Governance & Compliance
Modello 231: da documento formale a sistema operativo
Perché adottare un Modello 231 non basta e come renderlo un sistema applicato: risk assessment per processo, protocolli eseguibili, flussi verso l’OdV e verifiche.
Governance e compliance costruite sui processi reali.
Modello 231, sistemi anticorruzione e di gestione della compliance progettati a partire da come l’organizzazione decide, autorizza e controlla: dalla mappatura dei rischi alla verifica dei controlli, fino all’aggiornamento nel tempo.
Riferimenti principali
- D.Lgs. 231/2001
- Modello 231
- ISO 37001
- ISO 37301
01Quando intervenire
Quando è utile intervenire
Il punto di partenza è quasi sempre una distanza tra ciò che è documentato e ciò che accade nei processi.
Il Modello 231 non rispecchia più l’organizzazione
Nuove attività, cambi organizzativi o reati presupposto introdotti dal legislatore rendono il Modello superato rispetto alla realtà aziendale.
I controlli ci sono, ma è difficile dimostrarli
Le evidenze sono distribuite tra uffici e strumenti diversi e l’Organismo di Vigilanza riceve informazioni parziali o tardive.
Clienti e partner chiedono garanzie
Gare, contratti e catene di fornitura possono richiedere un Modello 231 efficacemente attuato o un sistema anticorruzione verificabile.
Un nuovo sistema da integrare con l’esistente
ISO 37001 o ISO 37301 da introdurre senza duplicare il Modello 231, le procedure e i controlli già presenti.
02Attività
Che cosa comprende
Le attività possono essere svolte singolarmente o come parti di un unico progetto, in base al punto di partenza.
Modello 231: predisposizione e aggiornamento
Parte generale e parti speciali del Modello di Organizzazione, Gestione e Controllo ai sensi del D.Lgs. 231/2001, codice etico e sistema disciplinare, con un piano di aggiornamento legato ai cambiamenti organizzativi e normativi.
Risk assessment
Mappatura delle attività sensibili e valutazione dei rischi-reato per processo, con analisi dei controlli esistenti e priorità di intervento motivate.
Procedure e protocolli
Regole operative per i processi a rischio: ruoli, poteri autorizzativi e di firma, segregazione dei compiti, tracciabilità delle decisioni.
Flussi informativi e Organismo di Vigilanza
Flussi periodici e a evento verso l’OdV, canali di segnalazione interna coerenti con la disciplina sul whistleblowing (D.Lgs. 24/2023), supporto alla pianificazione delle verifiche.
Controlli interni
Disegno e verifica dei controlli nei processi più esposti, come acquisti, gestione delle risorse finanziarie, rapporti con la Pubblica Amministrazione e selezione del personale.
Audit di compliance
Verifiche sull’applicazione di protocolli e procedure, rapporti con rilievi e raccomandazioni, action plan con responsabili e scadenze.
ISO 37001: prevenzione della corruzione
Progettazione e implementazione del sistema di gestione per la prevenzione della corruzione: valutazione del rischio, due diligence, controlli finanziari e non finanziari, funzione di conformità.
ISO 37301: gestione della compliance
Un sistema per identificare gli obblighi di compliance, valutarne i rischi e monitorarne il rispetto, integrabile con il Modello 231 e con gli altri sistemi ISO.
03Approfondimento normativo
Modello 231, ISO 37001 e ISO 37301: un’unica architettura
Il D.Lgs. 231/2001 prevede che l’ente possa non rispondere di determinati reati commessi nel suo interesse o a suo vantaggio se dimostra, tra l’altro, di aver adottato ed efficacemente attuato un modello di organizzazione, gestione e controllo idoneo a prevenirli. L’adozione è una scelta dell’ente, ma idoneità ed efficace attuazione vengono valutate nel concreto.
Le norme ISO 37001 e ISO 37301 seguono la struttura comune dei sistemi di gestione ISO e possono essere certificate da un organismo accreditato. Non sostituiscono il Modello 231, ma possono rafforzarlo: valutazione dei rischi, controlli, formazione, audit e riesame diventano processi strutturati e verificabili.
Per questo progettiamo un’unica architettura: un risk assessment condiviso, protocolli che rispondono a più requisiti, un solo programma di audit. Meno documenti da mantenere, più coerenza nei controlli.
04Risultati e domande
Che cosa ottenete
- Un quadro aggiornato di rischi e controlli, leggibile dal management e dagli organi di controllo.
- Documenti coerenti tra loro e con l’organizzazione reale, più semplici da mantenere.
- Evidenze dell’esecuzione dei controlli, disponibili per le verifiche interne ed esterne.
- Responsabilità e flussi informativi definiti, in particolare verso l’Organismo di Vigilanza.
L’idoneità e l’efficace attuazione di un Modello 231 sono valutate caso per caso dall’autorità giudiziaria: il lavoro di advisory è orientato a rendere il Modello adeguato all’organizzazione e realmente applicato.
Domande frequenti
Il Modello 231 è obbligatorio?
Per la generalità delle imprese l’adozione non è un obbligo di legge, ma è la condizione per poter beneficiare dell’esonero dalla responsabilità previsto dal D.Lgs. 231/2001. In alcuni contesti, per esempio in specifici rapporti con la Pubblica Amministrazione o in base a normative regionali e di settore, può essere richiesto o valutato.
Ogni quanto va aggiornato il Modello 231?
Non esiste una scadenza fissa: il Modello va aggiornato quando cambiano l’organizzazione, le attività svolte o il catalogo dei reati presupposto, e quando le verifiche evidenziano carenze. Un riesame periodico aiuta a riconoscere questi momenti in tempo.
ISO 37001 e ISO 37301 sostituiscono il Modello 231?
No. Sono norme volontarie con finalità e requisiti propri. Possono però essere integrate con il Modello 231, condividendo valutazione dei rischi, controlli e verifiche.
Il lavoro è adatto anche a organizzazioni di piccole dimensioni?
Sì. Documenti e controlli sono commisurati ai rischi effettivi, alla struttura e alle risorse disponibili: un Modello proporzionato è anche più semplice da applicare e mantenere.
05Collegamenti
Per approfondire
Contatti
Parliamo del vostro sistema di compliance.
Descriveteci il contesto e l’obiettivo: valuteremo insieme il punto di partenza e il livello di intervento più adatto.
Parliamo di governance e compliance