Michela Tinazzi, Head of Market Development, intervista il dottor Ermelindo Lungaro, commercialista revisore dei conti ed esperto di risk management e l’avv. Fabio Cavaletti, dello studio legale associato Avvocati Pugliese, oltre al collega Guglielmo Elefante, Responsible for Underwriting & Brokers Channel DAS.

Oggi parliamo di compliance in azienda, cioè di come un’impresa si debba adeguare non solo alle norme, ma anche al contesto socio-culturale che le gravita attorno, tutelando, allo stesso tempo, salute e sicurezza dei lavoratori.

Il tema è importantissimo, non solo per chi dirige un’azienda o ci lavora, ma anche per tutti i liberi professionisti che affiancano l’azienda e la supportano. Anche chi lavora nel settore pubblico deve essere “compliant”, ad esempio per prevenire i fenomeni di corruzione e, in generale, i comportamenti scorretti.

Non si può parlare di “compliance” senza citare il d.lgs. 231/2001, il provvedimento che ha attribuito responsabilità amministrativa alle persone giuridiche e, quindi, anche a tutte le imprese. La normativa, che quest’anno ha compiuto vent’anni, è talmente importante che, in Italia, “compliance” e “231” sono usati spesso come sinonimi. Costruire un “modello 231” significa adeguarsi alla realtà che ruota attorno all’azienda, alle persone e all’ambiente, oltre che alle leggi che ne disciplinano gli adempimenti e i divieti.

Cercheremo di capire perché non solo le imprese maggiori, ma anche quelle più piccole, dovrebbero predisporre un “modello 231” e seguirlo scrupolosamente.

Modello 231: quali risultati positivi abbiamo avuto e quali punti d’ombra restano?

Possiamo riassumere, in alcuni punti, il quadro normativo ed attuativo d’insieme con benefici e criticità:

1. è stata introdotta una responsabilità oggettiva dell’ente-persona giuridica a fronte della commissione di reati propri. In passato, la responsabilità era solo di tipo personale e, al massimo, allargata ai membri del consiglio di amministrazione;
2. ciò ha comportato maggiore consapevolezza ed attenzione verso alcuni crimini di impresa come la corruzione oppure nei confronti di temi quali la salute dei lavoratori, il rispetto dell’ambiente, le responsabilità nei gruppi di impresa; ma c’è ancora scarsa cultura e attenzione circa l’importanza dei controlli interni;
3. è entrato nel linguaggio societario il termine “compliance” e i temi della stessa sono entrati a far parte dell’agenda dei vertici aziendali;
4. si è registrato un avvicinamento delle aziende ai criteri di sostenibilità e a un risultato non legato al solo fattore economico, ma al bene comune inteso come valore sociale dell’impresa nel tempo e nel territorio;
5. eccessiva previsione, da parte del legislatore, di fattispecie di reato in ottica “modello 231”, che indeboliscono di fatto il sistema di controllo interno e rischiano di trasformare l’impianto in mera “paper compliance”;
6. assenza, tranne alcuni casi come il rating di legalità, di una “premialità” per le imprese che si impegnano nei percorsi di “compliance 231”, specie per le PMI, che non hanno le stesse disponibilità finanziare delle grandi imprese e di quelle quotate in borsa;
7. i rischi 231 finiscono per essere spesso troppo astratti e poco operativi con la conseguenza che i manager, che devono vigilare sulla loro prevenzione, faticano a trovare modelli di compliance adeguati;
8. occorrerebbe un maggiore engagement dell’organismo di vigilanza (ODV); infatti, in alcuni casi, ci si imbatte in un ruolo dell’ODV senza svolgimento di attività ispettiva, come se fosse una sorta di “internal audit”, che si limita alla partecipazione a riunioni o a mere prese d’atto di scelte aziendali già deliberate.

Come il Covid ha influenzato e influenzerà il tema della compliance?

È stato siglato, tra le Parti Sociali, un protocollo a livello nazionale per la prevenzione e il contenimento del contagio da Covid-19. Ogni impresa è, quindi, tenuta ad adattare e recepire, in ambito interno aziendale, tale protocollo nazionale.

In sede aziendale, deve essere istituito un comitato che vigili sull’attuazione e il rispetto del protocollo aziendale.

L’ultimo aggiornamento del protocollo nazionale è del 6 aprile 2021. Vediamo brevemente cosa prevede:

• Regole di informazione: ogni azienda deve informare adeguatamente dipendenti, clienti e fornitori di tutte le misure di prevenzione e di sicurezza adottate (accesso, ingresso, frequentazione dei locali aziendali, regole di comportamento, sanificazione, gestione di cluster di infezione, regolamentazione dello smart working, ecc.).
• Deve essere istituito, come detto sopra, presso ogni azienda, un comitato di gestione del rischio per la supervisione e la vigilanza nell’applicazione del protocollo interno aziendale.
• Sanzioni: nelle situazioni più gravi, sospensione dell’attività aziendale (misura interdittiva) nel caso in cui non sia stato adottato il protocollo aziendale, non sia stato istituito il comitato, non siano state rispettate le regole di prevenzione e di sicurezza.

Covid-19 a parte, quali sono gli altri reati che rientrano nella 231?

Nel 2019, sono stati introdotti nuovi reati. A parte alcuni reati minori (frode in competizioni sportive) o, pur importanti, altri reati che interessano in misura marginale le aziende a causa della loro specificità (reati informatici), il legislatore ha introdotto l’art. 25 quinquies, che disciplina i reati tributari (dichiarazioni fraudolente, emissione di fatture false, occultamento e distruzione di documenti contabili). In relazione a tali ultime fattispecie criminose, si pone la necessità per le aziende di adeguare con tempestività, nel corso del 2021, i modelli 231 aggiornandoli rispetto a tali novità.

Quali benefici concreti può portare alle aziende la corretta compilazione di un “modello 231”?

Innanzitutto, la possibilità di esonerare l’impresa da responsabilità oggettiva riuscendo a dimostrare che il protocollo di prevenzione (modello 231) adottato dall’azienda ha espressamente previsto il rischio e le conseguenze che si sono verificate, cosicché da risultare indubbio che il singolo manager ha volutamente violato le procedure interne con l’intenzione di commettere il reato.

Fondamentale è la chiara individuazione dei processi a rischio. Fare un buon risk assessment che non sia troppo prudenziale, ma calato sul business. Non è possibile prevedere e gestire tutti i rischi. Ci sono oltre duecento fattispecie di reato. Non è pensabile di poterle gestire tutte. Si tratta di fare delle scelte di risk management.

Attenzione ai gruppi di imprese e alle relazioni infragruppo: non è detto che un protocollo di prevenzione pensato per un’azienda vada bene anche per un’altra. Ogni azienda del gruppo deve avere il proprio modello 231. Attenzione anche alle frodi societarie, ai fondi neri, ecc.: un buon protocollo di prevenzione riduce la possibilità di tali reati.

La novità che ha introdotto l’emergenza Covid-19 è stata quella di richiedere una maggiore flessibilità dell’organismo di vigilanza (comitato). I modelli organizzativi per risultare efficaci devono restare al passo con i tempi. I modelli organizzativi devono essere collegati alle strategie di impresa. È fondamentale che ci sia un colloquio tra il vertice di management e l’organismo di vigilanza.

Il PNRR detta nuove regole anche a proposito dei fattori ESG (Environmental, Social and Governance). In particolare, fra gli obblighi previsti dal decreto semplificazioni con riguardo alle stazioni appaltanti e ai partecipanti alle gare pubbliche vi è quello di includere nel bando l’impegno, da parte delle imprese che usufruiranno di fondi europei, a presentare la rendicontazione non finanziaria sulla sostenibilità sociale e ambientale dei processi produttivi.

In che modo, la tutela legale interviene a sostegno delle aziende nella gestione dei rischi legati al modello organizzativo 231?

La polizza di tutela legale è l’unica in grado di fornire una risposta adeguata nei casi di responsabilità amministrativa per violazione delle fattispecie di cui alla legge 231. Lo scopo è quello di dimostrare che l’azienda ha fatto tutto il possibile per prevenire ed evitare il verificarsi del rischio che ha provocato il danno o che è stato causa dell’illecito. Per fare questo, l’assistenza legale deve potersi avvalere di periti e di consulenti e tutto ciò comporta dei costi, che solo la polizza di tutela legale è in grado di coprire.

Infatti, mentre la polizza di RC copre gli aspetti legati al risarcimento dei danni provocati come conseguenza della violazione del modello organizzativo 231 (ed eventualmente difende nella misura in cui ritiene di farlo per gli aspetti penali), l’unica polizza che dà assistenza legale per gli aspetti amministrativi è la polizza di tutela legale. In sintesi, la polizza di tutela legale opera nei seguenti casi:

• responsabilità amministrativa;
• responsabilità penale;
• ambito 231 e sicurezza luoghi di lavoro;
• privacy e dati personali (GDPR);
• ripercussioni di natura civile conseguenti a violazione 231;

Riassumendo: il modello organizzativo 231 non deve essere visto come un costo, ma come un’opportunità per le imprese; un’opportunità che permette di prevenire i costi, i danni, gli illeciti e di gestire in sicurezza i rischi. Non esiste un modello 231 omnicomprensivo, ma esso deve poter essere adattato su misura alle singole realtà aziendali.

Potrebbe interessarti anche:
Sistemi di prevenzione e gestione dei nuovi rischi nei modelli organizzativi 231: Covid-19
Modello 231: uno strumento importante per la prevenzione degli illeciti commessi dagli Enti
Le aziende italiane temono la legge 231 sulla responsabilità d’impresa più del fisco231