Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda può avere adottato un Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001, aver nominato un Organismo di Vigilanza e disporre di procedure formalmente corrette, senza avere la certezza che quelle misure siano effettivamente rispettate nelle attività quotidiane. È proprio questa distanza tra quanto previsto nei documenti e quanto avviene nei processi aziendali che rende necessario un audit del Modello 231.

La verifica riguarda il funzionamento concreto dei controlli, la capacità di prevenire i reati rilevanti per l’impresa e la disponibilità di evidenze che documentino le attività svolte. Un Modello formalmente adottato, ma privo di effettiva attuazione, può presentare criticità anche rispetto alla sua eventuale funzione esimente. Per amministratori, dirigenti e Organismi di Vigilanza, comprendere quando e come effettuare queste verifiche permette di individuare carenze organizzative prima che emergano in occasione di una segnalazione, di un accertamento o di un procedimento relativo alla responsabilità dell’ente.

Audit Modello 231: cosa significa verificare l’effettiva applicazione delle procedure aziendali

L’audit del Modello 231 è un’attività di verifica strutturata attraverso la quale si accerta se le misure organizzative e i controlli previsti dal modello siano stati concretamente attuati e funzionino nei processi aziendali. Non coincide con la semplice lettura della parte generale, della parte speciale o del codice etico. Occorre confrontare le prescrizioni contenute nella documentazione con le operazioni realmente eseguite, le responsabilità attribuite alle diverse funzioni e le evidenze disponibili.

Consideriamo un’impresa nella quale il Modello 231 preveda che determinati pagamenti siano autorizzati da due soggetti distinti. La procedura può essere formalmente adeguata, ma l’audit deve accertare se la doppia autorizzazione venga effettivamente richiesta, se i soggetti coinvolti dispongano dei poteri necessari e se le operazioni siano tracciabili. Qualora nella pratica una sola persona possa disporre e approvare il pagamento, il controllo previsto dal modello potrebbe non operare come progettato.

La stessa verifica riguarda gli acquisti, i rapporti con fornitori e consulenti, la gestione delle risorse finanziarie, la sicurezza sul lavoro e le altre attività sensibili individuate dall’azienda. Il controllo deve essere proporzionato ai rischi di reato concretamente rilevanti: non tutte le imprese presentano le stesse esposizioni e non ogni processo richiede identiche modalità di verifica.

Un audit operativo può comprendere l’esame di documenti e registrazioni, interviste ai responsabili, verifiche a campione sulle operazioni, riscontri sulle autorizzazioni e controlli sull’esecuzione delle procedure. Le dichiarazioni dei responsabili aziendali costituiscono elementi utili, ma devono essere confrontate, quando possibile, con evidenze oggettive. Un’attestazione secondo cui una procedura viene rispettata non equivale necessariamente alla dimostrazione della sua applicazione.

È importante distinguere questa attività dal check-up del Modello 231 esistente, che può concentrarsi sull’assetto documentale e sull’adeguatezza complessiva del sistema, e dalla gap analysis 231, rivolta all’individuazione degli scostamenti tra l’organizzazione aziendale e i presidi necessari. Nell’audit di attuazione l’attenzione si concentra soprattutto sulla verifica che i controlli previsti siano realmente eseguiti, documentati e mantenuti operativi.

Il D.Lgs. 231/2001 attribuisce particolare rilievo all’efficace attuazione del modello. L’articolo 7, comma 4, richiama, tra gli elementi di tale attuazione, la verifica periodica e l’eventuale modifica del modello quando emergano violazioni significative delle prescrizioni oppure mutamenti nell’organizzazione o nell’attività. Non stabilisce però una frequenza identica di audit per tutte le imprese. La programmazione deve essere costruita considerando i rischi, le dimensioni aziendali, i processi interessati e le criticità riscontrate.

Come si svolge un audit 231: documenti, controlli operativi ed evidenze da esaminare

La verifica inizia normalmente con la definizione del perimetro dell’incarico. Occorre individuare le attività sensibili da esaminare, i protocolli applicabili, le funzioni coinvolte e il periodo al quale riferire i controlli. Per un’impresa con più sedi o società collegate può essere opportuno distinguere i processi gestiti centralmente da quelli affidati alle singole strutture operative, evitando di considerare automaticamente applicata ovunque una procedura approvata dalla direzione.

La prima attività consiste nell’esaminare il Modello 231 vigente, le procedure richiamate, il sistema delle deleghe e procure, le matrici delle responsabilità, le precedenti verifiche e gli eventuali rilievi dell’Organismo di Vigilanza. Questa documentazione permette di stabilire quali comportamenti e controlli dovrebbero essere riscontrabili nell’organizzazione. La successiva verifica operativa deve accertare se tali prescrizioni siano state effettivamente osservate.

Nel processo acquisti, ad esempio, possiamo esaminare un campione di operazioni per verificare la selezione dei fornitori, l’approvazione degli ordini, la corrispondenza con le fatture e l’autorizzazione dei pagamenti. Nei processi relativi alla sicurezza sul lavoro occorre invece individuare i controlli pertinenti ai rischi considerati dal Modello 231 e verificare l’esecuzione delle attività previste, anche attraverso registrazioni, verbali e riscontri presso le funzioni interessate. L’audit 231 non sostituisce gli accertamenti tecnici specialistici richiesti dalle singole discipline.

Un aspetto particolarmente delicato riguarda la tracciabilità dei controlli interni. L’assenza di documentazione non dimostra automaticamente che una determinata attività non sia stata eseguita, ma può rendere difficile ricostruirne lo svolgimento e valutarne l’efficacia. Per questo verifichiamo quali evidenze siano prodotte, chi le conservi, come vengano registrate le anomalie e se sia possibile ricostruire le decisioni assunte.

Le interviste ai responsabili e ai dipendenti permettono di comprendere se le procedure siano conosciute e utilizzate. Un responsabile potrebbe descrivere un processo diverso da quello formalizzato, oppure un dipendente potrebbe non conoscere un controllo che dovrebbe eseguire. Queste circostanze richiedono approfondimenti, perché possono dipendere da formazione insufficiente, istruzioni non aggiornate o modalità operative consolidate che non corrispondono al modello approvato.

Rientra nella verifica anche il funzionamento dei flussi informativi verso l’Organismo di Vigilanza. Occorre accertare se le informazioni previste siano effettivamente trasmesse, se eventuali anomalie siano comunicate e se i rilievi precedenti abbiano ricevuto un seguito documentabile. Quando una segnalazione whistleblowing riguarda possibili violazioni rilevanti per il sistema 231, l’audit può esaminare il coordinamento tra le funzioni competenti e l’OdV, nel rispetto della riservatezza e delle regole applicabili alla gestione delle segnalazioni.

Il risultato delle verifiche deve essere riportato in una relazione che distingua i controlli esaminati, le evidenze raccolte, le eventuali non conformità e le limitazioni dell’attività svolta. È opportuno indicare la rilevanza delle criticità e le azioni correttive da valutare, attribuendo responsabilità e tempi di attuazione. Un audit non può essere considerato una certificazione generale dell’assenza di rischi o di possibili reati: le sue conclusioni devono rimanere riferite al perimetro, al periodo e alle verifiche effettivamente eseguite.

Controlli non applicati e carenze del Modello 231: responsabilità, rischi e interventi correttivi

Quando l’audit rileva che una procedura prevista dal Modello 231 non viene rispettata, occorre comprendere la natura della criticità e le sue possibili conseguenze. Una violazione occasionale, un controllo eseguito ma non documentato e una prassi aziendale sistematicamente contraria alle procedure rappresentano situazioni differenti, che richiedono valutazioni e interventi proporzionati. La mancata applicazione dei protocolli può compromettere l’efficacia preventiva del Modello 231, soprattutto quando riguarda attività esposte a rischi di reato rilevanti ai sensi del D.Lgs. 231/2001.

Gli articoli 6 e 7 del decreto attribuiscono rilievo all’adozione e all’efficace attuazione del modello, secondo presupposti differenti a seconda che il reato sia commesso da soggetti in posizione apicale oppure da persone sottoposte alla loro direzione o vigilanza. L’esistenza di un documento approvato dall’organo amministrativo non dimostra, da sola, che l’impresa abbia predisposto e mantenuto un sistema di prevenzione concretamente funzionante. In presenza dei presupposti previsti dalla normativa, le carenze organizzative possono assumere rilievo nella valutazione della responsabilità dell’ente.

Questo non significa che ogni inosservanza di una procedura determini automaticamente una responsabilità ai sensi del D.Lgs. 231/2001. Occorre verificare l’eventuale commissione di un reato presupposto, il rapporto con l’interesse o il vantaggio dell’ente, la posizione del soggetto coinvolto e gli ulteriori elementi richiesti dalla disciplina. Un audit consente di individuare criticità e raccogliere informazioni utili alla loro valutazione, ma non sostituisce l’accertamento giuridico delle responsabilità.

Particolare attenzione merita il caso in cui i controlli siano formalmente previsti ma vengano regolarmente aggirati. Se, ad esempio, una procedura impone verifiche preventive sui fornitori e l’azienda affida sistematicamente incarichi senza svolgerle, il problema può riguardare l’organizzazione del processo, l’attribuzione delle responsabilità oppure la mancata vigilanza sull’esecuzione delle attività. In questi casi non è sufficiente ricordare ai dipendenti l’esistenza della procedura: occorre comprendere perché il controllo non funzioni e intervenire sulle cause.

La gestione delle non conformità dovrebbe prevedere una valutazione della gravità del rilievo, l’individuazione delle funzioni responsabili e la definizione di azioni correttive verificabili. Gli interventi possono riguardare la modifica dei processi autorizzativi, la formazione del personale, il rafforzamento della tracciabilità o l’introduzione di controlli aggiuntivi. Quando emergono violazioni delle prescrizioni del modello, deve essere valutata anche l’applicazione del sistema disciplinare, nel rispetto delle regole contrattuali e della normativa applicabile.

Il ruolo dell’Organismo di Vigilanza è particolarmente rilevante. L’OdV deve poter ricevere le informazioni necessarie allo svolgimento delle proprie funzioni e verificare, nell’ambito dei poteri attribuiti, che le criticità segnalate vengano adeguatamente considerate. L’organo dirigente mantiene le responsabilità relative alle decisioni organizzative e all’attuazione degli interventi di propria competenza. È quindi necessario distinguere l’attività di vigilanza dalle responsabilità gestionali delle funzioni aziendali.

Un ulteriore elemento riguarda le segnalazioni whistleblowing. Quando una segnalazione fa emergere possibili violazioni dei protocolli 231, può essere necessario verificare se il problema riguardi un comportamento individuale oppure una carenza più estesa del sistema di controllo. Il coordinamento con l’OdV deve rispettare le competenze dei soggetti coinvolti e le garanzie di riservatezza previste dal D.Lgs. 24/2023. Per gli aspetti relativi alla gestione iniziale delle segnalazioni è possibile consultare il nostro approfondimento su cosa fare dopo aver ricevuto una segnalazione whistleblowing.

L’attività di audit dovrebbe proseguire con una verifica successiva dell’effettiva esecuzione degli interventi. Approvare un piano correttivo non equivale ad aver risolto la criticità: occorre accertare che le nuove modalità operative siano state introdotte, comunicate ai soggetti interessati e concretamente applicate. La verifica dell’efficacia delle azioni correttive permette di distinguere le irregolarità effettivamente affrontate da quelle che continuano a manifestarsi nonostante le indicazioni ricevute.

Esempio pratico: audit del Modello 231 in un’azienda con procedure formalmente adottate

Consideriamo il caso ipotetico di una società manifatturiera che abbia adottato un Modello 231 e nominato un Organismo di Vigilanza. Il modello prevede controlli sulla selezione dei fornitori, sull’autorizzazione degli acquisti e sulla gestione dei pagamenti. La direzione ritiene che le procedure siano applicate, ma non dispone di un quadro aggiornato delle verifiche effettivamente svolte dalle diverse funzioni aziendali.

Durante un audit vengono esaminati alcuni ordini, i relativi documenti autorizzativi e le registrazioni dei controlli. Dall’esame emerge che determinate verifiche sui fornitori sono eseguite soltanto in alcune circostanze, mentre per altre operazioni non risulta documentata l’approvazione prevista dalla procedura. Le interviste mostrano anche che alcuni responsabili seguono modalità operative diverse da quelle formalizzate nel modello.

La criticità richiede di distinguere le eventuali omissioni individuali dai problemi organizzativi. Occorre verificare se le istruzioni siano state comunicate correttamente, se i controlli siano concretamente eseguibili e se le responsabilità risultino chiaramente attribuite. La relazione di audit può quindi individuare gli scostamenti riscontrati e proporre un piano di intervento che comprenda la revisione delle modalità autorizzative, il chiarimento dei compiti e la successiva verifica delle operazioni.

In una situazione di questo tipo, l’obiettivo non è semplicemente produrre nuova documentazione, ma rendere effettivamente operativi e verificabili i controlli già previsti dal Modello 231. L’adeguatezza delle misure correttive deve essere valutata in relazione ai processi aziendali e ai rischi concretamente individuati.

Domande frequenti sull’audit del Modello 231

Un’azienda che ha già adottato il Modello 231 deve effettuare audit periodici?

Il D.Lgs. 231/2001 attribuisce rilievo alla verifica periodica e all’efficace attuazione del modello, ma non stabilisce una frequenza di audit uguale per tutte le imprese. La periodicità e l’estensione dei controlli devono essere definite considerando le attività a rischio, la complessità organizzativa, le modifiche intervenute e le eventuali criticità riscontrate. L’azienda deve inoltre verificare l’esistenza di obblighi specifici derivanti da disposizioni settoriali o da impegni contrattuali applicabili.

Chi può effettuare un audit del Modello 231: l’Organismo di Vigilanza o un consulente esterno?

L’Organismo di Vigilanza esercita le funzioni di vigilanza attribuitegli dal D.Lgs. 231/2001 e può avvalersi, secondo le regole organizzative applicabili, del supporto di professionisti esterni per svolgere verifiche specialistiche. Anche le funzioni di internal audit e compliance possono effettuare controlli nell’ambito delle rispettive competenze. Il ricorso a un consulente esterno può risultare opportuno quando occorrono competenze specifiche, una valutazione indipendente o approfondimenti su processi particolarmente esposti. L’affidamento dell’audit a un professionista non trasferisce automaticamente le responsabilità proprie dell’organo dirigente e dell’OdV.

Quali documenti deve preparare l’azienda prima di un audit 231?

La documentazione dipende dal perimetro delle verifiche. Generalmente vengono richiesti il Modello 231 vigente, le procedure operative, le deleghe e procure, la mappatura delle attività sensibili, i verbali e i flussi informativi dell’OdV, le evidenze dei controlli eseguiti e la documentazione relativa alla formazione. Possono essere necessari anche ordini, autorizzazioni, registrazioni e altri documenti riferiti alle operazioni selezionate. La disponibilità dei documenti deve essere organizzata rispettando gli obblighi di riservatezza e protezione dei dati applicabili.

Quanto costa un audit del Modello 231 per un’azienda?

Il costo dipende dalle dimensioni dell’impresa, dal numero di sedi e processi da verificare, dalla complessità delle attività sensibili e dall’estensione dei controlli richiesti. Un audit limitato a specifici protocolli comporta normalmente un impegno diverso rispetto alla verifica dell’intero sistema 231 di un gruppo societario. Per formulare un preventivo attendibile è necessario definire preventivamente il perimetro dell’incarico, la documentazione disponibile, le attività sul campo e il contenuto della relazione finale.

Cosa deve fare l’azienda se l’audit rileva che alcune procedure 231 non vengono rispettate?

Occorre valutare la gravità delle violazioni, individuare le cause e stabilire gli interventi correttivi necessari. In presenza di criticità rilevanti può essere opportuno coinvolgere tempestivamente l’Organismo di Vigilanza e le funzioni competenti, verificando anche l’eventuale necessità di ulteriori approfondimenti giuridici. Le azioni decise devono essere documentate e sottoposte a successivo controllo. Se emergono fatti potenzialmente riconducibili a reati presupposto, la situazione richiede una valutazione legale specifica, distinta dalla normale gestione delle non conformità organizzative.

Audit Modello 231: richiedi una valutazione sull’effettiva applicazione delle procedure aziendali

Se la vostra azienda ha già adottato un Modello 231, ma non dispone di verifiche recenti sull’applicazione dei protocolli, oppure sono emerse irregolarità, controlli non documentati o difficoltà nel funzionamento dei flussi informativi verso l’Organismo di Vigilanza, può essere opportuno effettuare un audit mirato sull’effettiva attuazione del sistema 231.

Presso lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assistiamo le imprese nella valutazione delle criticità organizzative e giuridiche connesse al D.Lgs. 231/2001, nell’esame dei controlli esistenti e nell’individuazione degli interventi necessari in relazione alle caratteristiche dell’attività aziendale.

Per sottoporci la situazione della vostra impresa, richiedete una valutazione del Modello 231 attraverso il modulo dedicato. Potrete descrivere le verifiche già effettuate, le eventuali criticità riscontrate e le esigenze di assistenza. Esamineremo la richiesta per valutare il possibile intervento professionale.