Compliance 231 e whistleblowing: rafforzare la cultura del controllo (Case Study)

Modello 231: la manutenzione ignorata che espone l'azienda al rischio

Un Modello di Organizzazione, Gestione e Controllo esiste da anni in molte aziende, spesso da quando il D.Lgs. 231/2001 ha introdotto la responsabilità amministrativa degli enti per i reati commessi nel loro interesse. Il problema non è averlo: è che un Modello 231 fermo alla versione approvata all'origine, senza audit periodici e senza flussi informativi aggiornati verso l'Organismo di Vigilanza, smette di essere una misura di prevenzione reale e diventa un documento che nessuno rilegge finché non serve difendersi da un'indagine.

Nel 2025 questo problema si è aggravato per un motivo preciso: le regole sui canali di segnalazione interna sono cambiate, e riguardano direttamente chi ha un Modello 231.

Il quadro normativo

Cosa cambia tra 231 e whistleblowing

Il D.Lgs. 24/2023, di recepimento della Direttiva (UE) 2019/1937, impone il canale di segnalazione interna non solo alle aziende con almeno 50 dipendenti o nei settori sensibili, ma a chiunque abbia adottato un Modello 231, indipendentemente dal numero di dipendenti. È il punto che molte aziende con un Modello già in essere sottovalutano: avere un Modello 231 significa avere anche l'obbligo whistleblowing, punto.

Tuttavia, occhio al perimetro: per le aziende sotto i 50 dipendenti con Modello 231, l'obbligo è limitato ed esclude gli illeciti comunitari; il canale interno deve poter accogliere esclusivamente le segnalazioni di reati presupposto 231 o le violazioni del Modello stesso.

Il 26 novembre 2025 l'ANAC ha approvato, con Delibera n. 478, le nuove Linee guida sui canali interni di segnalazione, che incidono direttamente sull'architettura dei Modelli 231:

• è raccomandato un canale unico per le segnalazioni whistleblowing e per le violazioni del Modello 231, ma i flussi verso l'Organismo di Vigilanza restano distinti da quelli generali;

• l'Organismo di Vigilanza può essere designato Gestore delle segnalazioni, ma solo con un incarico separato e distinto dalla sua funzione di vigilanza sul Modello, per evitare la sovrapposizione tra chi riceve la segnalazione e chi verifica l'adeguatezza del sistema;

• è obbligatoria la definizione formale dei flussi informativi tra il Gestore delle segnalazioni e l'OdV, sia periodici sia legati a eventi specifici;

• la formazione va differenziata per ruolo: generale per tutto il personale, specifica per le aree a rischio, mirata per il Gestore su protezione dei dati e tecniche di gestione dell'istruttoria.

Sul fronte sanzionatorio, le due normative si sommano: la mancata istituzione del canale interno espone a sanzioni ANAC da 10.000 a 50.000 euro, mentre un Modello 231 non aggiornato perde la sua funzione esimente prevista dagli articoli 6 e 7 del Decreto. E il perimetro dei reati presupposto continua ad allargarsi: la Legge n. 147/2025 ha appena inasprito le sanzioni per gli illeciti ambientali previsti dall'art. 25-undecies, portando il range fino a 1.200 quote, ciascuna tra 258 e 1.549 euro.

La sfida del cliente

Il gruppo che abbiamo affiancato aveva un Modello 231 strutturato ma, come capita spesso dopo qualche anno, i presidi di controllo non erano più allineati all'operatività reale: i flussi informativi verso l'OdV si erano impoveriti, i format di reporting erano rimasti quelli della prima adozione, e la consapevolezza interna sui nuovi obblighi whistleblowing introdotti dalla Delibera ANAC 478/2025 era pressoché assente al di fuori della funzione compliance.

L'approccio ERSG

Dall'audit alla cultura del controllo

Abbiamo lavorato su quattro leve, tenendo il Modello 231 e il canale whistleblowing come un sistema unico da presidiare, non due adempimenti paralleli:

• Audit periodici sulle aree sensibili, per verificare che le procedure del Modello fossero ancora coerenti con l'organizzazione reale dell'azienda, non solo con l'organigramma di quando il Modello era stato adottato.

• Verifica dei flussi informativi tra le funzioni aziendali, il Gestore delle segnalazioni e l'Organismo di Vigilanza, formalizzando cosa va comunicato in modo periodico e cosa va segnalato a evento.

• Aggiornamento dei format di reporting, per rendere tracciabile e documentabile ogni fase dell'istruttoria, dalla ricezione della segnalazione fino all'esito: archiviazione, revisione delle procedure, trasmissione agli Uffici procedimenti disciplinari o all'Autorità Giudiziaria.

• Formazione interna differenziata, distinguendo i contenuti generali obbligatori per tutto il personale da quelli specifici per le aree a rischio e da quelli mirati per chi gestisce le segnalazioni.

Il punto di vista legale

“Uno dei principali profili di criticità che emergono nella concreta implementazione dei sistemi di whistleblowing non riguarda tanto l'istituzione del canale di segnalazione, quanto la corretta individuazione dei soggetti chiamati a gestirlo. La sovrapposizione tra funzione di gestione delle segnalazioni e funzione di vigilanza sul Modello 231 può infatti generare interferenze sul piano dell'autonomia, dell'indipendenza e dell'obiettività dei controlli. In tale prospettiva, qualora l'Organismo di Vigilanza sia coinvolto nella gestione delle segnalazioni, risulta opportuno che tale attività trovi un autonomo e puntuale fondamento nell'assetto organizzativo e nei relativi atti di conferimento. Le più recenti Linee Guida ANAC hanno il merito di richiamare l'attenzione degli enti sulla necessità di una chiara separazione delle funzioni e dei flussi informativi, rafforzando presidi organizzativi che assumono particolare rilevanza ai fini dell'effettiva tenuta del sistema di controllo interno e del Modello 231."

Valore generato

• Controlli più tracciabili: ogni fase, dalla segnalazione all'esito, è oggi documentata secondo un format coerente con le Linee guida ANAC.

• Flussi informativi più chiari tra Gestore delle segnalazioni e Organismo di Vigilanza, con una cadenza definita invece che occasionale.

• Compliance più integrata nei comportamenti aziendali, grazie a una formazione che distingue i ruoli invece di trattare tutti i dipendenti allo stesso modo.

• Un presidio più solido verso i rischi che il Modello 231 dovrebbe intercettare, incluso quello, spesso trascurato, di un Modello che smette di essere aggiornato.

Perché riguarda anche chi pensa di essere già a posto

Avere un Modello 231 da molti anni non significa necessariamente disporre di un sistema pienamente allineato alle più recenti evoluzioni normative e interpretative. Le Linee Guida ANAC del 2025 hanno spostato l'attenzione dalla semplice presenza del canale di segnalazione alla qualità della sua governance: chiarezza dei flussi informativi, separazione delle funzioni, corretta attribuzione delle responsabilità e formazione calibrata sui diversi destinatari. Sono aspetti che spesso non emergono nella gestione ordinaria, ma che possono diventare rilevanti in sede di verifica dell'effettiva idoneità del sistema whistleblowing e, più in generale, del Modello 231.

In sintesi

Oggi non basta avere un Modello 231 adottato e un canale whistleblowing attivo. Il vero tema è verificare che l'intero sistema funzioni in modo coerente, tracciabile e aggiornato rispetto all'evoluzione normativa e organizzativa dell'impresa. Le aziende più solide non sono quelle che accumulano procedure, ma quelle che trasformano compliance e controllo interno in strumenti operativi di governo del rischio e di tutela del business.