valutazione del rapporto di illeciti
3. Trattamento del rapporto di illeciti
4. Chiusura del caso di whistleblowing

I vantaggi immediati per l’organizzazione che adotta un sistema conforme includono:

• Identificazione precoce di frodi e violazioni prima che diventino contenziosi
• Riduzione del rischio legale e delle sanzioni amministrative previste dal D.Lgs. 24/2023
• Tutela del segnalante, dei facilitatori e dei soggetti terzi coinvolti
• Conformità al GDPR nella gestione delle informazioni sensibili
• Rafforzamento della cultura organizzativa e della governance interna

Indice

• Quali situazioni si segnalano con il whistleblowing aziendale?
• Qual è il quadro normativo italiano ed europeo sul whistleblowing?
• Quali vantaggi porta un sistema di whistleblowing ben strutturato?
• Falsi miti e ostacoli concreti nel whistleblowing sicurezza
• Come si collegano whistleblowing e protezione dei dati personali?
• Quali standard e best practice guidano l’implementazione del whistleblowing?
• Come funziona la procedura operativa di segnalazione nella sicurezza?
• Quali sono i tempi di gestione delle segnalazioni di whistleblowing?
• Chi gestisce il processo di whistleblowing in azienda?
• Esempi pratici di implementazione di sistemi di whistleblowing sicurezza
• Punti chiave
• Securityhub supporta la tua organizzazione nella compliance integrata

Quali situazioni si segnalano con il whistleblowing aziendale?

Le segnalazioni tutelate riguardano violazioni di norme di diritto dell’Unione Europea o nazionale, condotte illecite o comportamenti che mettono a rischio la sicurezza sul lavoro, la salute pubblica, l’ambiente o la correttezza amministrativa. Non si tratta di uno strumento per gestire conflitti interpersonali o controversie contrattuali ordinarie.

I contesti aziendali in cui il whistleblowing trova applicazione più frequente sono quelli con elevata esposizione normativa: settori regolamentati come finanza, sanità, energia, appalti pubblici e produzione industriale. Tuttavia, il D.Lgs. 24/2023 si applica a qualsiasi organizzazione con almeno 50 dipendenti nel settore privato, senza distinzione di settore.

Esempi concreti di segnalazioni tutelate:

• Violazioni delle norme sulla sicurezza degli impianti o dei dispositivi di protezione individuale
• Frodi contabili, corruzione o conflitti di interesse non dichiarati
• Irregolarità negli appalti pubblici o nella gestione di fondi
• Smaltimento illecito di rifiuti o violazioni ambientali
• Trattamento non conforme di dati personali in violazione del GDPR
• Pratiche discriminatorie sistematiche o molestie organizzate
• Rischi per la salute pubblica derivanti da prodotti o processi non conformi

Sono invece escluse dalla disciplina le segnalazioni che riguardano esclusivamente controversie personali tra colleghi, rivendicazioni salariali individuali o conflitti gerarchici privi di rilevanza normativa. Questa distinzione, chiarita dal D.Lgs. 24/2023, è fondamentale per evitare un uso improprio del canale di segnalazione.

Un elemento spesso trascurato riguarda i facilitatori: soggetti che assistono il whistleblower nel processo di segnalazione, come colleghi o rappresentanti sindacali. La normativa italiana li tutela esplicitamente, riconoscendo che il supporto al segnalante è parte integrante del sistema.

Qual è il quadro normativo italiano ed europeo sul whistleblowing?

Il D.Lgs. 24/2023, in vigore dal 15 luglio 2023 per gli enti pubblici e dal 17 dicembre 2023 per le organizzazioni private con almeno 250 dipendenti, rappresenta la norma cardine. Le aziende private con un numero di dipendenti compreso tra 50 e 249 hanno avuto tempo fino al 17 dicembre 2023 per adeguarsi, con un regime transitorio per i canali interni condivisi tra più soggetti giuridici.

La Direttiva UE 2019/1937 ha fissato standard minimi armonizzati per tutti gli Stati membri, prevedendo tre canali di segnalazione distinti: il canale interno all’organizzazione, il canale esterno presso le autorità di controllo competenti e, in casi specifici, la divulgazione pubblica tramite stampa o media. L’Italia ha recepito questa struttura integralmente.

Obblighi principali per le organizzazioni private:

• Istituzione di un canale interno di segnalazione sicuro e riservato
• Nomina di un soggetto o ufficio responsabile della gestione delle segnalazioni
• Risposta al segnalante entro 7 giorni dalla ricezione e feedback entro 3 mesi
• Divieto assoluto di ritorsioni dirette e indirette nei confronti del whistleblower
• Riservatezza dell’identità del segnalante in ogni fase del procedimento

Tutele garantite al segnalante:

1. Protezione da licenziamento, demansionamento, trasferimento e qualsiasi altra misura ritorsiva
2. Inversione dell’onere della prova: spetta al datore di lavoro dimostrare che un provvedimento non è ritorsivo
3. Accesso al patrocinio legale e supporto da parte dell’Autorità Nazionale Anticorruzione (ANAC)
4. Esonero da responsabilità civile e penale per la divulgazione di informazioni riservate, nei limiti previsti dalla legge
5. Estensione della protezione a facilitatori, colleghi e aziende fornitrici che subiscono ritorsioni economiche indirette

Quest’ultimo punto merita attenzione: il D.Lgs. 24/2023 tutela anche i soggetti terzi coinvolti, come le imprese fornitrici che potrebbero subire conseguenze economiche a causa della segnalazione effettuata da un loro dipendente. Si tratta di un ampliamento significativo rispetto alla normativa previgente.

Le sanzioni amministrative per chi viola gli obblighi del decreto variano in funzione della gravità: dall’omessa istituzione del canale interno fino alle ritorsioni accertate nei confronti del segnalante, con importi che possono raggiungere livelli rilevanti per le organizzazioni di maggiori dimensioni.

Quali vantaggi porta un sistema di whistleblowing ben strutturato?

Un sistema di segnalazione efficace trasforma un potenziale rischio reputazionale in uno strumento di prevenzione attiva. Le organizzazioni che lo implementano correttamente rilevano frodi e illeciti molto prima rispetto a quelle che si affidano esclusivamente ai controlli interni tradizionali. Secondo i dati disponibili, i sistemi di whistleblowing efficaci migliorano il rendimento economico medio del 2,8% e riducono del 20,4% gli accordi legali stragiudiziali.

La riduzione del contenzioso è solo uno degli effetti misurabili. Sul piano della governance, un canale di segnalazione attivo dimostra agli stakeholder, ai mercati e alle autorità di vigilanza che l’organizzazione adotta pratiche etiche concrete, non solo dichiarate. Questo aspetto incide direttamente sulla reputazione e sulla capacità di attrarre personale qualificato e partner commerciali affidabili.

Vantaggi specifici riconosciuti dalla normativa e dagli standard tecnici:

• Identificazione precoce di illeciti prima che causino danni patrimoniali o reputazionali gravi
• Prevenzione della perdita di beni aziendali e possibilità di recupero di quelli già persi
• Conformità documentata alle politiche interne e agli obblighi legali, con riduzione del rischio sanzionatorio
• Rafforzamento del senso di appartenenza e della fiducia dei dipendenti nell’organizzazione
• Dimostrazione concreta di governance etica verso investitori, clienti e autorità di regolamentazione
• Riduzione dei costi legati a indagini interne tardive e procedimenti giudiziari

Il miglioramento del clima aziendale non è un effetto collaterale secondario. Quando i dipendenti percepiscono che le segnalazioni vengono gestite con serietà e senza conseguenze negative per chi le effettua, la propensione a comunicare problemi aumenta. Questo crea un circolo virtuoso in cui i rischi vengono intercettati prima che si trasformino in crisi.

Falsi miti e ostacoli concreti nel whistleblowing sicurezza

La confusione più diffusa riguarda l’ambito di applicazione: molti dipendenti credono che qualsiasi lamentela sul posto di lavoro costituisca una segnalazione tutelata, ma non è così. Come chiarito dal D.Lgs. 24/2023, le controversie esclusivamente personali o i conflitti gerarchici privi di rilevanza normativa non rientrano nella disciplina del whistleblowing.

Un secondo equivoco riguarda lo standard UNI ISO 37002: molte organizzazioni lo interpretano come una certificazione obbligatoria da conseguire. In realtà, si tratta di una norma tecnica volontaria di tipo B, che guida operativamente la costruzione del sistema senza sostituire gli obblighi di legge e senza prevedere un processo di certificazione formale.

Miti da sfatare e ostacoli più frequenti:

• Mito: «Il whistleblowing è uno strumento per fare delazioni tra colleghi.» Realtà: riguarda violazioni normative con impatto sull’organizzazione o sulla collettività, non dispute personali.
• Mito: «L’anonimato garantisce sempre l’impunità per segnalazioni false.» Realtà: le segnalazioni in malafede o palesemente false non godono di protezione e possono comportare responsabilità per il segnalante.
• Mito: «Basta installare una piattaforma digitale per essere conformi.» Realtà: la tecnologia è necessaria ma non sufficiente; serve un approccio culturale e organizzativo strutturato.
• Ostacolo: Resistenza culturale interna, con dipendenti che temono ritorsioni informali anche in presenza di tutele legali formali.
• Ostacolo: Difficoltà nella formazione del personale responsabile della gestione delle segnalazioni, spesso privo di competenze specifiche in materia legale e psicologica.
• Ostacolo: Gestione della riservatezza in organizzazioni di piccole dimensioni, dove l’identità del segnalante è difficile da proteggere concretamente.
• Ostacolo: Sovraccarico del canale interno con segnalazioni non pertinenti, che riduce l’efficacia del sistema e disperde le risorse dedicate.

La sfida più sottovalutata rimane quella culturale. Un sistema tecnicamente impeccabile fallisce se i dipendenti non si fidano del processo o percepiscono che le segnalazioni vengano archiviate senza seguito reale.

Come si collegano whistleblowing e protezione dei dati personali?

La riservatezza dell’identità del segnalante non è solo un principio etico: è un obbligo giuridico. Il D.Lgs. 24/2023 impone misure tecniche stringenti per garantire che l’identità del whistleblower e del soggetto segnalato rimanga riservata in ogni fase del procedimento, dalla ricezione alla chiusura del caso.

Il GDPR si applica integralmente alla gestione delle segnalazioni, poiché queste contengono quasi sempre dati personali di terzi, spesso dati sensibili. L’organizzazione che gestisce il canale di segnalazione assume il ruolo di titolare del trattamento e deve adottare tutte le misure previste dal Regolamento, inclusa la valutazione d’impatto sulla protezione dei dati quando il trattamento presenta rischi elevati. Per approfondire le misure tecniche specifiche, la guida ISO 27018 di Securityhub offre un riferimento operativo utile.

Best practice per la protezione dei dati nel whistleblowing:

• Utilizzo di canali di segnalazione con cifratura end-to-end e accesso limitato ai soli soggetti autorizzati
• Separazione logica e fisica dei dati relativi alle segnalazioni rispetto agli altri sistemi informativi aziendali
• Definizione di periodi di conservazione dei dati proporzionati alla finalità e conformi al principio di minimizzazione
• Formazione specifica per i responsabili della gestione delle segnalazioni sul trattamento dei dati personali
• Informativa privacy dedicata per i segnalanti, redatta in modo chiaro e accessibile
• Pseudonimizzazione o anonimizzazione dei dati nei report interni e nelle comunicazioni verso organi di controllo

La certificazione ISO 27018 rappresenta uno strumento concreto per dimostrare la conformità nella protezione dei dati personali trattati in cloud, un aspetto rilevante per le organizzazioni che utilizzano piattaforme di whistleblowing in modalità SaaS.

Quali standard e best practice guidano l’implementazione del whistleblowing?

Lo standard UNI ISO 37002:2021 è la guida tecnica di riferimento per costruire un sistema di gestione delle segnalazioni applicabile a qualsiasi tipo di organizzazione, indipendentemente da dimensione, settore o natura giuridica. Non è uno standard certificabile nel senso tradizionale del termine, ma fornisce un quadro operativo che integra e rafforza gli obblighi del D.Lgs. 24/2023 senza sovrapporsi ad essi.

I quattro principi guida dello standard sono fiducia, imparzialità, protezione e trasparenza. Questi principi non sono dichiarazioni di intenti: si traducono in requisiti operativi precisi per ciascuna delle quattro fasi del processo.

Best practice operative raccomandate:

• Definire una politica di whistleblowing scritta, approvata dalla direzione e comunicata a tutto il personale
• Nominare un responsabile indipendente della gestione delle segnalazioni, con garanzie di autonomia rispetto alla linea gerarchica
• Prevedere canali multipli di segnalazione: digitale, telefonico e fisico, per garantire accessibilità a tutti i dipendenti
• Condurre sessioni di formazione periodiche per sensibilizzare il personale sull’esistenza e il funzionamento del sistema
• Effettuare audit interni annuali per verificare l’efficacia del sistema e identificare aree di miglioramento
• Pubblicare report periodici aggregati sull’attività del canale, senza dati identificativi, per dimostrare trasparenza
• Integrare il sistema di whistleblowing con il modello organizzativo 231 e con il sistema di gestione della sicurezza delle informazioni

L’integrazione tra D.Lgs. 24/2023 e UNI ISO 37002 produce un sistema più solido di quanto ciascuno dei due strumenti garantisca da solo. La norma tecnica colma i vuoti operativi che la legge non disciplina nel dettaglio, come le modalità di valutazione delle segnalazioni o i criteri per la chiusura dei casi.

Un consiglio: Prima di selezionare una piattaforma tecnologica per il canale di segnalazione, verificate che il fornitore garantisca la conformità al GDPR e la cifratura dei dati in transito e a riposo. La tecnologia è il contenitore; la politica e la cultura organizzativa sono il contenuto.

Come funziona la procedura operativa di segnalazione nella sicurezza?

La procedura operativa per una segnalazione nel contesto della sicurezza sul lavoro segue un percorso definito che inizia con l’accesso al canale dedicato. Il segnalante compila una scheda strutturata indicando la natura dell’illecito, i soggetti coinvolti, le prove disponibili e, se lo desidera, i propri dati identificativi. La possibilità di segnalare in forma anonima è garantita dalla normativa, anche se le segnalazioni con identità dichiarata consentono un’istruttoria più efficace.

Dopo la ricezione, il responsabile designato verifica la completezza formale della segnalazione e la sua pertinenza rispetto all’ambito di applicazione del D.Lgs. 24/2023. Se la segnalazione è incompleta, il responsabile può richiedere integrazioni al segnalante attraverso il canale sicuro, senza compromettere la riservatezza. Le segnalazioni palesemente infondate o non pertinenti vengono archiviate con motivazione scritta.

La fase di trattamento prevede l’apertura di un’istruttoria interna, con raccolta di evidenze, audizioni dei soggetti coinvolti e analisi documentale. Durante tutta questa fase, il segnalante non deve subire alcuna misura ritorsiva. Al termine dell’istruttoria, il responsabile formula una conclusione e, se necessario, trasmette gli esiti alle autorità competenti o agli organi di controllo interni.

Un consiglio: Documentate ogni passaggio della procedura con timestamp verificabili. In caso di contestazione, la tracciabilità del processo è la principale difesa dell’organizzazione contro accuse di inerzia o ritorsione.

Quali sono i tempi di gestione delle segnalazioni di whistleblowing?

Il D.Lgs. 24/2023 fissa scadenze precise che le organizzazioni devono rispettare. Entro 7 giorni dalla ricezione della segnalazione, il responsabile deve inviare un avviso di ricevimento al segnalante attraverso il canale sicuro. Entro 3 mesi dalla data dell’avviso di ricevimento, o dalla scadenza dei 7 giorni se non è stato inviato avviso, il responsabile deve fornire un riscontro al segnalante sullo stato o sull’esito della segnalazione.

Questi termini non sono indicativi: il loro mancato rispetto costituisce una violazione degli obblighi normativi e può essere contestato dall’ANAC. Per le organizzazioni che gestiscono volumi elevati di segnalazioni, il rispetto delle scadenze richiede un sistema di tracciamento automatico con alert preventivi.

La durata complessiva dell’istruttoria dipende dalla complessità del caso. Segnalazioni che riguardano violazioni documentate e circoscritte si chiudono in poche settimane. Casi che coinvolgono più soggetti, documentazione estesa o necessità di coordinamento con autorità esterne possono richiedere diversi mesi. In ogni caso, il segnalante deve ricevere aggiornamenti periodici sullo stato del procedimento.

Un aspetto spesso sottovalutato riguarda la conservazione dei dati relativi alle segnalazioni: il D.Lgs. 24/2023 prevede che le informazioni vengano conservate per il tempo necessario alla gestione del caso e comunque non oltre 5 anni dalla data della comunicazione dell’esito finale, nel rispetto del principio di limitazione della conservazione previsto dal GDPR.

Chi gestisce il processo di whistleblowing in azienda?

La figura centrale è il responsabile della gestione delle segnalazioni, che può essere una persona fisica interna all’organizzazione, un ufficio dedicato o un soggetto esterno incaricato. Il D.Lgs. 24/2023 non impone una struttura specifica, ma richiede che il responsabile operi con piena autonomia e indipendenza rispetto alla linea gerarchica coinvolta nelle segnalazioni.

Nelle organizzazioni di maggiori dimensioni, la gestione è spesso affidata all’ufficio compliance, all’internal audit o a un comitato etico. Nelle PMI, dove queste strutture non esistono, il ruolo viene frequentemente assegnato a un professionista esterno, come un avvocato o un consulente specializzato. Questa soluzione garantisce indipendenza ma richiede un contratto che definisca chiaramente obblighi di riservatezza e modalità operative.

Le figure aziendali coinvolte nel processo e le loro responsabilità:

• Responsabile della gestione delle segnalazioni: riceve, valuta, istruisce e chiude i casi; garantisce la riservatezza e rispetta le scadenze normative.
• Alta direzione: approva la politica di whistleblowing, garantisce le risorse necessarie e risponde in ultima istanza della cultura organizzativa.
• Responsabile della protezione dei dati (DPO): supervisiona la conformità al GDPR nella gestione delle informazioni contenute nelle segnalazioni.
• Responsabile delle risorse umane: gestisce le eventuali misure disciplinari nei confronti dei soggetti segnalati, mantenendo la separazione rispetto al processo di segnalazione.
• Responsabile della sicurezza informatica: garantisce l’integrità e la sicurezza del canale tecnologico di segnalazione.

La separazione dei ruoli non è solo una buona pratica: è una condizione necessaria per evitare conflitti di interesse che potrebbero compromettere l’imparzialità del processo. Un sistema in cui chi gestisce le segnalazioni risponde gerarchicamente agli stessi soggetti che potrebbero essere segnalati non offre garanzie reali.

Esempi pratici di implementazione di sistemi di whistleblowing sicurezza

Un’azienda manifatturiera con 300 dipendenti che opera nel settore chimico ha l’obbligo di istituire un canale interno di segnalazione ai sensi del D.Lgs. 24/2023. Un’implementazione tipica prevede l’adozione di una piattaforma digitale con accesso tramite browser, senza necessità di login aziendale, che consente segnalazioni anonime con cifratura dei contenuti. Il responsabile designato, in questo caso un consulente esterno, riceve le segnalazioni attraverso la piattaforma e gestisce la comunicazione con il segnalante senza mai accedere ai sistemi informativi interni dell’azienda.

Un ente pubblico di medie dimensioni, invece, può optare per un canale condiviso tra più amministrazioni, soluzione espressamente prevista dal decreto per gli enti con meno di 50 dipendenti. In questo caso, la gestione centralizzata riduce i costi ma richiede accordi formali tra le amministrazioni partecipanti e procedure chiare per la separazione dei casi.

Nel settore finanziario, dove gli obblighi di segnalazione si sovrappongono a quelli previsti dalla normativa di settore, le organizzazioni integrano il canale di whistleblowing con i sistemi di segnalazione già previsti da Banca d’Italia e CONSOB. Questa integrazione evita duplicazioni e garantisce che le segnalazioni vengano indirizzate al canale più appropriato in funzione della natura dell’illecito.

Un esempio di implementazione secondo lo standard UNI ISO 37002 prevede la redazione di una procedura documentata per ciascuna delle quattro fasi operative, con modelli standardizzati per la valutazione delle segnalazioni, criteri espliciti per la prioritizzazione dei casi e un registro delle segnalazioni con accesso limitato. La procedura viene revisionata annualmente sulla base degli esiti dell’audit interno e delle eventuali modifiche normative. Per le organizzazioni che vogliono integrare questo approccio con un sistema di gestione della sicurezza più ampio, il riferimento agli standard ISO offre un quadro metodologico coerente.

Punti chiave

Il whistleblowing nella sicurezza sul lavoro richiede un sistema strutturato che integri obblighi normativi del D.Lgs. 24/2023, principi operativi dello standard UNI ISO 37002 e misure tecniche di protezione dei dati conformi al GDPR.

Securityhub supporta la tua organizzazione nella compliance integrata

Un sistema di whistleblowing efficace non esiste in isolamento: si integra con il sistema di gestione della sicurezza delle informazioni e con la conformità normativa complessiva dell’organizzazione. Securityhub affianca le aziende italiane nel percorso verso la certificazione ISO 27001, fornendo consulenza specializzata, documentazione su misura e supporto continuo per garantire che la sicurezza delle informazioni e la compliance normativa procedano in modo coordinato.

Se la tua organizzazione sta valutando come strutturare un sistema di gestione della sicurezza che includa anche le procedure di segnalazione interna, la guida completa alla certificazione ISO 27001 di Securityhub è il punto di partenza più efficace.

Raccomandati

• Formazione obbligatoria sicurezza: guida pratica PMI 2026 – Security Hub
• Perché adottare policy di sicurezza nel 2026 – Security Hub
• 10 Passaggi per una Checklist Sicurezza Informatica 2025 – Security Hub
• Errori gestione dati personali: guida pratica 2026 – Security Hub