Compliance & Governance
Progettazione, aggiornamento e mantenimento del Modello di Organizzazione, Gestione e Controllo previsto dal D.Lgs. 231/2001, al fianco del management: risk assessment dei reati presupposto, protocolli, Codice etico, whistleblowing e supporto all’Organismo di Vigilanza.
Cosa facciamo
Mappiamo le attività sensibili per ogni area di rischio (Pubblica Amministrazione, bilancio e società, sicurezza sul lavoro, ambiente, fisco, sistemi informativi) e valutiamo probabilità e impatto con il coinvolgimento diretto dei responsabili di funzione.
Confrontiamo i controlli esistenti con i presidi attesi dalle Linee guida Confindustria, quindi redigiamo Parte generale e Parti speciali del Modello calibrate sull’organizzazione reale, non su schemi standard.
Scriviamo il Codice etico, i protocolli decisionali per le aree a rischio e il sistema disciplinare, coordinandoli con procure, deleghe, procedure ISO e regolamenti interni già in uso in azienda.
Affianchiamo l’OdV nel piano delle verifiche, nei flussi informativi e nella reportistica al vertice; su richiesta forniamo un componente esterno, distinto da chi ha redatto il Modello a tutela dell’indipendenza dell’Organismo, o curiamo la segreteria tecnica.
Progettiamo il canale interno previsto dal D.Lgs. 24/2023 e dalle Linee guida ANAC: piattaforma o procedura, gestore autonomo e formato, consultazione sindacale, riservatezza del segnalante, gestione delle segnalazioni e raccordo con OdV e sistema disciplinare.
Formiamo vertici, responsabili e personale operativo con contenuti differenziati per ruolo, e aggiorniamo il Modello quando cambiano i reati presupposto, l’organizzazione o i processi aziendali.
Il D.Lgs. 231/2001 ha introdotto la responsabilità amministrativa degli enti per i reati commessi, nel loro interesse o a loro vantaggio, da chi riveste funzioni di rappresentanza, amministrazione o direzione, anche di fatto, o da chi è sottoposto alla direzione o alla vigilanza di questi soggetti (art. 5). La società risponde in proprio, accanto alla persona fisica, con sanzioni pecuniarie calcolate per quote e con sanzioni interdittive che incidono sull’operatività: sospensione di autorizzazioni, divieto di contrattare con la Pubblica Amministrazione, esclusione da contributi e finanziamenti, fino all’interdizione dall’esercizio dell’attività.
Il catalogo dei reati presupposto si è ampliato negli anni e oggi copre, tra le altre, aree che toccano ogni impresa: reati contro la Pubblica Amministrazione e corruzione (artt. 24 e 25), reati informatici (art. 24-bis), reati societari (art. 25-ter), omicidio colposo e lesioni colpose gravi o gravissime commesse con violazione delle norme sulla tutela della salute e sicurezza sul lavoro (art. 25-septies), ricettazione, riciclaggio e autoriciclaggio (art. 25-octies), delitti in materia di strumenti di pagamento diversi dai contanti (art. 25-octies.1), reati ambientali (art. 25-undecies), impiego di cittadini di Paesi terzi con soggiorno irregolare (art. 25-duodecies), reati tributari (art. 25-quinquiesdecies), contrabbando (art. 25-sexiesdecies) e reati contro il patrimonio culturale (art. 25-septiesdecies).
Gli artt. 6 e 7 indicano la via per escludere la responsabilità: aver adottato ed efficacemente attuato, prima del fatto, un Modello di Organizzazione, Gestione e Controllo idoneo a prevenire i reati, e aver affidato a un Organismo di Vigilanza dotato di autonomi poteri il compito di vigilare sul funzionamento del Modello e sulla sua osservanza. A questo impianto si collegano il D.Lgs. 81/2008 (art. 30) per la sicurezza sul lavoro e il D.Lgs. 24/2023 sul whistleblowing, che impone canali di segnalazione interni agli enti che hanno impiegato in media almeno cinquanta lavoratori subordinati nell’ultimo anno, a quelli che operano in settori regolati dal diritto dell’Unione (servizi finanziari, antiriciclaggio, sicurezza dei trasporti, tutela dell’ambiente) e a quelli che adottano un Modello 231.
Un Modello vale come esimente solo se descrive presidi che esistono davvero e che vengono verificati. Per questo partiamo dai processi, non dai documenti: incontriamo i responsabili di funzione, ricostruiamo come si prendono le decisioni nelle aree sensibili (acquisti, vendite alla PA, gestione del personale, ambiente, fiscalità, sistemi informativi) e misuriamo il rischio di ciascun reato in base ai controlli già operanti.
La gap analysis individua cosa manca rispetto a quanto richiedono le Linee guida Confindustria e la giurisprudenza. Solo dopo scriviamo Parte generale, Parti speciali, Codice etico e protocolli, riutilizzando quanto l’azienda possiede già: procedure ISO, deleghe e procure, regolamenti interni, misure GDPR. Il risultato è un sistema di controllo unico, non una sovrapposizione di documenti paralleli.
Dopo l’adozione seguiamo l’Organismo di Vigilanza nella fase più delicata: quella dell’attuazione. Nel tempo curiamo piano delle verifiche, flussi informativi, gestione delle segnalazioni e formazione per ruolo, con un interlocutore che conosce il sistema fin dalla sua costruzione; quando forniamo un componente dell’OdV, resta distinto da chi ha redatto il Modello. Aggiorniamo il Modello quando cambiano i reati presupposto o l’organizzazione.
Il nostro metodo
Incontriamo il vertice e le funzioni chiave, raccogliamo organigramma, deleghe, procedure e certificazioni esistenti e definiamo perimetro, tempi e referenti del progetto.
Interviste strutturate ai responsabili di processo per individuare le attività sensibili, i reati astrattamente configurabili, i controlli in essere e il rischio residuo per ciascuna area.
Report con le carenze rispetto ai presidi attesi, classificate per priorità, e piano d’azione condiviso con responsabilità e scadenze per la costruzione o l’aggiornamento del Modello.
Scriviamo Modello, Codice etico, protocolli e sistema disciplinare, li validiamo con le funzioni coinvolte e affianchiamo l’organo amministrativo nella delibera di adozione e nella nomina dell’OdV.
Formazione, avvio dei flussi informativi e del canale whistleblowing, piano delle verifiche dell’OdV e aggiornamento periodico al variare di norme, reati presupposto e organizzazione.
Benefici
Deliverable
Domande frequenti
In via generale no: il decreto non lo impone, anche se alcune norme regionali e di settore lo richiedono (come l’accreditamento sanitario in alcune Regioni). Senza Modello l’ente risponde dei reati commessi nel suo interesse o a suo vantaggio, con sanzioni pecuniarie e interdittive. Il Modello può escludere la responsabilità (artt. 6 e 7) solo se adottato prima del fatto, attuato con efficacia e vigilato da un OdV autonomo; per i reati dei vertici va anche provato che gli autori lo hanno eluso fraudolentemente.
Sì, se l’azienda opera in aree esposte: rapporti con la PA, appalti, cantieri, rifiuti, fiscalità complessa. Il decreto ammette soluzioni proporzionate: negli enti di piccole dimensioni l’organo dirigente può svolgere direttamente i compiti dell’OdV (art. 6, comma 4). Calibriamo il Modello sull’esposizione effettiva, senza apparati sovradimensionati.
Persone con requisiti di autonomia, indipendenza, professionalità e continuità d’azione: professionisti esterni, componenti interni privi di compiti operativi nelle aree a rischio o, nelle società di capitali, il collegio sindacale (art. 6, comma 4-bis). La composizione può essere monocratica o collegiale. Su richiesta possiamo fornire un componente esterno o supportare l’OdV con la segreteria tecnica.
Dipende dallo stato in cui si trova. Da allora sono entrati nel catalogo nuovi reati presupposto (tributari, contrabbando, patrimonio culturale), il whistleblowing è cambiato con il D.Lgs. 24/2023 e spesso l’organizzazione non è più la stessa. Un assessment mirato ci dice se bastano integrazioni o se il Modello va riscritto: un documento non aggiornato rischia di non valere come esimente.
Dipende da dimensione, numero di aree sensibili e documentazione già disponibile. Per una PMI con un solo sito e processi lineari, mappatura, gap analysis e redazione richiedono in genere alcuni mesi; gruppi con più società o attività complesse hanno percorsi più lunghi. L’impegno interno si concentra nelle interviste ai responsabili e nella validazione dei protocolli: tempi e referenti sono definiti nella proposta iniziale.
Servizi correlati
Funzione di revisione interna in outsourcing o co-sourcing: piani di audit risk-based, verifiche sui controlli e reporting al vertice.
ApprofondisciAdeguamento al Regolamento UE 2016/679 e al Codice Privacy: assessment, registro dei trattamenti, DPIA, policy e formazione.
ApprofondisciProgettazione, implementazione e mantenimento di sistemi di gestione certificabili: ISO 9001, 14001, 45001, 27001, 37001, 50001 e i principali schemi di settore e di filiera.
ApprofondisciParliamone
Raccontaci le priorità della tua impresa: in un primo incontro senza impegno analizziamo il contesto e ti proponiamo un percorso concreto, con tempi e risultati misurabili.