Compliance: il modello organizzativo 231 e la gestione del rischio. un esempio applicativo. Seconda parte

di Matteo Montagner

Premessa

Il Decreto Legislativo 8 giugno 2001, n. 231 (di seguito D.Lgs. n. 231/2001) ha delineato la responsabilità amministrativa degli Enti che scaturisce in corrispondenza alla commissione di un reato da parte di una persona fisica che sia riconducibile all’Ente da un rapporto funzionale.
Ne consegue che l’Ente, per evitare di essere investito di tale responsabilità amministrativa, deve aver messo in atto, prima che sia commesso l’illecito contestato, un Modello Organizzativo di gestione e controllo previsto dal D.Lgs. n. 231/2001. La responsabilità amministrativa in conseguenza di tali reati comporta per l’Ente la possibilità di vedersi irrogare pesanti sanzioni di carattere patrimoniale che incideranno anche sull’immagine e sull’attività dell’Azienda.
In conseguenza della commissione dei c.d. reati presupposto, il D.lgs. 231/01 prevede sia sanzioni pecuniarie (commisurate per quote e valore di ogni quota) che sanzioni interdittive (interdizione dell’esercizio e delle attività, divieto di contrattare con la Pubblica Amministrazione e di pubblicizzare beni e servizi, sospensione o revoca di autorizzazioni, licenze e concessioni funzionali alla commissione dell’illecito, nonché, esclusione e revoca di finanziamenti, sussidi, agevolazioni e contributi).
Il Modello 231 è uno strumento che consente alle Imprese di tutelarsi dalla responsabilità amministrativa derivante dalla commissione di comportamenti illeciti compiuti da soggetti collegati alla Società.
Il Modello Organizzativo di gestione e controllo stabilisce mediante procedure organizzative, codici di comportamento, protocolli operativi, attività di verifica, di formazione e di comunicazione un sistema di gestione preventiva del rischio che minimizzi la possibilità del verificarsi la commissione di determinati illeciti (i reati presupposto).
Il Modello Organizzativo deve essere tarato in base alle caratteristiche dell’Impresa, alle attività svolte, ai processi produttivi e alle operazioni commerciali effettuate, alla struttura organizzativa dei contesti in cui opera e dei soggetti con cui interagisce; è necessario attuare e applicare diligentemente il Modello Organizzativo nell’attività aziendale.
Importante è che il Modello Organizzativo sia costantemente verificato e tenuto sempre aggiornato in base alle modifiche della normativa di settore.
Il Modello Organizzativo di cui al D.Lgs. n. 231/2001 si articola nelle seguenti parti principali:

• Parte Generale: contiene la descrizione degli aspetti e dei principi generali conoscitivi e applicativi del Modello, i principi e le procedure di controllo, l’adozione di un codice etico, l’adozione di un sistema disciplinare e sanzionatorio e l’istituzione e la definizione dei poteri di un Organismo di Vigilanza.
• Parte Speciale: individua i reati ipotizzabili e le aree di rischio, le funzioni coinvolte, le modalità di commissione dei reati, le procedure di controllo adottate finalizzate alla riduzione dei rischi.

Il Modello Organizzativo 231 deve essere appositamente approvato dall’Organo Amministrativo della Società, che deve nominare contestualmente anche l’Organismo di Vigilanza.

Un esempio applicativo di Modello Organizzativo 231

Prima di proporre un esempio di schema applicativo è necessario premettere che è impossibile delineare un Modello Organizzativo che possa essere applicato a tutte le Imprese in modo generalizzato e diretto a prescindere dal settore merceologico, dalla soglia dimensionale e dall’organizzazione aziendale.
Il settore merceologico e la consistenza dimensionale dell’Impresa sono tra i fattori che possono determinare un maggiore fattore di rischio rispetto ad altre situazioni, in quanto possono aumentare la possibilità di commettere i reati contemplati dal D.lgs. n. 231/2001. Pertanto, un Modello Organizzativo 231 non può essere direttamente generalizzato anche se l’attività svolta da Società diverse è molto simile, in quanto ogni Azienda ha caratteristiche organizzative specifiche che devono essere attentamente valutate e recepite nel Modello.
Infatti, solo un’attenta analisi di dettaglio può stabilire i rischi di illeciti e le reali ricadute di efficacia in termini di tutela e prevenzione del Modello Organizzativo che si intende adottare.
L’aspetto dimensionale e della conseguente diversificazione della struttura organizzativa invece è una problematica che può interessare in generale tutte le Imprese indipendentemente dal settore merceologico in cui operano, in quanto può influire sull’aspetto della complessità del Modello Organizzativo da adottare.
Pertanto, si deve porre particolare attenzione agli aspetti relativi all’organizzazione aziendale, alle deleghe di funzioni e alle procedure decisionali e operative in particolare in situazioni come quelle riguardanti le PMI nelle quali tali funzioni fanno capo spesso ad un numero limitato di soggetti.
È opportuno, pertanto, valutare attentamente il ruolo effettivo che un modello deve rivestire in relazione alle esigenze, alla struttura e alle risorse di una PMI.
In una piccola impresa è essenziale la struttura interna gerarchica e funzionale piuttosto che i parametri quantitativi. Resta comunque confermato anche per le PMI, al pari delle realtà più grandi, l’esigenza di dotarsi di un Modello Organizzativo di gestione e controllo per cautelarsi rispetto alla possibilità di essere implicate in procedimenti giudiziari a causa dei reati previsti dal D.Lgs. n. 231/2001. Con l’attuazione di un Modello Organizzativo l’Impresa può minimizzare le gravi conseguenze sanzionatorie in cui può incorrere.
Fatte queste debite premesse l’esempio di applicazione di un Modello Organizzativo che si andrà ad illustrare di seguito in modo sintetico ha lo scopo di rappresentare, a titolo esemplificativo, le indicazioni delineate nel D.Lgs. n. 231/2001 con particolare attenzione alle PMI. In merito ai Modelli adottabili è di importante rilevanza il documento di indirizzo emanato da Confindustria; tale documento, a seguito delle modifiche normative intervenute, è stato più volte adeguato e da ultimo Confindustria ha diffuso un’edizione aggiornata delle “Linee Guida per la costruzione dei Modelli di Organizzazione, Gestione e Controllo ai sensi del Decreto Legislativo 8 giugno 2001, n. 231” datata giugno 2021.

Parte Generale del Modello Organizzativo di gestione e controllo

La Parte Generale del Modello contiene come premessa una descrizione del quadro normativo di riferimento, una presentazione sintetica dell’attività esercitata e degli aspetti strutturali dell’impresa, nonché delle modalità di attuazione e di funzionamento del Modello Organizzativo e dell’Organismo di Vigilanza.
La Parte Generale, che può avere una premessa che riporti Glossario e Definizioni dei termini utilizzati, si può articolare secondo i seguenti punti:

Quadro normativo di riferimento
In questo punto è riportata una sintesi del quadro normativo di riferimento di cui al Decreto Legislativo 8 giugno 2001, n. 231 e successive integrazioni e modificazioni e dei principi ai quali deve uniformarsi il Modello.

Presentazione della Società, dell’attività aziendale e dell’Assetto Organizzativo (sistema di Governance e dell’Organigramma Aziendale)
Devono essere descritti gli strumenti e i sistemi di Governance e di funzionamento dell’impresa, nonché l’assetto organizzativo, le responsabilità attribuite alle diverse funzioni ed unità organizzative che afferiscono al sistema gestionale dell’impresa, la ripartizione dei poteri e il sistema delle deleghe e quindi l’organigramma ricavato dall’ordinamento e dalla documentazione costitutiva della società.

Attività di Comunicazione, Formazione e Informazione del Modello
Questo punto prevede le indicazioni per quanto riguarda le attività di formazione, comunicazione finalizzate alla prevenzione dei reati, nonché il flusso informativo verso l’Organismo di Vigilanza da parte del personale dell’organizzazione aziendale e viceversa.
In proposito è importante istituire un sistema di segnalazione “Whistleblowing” che consenta alle figure apicali, ai sottoposti e a terzi di presentare, nel rispetto della riservatezza dell’identità, segnalazioni di condotte anche solo potenzialmente illecite, rilevanti sia ai sensi del D.Lgs. n. 231/2001 che ai sensi di altre normative applicabili.

Organismo di Vigilanza (OdV)
Contiene la descrizione della composizione e del funzionamento dell’Organismo di Vigilanza, nonché e prerogative, dei poteri e dei compiti che esercita.
L’adozione e il funzionamento dell’Organismo di Vigilanza è presupposto necessario perché il Modello Organizzativo di gestione e controllo possa escludere effettivamente la responsabilità amministrativa dell’impresa in caso di reato. Lo stesso deve essere costituito da uno o più soggetti che siano in possesso di requisiti specifici in termini di competenza e professionalità. L’Organismo di Vigilanza è deputato al controllo ed al monitoraggio in merito alla corretta applicazione del Modello Organizzativo.
All’Organismo di Vigilanza devono essere assicurati poteri autonomi di iniziativa e di controllo in modo tale che possa efficacemente senza vincoli:

• provvedere alla verifica del rispetto dei principi del Codice Etico
• vigilare sull’osservanza e funzionamento delle prescrizioni e delle procedure previste dal Modello Organizzativo
• curare l’aggiornamento periodico del Modello.

Pertanto, l’Organismo di Vigilanza deve essere caratterizzato da:

• autonomia e indipendenza
• professionalità
• continuità di azione.

Al Modello Organizzativo va allegato il Regolamento dell’Organismo di Vigilanza come parte integrante del Modello stesso.
Per quanto riguarda l’Organismo di Vigilanza la normativa per le piccole Imprese consente una deroga rispetto a quanto previsto in via generale in considerazione del fatto che tali realtà imprenditoriali, in base alle dimensioni e alla semplicità della struttura organizzativa, non dispongono di una funzione o di personale da assegnare all’attività di monitoraggio del sistema di controllo interno. Per tali piccole Imprese l’istituzione di una posizione specifica risulterebbe oltretutto un onere economicamente non sostenibile. In riferimento a questa problematica l’art.6 del D.Lgs. n. 231/2001 consente all’organo dirigente di svolgere direttamente i compiti indicati. Tuttavia in questi casi è opportuno, se possibile, affidarsi per le verifiche periodiche sul rispetto e l’efficacia del Modello a professionisti esperti, posto che la responsabilità di vigilanza prevista per Legge resta in capo all’organo interno.

Codice Etico
Il Codice Etico o di comportamento esprime i principi di deontologia aziendale secondo i quali l’Impresa indirizza la propria attività. Essi si fondano in particolar modo sulla trasparenza gestionale e sulla correttezza etica a cui la Società dovrà adeguare la propria attività. Il Codice Etico è strutturato con riferimento ad un insieme di principi e di linee guida recepite da quanto previsto dal D.Lgs. n. 231/2001. Tali principi, sulla base dei quali dovrà essere condotta l’attività dell’Impresa, prevedono sostanzialmente il rispetto delle norme vigenti, il monitoraggio di ogni attività effettuata e riguardano il comportamento non solo dei propri dipendenti, ma anche di coloro con i quali l’Ente entra in contatto nell’ambito dell’attività commerciale.
La predisposizione e l’adozione di un Codice Etico non dovrebbe destare particolari difficoltà di adattamento per le PMI.

Sistema Disciplinare
In questa sezione sono comprese le procedure sanzionatorie da assumere nel caso siano commessi illeciti, violate regole e procedure previste dal Modello Organizzativo. E’ importante che il Sistema Disciplinare vieti espressamente di compiere atti di ritorsione o discriminatori nei confronti di coloro che effettuino segnalazioni in buona fede come previsto nella procedura “Whistleblowing”.

Approvazione, aggiornamento e attuazione del Modello
La competenza per l’approvazione del Modello Organizzativo di gestione e controllo è, ai sensi dell’art. 6, comma I, lett. a) del D.Lgs. n. 231/2001, in capo all’Amministratore; è pertanto rimessa a quest’ultimo la responsabilità di approvare ed adottare, mediante apposita determina, il Modello Organizzativo di gestione e controllo.
Le successive modifiche e integrazioni dei principi di riferimento del Modello, finalizzate a consentire la continua rispondenza dello stesso alle eventuali successive prescrizioni del Decreto, sono anch’esse rimesse alla competenza dell’Amministratore.
L’Amministratore deve altresì garantire l’attuazione del Modello Organizzativo assumendo i provvedimenti necessari per consentirne l’implementazione avvalendosi del supporto dell’Organismo di Vigilanza.
L’Amministratore anche dopo l’adozione del Modello Organizzativo deve comunque garantire di provvedere agli aggiornamenti o adeguamenti del Modello che si rendessero necessari in base ad esigenze organizzative o a modifiche normative anche attraverso l’intervento dell’Organismo di Vigilanza.

Parte Speciale del Modello Organizzativo – Protocolli

La seconda Parte Speciale contiene l’individuazione delle aree di rischio di reato, le fattispecie di reato che sono suscettibili di essere commesse, le modalità di commissione, le funzioni coinvolte, il sistema di controllo interno e di gestione dei rischi per la prevenzione dei reati.
La Parte Speciale del Modello Organizzativo di gestione e controllo si può articolare secondo i seguenti punti:

Fattispecie di reato applicabili
In questo punto sono elencati i reati previsti dal D.Lgs. n. 231/2001 suscettibili di essere commessi dai soggetti in posizione apicale, dai sottoposti o dai collaboratori interni ed esterni (collaboratori, consulenti, fornitori e partner).
Le tipologie di reato previste dal D.Lgs. n. 231/2001 sono molto ampie e coprono potenzialmente tutte le attività aziendali. Anche a seguito di successivi interventi legislativi le fattispecie di reato sono via via aumentate. Da ultimo sono state ampliate dal D.Lgs. n. 184/2021. Tale normativa introduce con l’art. 25-octies.1 nel D.Lgs. 231/2001 dei reati relativi a pagamenti diversi dai contanti.
Si riportano di seguito come esempio i reati-presupposto che più comunemente sono potenzialmente rapportabili alle attività della generalità delle Imprese:

• reati contro la Pubblica Amministrazione (art. 24 D.Lgs. n. 231/2001)
• delitti informatici e trattamento illecito di dati (art. 24-bis D.Lgs. n. 231/2001)
• reati societari (art. 25-ter D.Lgs. 231/2001)
• reati in materia di tutela della salute e sicurezza sul lavoro (art. 25-septies D.Lgs. n. 231/2001)
• ricettazione, riciclaggio e impiego di denaro, beni o utilità di provenienza illecita, nonché autoriciclaggio (art. 25 octies D.Lgs. n. 231/2001)
• reati ambientali (art. 25-undecies D.Lgs. n. 231/2001)
• impiego di cittadini di paesi-terzi il cui soggiorno è irregolare (art. 25-duodecies D.Lgs. n. 231/2001)
• reati Tributari (art. 25- quinquiesdecies D.Lgs. n. 231/2001).

Mappatura delle aree di rischio
In questo punto vengono descritte ed individuate le aree aziendali funzionali e operative nell’ambito delle quali è ipotizzabile che possano verificarsi condotte illecite. Tale mappatura è indirizzata alla realizzazione di un sistema di gestione e controllo finalizzata a minimizzare il rischio della commissione di reati. La metodologia utilizzata deve evidenziare le “aree sensibili” o “a rischio” cioè quei processi e quelle attività aziendali che rientrano nelle condizioni per le quali potrebbe determinarsi in via presuntiva la possibilità che si possano commettere degli illeciti espressamente previsti dal D.Lgs. n. 231/2001. Un fattore importante della mappatura da evidenziare per le aree a rischio è il cosiddetto “Gap analysis” (o analisi comparativa) che consiste in un’attenta operazione di valutazione che, in base alle carenze rilevate nella gestione dei controlli e nelle procedure utilizzate dalla Società, ha lo scopo di individuare un idoneo sistema di prevenzione. Tale sistema deve essere calibrato in funzione di prevenire potenzialmente la commissione di reati o comunque di ridurre i rischi dei reati individuati in ciascuna area.

Procedure e protocolli per evitare la commissione di reati
In questo punto sono analizzati e descritti i protocolli adottati per prevenire la commissione di illeciti. La Società elabora e adotta procedure, già in essere o da integrare, funzionali a prevenire i rischi di illeciti nell’ambito delle aree di rischio individuate.
In base alle categorie di reato a rischio i contenuti sono articolati in specifici capitoli in cui sono riportati i reati ipotizzabili, le funzioni coinvolte, le modalità di commissione del reato, le procedure di controllo adottate per ridurre i rischi.
Le informazioni possono essere rappresentate in tabelle che riportino per i rischi di reato indicati dal D.Lgs. n. 231/2001 le seguenti informazioni:

1. descrizione delle fattispecie di reato
2. modalità e forme attraverso le quali tali reati potrebbero effettivamente verificarsi
3. analisi delle aree e processi organizzativi sensibili
4. analisi delle funzioni/posizioni organizzative sensibili
5. l’indicazione dei protocolli di controllo per la prevenzione del rischio di reato (dettagliati in protocolli già in essere al momento della pubblicazione del Modello e protocolli da integrare).

In aggiunta ai protocolli definiti per il Modello Organizzativo di gestione e controllo di cui al D.Lgs. n. 231/2001 sono da considerare anche le procedure relative alle attività aziendali. Tali documenti devono costituire parte integrante del Modello Organizzativo di gestione e controllo e possono essere presenti come allegati o appendici.
Tali procedure ad esempio possono riguardare: acquisto beni e servizi, reclutamento e gestione delle risorse umane, attività finanziaria, sponsorizzazioni, gestione rete informatica, procedura deleghe di funzioni, finanziamenti pubblici, ecc.