di Ermelindo LUNGARO, Carlo REGOLIOSI, Corrado PAPA
Il sistema dei controlli delineato dalla “231” – Le opportunità della correlazione tra l’Organismo di Vigilanza e la Funzione di Compliance…. verso una Compliance 2.0
UNA PREMESSA DI CONTESTO
L’8 giugno 2019 la “231(1)” ha celebrato il diciottesimo anno di età ed è dunque divenuta “maggiorenne”.
Questo simbolico evento di celebrazione deve, a parere di chi scrive, rappresentare un momento di riflessione sul sistema delineato da questa normativa che ha posto nel panorama giuridico italiano le fondamenta di una modalità di organizzazione, gestione e controllo aziendale per un verso semplice, organica ed autoregolamentata e, per altro verso, idonea a garantire una conduzione aziendale efficace e trasparente in un contesto di continuità di medio e lungo termine e coerentemente con gli obiettivi strategici che ciascuna realtà persegue.
È quindi opportuno che – in un momento in cui è largamente diffusa nel sano tessuto politico e sociale l’esigenza di trasparenza e di “ripudio” di comportamenti illeciti specie se legati alla corruzione (che rientra fra i reati espressamente previsti dal D.Lgs 231/2001 quale fonte di responsabilità degli Enti) – si rifletta compiutamente sul modello ex art 6 del D.Lgs 231/2001 considerandolo alla stregua di un asset di cui si dispone, con potenziali benefici sia in termini organizzativo-gestionali che economico-strategici.
Le pagine che seguono, senza pretesa di esaustività, vogliono offrire qualche spunto per una riflessione concreta sull’essenza della normativa 231 e sulle opportunità che la stessa può consentire in realtà (quali settore sanitario, bancario, assicurativo, PMI appartenenti a gruppi internazionali, settore farmaceutico) che hanno adottato un Modello 231 e che dispongono nella propria struttura organizzativa di una Funzione di Compliance.
Nello specifico il documento si propone di fornire spunti di riflessione per un percorso che, se ben diretto con il coinvolgimento dell’Organo di Vertice di indirizzo, veda via via implementarsi un sistema dei controlli integrato che, nella specie, favorisca in particolare il raccordo tra l’Organismo di Vigilanza – che ne è l’attore principale, il cervello che muove razionalmente il “corpo” – e la Funzione di Compliance che ne deve costituire le membra e le braccia a garanzia di assurance del Modello e di sua concreta ed adeguata operatività.
IL SISTEMA DEI CONTROLLI DELINEATO DALLA “231” E LE SUE OPPORTUNITÀ
La normativa 231, in estrema sintesi, prevede che soggetti diversi dalle persone fisiche (società, organismi, associazioni anche prive di personalità giuridica) possano essere considerati responsabili per reati commessi nel loro proprio interesse o vantaggio. Tale responsabilità propria di queste entità si aggiunge, quindi – in modo distinto – alla responsabilità penale propria della/e persona/e fisica/he che ha/nno commesso il reato e si concretizza in sanzioni pecuniarie anche elevate e misure interdittive che possono “paralizzare” la vita aziendale (sospensione o revoca di autorizzazioni, licenze o concessioni e divieto di contrattare con la Pubblica Amministrazione; esclusione da agevolazioni, finanziamenti, contributi o sussidi, oltre all’eventuale revoca di quelli già concessi; divieto di pubblicizzare beni o servizi; confisca; nei casi più gravi, interdizione all’esercizio dell’attività; pubblicazione della sentenza di condanna).
Di fatto, la normativa 231 disegna – anche per le società, gli enti e le associazioni – un sistema sanzionatorio che, al di là della terminologia (responsabilità amministrativa) utilizzata dal Legislatore, è di natura essenzialmente penale perché comuni sono gli intenti (tutela di elevati valori di interesse pubblico) e comune è il meccanismo procedimentale e sanzionatorio, pur dovendo quest’ultimo necessariamente considerare le specificità proprie di soggetti diversi dalle persone fisiche (per la loro connotazione appunto di “entità non fisiche”) che non ne rende possibile la completa assimilazione quanto ai caratteri effettuali.
Ma attenzione!
La valenza della normativa 231 che qui preme rimarcare non è quella sanzionatoria (pur molto pericolosa per la realtà aziendale in considerazione delle ragioni sopra accennate), quanto quella dell’opportunità che il Legislatore ha inteso in tal modo fornire a ciascun operatore nel delineare uno strumento di autoregolamentazione dell’assetto organizzativo, gestionale e di controllo che – se adeguatamente e concretamente disegnato, attuato e verificato – non solo preclude la responsabilità, ma addirittura garantisce il perseguimento degli obiettivi strategici nel contesto delineato in premessa di efficacia e trasparenza.
La norma, infatti, espressamente prevede che l’Ente, per escludere la propria responsabilità, deve adottare ed efficacemente attuare un Modello di Organizzazione, Gestione e Controllo e nominare un Organismo di Vigilanza indipendente, dotato di autonomi poteri di iniziativa e di controllo al fine di garantire la supervisione sul funzionamento e l’osservanza del Modello.
Requisiti essenziali del Modello sono:
- (i) individuazione delle attività nel cui ambito possono essere commessi i reati;
- (ii) definizione di specifici protocolli diretti a programmare la formazione e l’attuazione delle decisioni dell’ente in relazione ai reati da prevenire;
- (iii) individuazione di modalità di gestione delle risorse finanziarie idonee ad impedire la commissione dei reati;
- (iv) previsione di obblighi di informazione nei confronti dell’Organismo di Vigilanza e di canali di segnalazione che garantiscano riservatezza dell’identità del segnalante e divieto di atti di ritorsione o discriminatori;
- (v) introduzione di un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure indicate nel Modello.
Ecco dunque che la normativa 231 lascia nel suo complesso strutturale intravvedere in modo evidente l’orientamento anche del Legislatore ad una visione sistemica della necessità – per ogni realtà più o meno complessa, profit, o non profit, industriale o di servizi, commerciale o sanitaria – di disporre di un modello gestionale che disegni un “sistema azienda” con approccio risk-based e, dunque, orientato alla gestione del rischio, alla prevenzione di illeciti ed alla conseguente individuazione di buone pratiche e raccomandazioni previste dalla regolamentazione interna. Al disegno deve accompagnarsi l’efficace attuazione, anche attraverso adeguata e sistematica formazione “sul campo”, nonché l’implementazione di idonei flussi informativi che consentano monitoraggio e conseguentemente, all’occorrenza, tempestivo aggiornamento.
Questo approccio della normativa 231 – che è andato via via consolidandosi nella sua evoluzione giurisprudenziale e culturale – ha trovato poi conferma in ulteriori rilevanti provvedimenti normativi anche di contesto internazionale e locale(2) con specifica disciplina, tra l’altro, afferente:
- la protezione dei dati di carattere personale;
- l’antiriciclaggio;
- la prevenzione della corruzione nel settore pubblico con la Legge 190/2012 e con la codifica e diffusione di un’apposita best practice (la UNI ISO 37001 – Sistemi di Gestione Anticorruzione);
- la responsabilità medica di cui alla c.d Legge Gelli (come da ultimo riconsiderata), in ambito sanitario.
Non secondario, poi, in questa vision del Legislatore è il progressivo ampliamento del catalogo dei reati presupposto (ovvero delle specifiche fattispecie di illecito considerate dalla norma quale fonte di responsabilità per gli Enti) tendente sempre più a ricomprendere nel perimetro di riferimento ogni forma di illecito che violi diritti a valenza pubblica e che può evitarsi con un comportamento aziendale di buona gestione e non ascrivibile, quindi, a “colpe” di organizzazione(3).
Il disegno di autoregolamentazione che la normativa richiede è quindi quello di un idoneo Modello che garantisca una corretta prevenzione dei rischi da illecito attraverso una gestione aziendale sana, efficace e trasparente, preservando, più in generale, dal complessivo rischio di mala gestio.
In questa ottica il Modello diventa sistemicamente presupposto fondamentale e veicolo di implementazione di un adeguato sistema di controllo interno, ovvero dell’insieme di regole, procedure e strutture organizzative atte a conseguire:
- (i) la conduzione aziendale coerente con gli obiettivi prefissati;
- (ii) l’individuazione, la valutazione, la mitigazione ed il monitoraggio dei rischi;
- (iii) la salvaguardia del patrimonio sociale;
- (iv) l’affidabilità delle informazioni;
- (v) il rispetto della normativa;
- (vi) l’efficienza, l’efficacia e l’economicità dei processi aziendali e dell’impiego delle risorse.
In effetti, una compiuta definizione degli obiettivi strategici ed una conseguente conduzione in continuità dell’azienda in coerenza con tali obiettivi (e quindi prevenendone i rischi) in un “ambiente” di legalità, trasparenza, eticità e correttezza costituiscono il contesto tanto necessario quanto al tempo stesso potenzialmente fragile della vita di una qualsiasi entità aziendale.
Un’azienda – profit o non profit, industriale o di servizi, individuale o collettiva – può infatti operare solo e nella misura in cui sia in grado di:
- (i) definire i propri obiettivi misurabili di natura strategico-operativa attraverso decisioni consapevoli;
- (ii) implementarli conseguentemente, coerentemente e monitorarli;
- (iii) avere garanzia di sostenibilità che le assicuri i mezzi necessari in un’ottica di continuità nel tempo;
- (iv) operare in un contesto di legalità, venendo meno il quale si generano responsabilità pecuniarie o interdittive – di natura amministrativa, civile, oltre che, per le persone fisiche, penali – che inevitabilmente pregiudicano il conseguimento degli obiettivi stessi e, nei casi più gravi come si è in precedenza accennato, la vita dell’azienda medesima.
Una siffatta adeguatezza del sistema di controllo interno genera in modo esponenziale valore aggiunto in termini di benefici specifici sul piano sia esterno sia interno, prima ancora che costituire presupposto di esonero di responsabilità.
Un adeguato sistema di controllo interno facilita, infatti, il rapporto con tutti gli interlocutori, offrendo loro garanzia di affidabilità delle informazioni e di correttezza dei comportamenti e mantenendo elevata l’immagine aziendale.
Sul piano interno un adeguato sistema di controllo interno è idoneo a garantire assurance agli Organi Sociali ai fini delle proprie decisioni consapevoli e supporto al management nello svolgimento delle proprie attività.
In questo quadro, l’efficace adozione ed implementazione di un Modello di Organizzazione, Gestione e Controllo diventa strumento di continuo e progressivo consolidamento del percorso di sviluppo di governance, in modo tale da fondarlo sempre più su trasparenza e controllo, quali essenziali leve gestionali per il perseguimento degli obiettivi aziendali e snodo cruciale e strategico del governo di un’azienda.
Intervento di:
Ermelindo LUNGARO, Docente Master Anticorruzione, Università degli Studi Tor Vergata
Carlo REGOLIOSI, Professore Associato di Economia Aziendale, Università degli Studi Roma Tre
Corrado PAPA, Responsabile Compliance e Supporto agli Organi Sociali, Ospedale Pediatrico Bambino Gesù
Per approfondimenti, consultare i seguenti link e/o riferimenti:
(1) D.Lgs. 8-6-2001 n. 231 – Disciplina della responsabilità amministrativa delle persone giuridiche, delle società e delle associazioni anche prive di personalità giuridica, a norma dell’articolo 11 della legge 29 settembre 2000, n. 300
(2) Tenuto conto della brevità e dello scopo del presente approfondimento, si omettono gli specifici riferimenti a provvedimenti normativi di Amministrazioni locali che di fatto, in fase di gara pubblica, rendono addirittura obbligatorio e/o premiale dotarsi di un sistema di prevenzione dei rischi conforme a quello previsto dal Modello 231
(3) La 231, da quando è stata introdotta nel 2001, è un cantiere aperto, un continuo working in progress, con la quasi annuale introduzione di nuove fattispecie di reato presupposto (da pochi giorni dopo il traffico di influenze illecite è stata anche introdotta la fattispecie dei reati di frode sportiva ed esercizio abusivo dell’attività di giuoco e scommessa).
Attualmente, si superano i 200 articoli del codice penale, come fattispecie di reato richiamati per l’applicazione della responsabilità amministrativa degli Enti; addirittura, secondo alcuni, con l’introduzione del reato di autoriciclaggio astrattamente potrebbero rientrare fra i reati 231 tutte le violazioni del codice penale non puntualmente previste purché siano compiute nell’interesse e vantaggio economico dell’impresa e siano caratterizzate dai dettami previsti dalla Legge n. 186/14
