Organismo di vigilanza: chi lo compone e cosa deve fare davvero
L'esimente dell'articolo 6 del D.lgs 231/2001 poggia su quattro condizioni cumulative, e l'ultima riguarda l'organismo di vigilanza 231: la lettera d) del comma 1 esclude l'esonero quando c'è stata omessa o insufficiente vigilanza da parte dell'organismo. Nel procedimento la conseguenza è concreta. Verbali dell'organismo, flussi ricevuti e piano delle verifiche finiscono fra i primi documenti acquisiti, e capita spesso che descrivano un'attività ben più esile di quella che il modello dava per presupposta.
Contenuto a finalità informative. Non sostituisce la valutazione del singolo caso.
Perché il modello da solo non basta: la funzione dell'organismo
Le quattro condizioni dell'articolo 6, comma 1, per il reato commesso da un soggetto apicale sono cumulative: modello adottato ed efficacemente attuato prima del fatto, compito di vigilanza affidato a un organismo dotato di autonomi poteri di iniziativa e controllo, elusione fraudolenta del modello da parte dell'autore, assenza di omessa o insufficiente vigilanza. Se il reato viene da un sottoposto si applica l'articolo 7, il cui comma 4 lega l'efficace attuazione a verifica periodica, aggiornamento del modello in caso di violazioni significative o di mutamenti organizzativi, e sistema disciplinare funzionante. Come si costruisce il documento è materia del modello organizzativo 231; quando e per quali reati l'ente risponde è materia dei criteri di imputazione del decreto. Qui si guarda solo all'organo che deve vigilare.
Il compito si legge nella lettera b): vigilare sul funzionamento e sull'osservanza del modello, e curarne l'aggiornamento. Sono tre attività distinte. Il funzionamento riguarda la tenuta del disegno, cioè se i protocolli previsti coprono ancora la mappa dei rischi. L'osservanza riguarda i comportamenti reali. L'aggiornamento riguarda la reazione ai cambiamenti: una nuova sede, un ramo d'azienda acquisito, una fattispecie aggiunta all'elenco dei reati presupposto.
L'organismo non ha poteri gestori né impeditivi: non ferma un'operazione, non firma, non autorizza, e non sostituisce l'internal audit, che resta una funzione aziendale di cui semmai si serve. Quando in una direzione legale d'impresa l'organismo comincia a essere consultato per avallare scelte operative, ha già perso il requisito su cui poggia la sua utilità.
Composizione: monocratico o collegiale, interni ed esterni
La legge non impone un numero né una struttura. L'articolo 6, comma 4, consente agli enti di piccole dimensioni di affidare i compiti dell'organismo direttamente all'organo dirigente, e il comma 4-bis permette alle società di capitali di attribuire le funzioni al collegio sindacale, al consiglio di sorveglianza o al comitato per il controllo della gestione. Sono facoltà, non scorciatoie: nella scelta pesa la dimensione del rischio, non quella del bilancio.
| Assetto | Quando regge | Punto debole da presidiare |
|---|---|---|
| Monocratico esterno | ente piccolo, mappa dei rischi concentrata su poche aree | copertura professionale limitata a una sola competenza, continuità legata a una persona |
| Collegiale a tre | struttura articolata, più aree sensibili, presenza di gare o rapporti con la PA | costo e rischio di riunioni rituali senza verifica sul campo |
| Organo dirigente (art. 6, c. 4) | ente di piccole dimensioni secondo i parametri assunti nel modello | coincidenza fra controllore e controllato: va motivata per iscritto |
| Collegio sindacale (art. 6, c. 4-bis) | società di capitali con collegio già operativo | carico di lavoro e competenze penalistiche da integrare con un supporto esterno |
La composizione collegiale più diffusa mette insieme un profilo penalistico d'impresa (spesso il presidente, esterno), un profilo di controlli e organizzazione, e un componente interno con visione trasversale dei processi, tipicamente il responsabile dell'internal audit: l'interno porta la conoscenza dei flussi reali, gli esterni il distacco. Chi ha deleghe operative, poteri di spesa o responsabilità su un'area sensibile non può sedere nell'organismo.
Il regolamento, da allegare al modello e non lasciare implicito, fissa durata dell'incarico (di prassi allineata al mandato dell'organo amministrativo, rinnovabile), cause di ineleggibilità e decadenza (di regola mutuate dall'articolo 2382 del codice civile e integrate con le condanne per reati presupposto), quorum, obbligo di verbalizzazione e revoca solo per giusta causa con delibera dell'organo amministrativo. Una revoca libera annulla l'indipendenza sulla carta prima ancora che nei fatti.
I requisiti: autonomia, indipendenza, professionalità, continuità d'azione
Il testo di legge nomina espressamente i soli "autonomi poteri di iniziativa e di controllo". Gli altri requisiti derivano dalla prassi applicativa e dai codici di comportamento delle associazioni rappresentative previsti dall'articolo 6, comma 3, le linee guida a cui i modelli dichiarano di ispirarsi. In giudizio vengono verificati con la stessa serietà.
Autonomia significa decidere cosa verificare, quando e con quali risorse. Si misura in due elementi: la collocazione in staff al vertice, senza subordinazione gerarchica ad alcuna funzione controllata, e un budget annuale assegnato con delibera, di cui l'organismo dispone senza autorizzazioni caso per caso. Chi deve farsi approvare la parcella del consulente tecnico da chi sta verificando non è autonomo.
Indipendenza guarda ai rapporti personali ed economici dei componenti con l'ente e con i suoi soci: incarichi professionali continuativi, rapporti di parentela con gli amministratori, partecipazioni rilevanti. Vanno dichiarati all'accettazione e riconfermati almeno una volta l'anno.
Professionalità vuol dire un insieme di competenze verificabili: diritto penale d'impresa, tecniche di analisi dei processi e di campionamento, conoscenza dei sistemi di gestione applicabili al settore (sicurezza sul lavoro per l'articolo 25-septies, ambiente per l'articolo 25-undecies). In un organismo collegiale il mix va documentato nella delibera di nomina, perché è la prima cosa che si contesta.
Continuità d'azione è il requisito che cede per primo. Chi si riunisce due volte l'anno e riceve informazioni solo quando qualcuno decide di mandarle non sta vigilando in modo continuativo, per quanto ineccepibili siano i curricula. La continuità si prova con un calendario fissato a inizio anno, verbali datati e progressivi, e flussi che arrivano anche quando non c'è nulla da segnalare.
I flussi informativi verso l'organismo di vigilanza 231: chi manda cosa e quando
L'articolo 6, comma 2, lettera d) chiede al modello di prevedere obblighi di informazione verso l'organismo. Nella pratica è una delle previsioni più trascurate, perché molti modelli si fermano a una formula generica sul dovere di collaborazione. Un flusso esiste quando ha quattro attributi: mittente nominato per ruolo, contenuto definito, cadenza, traccia di invio verificabile. Quelli periodici scattano a calendario, quelli a evento al verificarsi di un fatto.
| Flusso | Mittente tipico | Cadenza |
|---|---|---|
| Attestazione di conformità sull'area sensibile presidiata | responsabile di funzione | semestrale, anche in assenza di anomalie |
| Rapporti con la PA: gare, autorizzazioni, verifiche ispettive, contributi pubblici | funzione commerciale o affari legali | trimestrale, più segnalazione immediata delle ispezioni |
| Procedimenti disciplinari avviati, sanzioni irrogate, archiviazioni | risorse umane | a evento, entro pochi giorni |
| Infortuni con prognosi oltre la soglia fissata nel modello, near miss rilevanti | RSPP o datore di lavoro delegato | a evento |
| Notifiche di indagini, richieste dell'autorità, sequestri, richieste di assistenza legale per reati presupposto | affari legali | immediata |
| Deleghe, procure, variazioni organizzative, nuove sedi o rami d'azienda | segreteria societaria | a evento |
| Esiti degli audit interni, rilievi del revisore e del collegio sindacale | internal audit | alla chiusura di ogni verifica |
| Movimenti finanziari atipici, uso del contante oltre soglia, consulenze sopra importo | amministrazione, finanza e controllo | trimestrale |
Il punto debole, quasi sempre, è la tracciabilità. Un flusso via email personale si perde al primo cambio di ruolo e in un procedimento non prova nulla sul quando. Serve un punto di raccolta con data certa di ricezione, versioning, permessi separati e un archivio che regga la ricerca a distanza di anni: le esigenze tipiche della gestione documentale dei processi di compliance, con gli stessi criteri di tenuta discussi a proposito della conservazione dei documenti in studio.
Un chiarimento che risparmia riunioni: il "231" dei flussi verso l'organismo è il decreto del 2001. Adeguata verifica e segnalazione delle operazioni sospette appartengono al D.lgs 231/2007 in materia di antiriciclaggio, che ha destinatari, autorità di controllo e adempimenti del tutto diversi.
Il piano delle verifiche e la relazione periodica
Il piano annuale è il documento che dimostra il metodo. Parte dalla mappa delle aree a rischio reato contenuta nel modello, assegna a ciascuna una priorità in base a probabilità e impatto, e fissa quali processi verificare, con quale tecnica e in che mese. Le aree ad alto rischio si guardano ogni anno, le altre a rotazione su due o tre esercizi: quello che conta è che la rotazione sia scritta prima e non ricostruita dopo.
Ogni verifica lascia tre cose: i documenti esaminati con il criterio di campionamento, i rilievi con la gravità attribuita, le raccomandazioni con destinatario e termine. La verifica successiva riapre i rilievi precedenti e ne accerta la chiusura. Un rilievo identico per tre anni di fila pesa contro l'ente. Se però l'organismo lo ha riportato ogni volta al vertice, quella carta scagiona lui e accusa chi doveva intervenire.
La relazione periodica va all'organo amministrativo e, dove esiste, al collegio sindacale, di norma con cadenza semestrale o annuale secondo il regolamento. Contiene le attività svolte rispetto al piano (comprese quelle non svolte, con la motivazione), i flussi ricevuti e quelli mancati, le segnalazioni trattate in forma aggregata e anonima, lo stato delle raccomandazioni aperte, l'utilizzo del budget e le proposte di aggiornamento del modello. Accanto alla relazione ordinaria corre la comunicazione immediata per violazioni significative, coinvolgimento di apicali e ostacoli all'attività: lì il destinatario non è l'amministratore delegato ma il consiglio e l'organo di controllo.
Il canale di segnalazione interna e il rapporto con l'organismo
Il D.lgs 24/2023, che ha recepito la direttiva UE 2019/1937, ha reso autonoma la disciplina delle segnalazioni, prima incastonata nell'articolo 6 del decreto 231. L'obbligo di canale interno riguarda i soggetti privati che nell'ultimo anno hanno impiegato una media di almeno cinquanta lavoratori subordinati; per gli enti con un modello 231 che restano sotto quella soglia l'obbligo permane, circoscritto alle violazioni rilevanti ai fini del decreto e del modello. L'articolo 6, comma 2-bis, nella formulazione risultante da quell'intervento, chiede che il modello preveda i canali di segnalazione interna, il divieto di ritorsione e, nel sistema disciplinare, sanzioni per chi viola le misure di tutela del segnalante.
I termini di legge vanno riportati nella procedura: avviso di ricevimento al segnalante entro sette giorni, riscontro entro tre mesi dall'avviso. Le segnalazioni e la documentazione relativa si conservano per il tempo necessario alla trattazione e comunque non oltre cinque anni dalla comunicazione dell'esito. Fra le sanzioni amministrative che ANAC può irrogare c'è quella da 10.000 a 50.000 euro per mancata istituzione del canale o per procedure di gestione non conformi.
Sul ruolo dell'organismo esistono due impostazioni. Nella prima è gestore del canale: lineare negli enti piccoli, ma lo espone a un carico istruttorio continuo e diventa un problema quando la segnalazione riguarda un suo componente. Nella seconda il canale è gestito da una funzione o da un fornitore dedicato, e l'organismo riceve in via strutturata le segnalazioni rilevanti ai fini 231 più un rendiconto periodico delle altre. La scelta va scritta nel modello e nel regolamento, e regge solo se la piattaforma garantisce riservatezza dell'identità, separazione degli accessi e tracciatura delle consultazioni. Il trattamento dei dati che ne deriva ha base giuridica e tempi propri, con gli obblighi di informativa, designazione degli autorizzati e valutazione d'impatto che valgono per ogni trattamento sensibile: gli adempimenti privacy applicati al contesto legale offrono lo schema di riferimento.
Responsabilità dei componenti e coperture assicurative
Verso l'ente il rapporto è contrattuale e si valuta con la diligenza richiesta dall'incarico: chi non predispone il piano, non si riunisce, non reagisce a un flusso allarmante risponde dell'inadempimento, e il danno può coincidere con la sanzione subita dall'ente per il venir meno dell'esimente. Sanzione pecuniaria per quote, con la singola quota compresa tra 258 e 1.549 euro, più sanzioni interdittive che arrivano al divieto di contrattare con la pubblica amministrazione e alla revoca dei contributi già concessi.
Sul piano penale la posizione è diversa da quella degli amministratori. L'organismo non dispone di poteri impeditivi, e l'orientamento prevalente esclude che i suoi componenti rivestano una posizione di garanzia idonea a fondare la responsabilità per omesso impedimento del reato altrui. Resta il concorso ordinario quando il componente dà un contributo consapevole, per esempio tacendo ciò che ha accertato.
La polizza D&O dell'ente non include automaticamente i componenti dell'organismo: l'estensione va chiesta per iscritto e verificata su massimale, retroattività, garanzia postuma e ambito (le spese di difesa sono spesso il capitolo più utile). Le manleve rilasciate dall'ente valgono poco: non coprono il dolo e perdono efficacia proprio quando l'ente è in crisi.
Se l'organismo esiste solo sulla carta, da dove ripartire
Tre mosse nell'ordine, prima di riscrivere il modello. Primo: recuperare i verbali degli ultimi tre esercizi e contare le riunioni effettive, i rilievi aperti e quelli chiusi. Se i verbali sono meno di quattro l'anno o dicono tutti la stessa cosa, il problema è la continuità d'azione, e nessun aggiornamento normativo lo risolve. Secondo: prendere l'elenco dei flussi previsti dal modello e verificare quanti sono arrivati davvero nell'ultimo semestre, con data. È qui che si misura la distanza fra il documento e l'organizzazione. Terzo: far deliberare dall'organo amministrativo un budget annuale nominativo per l'organismo, anche modesto, perché senza quello l'autonomia non è dimostrabile.
L'errore da non commettere è ricostruire a posteriori. Verbali redatti in blocco, tutti con la stessa impaginazione e senza allegati, sono un danno superiore all'assenza di verbali: attestano che l'organismo non lavorava e che qualcuno ha provato a dire il contrario. Meglio un piano delle verifiche che parte da oggi, con data vera, e una relazione che dichiara apertamente cosa non è stato fatto nell'esercizio precedente. Lo schema di regolamento, il calendario dei flussi e le verifiche con cui misurare la tenuta del presidio sono raccolti nella guida Modello 231 e organismo di vigilanza.
