Articolo a cura di: Redazione - Studio Legale Calvello

La mappatura delle attività sensibili nel Modello 231 serve a individuare i processi aziendali nei quali possono verificarsi i reati rilevanti ai sensi del D.Lgs. 231/2001 e a collegarli ai controlli necessari per prevenirli. Per un’impresa, il problema non consiste soltanto nell’identificare le attività potenzialmente esposte, ma nel documentare con precisione chi assume le decisioni, quali operazioni vengono effettuate, dove possono manifestarsi comportamenti illeciti e quali presidi organizzativi sono effettivamente applicati.

Una mappatura generica, incompleta o non coerente con l’organizzazione reale può compromettere l’idoneità del Modello 231, soprattutto quando l’azienda modifica i propri processi, introduce nuove attività oppure scopre che determinate operazioni non sono adeguatamente controllate. Verificare il contenuto della mappatura significa valutare se il sistema di prevenzione sia costruito sui rischi concretamente presenti nell’impresa e se le scelte organizzative possano essere ricostruite e documentate. Quando emergono carenze o incertezze, una valutazione legale e organizzativa permette di individuare gli interventi necessari senza limitarsi a modifiche formali della documentazione.

Quali attività aziendali devono essere considerate sensibili ai fini del Modello 231

Nel sistema delineato dal D.Lgs. 231/2001, sono considerate sensibili le attività nell’ambito delle quali può verificarsi la commissione di uno dei reati presupposto rilevanti per la responsabilità amministrativa dell’ente. L’articolo 6, comma 2, lettera a), richiede che il modello organizzativo individui le attività nel cui ambito possono essere commessi reati. La disposizione non impone una semplice elencazione dei reparti aziendali: richiede un’analisi che consenta di riconoscere le situazioni nelle quali l’organizzazione può essere esposta a condotte penalmente rilevanti.

La distinzione è concreta. Un’impresa potrebbe indicare gli acquisti tra le proprie aree sensibili senza avere esaminato come vengono selezionati i fornitori, chi autorizza gli ordini, quali verifiche precedono i pagamenti e come vengono gestiti eventuali rapporti con soggetti pubblici. In una situazione del genere, l’area aziendale è stata individuata, ma la mappatura delle attività sensibili non descrive ancora i passaggi operativi nei quali il rischio può manifestarsi. Per questo motivo, nella nostra attività di consulenza consideriamo necessario ricostruire il funzionamento effettivo dei processi, anziché limitarci alla struttura formale dell’organigramma.

Le attività da esaminare dipendono dal settore, dalle dimensioni, dalla struttura societaria e dalle operazioni concretamente svolte. In un’impresa manifatturiera possono assumere particolare rilievo la sicurezza sul lavoro, la gestione ambientale, gli approvvigionamenti e i processi produttivi. In una società che partecipa frequentemente a gare pubbliche occorre prestare attenzione alle relazioni con le amministrazioni, alla preparazione delle offerte e alla gestione dei contratti. Per altre organizzazioni possono essere maggiormente esposti i processi amministrativi, finanziari, fiscali o informatici.

Non tutte le attività aziendali sono automaticamente sensibili rispetto a ogni reato presupposto. La mappatura deve individuare una relazione plausibile tra il processo esaminato, le condotte che potrebbero verificarsi e le fattispecie previste dal Decreto 231. Tale relazione deve essere valutata anche considerando i soggetti che operano nell’interesse dell’impresa, i poteri loro attribuiti e le modalità attraverso le quali le decisioni vengono assunte o eseguite.

Un’attenzione specifica riguarda le attività svolte da consulenti, intermediari, agenti, fornitori e altri soggetti esterni. L’esternalizzazione di un processo non comporta necessariamente l’eliminazione dell’esposizione dell’ente. Occorre verificare quali attività rimangano sotto il controllo della società, quali obblighi siano previsti nei rapporti contrattuali e quali verifiche vengano effettivamente effettuate. La rilevanza di eventuali condotte di terzi ai fini del D.Lgs. 231/2001 richiede comunque l’accertamento dei relativi presupposti normativi.

La ricostruzione dei processi costituisce il punto di partenza per collegare le attività sensibili ai reati presupposto pertinenti. Questo collegamento deve essere specifico: una procedura relativa alla gestione dei pagamenti, ad esempio, può richiedere controlli differenti a seconda che il rischio considerato riguardi operazioni corruttive, reati tributari o altre fattispecie applicabili. Una classificazione indistinta non permette di comprendere quali comportamenti debbano essere prevenuti e quali misure siano realmente pertinenti.

Cosa deve contenere il documento di mappatura delle attività sensibili 231

Il D.Lgs. 231/2001 non prescrive un modello grafico unico o un formulario obbligatorio per rappresentare le attività sensibili. Il contenuto della documentazione deve però essere coerente con le esigenze di individuazione dei rischi e di predisposizione dei protocolli previste dall’articolo 6. Una mappatura adeguata deve consentire di comprendere quali processi siano stati esaminati, perché siano stati considerati esposti a determinati reati e quali controlli siano previsti per contrastare i rischi individuati.

Il primo elemento da documentare è l’identificazione del processo o dell’attività sensibile. La descrizione deve essere sufficientemente dettagliata da permettere di riconoscere le operazioni interessate, le funzioni coinvolte e le principali fasi decisionali. Non è necessario riprodurre ogni istruzione operativa, ma occorre evitare definizioni così generiche da non consentire di individuare dove si colloca il rischio. Per esempio, indicare soltanto la gestione amministrativa non equivale a distinguere la registrazione delle fatture, l’autorizzazione dei pagamenti, la gestione delle note spese e la predisposizione delle dichiarazioni fiscali.

Il secondo elemento riguarda l’associazione tra attività sensibili e reati presupposto. Per ciascun processo devono essere individuate le fattispecie ragionevolmente pertinenti e le modalità attraverso le quali potrebbero realizzarsi condotte illecite. Questa analisi non richiede di ipotizzare qualsiasi reato astrattamente possibile, ma di valutare scenari coerenti con l’attività svolta e con le caratteristiche dell’organizzazione. La descrizione degli scenari di rischio aiuta a comprendere perché un determinato controllo sia necessario e quale comportamento debba prevenire.

La documentazione dovrebbe poi identificare le funzioni responsabili, i soggetti che partecipano al processo e i poteri decisionali o autorizzativi rilevanti. Organigrammi, funzionigrammi, deleghe, procure e procedure interne costituiscono fonti utili, ma devono essere confrontati con la prassi effettiva. Può accadere che una procedura attribuisca formalmente un’autorizzazione a un dirigente, mentre nella gestione quotidiana le decisioni siano assunte da altri soggetti. Una simile discrepanza deve essere esaminata, perché può incidere sull’efficacia dei controlli.

Un ulteriore contenuto riguarda i presidi di prevenzione già esistenti. La mappatura dovrebbe permettere di identificare le procedure applicabili, i livelli autorizzativi, la separazione delle funzioni, i controlli documentali e le modalità di tracciamento delle operazioni. Occorre distinguere i controlli effettivamente operativi da quelli soltanto previsti nei documenti aziendali. Una procedura approvata ma sconosciuta ai responsabili del processo, oppure sistematicamente disattesa, non può essere valutata come un presidio pienamente efficace sulla sola base della sua esistenza formale.

Per rendere utilizzabile la documentazione, è opportuno indicare anche le eventuali carenze riscontrate, i controlli da introdurre o modificare e le funzioni incaricate degli interventi. La rappresentazione può avvenire mediante schede di processo, matrici attività-reati-controlli o documenti descrittivi. La scelta dipende dalla complessità dell’impresa: una società con numerose sedi, funzioni e attività esternalizzate può richiedere strumenti più articolati rispetto a una struttura organizzativa semplice. Nessuno di questi formati, considerato isolatamente, dimostra l’adeguatezza del lavoro svolto.

È utile che il documento riporti la data della valutazione, le funzioni coinvolte, le fonti informative utilizzate e gli elementi che giustificano le scelte compiute. Queste informazioni permettono di ricostruire il percorso seguito e di comprendere se l’analisi rispecchi ancora l’organizzazione aziendale. La tracciabilità assume particolare rilievo quando intervengono modifiche dei processi, nuove deleghe o variazioni dell’attività esercitata.

La mappatura deve infine mantenere una relazione verificabile con la Parte Speciale del Modello 231 e con i protocolli di prevenzione. Se un’attività è stata qualificata come sensibile, il sistema organizzativo deve prevedere misure coerenti con i rischi individuati. La loro definizione operativa costituisce un passaggio distinto, approfondito nel nostro articolo sui protocolli 231 e sulle modalità con cui devono essere costruiti. La corrispondenza tra attività, rischi e presidi consente all’impresa e all’Organismo di Vigilanza di utilizzare la mappatura come riferimento concreto per le successive verifiche.

Come verificare se la mappatura dei rischi 231 è completa e coerente con i controlli aziendali

La presenza di un documento dedicato alle attività sensibili non dimostra, da sola, che la valutazione dei rischi sia adeguata. Per verificare la qualità della mappatura occorre confrontare quanto riportato nel Modello 231 con i processi effettivamente svolti, le responsabilità attribuite alle funzioni aziendali e le procedure applicate nella gestione quotidiana. L’analisi deve permettere di individuare eventuali differenze tra l’organizzazione descritta sulla carta e quella reale, comprese le attività che vengono svolte senza autorizzazioni formalizzate o senza controlli documentabili.

Un primo controllo riguarda la copertura dei processi aziendali. È opportuno verificare che siano state considerate le attività rilevanti per il settore e per le caratteristiche dell’impresa, senza trascurare operazioni apparentemente secondarie che possono esporre la società a rischi specifici. La gestione di un rimborso spese, l’affidamento di un incarico a un intermediario o l’autorizzazione di un pagamento possono richiedere verifiche differenti in funzione del contesto e dei reati presupposto pertinenti. Se la mappatura si limita alle funzioni principali e non esamina le modalità operative, alcune situazioni di rischio potrebbero non essere state individuate.

Il secondo controllo riguarda la coerenza tra rischi individuati e misure preventive. Per ciascuna attività sensibile occorre verificare se le procedure esistenti stabiliscano responsabilità, autorizzazioni, controlli e modalità di conservazione delle evidenze adeguati allo scenario considerato. Una separazione delle funzioni prevista formalmente, ma non rispettata nella pratica, oppure un’autorizzazione concessa senza verificare la documentazione necessaria, può rappresentare una carenza da approfondire. La valutazione deve considerare anche la possibilità che un singolo soggetto possa avviare, autorizzare ed eseguire la stessa operazione senza verifiche indipendenti.

La verifica deve distinguere tra rischio individuato, controllo previsto e controllo effettivamente applicato. Sono tre aspetti diversi. L’azienda può avere riconosciuto correttamente un rischio, ma non aver predisposto una procedura adeguata; può avere adottato una procedura che non viene applicata; oppure può disporre di controlli formalmente corretti che non producono evidenze sufficienti per ricostruire le operazioni. In ciascuna situazione, l’intervento richiesto cambia e deve essere proporzionato alla carenza riscontrata.

La revisione può essere condotta attraverso l’esame della documentazione aziendale, colloqui con i responsabili dei processi, verifica delle deleghe e delle procure, analisi delle procedure e campionamento delle operazioni. Quando necessario, è utile confrontare le autorizzazioni previste con quelle effettivamente registrate nei sistemi aziendali. L’obiettivo è capire se i presidi descritti nella mappatura siano applicabili, attribuiti a soggetti identificabili e verificabili attraverso documenti o registrazioni attendibili.

Le carenze emerse devono essere tradotte in interventi concreti. Se un processo non è stato analizzato, può essere necessario integrare la mappatura; se il rischio è stato individuato ma manca un controllo, occorre valutare l’introduzione di un protocollo o la modifica di una procedura; se il controllo esiste ma non viene applicato, l’intervento può riguardare le responsabilità operative, la formazione o il monitoraggio. È utile indicare per ogni azione il soggetto incaricato, le modalità di attuazione e i criteri con cui verificare il completamento.

La mappatura deve essere riesaminata quando cambiano le condizioni che hanno determinato la valutazione originaria. Riorganizzazioni, acquisizioni, nuove attività, modifiche nei poteri decisionali, cambiamenti dei rapporti con la Pubblica Amministrazione o l’emersione di criticità interne possono rendere necessario un aggiornamento. Anche le verifiche dell’Organismo di Vigilanza possono far emergere processi non considerati o controlli che richiedono una revisione. Non ogni modifica comporta automaticamente la necessità di rifare l’intero documento: occorre valutare quali rischi e presidi siano effettivamente interessati.

In presenza di carenze diffuse o di un Modello 231 predisposto sulla base di una struttura aziendale ormai superata, può essere opportuno un intervento professionale più ampio. La gap analysis 231 per individuare le carenze organizzative dell’azienda permette di confrontare i presidi esistenti con quelli necessari rispetto ai rischi rilevati e di definire le priorità di adeguamento. La valutazione deve restare collegata alle caratteristiche concrete dell’impresa, evitando sia controlli meramente formali sia procedure sproporzionate rispetto ai rischi effettivi.

Esempio pratico: quando la mappatura delle attività sensibili non rispecchia il funzionamento dell’azienda

Si consideri una società manifatturiera che abbia adottato un Modello 231 alcuni anni prima e inserito gli acquisti tra le attività sensibili. Nel frattempo, l’impresa ha ampliato la rete dei fornitori, introdotto nuovi livelli di approvazione e affidato parte delle verifiche preliminari a una funzione diversa da quella originariamente prevista. La mappatura continua però a descrivere il processo precedente e non chiarisce chi debba effettuare i controlli sui nuovi rapporti commerciali.

Nel corso della revisione, l’analisi delle procedure e il confronto con i responsabili evidenziano che alcune verifiche non sono attribuite con sufficiente chiarezza e che la documentazione delle autorizzazioni non è uniforme. Il lavoro consiste quindi nel ricostruire il processo attuale, verificare quali rischi siano pertinenti, identificare i controlli già operativi e individuare quelli da integrare. La mappatura viene aggiornata in coerenza con le procedure riviste, indicando le responsabilità delle funzioni coinvolte e le evidenze che devono essere conservate.

In una situazione di questo tipo, non sarebbe sufficiente sostituire la data del documento o aggiungere un riferimento generico ai nuovi fornitori. Occorre verificare che le modifiche organizzative siano recepite nel sistema di prevenzione e che i controlli previsti possano essere applicati e verificati. L’esempio illustra un possibile percorso operativo: gli interventi effettivi dipendono sempre dall’organizzazione e dalle criticità riscontrate nella singola impresa.

FAQ sulla mappatura delle attività sensibili nel Modello 231

La mappatura delle attività sensibili è obbligatoria per tutte le aziende?

Il D.Lgs. 231/2001 non impone indistintamente a tutte le imprese di adottare un Modello 231. L’individuazione delle attività nel cui ambito possono essere commessi reati costituisce però un elemento previsto dall’articolo 6 per i modelli organizzativi diretti a prevenire la responsabilità dell’ente secondo la disciplina applicabile. L’opportunità di adottare il modello deve essere valutata considerando l’attività esercitata, i rischi e le esigenze organizzative dell’impresa.

Esiste un modello standard da utilizzare per la mappatura?

La normativa non impone un unico formato. L’azienda può utilizzare schede di processo, matrici di rischio o documenti descrittivi, purché la documentazione permetta di ricostruire le attività esaminate, i reati pertinenti, gli scenari di rischio e i presidi preventivi. Il formato deve essere adeguato alla complessità dell’organizzazione.

Chi deve occuparsi della mappatura delle attività sensibili?

Il lavoro richiede il coinvolgimento delle funzioni che conoscono i processi aziendali e può essere affidato, in tutto o in parte, a professionisti esterni. La responsabilità delle decisioni sull’adozione e sull’attuazione del Modello 231 resta in capo agli organi aziendali competenti, secondo le rispettive attribuzioni. L’Organismo di Vigilanza svolge le funzioni di vigilanza previste dal sistema, senza sostituirsi automaticamente a chi gestisce i processi o assume le decisioni organizzative.

Ogni quanto tempo bisogna aggiornare la mappatura?

Non esiste una scadenza periodica unica applicabile indistintamente a ogni impresa. La mappatura deve essere riesaminata quando cambiamenti normativi, organizzativi o operativi, oppure criticità emerse dai controlli, possono incidere sui rischi precedentemente valutati. È opportuno definire modalità di monitoraggio che consentano di riconoscere tempestivamente queste situazioni.

Una mappatura completa esclude la responsabilità dell’azienda ai sensi del D.Lgs. 231/2001?

No. La mappatura è una componente del sistema organizzativo e non determina, da sola, l’esclusione della responsabilità dell’ente. Occorre valutare i presupposti previsti dalla legge, l’idoneità del Modello 231 rispetto ai reati rilevanti, la sua concreta attuazione e gli altri requisiti applicabili al caso. Anche i controlli individuati devono essere effettivamente operativi e verificabili.

Richiedi una valutazione della mappatura dei rischi 231 della tua azienda

Se la tua impresa dispone già di un Modello 231, ma non hai la certezza che la mappatura delle attività sensibili sia aggiornata, completa o coerente con i controlli realmente applicati, è opportuno esaminare la documentazione e confrontarla con l’organizzazione attuale. Una verifica professionale può aiutare a individuare i processi non adeguatamente analizzati, le procedure da rivedere e le misure organizzative da integrare.

Lo Studio Legale Calvello assiste le imprese nelle attività di valutazione, revisione e aggiornamento del Modello 231, tenendo conto delle caratteristiche dell’organizzazione e dei rischi pertinenti. Puoi richiedere una valutazione per il Modello 231 della tua azienda attraverso il modulo dedicato, descrivendo le esigenze e le eventuali criticità già emerse. Esamineremo la richiesta per individuare il tipo di assistenza più coerente con la situazione rappresentata.