Compliance e Modelli Organizzativi 231

I LIMITI DI UN APPROCCIO FOCALIZZATO SUL REATO

Il D.lgs. 231 è stato pubblicato il 19 giugno 2001.

La prescrizione del Modello di Organizzazione, Gestione e Controllo in esso contenuta ha vissuto fasi alterne, passando dall’essere reputata una inutile facoltà, ad essere ritenuta un adempimento vivamente consigliato con il precipuo scopo di evitare la mannaia dei Tribunali, che avevano gioco troppo facile nell’estendere agli enti la responsabilità amministrativa per i reati commessi dai loro apicali e sottoposti. Ancora oggi, dopo tutto questo tempo, il Modello Organizzativo viene nella maggior parte dei casi della sua applicazione considerato come un male necessario, un adempimento formale e costoso, da affrontare nel modo più economico possibile.

COME NATURALE CONSEGUENZA, L’APPROCCIO METODOLOGICO NELL’ATTUAZIONE ED ADOZIONE DEI MODELLI ORGANIZZATIVI SI È FINO AD OGGI BASATO SU PRESUPPOSTI PRETTAMENTE GIURIDICI CHE HANNO DATO VITA A PROCEDURE DI RISK ASSESSMENT FOCALIZZATE SUL REATO, ANZICHÉ SUI PROCESSI AZIENDALI E SULLE PERSONE

La carenza principale di un modello organizzativo basato sulla centralità del reato è che non intercetta i processi aziendali nella loro completezza, lasciando di fatto scoperte e non presidiate molte aree di contiguità tra i meccanismi che sovraintendono al funzionamento aziendale e i reati che possono essere commessi nel loro svolgimento.

Risultato pratico: ad oggi pochi Modelli Organizzativi sono in grado di dimostrare che l’azienda è in possesso di uno strumento completo ed efficace nella prevenzione e controllo della commissione dei reati contenuti nel catalogo 231.

VERSO UNA NUOVA VISION: PROCESSI AZIENDALI AL CENTRO

Recentemente, grazie alla spinta di un’onda fortemente etica provocata sia dal legislatore che da vari enti preposti ai controlli ed alla vigilanza su vari settori dell’economia, la vision della norma è cambiata:

• i Modelli organizzativi sono visti non solo come meri strumenti atti a prevenire e controllare la commissione dei reati da parte dei responsabili delle varie funzioni aziendali, ma anche come strumenti per la revisione e razionalizzazione dei meccanismi operativi che sottendono al funzionamento di tutta l’organizzazione;
• l’adozione e attuazione dei Modelli Organizzativi non viene più vissuta come mero “obbligo normativo”, ma come reale opportunità organizzativa, ovvero come imperdibile occasione per analizzare e, se necessario, ridisegnare l’intero sistema di funzionamento della macchina aziendale.

L’OFFERTA DI RSM PER ADOZIONE E ATTUAZIONE DEI MODELLI ORGANIZZATIVI 231

Un nuovo approccio metodologico che ha ribaltato la logica operativa e che RSM ha fatto suo: il punto di partenza non è più il reato, ma il processo aziendale che assume il suo naturale ruolo di perno attorno al quale ruota sia la procedura di risk assessment che la progettazione del Modello Organizzativo 231.

Un approccio che consente di affiancare l’azienda nel percorso completo, oppure dare supporto nell’ambito di ciascuna singola fase in funzione di specifiche esigenze.

RSM si avvale di professionisti multidisciplinari: revisori, aziendalisti, ingegneri di processo, esperti di audit e risk management, esperti di compliance, avvocati e consulenti di sistema in grado di coadiuvare il processo di risk assessment utilizzando tecniche sia tradizionali che innovative quali la gamification.

La metodologia applicativa di RSM per la progettazione e implementazione dei modelli 231 si basa su tre processi modulari consequenziali, ma funzionalmente indipendenti.

• Il primo processo è quello di Risk Assessment, che ha l’obiettivo di conoscere e fotografare l’azienda, evidenziando le aree organizzative di maggior interesse ai fini della progettazione e implementazione del modello;
• Il secondo processo è quello di Progettazione e Implementazione vera e propria del Modello 231;
• Infine, il terzo processo è quello di Controllo e Monitoraggio del Modello attraverso la verifica della sua costante adeguatezza nonché dei flussi informativi provenienti dai presidi di controllo. Vediamole nel dettaglio.

• Inquadramento generale dell’azienda. Ha l’obiettivo di raccogliere informazioni per arrivare al disegno del ciclo attivo e del ciclo passivo aziendale. Il grado di dettaglio con cui si realizza il disegno dei processi dipende ovviamente dal grado di formalizzazione dell’impianto organizzativo aziendale.
• Assessment sul personale. Ovvero individuazione dei soggetti apicali e sottoposti, con raccolta di informazioni e documenti (deleghe, procure, job description, regolamenti interni, compliance, ecc.) che il modello tiene costantemente monitorati e aggiornati.
• Assessment sui reati. Ovvero analisi del rischio inerente della possibilità da parte di apicali e sottoposti di commettere i reati di cui al D.Lgs. 231/2001. Obiettivo principale dell’analisi è la valutazione, con riferimento ai reati che risultano con rischio medio/alto, dei presidi di controllo esistenti e di confrontarli con quelli idealmente necessari per prevenire e controllare le condotte criminose.
• Action Plan. Viene fornita all’ente una visione dello status quo nonché un dettaglio delle attività necessarie per la progettazione ed implementazione del Modello 231. Ci sono realtà con funzioni di audit talmente efficienti da necessitare di pochi interventi. Esistono altresì realtà per le quali è necessario strutturare i processi e formalizzare i sistemi di controllo.
• Produzione del documento eseguibile. Si tratta della fornitura di un piano esecutivo che può anche essere messo in atto “stand alone”, seguendo le linee guida in esso contenute.

• Setup organizzativo. Si tratta di eseguire gli interventi organizzativi che emergono dalla GAP analysis di cui al punto 2 del Risk Assessment.
• Setup dei presidi di controllo. La prevenzione ed il controllo di alcuni reati prevede l’implementazione di presidi di controllo obbligatori per Legge. Obiettivo di questa attività è, sulla base della Gap Analysis di cui alla fase 3 del Risk Assessment, quello di implementare i presidi necessari a prevenire e controllare la commissione dei reati 231.
• Setup degli strumenti di prevenzione. Questa è l’attività con la quale, tipicamente, si approntano il codice etico e quello disciplinare. Inoltre, si procede alla programmazione ed attuazione dell’attività di formazione continua a tutto il personale dipendente.
• Il risultato finale è il Modello organizzativo 231. Fornito non solo come output digitale interattivo ma anche, e soprattutto, come insieme di procedure atte a prevenire e controllare la commissione dei reati di cui al D.lgs. 231 da parte di Apicali e Sottoposti.

L’Organismo di Vigilanza ha due funzioni principali: ricevere dai presidi di controllo appositamente istituiti alert sulle variazioni delle potenzialità di rischio; monitorare lo stato di adeguatezza “continua” del modello.

• Monitoraggio sull’aggiornamento del modello. Molto concretamente, consiste nel far “girare” periodicamente la procedura di risk assessment per verificare se vi sono variazioni organizzative, o di Legge, che impongono rettifiche e/o aggiornamenti al modello.
• Monitoraggio dei flussi informativi. I presidi di controllo vengono progettati ed implementati per fornire appositi report semestrali (o anche trimestrali se necessario) sullo stato di rischio inerente di commissione dei reati e sulle eventuali azioni intraprese dalle funzioni preposte per il contrasto alle relative condotte.