Whistleblowing – Italia · ISO 37002:2021
Il vostro canale di segnalazione rispetta il decreto whistleblowing?
52 requisiti in italiano per enti privati e pubblici: chi è obbligato, canale interno e gestore, tempi di gestione (sette giorni e tre mesi), riservatezza, protezione dei dati, divieto di ritorsione, sanzioni ANAC, modello 231 e formazione. Ogni requisito indica l'articolo del d.lgs. 24/2023 e, dove serve, il passo delle Linee guida ANAC. Quadro normativo al 15/11/2026.
Nessun dato di questa valutazione è trasmesso a GoToCertify.
Come funziona
- Profilo: pochi dati e domande sì/no escludono i requisiti non applicabili.
- Assessment: un livello di maturità 0-4 per requisito, con evidenze e note.
- Dashboard: punteggio complessivo e % di conformità per area; con lo sblocco anche per fonte, per controllo e gap P1/P2 per area.
- Report: PDF di sintesi gratuito; con Pro il report completo con piano d'azione, linee guida, mappa dei controlli, roadmap ed export Excel.
52 requisiti · 8 aree di valutazione · mappato su ISO 37002 · 45-75 minuti
Aree di valutazione
- AMB – Ambito e soggetti obbligati
Il primo passo è capire se e come il decreto si applica: categoria del soggetto, numero di lavoratori, settori, modello 231. Da qui dipendono le violazioni segnalabili e i canali utilizzabili. Il canale deve essere aperto a tutte le persone che il decreto tutela, non solo ai dipendenti. - CAN – Canale di segnalazione interna
Il canale va istituito con un atto organizzativo, sentite le rappresentanze sindacali, e affidato a un gestore autonomo e formato. Deve offrire forma scritta e orale e garantire la riservatezza, di regola con la cifratura. La mancanza del canale o delle procedure è sanzionata da ANAC. - GES – Gestione delle segnalazioni
La legge fissa due termini: avviso di ricevimento entro sette giorni e riscontro entro tre mesi. In mezzo c'è il diligente seguito: verifica dei presupposti, istruttoria, esito motivato. Tutto va documentato in un registro riservato. - EST – Canale esterno ANAC e divulgazione pubblica
L'ente deve informare anche su quando ci si può rivolgere ad ANAC e non può ostacolare le segnalazioni. Un canale interno che funziona riduce il ricorso al canale esterno e alla divulgazione pubblica. - RIS – Obbligo di riservatezza
L'identità del segnalante non può essere rivelata senza il suo consenso espresso a chi non è competente a ricevere o gestire le segnalazioni. Le stesse garanzie valgono per le persone coinvolte e menzionate. La violazione è sanzionata. - DAT – Protezione dei dati personali
Il decreto chiede espressamente una valutazione d'impatto, misure di sicurezza adeguate, contratti con i fornitori, informative, minimizzazione e una conservazione non oltre cinque anni dall'esito finale. I diritti degli interessati sono limitati per proteggere il segnalante. - TUT – Tutele e divieto di ritorsione
Chi segnala, e chi gli è vicino, non può subire ritorsioni: gli atti ritorsivi sono nulli e in giudizio si presumono tali. L'organizzazione deve saper dimostrare che le proprie decisioni hanno ragioni estranee alla segnalazione. - SAN – Sanzioni, sistema disciplinare e formazione
ANAC applica sanzioni da 10.000 a 50.000 euro al responsabile delle violazioni. Il sistema disciplinare deve prevedere le condotte vietate, il gestore deve essere formato e il canale va riesaminato periodicamente.
Scadenze normative
| Date | Source | Status | |
|---|---|---|---|
| 15/07/2023 | D.Lgs. 24/2023 | Le disposizioni del decreto hanno effetto: soggetti pubblici e soggetti privati con almeno 250 lavoratori | In vigore |
| 25/07/2023 | Linee guida ANAC | Linee guida ANAC (delibera n. 311 del 12 luglio 2023) pubblicate nella Gazzetta Ufficiale n. 172 | In vigore |
| 17/12/2023 | D.Lgs. 24/2023 | Obbligo del canale interno per i soggetti privati che hanno impiegato fino a 249 lavoratori | In vigore |
| 29/12/2025 | Linee guida ANAC | Delibera ANAC n. 479 del 26 novembre 2025, che modifica le linee guida, pubblicata nella Gazzetta Ufficiale n. 300; con la delibera n. 478 della stessa data ANAC ha adottato linee guida sui canali interni | In vigore |
Domande frequenti
Il self-assessment Whistleblowing – Italia è gratuito?
Sì. Questionario, punteggio, dashboard con il punteggio per area e PDF di sintesi sono gratuiti e non richiedono registrazione; le risposte restano nel browser e non vengono mai inviate ai nostri server. Sbloccando questo assessment (18 € per 45 giorni, facoltativo) si aggiungono il report PDF completo con piano d'azione e linee guida, la dashboard di dettaglio (per fonte, per controllo, gap per area), il tracciamento delle evidenze, il confronto con valutazioni precedenti e l'export Excel; GoToCertify Pro (39 € per 45 giorni) sblocca tutti gli assessment e la vista multi-framework.
Su quale standard è mappato l'assessment Whistleblowing – Italia?
Ogni requisito è collegato ai controlli della ISO 37002:2021. La mappa di copertura prodotta dallo strumento può essere usata come base per la Dichiarazione di Applicabilità.
Come si calcola la percentuale di conformità?
Ogni requisito applicabile riceve un livello di maturità da 0 (non avviato) a 4 (pienamente conforme). La percentuale di conformità è il rapporto tra punteggio ottenuto e massimo ottenibile. Le priorità P1/P2/P3 combinano criticità e livello.
A chi è rivolto?
Alle funzioni compliance, legale, sicurezza IT e risk management delle organizzazioni italiane; è un'autovalutazione e non costituisce parere legale.
Quanto è aggiornato il contenuto normativo?
Il quadro normativo è aggiornato al 2026-11-15 (versione 1.1). Le proposte non ancora adottate sono indicate come tali. I riferimenti rimandano alle fonti ufficiali (Gazzetta Ufficiale, Normattiva, EUR-Lex).
Altri assessment
- EU AI Act – Reg. (UE) 2024/1689 con il Digital Omnibus – mappato su ISO/IEC 42001:2023. Per organizzazioni di tutta l'UE (contenuti in inglese).
- GDPR – Regolamento (UE) 2016/679 e linee guida EDPB – mappato su ISO/IEC 27701:2025 (contenuti in inglese).
- NIS2 Directive – Direttiva (UE) 2022/2555 e Reg. di esecuzione 2024/2690 – mappato su ISO/IEC 27001:2022 (contenuti in inglese).
- DORA – Regolamento (UE) 2022/2554 e RTS/ITS – mappato su ISO/IEC 27001:2022 e ISO 22301:2019 (contenuti in inglese).
- AI Act – Italia – AI Act, L. 132/2025, D.Lgs. 160/2026 e 179/2026 – mappato su ISO/IEC 42001:2023 (contenuti in italiano).
- GDPR – Italia – GDPR, Codice privacy (d.lgs. 196/2003) e provvedimenti del Garante: 85 requisiti in italiano, con amministratori di sistema, controlli sui lavoratori, videosorveglianza, cookie, marketing e Registro delle opposizioni – mappato su ISO/IEC 27701:2025.
- NIS2 – Italia – D.Lgs. 138/2024 e misure di sicurezza di base ACN (Det. 379907/2025): registrazione, organi di amministrazione, 37-43 misure, notifica al CSIRT Italia – mappato su ISO/IEC 27001:2022 (contenuti in italiano, filtro per funzione aziendale).
- DORA – Banche italiane – Regolamento (UE) 2022/2554, RTS/ITS, Circ. 285 Banca d'Italia (51 aggiornamento) e D.Lgs. 23/2025 – mappato su ISO/IEC 27001:2022 e ISO 22301:2019 (contenuti in italiano, filtro per funzione aziendale).
- Parità di genere – UNI/PdR 125 – UNI/PdR 125:2022: i 33 indicatori (KPI) nelle sei aree, con punti e pesi, e il sistema di gestione per la certificazione della parità di genere; rapporto biennale e benefici di legge – 60 requisiti in italiano, con le semplificazioni per micro e piccole organizzazioni.
- ISO/IEC 27001 readiness – Gap analysis del SGSI rispetto a ISO/IEC 27001:2022 – clausole 4-10 e 93 controlli dell'Annex A, in vista della certificazione (contenuti in inglese).
- ISO/IEC 42001 readiness – Gap analysis del sistema di gestione dell'IA rispetto a ISO/IEC 42001:2023 – clausole 4-10 e 38 controlli dell'Annex A, in vista della certificazione (contenuti in inglese).
- ISO/IEC 20000-1 / ITSM maturity – Gap analysis del SMS rispetto a ISO/IEC 20000-1:2018 e maturità dei processi ITSM, con riferimenti alle pratiche ITIL, in vista della certificazione (contenuti in inglese).
- Swiss nFADP (nLPD) – Nuova Legge federale sulla protezione dei dati (nLPD, RS 235.1) e Ordinanza OPDa (RS 235.11) – mappata su ISO/IEC 27701:2025 (contenuti in inglese).
- EU laws for Swiss companies – Quali leggi UE si applicano a un'azienda svizzera: GDPR, AI Act, NIS2, DORA, Cyber Resilience Act, Data Act e Digital Services Act – verifica rapida di applicabilità e prontezza (contenuti in inglese).
- NIST CSF 2.0 – NIST Cybersecurity Framework 2.0 – maturità per funzione (Govern, Identify, Protect, Detect, Respond, Recover) con i Tier NIST, mappato su ISO/IEC 27001:2022 (contenuti in inglese).
- SOC 2 Type II readiness – SOC 2 Type II readiness – gap analysis sui Trust Services Criteria AICPA (Security, Availability, Confidentiality, Processing Integrity, Privacy), mappata su ISO/IEC 27001:2022 (contenuti in inglese).
- HIPAA Security Risk Assessment – HIPAA (USA): Security Rule, Breach Notification Rule e obblighi principali della Privacy Rule (45 CFR 160 e 164) per studi medici, cliniche e fornitori che trattano dati sanitari – mappato su ISO/IEC 27001:2022 (contenuti in inglese).
Strumento di autovalutazione a scopo informativo: non costituisce parere legale. I requisiti riassumono con parole proprie il d.lgs. 24/2023 e le Linee guida ANAC: fanno fede i testi ufficiali (Normattiva, Gazzetta Ufficiale, sito ANAC), da verificare anche per riferimenti e date (quadro al 15/11/2026). Le discipline di settore (banche, intermediari finanziari, antiriciclaggio) non sono trattate. Nessun dato di questa valutazione è trasmesso a GoToCertify. © 2026 GoToCertify.