Articolo a cura di: Redazione - Studio Legale Calvello

Il risk assessment 231 è l’analisi attraverso cui un’azienda individua le attività e i processi nei quali potrebbero essere commessi reati rilevanti ai sensi del D.Lgs. 231/2001. È il punto di partenza per costruire un Modello di organizzazione, gestione e controllo coerente con l’attività effettivamente svolta dall’impresa. Una valutazione incompleta può lasciare senza adeguati presidi processi esposti a rischi concreti, anche quando l’azienda dispone già di procedure interne e di un Modello 231 formalmente adottato.

Il problema riguarda sia le società che intendono adottare per la prima volta un Modello 231, sia quelle che devono verificare una mappatura dei rischi non aggiornata, magari dopo una riorganizzazione, l’introduzione di nuove attività o una segnalazione di irregolarità. Per gli amministratori diventa necessario comprendere quali reati presupposto siano pertinenti, dove possano verificarsi e quali controlli siano effettivamente in grado di prevenirli. Quando emergono carenze organizzative o dubbi sull’adeguatezza dell’analisi esistente, una valutazione professionale permette di individuare gli interventi necessari senza confondere i rischi teorici con quelli concretamente riconducibili all’organizzazione aziendale.

Quali attività aziendali devono essere analizzate nel risk assessment 231

La mappatura delle attività a rischio reato non consiste nel compilare un elenco di tutti i reati previsti dal D.Lgs. 231/2001. Occorre esaminare il funzionamento dell’impresa e individuare i processi nei quali, in relazione alle mansioni esercitate, ai poteri decisionali e ai rapporti con soggetti esterni, potrebbero verificarsi condotte riconducibili ai reati presupposto della responsabilità dell’ente. L’analisi deve considerare anche le modalità attraverso cui tali condotte potrebbero essere realizzate nell’interesse o a vantaggio della società.

In un’impresa manifatturiera, ad esempio, la valutazione può interessare la gestione della sicurezza sul lavoro, dei rifiuti, degli impianti e delle autorizzazioni ambientali. In una società che partecipa frequentemente a gare pubbliche assumono particolare rilievo i rapporti con la Pubblica Amministrazione, la predisposizione delle offerte e la gestione dei contratti. In entrambi i casi devono essere esaminati anche i processi amministrativi e finanziari, gli acquisti, i rapporti con consulenti e intermediari e le attività attraverso cui vengono assunte o autorizzate decisioni economicamente rilevanti.

Un errore frequente consiste nel considerare sensibili soltanto le attività nelle quali il reato potrebbe essere materialmente commesso. La valutazione dei rischi 231 deve comprendere anche i processi che possono rendere possibile o agevolare una condotta illecita. La gestione delle risorse finanziarie, ad esempio, può assumere rilievo rispetto a diversi reati presupposto, anche quando il pagamento costituisce soltanto una fase strumentale di un’operazione più articolata. Analogamente, la selezione dei fornitori o l’attribuzione di incarichi professionali possono presentare criticità quando mancano verifiche sull’effettività delle prestazioni, sulla congruità dei compensi o sui rapporti tra i soggetti coinvolti.

Per identificare correttamente i processi aziendali sensibili ai fini del Modello 231 è necessario ricostruire chi svolge le attività, chi autorizza le operazioni, quali documenti vengono prodotti e quali controlli intervengono prima e dopo le decisioni. L’organigramma e le procedure scritte rappresentano una base di partenza, ma non sempre descrivono il funzionamento reale dell’impresa. Nelle PMI, in particolare, alcune responsabilità possono essere concentrate su poche persone e determinate attività possono essere gestite attraverso prassi consolidate, senza una formalizzazione sufficiente.

Questa ricostruzione permette di distinguere i rischi effettivamente pertinenti da quelli che non trovano una ragionevole corrispondenza nell’attività aziendale. L’esclusione di determinate fattispecie deve derivare da una valutazione motivata, non dalla semplice circostanza che in passato non siano stati riscontrati illeciti. La mappatura dei rischi reato deve essere proporzionata alla struttura dell’impresa, ma sufficientemente approfondita da consentire l’individuazione delle aree nelle quali sono necessari specifici protocolli preventivi.

Come effettuare l’analisi dei rischi 231 e valutare l’efficacia dei controlli esistenti

Una volta individuati i processi potenzialmente sensibili, il risk assessment del Modello 231 richiede di collegare ciascuna attività alle fattispecie di reato pertinenti e di esaminare le modalità concrete attraverso cui potrebbero verificarsi condotte illecite. Il riferimento normativo principale è rappresentato dagli articoli 6 e 7 del D.Lgs. 231/2001, che disciplinano i requisiti e la rilevanza dei modelli organizzativi rispetto alle diverse categorie di soggetti coinvolti. In particolare, l’articolo 6, comma 2, richiede che il modello individui le attività nel cui ambito possono essere commessi reati e preveda specifici protocolli diretti a programmare la formazione e l’attuazione delle decisioni dell’ente in relazione ai reati da prevenire.

Dal punto di vista operativo, l’analisi comprende l’esame della documentazione aziendale, delle deleghe e delle procure, dei flussi autorizzativi e delle procedure applicate. Le interviste ai responsabili delle funzioni interessate consentono di verificare come si svolgano realmente le operazioni e di individuare eventuali differenze rispetto alle regole formalizzate. Un processo di acquisto, ad esempio, può prevedere sulla carta controlli distinti sulla scelta del fornitore, sull’approvazione della spesa e sul pagamento, ma nella pratica tali attività potrebbero essere concentrate nella stessa persona.

La valutazione del rischio inerente riguarda l’esposizione al rischio prima di considerare l’efficacia dei presidi di controllo specificamente valutati. Successivamente occorre esaminare le misure preventive esistenti per stimare il rischio residuo, ossia l’esposizione che permane tenendo conto dei controlli effettivamente applicati. Non è sufficiente verificare che una procedura sia stata approvata: bisogna accertare se venga conosciuta, rispettata, documentata e sottoposta a verifiche adeguate.

Per rendere confrontabili le valutazioni, molte aziende utilizzano una matrice dei rischi 231 che considera, secondo criteri definiti e documentati, la probabilità degli scenari di reato e la gravità delle relative conseguenze. Non esiste però una formula numerica universalmente imposta dal D.Lgs. 231/2001. Il metodo deve essere coerente con le caratteristiche dell’impresa e non può ridursi all’attribuzione automatica di punteggi. Una valutazione numerica apparentemente precisa, ma priva di riscontri sulle attività aziendali, rischia di produrre risultati poco attendibili.

Occorre prestare particolare attenzione ai controlli che dipendono esclusivamente dalla dichiarazione dei soggetti incaricati di applicarli. La presenza di un’autorizzazione formale, ad esempio, non dimostra necessariamente che siano stati verificati i presupposti dell’operazione. Analogamente, una procedura che prevede controlli periodici può risultare inefficace se non esistono registrazioni delle verifiche effettuate, responsabilità chiaramente attribuite o modalità di gestione delle anomalie.

Il risultato dell’analisi deve consentire di identificare le carenze nei presidi organizzativi e di stabilire quali interventi siano necessari. In alcuni casi può essere sufficiente chiarire una responsabilità o migliorare la tracciabilità delle autorizzazioni; in altri occorre rivedere la separazione delle funzioni, introdurre controlli indipendenti oppure modificare procedure che non rispecchiano più l’organizzazione aziendale. La scelta delle misure deve tenere conto della natura del rischio, delle dimensioni dell’impresa e della concreta possibilità di attuare e verificare i controlli.

Per questo motivo, il risk assessment deve produrre risultati utilizzabili nella predisposizione della parte speciale del Modello 231 e dei relativi protocolli. L’analisi non dovrebbe esaurirsi in un documento descrittivo, ma fornire una base verificabile per collegare ciascuna attività sensibile ai rischi individuati, alle responsabilità operative e ai presidi di prevenzione. Quando l’impresa dispone già di un modello, questa attività permette anche di individuare eventuali scostamenti tra la mappatura originaria e i processi effettivamente svolti, distinguendo gli interventi di aggiornamento documentale dalle modifiche organizzative che richiedono una revisione più approfondita.

Responsabilità aziendali, rischi non individuati e aggiornamento del risk assessment 231

Una mappatura dei rischi 231 incompleta o non aggiornata può compromettere la capacità del Modello organizzativo di prevenire i reati pertinenti all’attività dell’impresa. Il problema non riguarda soltanto l’assenza di determinate fattispecie nella documentazione: può emergere anche quando un rischio è stato formalmente individuato, ma i protocolli adottati non risultano adeguati alle modalità concrete con cui vengono assunte le decisioni e svolte le operazioni aziendali.

Il D.Lgs. 231/2001 collega la responsabilità dell’ente alla commissione di determinati reati, nel suo interesse o a suo vantaggio, da parte dei soggetti individuati dall’articolo 5. La presenza di una carenza nel risk assessment non determina automaticamente una sanzione, così come l’adozione formale del Modello 231 non assicura, da sola, l’esclusione della responsabilità. La valutazione dell’idoneità del modello e della sua efficace attuazione richiede di considerare le condizioni previste dalla normativa, la posizione dell’autore del reato e le caratteristiche dell’organizzazione esistente al momento dei fatti.

Per gli amministratori, la verifica dell’adeguatezza del risk assessment 231 assume particolare rilievo quando l’impresa modifica la propria struttura o introduce attività che non erano state considerate nell’analisi originaria. L’apertura di una nuova unità produttiva, l’acquisizione di una società, l’ingresso in un mercato estero o l’affidamento a terzi di processi rilevanti possono modificare l’esposizione ai reati presupposto. Anche l’introduzione di nuove fattispecie nel catalogo del D.Lgs. 231/2001 richiede di verificare se le modifiche normative interessino concretamente l’attività aziendale.

La necessità di aggiornamento può emergere anche da elementi interni. Un’anomalia nei pagamenti, il mancato rispetto di una procedura autorizzativa, una verifica dell’Organismo di Vigilanza o una segnalazione whistleblowing possono rivelare rischi non adeguatamente considerati. In queste circostanze occorre distinguere il singolo comportamento irregolare da una possibile carenza strutturale dei controlli aziendali. La presenza di un illecito non dimostra necessariamente l’inadeguatezza dell’intero modello, ma può rendere necessaria una verifica mirata del processo interessato.

L’Organismo di Vigilanza (OdV) assume rilievo nel monitoraggio del funzionamento e dell’osservanza del Modello 231. Attraverso le verifiche e i flussi informativi previsti dal modello, può individuare criticità da sottoporre agli organi competenti e sollecitare le valutazioni necessarie. La responsabilità di adottare e aggiornare il modello rimane in capo all’organo dirigente, secondo l’assetto organizzativo applicabile. Non sarebbe quindi corretto attribuire all’OdV il compito esclusivo di predisporre o modificare la mappatura dei rischi.

Quando l’analisi mette in luce processi non presidiati, è necessario definire interventi proporzionati al rischio individuato. Le misure possono riguardare la revisione delle deleghe, l’introduzione di verifiche sulle operazioni economicamente rilevanti, il rafforzamento della separazione delle funzioni o l’adeguamento delle procedure di controllo. Occorre stabilire chi debba attuare gli interventi, entro quali termini e attraverso quali evidenze possa essere verificata la loro effettiva applicazione.

La documentazione del risk assessment 231 deve permettere di ricostruire le valutazioni effettuate, i criteri adottati, i rischi identificati e le ragioni delle misure preventive individuate. Questa tracciabilità assume particolare importanza quando l’impresa deve dimostrare come abbia organizzato i propri controlli o spiegare perché determinate attività siano state considerate sensibili. Per approfondire la costruzione e la revisione della mappatura è possibile consultare il nostro articolo sulla mappatura dei rischi 231 e sul suo aggiornamento.

La verifica periodica non dovrebbe quindi limitarsi a confermare la validità della documentazione precedente. Deve accertare se i processi aziendali siano cambiati, se siano emersi nuovi scenari di reato e se i controlli originariamente previsti continuino a essere applicati. Quando vengono riscontrate differenze tra procedure formalizzate e attività effettive, può essere necessaria una gap analysis 231 per individuare le carenze organizzative, da utilizzare come base per gli interventi correttivi.

Esempio pratico: individuare attività a rischio reato non considerate nel Modello 231

Si consideri il caso di un’azienda manifatturiera che abbia adottato un Modello 231 alcuni anni prima e che, successivamente, abbia ampliato la produzione, aumentato il numero dei fornitori e affidato a soggetti esterni alcune attività operative. La mappatura originaria considera i rischi relativi alla sicurezza sul lavoro, alla gestione ambientale e ai rapporti con la Pubblica Amministrazione, ma non descrive adeguatamente i nuovi processi di acquisto e di gestione degli appaltatori.

Un risk assessment 231 aggiornato richiederebbe innanzitutto di esaminare i contratti, le procedure di selezione dei fornitori, i poteri di autorizzazione e le modalità di verifica delle prestazioni. Attraverso l’analisi documentale e il confronto con i responsabili delle funzioni interessate potrebbe emergere, ad esempio, che la stessa figura aziendale seleziona il fornitore, verifica l’esecuzione del servizio e autorizza il pagamento, senza controlli indipendenti adeguatamente documentati.

In una situazione del genere, l’intervento professionale dovrebbe valutare quali reati presupposto siano concretamente pertinenti, quali rischi derivino dalla concentrazione delle responsabilità e quali presidi possano ridurre l’esposizione dell’impresa. La riorganizzazione potrebbe prevedere una diversa distribuzione dei poteri autorizzativi, verifiche documentate sulle prestazioni e l’aggiornamento dei protocolli applicabili. Le modifiche dovrebbero poi essere recepite nel Modello 231 e sottoposte a verifiche successive, affinché la mappatura rappresenti il funzionamento effettivo dell’azienda e non soltanto la sua struttura formale.

Domande frequenti sul risk assessment 231 e sulla valutazione dei rischi reato

Il risk assessment 231 deve essere effettuato anche dalle aziende che non hanno ancora adottato un Modello 231?

Il D.Lgs. 231/2001 non impone indistintamente a tutte le imprese di adottare un Modello organizzativo. Quando una società decide di predisporlo, però, l’individuazione delle attività a rischio reato costituisce un passaggio necessario per costruire un sistema preventivo coerente con i requisiti normativi. Anche un’azienda priva di Modello 231 può effettuare una valutazione preliminare della propria esposizione ai reati presupposto, per comprendere quali rischi siano pertinenti e quali interventi organizzativi possano risultare opportuni.

È possibile utilizzare un risk assessment 231 predisposto per un’altra società dello stesso gruppo?

La documentazione di un’altra società può costituire un riferimento metodologico, ma non sostituisce l’analisi delle attività effettivamente svolte dalla singola impresa. Anche società appartenenti allo stesso gruppo possono presentare differenti processi decisionali, deleghe, rapporti commerciali e rischi di reato. La mappatura deve quindi considerare le caratteristiche della specifica organizzazione, comprese le attività condivise e i rapporti infragruppo.

Quanto tempo richiede un risk assessment 231 e da cosa dipende il costo?

La durata e il costo dipendono dalle dimensioni dell’impresa, dal numero dei processi da esaminare, dalla complessità organizzativa, dalle sedi operative e dalla documentazione già disponibile. Incidono anche il numero delle funzioni aziendali da coinvolgere, la necessità di svolgere interviste e l’eventuale presenza di criticità che richiedono approfondimenti. Un preventivo attendibile dovrebbe distinguere l’attività di analisi dei rischi dalla successiva predisposizione o revisione dei protocolli e delle altre componenti del Modello 231.

Chi deve partecipare alla mappatura delle attività aziendali a rischio reato?

Il risk assessment richiede il coinvolgimento delle funzioni che conoscono concretamente i processi esaminati. A seconda dell’organizzazione possono essere interessati amministratori, direzione, responsabili amministrativi, HR, acquisti, produzione, sicurezza, ambiente e sistemi informativi. Il consulente incaricato coordina l’analisi e valuta i rischi pertinenti, mentre l’Organismo di Vigilanza, quando presente, può fornire informazioni sulle criticità riscontrate nell’attività di vigilanza. Le responsabilità decisionali restano attribuite agli organi aziendali competenti.

Una segnalazione whistleblowing può rendere necessario aggiornare il risk assessment 231?

Sì, quando dalla segnalazione o dagli accertamenti successivi emergono elementi che mettono in discussione la completezza della mappatura o l’efficacia dei controlli esistenti. Non ogni segnalazione richiede una revisione generale del Modello 231: occorre valutare la natura dei fatti, il processo coinvolto e l’eventuale presenza di carenze organizzative. Le informazioni devono essere trattate rispettando le regole di riservatezza e le competenze dei soggetti incaricati della gestione delle segnalazioni.

Richiedi una valutazione del risk assessment 231 della tua azienda

Se la tua azienda deve individuare le attività a rischio reato, predisporre un risk assessment 231 o verificare una mappatura esistente, possiamo assisterti nell’analisi dei processi aziendali, nell’individuazione dei reati presupposto pertinenti e nella valutazione dei controlli organizzativi. L’intervento può riguardare sia la predisposizione di un nuovo Modello 231 sia la verifica di rischi non adeguatamente considerati in un modello già adottato.

Ogni impresa presenta caratteristiche organizzative, responsabilità e processi differenti. Per questo è necessario esaminare la situazione concreta prima di stabilire quali verifiche effettuare e quali misure preventive possano essere appropriate. Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, offre assistenza legale alle aziende nella valutazione e nell’organizzazione dei presidi previsti dal D.Lgs. 231/2001.

Richiedi una valutazione del risk assessment 231 della tua azienda attraverso il modulo dedicato. Esamineremo la richiesta per individuare le esigenze di assistenza relative alla mappatura dei rischi e all’adeguatezza del Modello organizzativo.