Il decreto legislativo 8 giugno 2001, n. 231 ha introdotto nell’ordinamento italiano la responsabilità amministrativa degli enti dipendente da reato. La responsabilità può sorgere quando uno dei reati presupposto è commesso nell’interesse o a vantaggio dell’ente da soggetti apicali oppure da persone sottoposte alla loro direzione o vigilanza. In questo quadro, il Modello di Organizzazione, Gestione e Controllo è diventato uno strumento centrale di governo dei rischi, richiesto sempre più spesso anche da clienti, committenti pubblici e partner.

Molte organizzazioni, però, gestiscono il Modello soprattutto come documento: un fascicolo approvato dall’organo amministrativo, pubblicato in parte sul sito e richiamato nei contratti. Il punto decisivo è diverso: il Modello rappresenta i processi effettivi, assegna responsabilità verificabili e prevede controlli realmente eseguiti e documentati?

Che cosa chiede il decreto

Il decreto non introduce un obbligo generalizzato di adozione, ma attribuisce al Modello una funzione potenzialmente esimente. Per i reati commessi da soggetti in posizione apicale, l’articolo 6 richiede che l’ente dimostri, tra le altre condizioni, di avere adottato ed efficacemente attuato, prima della commissione del fatto, un modello idoneo a prevenire reati della specie di quello verificatosi. La vigilanza sul funzionamento e sull’osservanza del Modello, insieme alla cura del suo aggiornamento, deve essere affidata a un organismo dotato di autonomi poteri di iniziativa e controllo.

Lo stesso articolo indica i contenuti essenziali del Modello:

  • individuare le attività nel cui ambito possono essere commessi reati;
  • prevedere specifici protocolli diretti a programmare la formazione e l’attuazione delle decisioni dell’ente;
  • individuare modalità di gestione delle risorse finanziarie idonee a impedire la commissione dei reati;
  • prevedere obblighi di informazione nei confronti dell’Organismo di Vigilanza;
  • introdurre un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure indicate.

Il Modello deve inoltre coordinarsi con la disciplina in materia di whistleblowing prevista dal decreto legislativo 10 marzo 2023, n. 24, includendo i canali di segnalazione interna, il divieto di ritorsione e le pertinenti misure disciplinari.

L’articolo 7 aggiunge un elemento decisivo: l’efficace attuazione richiede una verifica periodica del Modello e la sua modifica quando emergono violazioni significative o quando cambiano l’organizzazione o l’attività. In altre parole, il decreto descrive un sistema che vive nel tempo, non un documento da approvare una volta.

I segnali di un Modello rimasto sulla carta

Nella pratica alcuni segnali ricorrono con frequenza. Nessuno, da solo, rende un Modello inadeguato, ma insieme indicano che il documento si è allontanato dall’organizzazione.

  • Parti speciali generiche, costruite per famiglie di reato e non per processi, con descrizioni che potrebbero valere per qualunque impresa.
  • Un risk assessment mai aggiornato dopo riorganizzazioni, nuove linee di business, acquisizioni o cambi di sistemi informativi.
  • Protocolli che rimandano a procedure inesistenti o superate, oppure che descrivono controlli che nessuno sa di dover eseguire.
  • Flussi informativi poveri verso l’Organismo di Vigilanza, limitati a dichiarazioni di assenza di anomalie.
  • Formazione una tantum, uguale per tutti, svolta al momento dell’adozione e non più ripetuta.
  • Assenza di evidenze: i controlli forse vengono svolti, ma non lasciano traccia verificabile.

Da documento a sistema: cinque passaggi

1. Un risk assessment ancorato ai processi

Il punto di partenza è la mappatura delle attività sensibili. È più efficace condurla per processo — acquisti, vendite, gestione del personale, rapporti con la Pubblica Amministrazione, sistemi informativi e altre attività sensibili — e solo dopo collegare ogni attività ai reati presupposto pertinenti. Interviste con i responsabili, analisi di deleghe e procure, lettura delle procedure esistenti e verifica a campione delle registrazioni restituiscono un quadro realistico: dove si prendono le decisioni, chi le autorizza, quali tracce lasciano.

Per ogni attività la valutazione distingue il rischio inerente dal rischio residuo e considera probabilità, impatto e vulnerabilità del processo. I presidi esistenti vanno valutati sia per adeguatezza del disegno sia per effettivo funzionamento. Il risultato è una matrice rischi-controlli che documenta le priorità di intervento e il relativo razionale.

2. Protocolli che descrivono controlli eseguibili

Un protocollo efficace identifica almeno il responsabile del controllo, la frequenza, l’oggetto della verifica, i criteri di esecuzione, l’evidenza da conservare e le modalità di gestione delle anomalie. I principi di riferimento — segregazione dei compiti, coerenza tra poteri autorizzativi, deleghe e procure, tracciabilità delle operazioni e documentazione dei controlli — devono essere tradotti nei flussi e negli strumenti realmente utilizzati dall’organizzazione.

È spesso preferibile integrare i controlli nelle procedure operative già in uso, anziché creare documenti paralleli che le persone non consultano. Dove i processi sono gestiti con software gestionali, i controlli possono essere in parte configurati negli stessi strumenti: workflow autorizzativi, blocchi, profili di accesso.

3. Flussi informativi verso l’Organismo di Vigilanza

L’Organismo di Vigilanza può esercitare le proprie funzioni solo se riceve informazioni pertinenti, tempestive e verificabili. Il sistema dei flussi dovrebbe distinguere tra comunicazioni periodiche — indicatori sui processi sensibili, esiti di audit e aggiornamenti organizzativi — e comunicazioni a evento, come ispezioni, contenziosi, infortuni, segnalazioni o modifiche rilevanti. Per ogni flusso occorre definire contenuto minimo, periodicità, responsabile, destinatario, modalità di trasmissione ed evidenza dell’invio.

4. Formazione e comunicazione per ruolo

La conoscenza del Modello non è uniforme, e non deve esserlo. Il personale che opera nei processi sensibili ha bisogno di una formazione specifica sui protocolli che applica; il management, di una visione d’insieme sulle responsabilità e sul sistema disciplinare; tutti, di indicazioni chiare sul codice etico e sui canali di segnalazione. La formazione va ripetuta e documentata, e aggiornata quando cambiano Modello o organizzazione.

5. Verifiche e aggiornamento

Un piano di verifiche, coordinato con l’Organismo di Vigilanza, deve stabilire ambito, frequenza, criteri di campionamento e responsabilità. I test verificano sia il disegno dei controlli sia la loro operatività e raccolgono evidenze sufficienti a supportare le conclusioni. Rilievi e non conformità alimentano un piano di azione con responsabili e scadenze, seguito fino alla chiusura e alla verifica di efficacia. Il Modello va aggiornato quando emergono carenze, quando cambia l’organizzazione o quando viene modificato il catalogo dei reati presupposto.

L’integrazione con altri sistemi

Il Modello 231 deve coordinarsi con i presidi e i controlli già presenti nell’organizzazione. Le evidenze prodotte dai processi, dalle funzioni di controllo e dai sistemi informativi possono alimentare valutazione dei rischi, protocolli e monitoraggio. La ISO 37001 per la prevenzione della corruzione e la ISO 37301 per la gestione della compliance condividono con il Modello una logica basata su rischi, responsabilità, controlli e verifiche periodiche.

Integrare non significa sovrapporre documenti, ma adottare una tassonomia comune di processi, rischi, controlli ed evidenze. Una matrice di raccordo consente di individuare i presidi condivisi, evitare duplicazioni e coordinare responsabilità, audit, reporting e azioni correttive.

Il ruolo degli strumenti digitali

Mantenere un Modello nel tempo significa governare scadenze, versioni documentali, controlli, evidenze, rilievi e azioni correttive. Fogli di calcolo e cartelle condivise possono essere sufficienti nei sistemi più semplici; con l’aumento di processi, utenti e adempimenti diventano più difficili da presidiare. Una piattaforma dedicata, come LORNA, può collegare risk assessment, protocolli, controlli, audit e action plan, conservando ruoli, stati di avanzamento e storico delle attività. La tecnologia non sostituisce il giudizio professionale né dimostra da sola l’efficacia del Modello, ma rafforza tracciabilità, responsabilizzazione e capacità di monitoraggio.

In sintesi

Un Modello 231 diventa un sistema operativo quando:

  • la mappa dei rischi riflette i processi attuali ed è aggiornata dopo ogni cambiamento rilevante;
  • i protocolli descrivono controlli concreti, assegnati a persone precise, che lasciano evidenze;
  • l’Organismo di Vigilanza riceve flussi informativi utili e tempestivi;
  • la formazione è differenziata per ruolo e ripetuta nel tempo;
  • verifiche periodiche producono azioni, e le azioni vengono chiuse.

Nessun Modello garantisce di per sé l’esonero dalla responsabilità: l’idoneità e l’efficace attuazione sono valutate caso per caso. Un sistema applicato, documentato e verificato è però la condizione per poterle sostenere.