Articolo a cura di: Redazione - Studio Legale Calvello

Affidare a un professionista la consulenza per il Modello 231 significa incaricarlo di esaminare l’organizzazione aziendale, individuare le attività esposte ai reati rilevanti ai sensi del D.Lgs. 231/2001 e predisporre un sistema di prevenzione concretamente applicabile all’impresa. Il servizio può comprendere la valutazione iniziale dei rischi, la redazione del modello organizzativo, la definizione delle procedure interne, il supporto all’istituzione dell’Organismo di Vigilanza e le successive attività di aggiornamento e verifica.

Per amministratori e imprenditori, la questione non riguarda soltanto la disponibilità di un documento formalmente corretto. Occorre comprendere quali attività siano effettivamente incluse nell’incarico, quali responsabilità rimangano in capo alla società e come verificare che il Modello 231 sia adeguato alla propria organizzazione. Una consulenza incompleta può lasciare scoperti processi aziendali rilevanti, soprattutto quando l’impresa opera attraverso più sedi, utilizza numerosi fornitori, partecipa ad appalti o presenta una struttura decisionale articolata.

Consulenza Modello 231: quali esigenze aziendali deve affrontare e cosa comprende il servizio

La consulenza in materia di D.Lgs. 231/2001 deve partire dalle caratteristiche dell’impresa e dalle ragioni che rendono necessario valutare l’adozione o la revisione di un modello di organizzazione, gestione e controllo. Una società può rivolgersi a un consulente perché intende prevenire il rischio di responsabilità derivante da determinati reati, perché un committente richiede specifiche garanzie organizzative oppure perché il proprio sistema di controllo interno non è più coerente con le attività effettivamente svolte.

Il D.Lgs. 231/2001 disciplina la responsabilità amministrativa degli enti per determinati reati commessi, nell’interesse o a vantaggio dell’ente, da soggetti che rivestono funzioni apicali o da persone sottoposte alla loro direzione o vigilanza, alle condizioni previste dalla normativa. La responsabilità dell’ente si aggiunge a quella della persona fisica autrice del reato e può comportare conseguenze patrimoniali e interdittive particolarmente rilevanti per la continuità aziendale.

L’adozione del Modello 231 non costituisce un obbligo generalizzato per tutte le imprese. Può però assumere particolare rilevanza in relazione all’esposizione ai reati presupposto, alle caratteristiche dell’attività, alle richieste contrattuali dei committenti o a specifiche disposizioni applicabili al settore. La sua eventuale efficacia esimente deve essere valutata secondo i presupposti stabiliti dagli articoli 6 e 7 del decreto, tenendo conto anche dell’effettiva attuazione del sistema organizzativo. Per comprendere quando l’adozione sia opportuna e quali conseguenze possa avere per l’impresa, abbiamo approfondito questi aspetti nell’articolo Modello 231 per aziende: cos’è, a cosa serve e quando adottarlo.

Per questo, prima di proporre la redazione di un modello, riteniamo necessario esaminare l’assetto societario, la distribuzione dei poteri, i processi decisionali, le deleghe, le procedure esistenti e i rapporti con dipendenti, collaboratori e soggetti esterni. La consulenza deve consentire alla direzione di comprendere quali rischi siano concretamente pertinenti all’attività e quali interventi organizzativi risultino proporzionati.

Il servizio può riguardare un’impresa che non ha ancora adottato il Modello 231 oppure una società che dispone già di un documento da verificare. Nel primo caso l’incarico comprende normalmente l’analisi preliminare, la mappatura dei rischi e la predisposizione del sistema organizzativo. Nel secondo, il lavoro può concentrarsi sulle carenze delle procedure, sulle modifiche normative intervenute, sull’effettiva applicazione dei controlli e sull’adeguatezza del modello rispetto all’organizzazione attuale.

È opportuno chiarire sin dall’inizio anche il perimetro dell’assistenza: redazione del modello, predisposizione delle procedure, supporto all’adozione, formazione, rapporti con l’Organismo di Vigilanza e verifiche successive non sono necessariamente compresi nel medesimo incarico. La distinzione incide sulla possibilità dell’azienda di programmare correttamente le attività e di valutare l’effettiva completezza del servizio professionale. A questo proposito, è utile verificare quali attività devono essere comprese in un preventivo per il Modello 231, distinguendo la predisposizione iniziale dall’assistenza successiva.

Dall’analisi dei rischi alla predisposizione del Modello 231: le attività concrete del consulente

Una consulenza finalizzata alla predisposizione del Modello 231 richiede anzitutto un’attività conoscitiva. Il professionista esamina la documentazione societaria, l’organigramma, il sistema delle deleghe e delle procure, i principali contratti e le procedure che regolano le operazioni aziendali. Attraverso il confronto con amministratori e responsabili delle diverse funzioni, ricostruisce il funzionamento effettivo dei processi, verificando se le responsabilità formalmente attribuite corrispondano alle attività svolte.

Da questa ricognizione prende avvio il risk assessment 231, ossia l’analisi dei rischi connessi alla possibile commissione dei reati presupposto. Non si tratta di riprodurre indiscriminatamente l’elenco dei reati contenuti nel decreto, ma di individuare le fattispecie pertinenti all’attività dell’impresa e le aree nelle quali potrebbero concretamente manifestarsi situazioni di rischio.

Per un’azienda manifatturiera possono assumere particolare rilievo i processi relativi alla sicurezza sul lavoro, alla gestione ambientale, agli acquisti e ai rapporti con la pubblica amministrazione. In una società che opera prevalentemente attraverso appalti, l’analisi può richiedere maggiore attenzione alle procedure di selezione dei fornitori, ai subappalti, alla gestione dei rapporti commerciali e ai controlli sui soggetti incaricati di rappresentare l’impresa. La scelta delle aree da esaminare dipende comunque dalle attività realmente svolte e non dalla sola appartenenza a un determinato settore.

Individuate le attività sensibili, il consulente procede alla gap analysis, confrontando i presidi organizzativi esistenti con quelli necessari a fronteggiare i rischi rilevati. Può emergere, ad esempio, che una procedura autorizzativa sia prevista soltanto informalmente, che la medesima persona concentri funzioni incompatibili oppure che determinati controlli vengano effettuati senza conservarne un’adeguata evidenza documentale.

Su queste basi viene predisposto il modello organizzativo, generalmente articolato in una parte generale e in parti speciali dedicate alle categorie di reati pertinenti. La parte generale descrive il sistema di governance, i principi di funzionamento del modello, il ruolo dell’Organismo di Vigilanza, i flussi informativi e il sistema disciplinare. Le parti speciali individuano le attività sensibili, i principi di comportamento e i protocolli destinati a prevenire i rischi identificati. Le modalità operative di questa fase sono esaminate nell’approfondimento dedicato a come predisporre un Modello organizzativo 231 per un’azienda.

La consulenza può comprendere anche la redazione o la revisione del codice etico, delle procedure autorizzative, dei protocolli di controllo e delle regole per la gestione delle risorse finanziarie. Questi strumenti devono essere coordinati con quelli già utilizzati dall’impresa, evitando duplicazioni documentali che renderebbero più difficile l’applicazione quotidiana del modello.

Una particolare attenzione deve essere riservata al sistema disciplinare, richiesto dalla disciplina 231 per sanzionare il mancato rispetto delle misure indicate nel modello. Le previsioni devono essere coerenti con la normativa applicabile e con la posizione dei diversi destinatari, distinguendo dipendenti, dirigenti, amministratori e altri soggetti coinvolti nei processi aziendali.

Quando l’incarico comprende il supporto all’adozione, il professionista assiste gli organi competenti nella valutazione della documentazione e nella definizione delle attività necessarie per renderla operativa. L’approvazione formale del Modello 231 non esaurisce infatti il processo di attuazione: occorre assicurare che i destinatari conoscano le procedure, che i controlli siano concretamente eseguiti e che le violazioni possano essere rilevate e gestite. Le attività necessarie per passare dalla predisposizione all’applicazione del sistema sono trattate nell’articolo Adozione del Modello 231: come funziona e quali attività sono necessarie.

Il consulente può infine collaborare alla predisposizione del piano formativo e delle modalità di diffusione del modello, individuando contenuti differenti per amministratori, dirigenti e personale operativo. L’attività formativa deve essere commisurata alle responsabilità e ai rischi delle singole funzioni, poiché la conoscenza delle regole aziendali costituisce uno degli elementi da considerare nella valutazione dell’effettiva attuazione del sistema 231.

Responsabilità aziendali, Organismo di Vigilanza e controlli: cosa deve prevedere la consulenza 231

La predisposizione del Modello 231 deve essere accompagnata da una chiara attribuzione delle responsabilità interne. Il consulente può individuare le carenze organizzative e proporre misure correttive, ma le decisioni sull’adozione del modello, sull’assegnazione delle risorse e sull’attuazione delle procedure rimangono di competenza degli organi aziendali. Affidare la consulenza a un professionista esterno non trasferisce a quest’ultimo le responsabilità che la legge attribuisce alla società e ai suoi amministratori.

Tra le attività che possono rientrare nell’incarico assume particolare rilievo il supporto all’istituzione dell’Organismo di Vigilanza (OdV), al quale il D.Lgs. 231/2001 attribuisce, secondo la disciplina applicabile, il compito di vigilare sul funzionamento e sull’osservanza del modello e di curarne l’aggiornamento, inteso come promozione e verifica delle esigenze di adeguamento. La consulenza può riguardare la definizione dei requisiti dei componenti, la predisposizione del regolamento di funzionamento, l’organizzazione dei flussi informativi e il coordinamento con le funzioni aziendali.

La scelta della composizione dell’OdV deve tenere conto delle dimensioni e della complessità dell’impresa, della natura dei rischi e della necessità di assicurare autonomia, indipendenza, professionalità e continuità d’azione. La normativa prevede anche specifiche possibilità organizzative per gli enti di piccole dimensioni, da valutare in relazione ai presupposti applicabili. Non è quindi corretto proporre indistintamente la medesima struttura a tutte le società, né presumere che la nomina di un organismo esterno sia sempre necessaria.

Il professionista incaricato della consulenza può assistere l’impresa nell’individuazione dei flussi informativi destinati all’OdV, stabilendo quali eventi, anomalie e violazioni delle procedure debbano essere comunicati, da quali funzioni e con quali modalità. Occorre evitare che l’organismo riceva soltanto informazioni generiche o relazioni periodiche prive di elementi verificabili. Un sistema di vigilanza efficace richiede informazioni pertinenti, accessibili e documentate, oltre alla possibilità di approfondire le situazioni che presentano criticità.

Un ulteriore ambito riguarda il coordinamento tra Modello 231 e whistleblowing. Il D.Lgs. 24/2023 ha modificato la disciplina delle segnalazioni e ha inciso anche sull’articolo 6 del D.Lgs. 231/2001. La consulenza deve verificare, quando applicabile, che il modello contempli gli strumenti previsti dalla normativa, il divieto di ritorsione e il sistema disciplinare, coordinandosi con le procedure aziendali di gestione delle segnalazioni. Per gli aspetti specificamente relativi all’organizzazione dei canali e alla gestione delle comunicazioni è disponibile l’approfondimento sul whistleblowing aziendale e sugli obblighi di gestione delle segnalazioni.

Il coordinamento richiede particolare attenzione quando una segnalazione riguarda comportamenti potenzialmente rilevanti ai fini del decreto 231. Devono essere definiti i rapporti tra il soggetto incaricato di gestire le segnalazioni e l’OdV, nel rispetto delle regole di riservatezza e della disciplina sulla protezione dei dati personali. La presenza dell’Organismo di Vigilanza non comporta automaticamente che quest’ultimo debba essere anche il gestore del canale whistleblowing: l’attribuzione dei compiti richiede una specifica valutazione organizzativa e giuridica.

La consulenza deve poi considerare le verifiche successive all’adozione del modello. L’ingresso in nuovi mercati, l’acquisizione di società, la modifica delle deleghe, l’introduzione di nuove attività o l’emersione di violazioni possono rendere necessario riesaminare la mappatura dei rischi e i protocolli esistenti. Un incarico di assistenza continuativa può comprendere audit periodici, verifica delle procedure, supporto nell’attuazione delle raccomandazioni dell’OdV e aggiornamento della documentazione, purché tali prestazioni siano espressamente definite.

Queste attività assumono rilievo anche quando la società deve dimostrare l’effettiva attuazione del proprio sistema organizzativo. Ai fini della disciplina 231, l’esistenza di un documento formalmente approvato non equivale alla prova che il modello sia idoneo ed efficacemente attuato. L’eventuale responsabilità dell’ente dipende dai presupposti normativi e dalle circostanze concrete, comprese le condizioni previste dagli articoli 6 e 7 del decreto. La consulenza professionale deve quindi occuparsi anche della verificabilità dei controlli e della conservazione delle evidenze relative alla loro applicazione.

Esempio pratico: consulenza 231 per una società con procedure interne non coordinate

Si consideri il caso ipotetico di una società manifatturiera che, dopo una fase di crescita e l’apertura di una seconda sede, decide di affidare a un professionista la predisposizione del Modello 231. L’impresa dispone già di procedure per la sicurezza sul lavoro, la selezione dei fornitori e l’autorizzazione delle spese, ma tali documenti sono stati elaborati in momenti diversi e non risultano coordinati con l’attuale distribuzione delle responsabilità.

La consulenza prende avvio dall’esame dell’organigramma, delle deleghe e dei processi aziendali, seguito da incontri con la direzione e i responsabili delle funzioni interessate. La mappatura dei rischi consente di individuare le attività sensibili e di verificare quali controlli siano già presenti e quali richiedano modifiche. L’aspetto più delicato riguarda la corrispondenza tra le procedure scritte e le modalità con cui vengono effettivamente autorizzate e documentate le operazioni.

Il professionista predispone quindi una proposta di Modello 231 coerente con l’organizzazione aziendale, indicando le procedure da integrare, i flussi informativi da istituire e gli interventi formativi necessari. La direzione valuta le misure proposte e assume le decisioni di propria competenza, mentre il successivo funzionamento del sistema richiede controlli e verifiche periodiche. L’esempio mostra perché la consulenza non possa esaurirsi nella consegna di un modello standardizzato, ma debba considerare l’organizzazione reale e le modalità con cui l’impresa è in grado di applicare le misure individuate.

Domande frequenti sulla consulenza per il Modello 231

La consulenza per il Modello 231 comprende automaticamente anche l’Organismo di Vigilanza?

No. La predisposizione del modello e l’assunzione dell’incarico di componente dell’Organismo di Vigilanza costituiscono attività distinte. Il consulente può assistere la società nella definizione della composizione dell’OdV, nella predisposizione del regolamento e nell’organizzazione dei flussi informativi, ma l’eventuale partecipazione all’organismo richiede uno specifico incarico e la verifica dei requisiti di autonomia, indipendenza e assenza di situazioni incompatibili con le funzioni di vigilanza.

Quali documenti deve consegnare il consulente al termine dell’incarico?

La documentazione dipende dalle prestazioni concordate. Un incarico completo di predisposizione può comprendere la mappatura delle attività sensibili, l’analisi dei rischi, la parte generale e le parti speciali del Modello 231, il codice etico, il sistema disciplinare e i protocolli di prevenzione. Possono essere previsti anche documenti relativi ai flussi informativi, alla formazione e al supporto all’adozione. È opportuno che i documenti da consegnare e le attività escluse siano individuati espressamente nell’incarico professionale.

Il consulente deve necessariamente effettuare sopralluoghi e incontri presso l’azienda?

Non esiste una regola generale che imponga lo svolgimento di ogni attività in presenza. La modalità di esecuzione dipende dalla complessità dell’organizzazione, dalla natura dei processi e dalle informazioni necessarie. L’esame documentale e alcuni incontri possono svolgersi da remoto, mentre la conoscenza diretta delle attività operative può rendere opportuni accessi presso le sedi aziendali. La modalità scelta deve comunque consentire un’analisi attendibile dei rischi e dei controlli effettivamente applicati.

È possibile affidare allo stesso professionista la predisposizione del Modello 231 e la successiva assistenza continuativa?

Sì. La società può conferire un incarico che comprenda sia la predisposizione iniziale sia l’assistenza per gli aggiornamenti normativi, le modifiche organizzative, la formazione e le verifiche periodiche. Occorre distinguere queste prestazioni dalle funzioni proprie dell’Organismo di Vigilanza, evitando sovrapposizioni che possano compromettere l’indipendenza dei controlli. La continuità dell’assistenza può essere utile quando l’impresa non dispone di una funzione compliance interna strutturata.

Come può l’azienda verificare se la consulenza ricevuta è stata adeguata?

La valutazione non dovrebbe basarsi esclusivamente sulla quantità dei documenti prodotti. È necessario verificare che l’analisi abbia considerato i processi aziendali effettivi, che i rischi siano stati individuati in relazione alle attività svolte e che le procedure siano comprensibili e concretamente applicabili. Assumono rilievo anche la corretta attribuzione delle responsabilità, la documentazione delle attività effettuate e l’individuazione delle verifiche successive. Un Modello 231 predisposto senza un’adeguata conoscenza dell’impresa può presentare carenze anche quando appare formalmente completo.

Consulenza Modello 231 per aziende: richiedere una valutazione allo Studio Legale Calvello

La scelta di un consulente per il Modello 231 richiede di valutare le caratteristiche dell’impresa, i rischi connessi alle attività svolte e l’ampiezza dell’assistenza necessaria. Predisposizione iniziale, revisione di un modello esistente, supporto all’Organismo di Vigilanza e verifiche periodiche comportano attività differenti, che devono essere definite in relazione alla situazione aziendale.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, esamina le richieste delle imprese che necessitano di assistenza giuridica in materia di D.Lgs. 231/2001, organizzazione dei controlli e compliance aziendale. La valutazione preliminare consente di individuare le problematiche da approfondire e il possibile perimetro dell’incarico professionale.

Se la vostra società deve adottare un Modello 231, verificare l’adeguatezza di quello esistente oppure definire le attività da affidare a un consulente esterno, richiedete una valutazione per il Modello 231 della vostra azienda attraverso il modulo dedicato. Lo Studio esaminerà la richiesta per valutare il successivo contatto e le esigenze di assistenza.