Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda può avere adottato un Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001 e presentare comunque carenze nei processi decisionali, nelle procedure operative o nei controlli destinati a prevenire la commissione dei reati. La gap analysis 231 serve a individuare queste criticità, confrontando l’organizzazione effettiva dell’impresa con i presidi di prevenzione necessari rispetto ai rischi concretamente presenti.

La verifica diventa particolarmente utile quando il Modello 231 non viene riesaminato da tempo, l’azienda modifica la propria struttura, emergono irregolarità interne oppure l’Organismo di Vigilanza rileva anomalie nell’applicazione delle procedure. Individuare tempestivamente le carenze permette di programmare interventi correttivi proporzionati, documentare le verifiche effettuate e valutare l’esposizione dell’ente alle responsabilità previste dal D.Lgs. 231/2001. Nei casi più complessi, l’analisi richiede il supporto di un professionista che sappia esaminare congiuntamente i profili giuridici e il funzionamento concreto dell’organizzazione aziendale.

Gap analysis 231: quali carenze organizzative deve individuare l’azienda

La gap analysis del Modello 231 consiste nell’analisi degli scostamenti tra il sistema organizzativo e di controllo esistente e quello ritenuto necessario per presidiare adeguatamente i rischi di commissione dei reati rilevanti ai sensi del D.Lgs. 231/2001. Non si tratta semplicemente di verificare se l’impresa possiede un codice etico, un documento organizzativo o determinate procedure. Occorre accertare se tali strumenti corrispondono alle attività effettivamente svolte e se vengono applicati dalle persone che operano nei processi aziendali esposti al rischio.

Una delle criticità più frequenti riguarda la distanza tra le disposizioni formalmente approvate e il funzionamento quotidiano dell’impresa. Un protocollo può prevedere che un pagamento venga autorizzato da due soggetti distinti, mentre nella pratica la stessa persona dispone la spesa, ne verifica la regolarità e autorizza il pagamento. Analogamente, una procedura può imporre controlli sui fornitori senza stabilire chi debba effettuarli, quali documenti debbano essere acquisiti e come debbano essere conservate le evidenze delle verifiche. In situazioni simili, l’esistenza formale della procedura non dimostra che il rischio sia effettivamente presidiato.

Le carenze possono interessare anche l’attribuzione delle responsabilità, la separazione delle funzioni, i poteri di firma, la gestione delle deleghe e la tracciabilità delle decisioni. Quando organigrammi, mansionari e procure non rispecchiano le attività effettivamente esercitate, può diventare difficile individuare chi sia responsabile di un controllo e chi debba intervenire in presenza di un’anomalia. La verifica deve quindi considerare sia la documentazione aziendale sia le modalità operative concretamente adottate.

Un ulteriore problema si presenta quando il Modello 231 non tiene conto di processi introdotti successivamente alla sua approvazione. L’apertura di nuove sedi, l’acquisizione di società, l’esternalizzazione di attività, la modifica della struttura commerciale o l’ingresso in nuovi mercati possono modificare l’esposizione ai rischi. In questi casi, la verifica delle carenze organizzative deve accertare se i controlli esistenti siano ancora coerenti con le attività sensibili e con i reati presupposto pertinenti.

Non tutte le anomalie hanno la stessa gravità. Un documento incompleto, una procedura non formalizzata e l’assenza di controlli su un processo particolarmente esposto al rischio richiedono valutazioni differenti. La gap analysis deve distinguere le carenze documentali dalle debolezze operative, considerando la probabilità che si verifichino condotte illecite, le possibili conseguenze per l’ente e l’effettiva capacità dei presidi esistenti di prevenirle o rilevarle.

Questa distinzione è particolarmente importante per le imprese che hanno già adottato un modello organizzativo e intendono verificarne l’adeguatezza senza procedere automaticamente alla sua completa riscrittura. Una verifica del Modello 231 già esistente può infatti far emergere criticità circoscritte, risolvibili attraverso modifiche mirate, oppure problemi più estesi che richiedono una revisione dell’assetto organizzativo e dei relativi controlli.

Come si svolge una gap analysis 231: documenti, processi e controlli da verificare

Per effettuare una gap analysis 231 aziendale attendibile occorre partire dalla conoscenza dell’impresa. Noi esaminiamo anzitutto la struttura societaria, le attività svolte, l’organizzazione delle funzioni, i rapporti tra le diverse aree operative e il sistema delle deleghe. L’obiettivo è ricostruire come vengono assunte le decisioni, chi esercita i poteri autorizzativi e quali verifiche accompagnano le operazioni maggiormente esposte al rischio.

L’analisi documentale comprende, quando disponibili e pertinenti, il Modello 231 vigente, la relativa parte speciale, il codice etico, i protocolli, le procedure operative, gli organigrammi, le procure, le deleghe, il sistema disciplinare e la documentazione relativa ai controlli già effettuati. Vengono esaminati anche i verbali e le relazioni dell’Organismo di Vigilanza, i flussi informativi e gli eventuali rilievi formulati durante precedenti attività di verifica. La presenza di questi documenti rappresenta il punto di partenza dell’esame, non una prova automatica dell’efficacia del sistema.

La fase successiva riguarda il confronto tra le regole previste e le attività effettivamente svolte. Attraverso colloqui con amministratori, dirigenti e responsabili delle funzioni interessate, è possibile ricostruire il funzionamento dei processi aziendali e verificare se le procedure siano conosciute e applicate. Quando necessario, l’analisi può comprendere l’esame di operazioni campione, delle relative autorizzazioni e delle evidenze conservate dall’impresa. Questi riscontri permettono di individuare controlli soltanto dichiarati, passaggi operativi privi di supervisione e responsabilità non chiaramente assegnate.

Particolare attenzione deve essere riservata alla coerenza tra i rischi individuati e i presidi adottati. La mappatura dei rischi 231 costituisce un riferimento per comprendere quali processi richiedano specifiche misure preventive. La gap analysis utilizza tale valutazione per accertare se i controlli siano presenti, adeguatamente progettati e concretamente applicati. Se la mappatura risulta incompleta o superata, occorre considerare anche la necessità di aggiornarla, evitando di valutare l’organizzazione sulla base di rischi non più rappresentativi dell’attività aziendale.

Il confronto può essere documentato attraverso una matrice dei rischi e dei controlli, nella quale vengono collegati i processi esaminati, i rischi rilevanti, i presidi previsti, le evidenze raccolte e le carenze riscontrate. Questo strumento consente di distinguere un controllo assente da uno formalmente previsto ma non applicato, oppure da una misura effettivamente operativa che necessita soltanto di una migliore formalizzazione. La metodologia deve essere proporzionata alle dimensioni dell’impresa e alla complessità dei suoi processi.

Un aspetto che richiede attenzione riguarda il coordinamento con l’Organismo di Vigilanza. Ai sensi dell’articolo 6 del D.Lgs. 231/2001, l’OdV è chiamato a vigilare sul funzionamento e sull’osservanza del modello e a curarne l’aggiornamento secondo le attribuzioni previste dalla normativa. Le verifiche possono quindi utilizzare, nel rispetto delle rispettive competenze, le informazioni e le criticità già emerse nell’attività dell’organismo. L’eventuale supporto di un consulente esterno non sostituisce le funzioni dell’OdV né trasferisce automaticamente a quest’ultimo le responsabilità decisionali degli organi societari.

La gap analysis può considerare anche le anomalie emerse dalle segnalazioni interne, comprese quelle gestite attraverso il sistema whistleblowing, quando pertinenti alla verifica del Modello 231. In tale contesto devono essere rispettate le regole sulla riservatezza e sulla protezione dei dati personali, evitando che l’attività di controllo comporti accessi indiscriminati alle informazioni relative ai segnalanti o alle persone coinvolte.

Al termine delle verifiche, le carenze individuate devono essere descritte in modo sufficientemente preciso da consentire all’azienda di comprenderne l’origine e le possibili conseguenze. Un report di gap analysis 231 dovrebbe indicare i processi esaminati, i controlli risultati insufficienti, le evidenze disponibili e gli interventi proposti, distinguendo le criticità che richiedono una risposta immediata da quelle affrontabili attraverso un programma di adeguamento. La corretta individuazione degli scostamenti costituisce così la base per definire le responsabilità operative, le priorità e le modalità di attuazione delle misure correttive.

Come correggere le carenze organizzative e verificare l’efficacia degli interventi

Una volta individuate le criticità, l’azienda deve stabilire quali interventi siano necessari per riportare il sistema organizzativo a un livello di adeguatezza coerente con i rischi rilevati. Il risultato della gap analysis 231 deve tradursi in un programma di adeguamento concreto, con responsabilità definite, scadenze ragionevoli e modalità di verifica dell’effettiva attuazione delle misure previste.

La priorità degli interventi dipende dalla natura della carenza, dal processo coinvolto e dalla capacità del controllo mancante o inefficace di esporre l’ente a rischi rilevanti. Se, per esempio, emerge l’assenza di verifiche sulle operazioni con la pubblica amministrazione, può essere necessario intervenire sui poteri autorizzativi, sulle regole di gestione dei rapporti istituzionali e sulla documentazione delle attività svolte. Se il problema riguarda invece la selezione dei fornitori, l’adeguamento può richiedere criteri di qualifica, controlli preventivi, verifiche sulle prestazioni e una maggiore tracciabilità delle decisioni di acquisto.

Non sempre è necessario riscrivere integralmente il Modello 231. Alcune criticità possono essere affrontate aggiornando singoli protocolli, chiarendo le responsabilità operative o introducendo controlli mancanti. Quando le carenze derivano da una mappatura dei rischi incompleta, da cambiamenti sostanziali nell’attività aziendale o da una struttura organizzativa profondamente modificata, può invece essere necessaria una revisione più ampia del modello, accompagnata dall’aggiornamento della documentazione collegata.

Il programma correttivo dovrebbe indicare per ogni rilievo la misura da adottare, la funzione aziendale incaricata, il termine previsto e le evidenze necessarie per dimostrare l’avvenuta esecuzione. La semplice approvazione di una nuova procedura non è sufficiente se il personale non riceve istruzioni adeguate o se mancano controlli sulla sua applicazione. Per questo motivo, gli interventi possono richiedere attività formative, aggiornamenti dei flussi informativi, modifiche ai sistemi autorizzativi e verifiche successive sul funzionamento delle misure introdotte.

Un ruolo specifico spetta agli organi societari e all’Organismo di Vigilanza, ciascuno nell’ambito delle proprie attribuzioni. Gli organi competenti devono valutare e approvare gli interventi organizzativi che rientrano nelle loro responsabilità, mentre l’OdV svolge le attività di vigilanza previste dalla legge e dal modello adottato. È opportuno che i rilievi rilevanti, le decisioni assunte e lo stato di avanzamento delle azioni correttive siano documentati, così da consentire verifiche successive e rendere ricostruibile il percorso seguito dall’impresa.

La fase conclusiva non consiste nella sola chiusura formale dei rilievi. Occorre verificare se le misure adottate abbiano effettivamente risolto le criticità rilevate. Un controllo successivo può dimostrare, per esempio, che le nuove autorizzazioni vengono rispettate, che le verifiche sui fornitori sono documentate o che i flussi informativi verso l’OdV vengono trasmessi secondo le modalità previste. Se il problema persiste, l’azienda deve valutare ulteriori interventi.

Questa attività permette di collegare la gap analysis 231 all’effettiva attuazione del Modello organizzativo. La distinzione è rilevante anche ai fini della responsabilità dell’ente: ai sensi del D.Lgs. 231/2001, l’idoneità del modello e la sua concreta attuazione devono essere valutate in relazione ai presupposti normativi applicabili e alle circostanze del caso. Un audit favorevole non costituisce una garanzia assoluta contro future contestazioni, così come una carenza individuata non determina automaticamente la responsabilità della società. La qualità della verifica dipende anche dalla capacità di tradurre i rilievi in misure proporzionate, documentate e realmente operative.

Esempio pratico: quando la verifica del Modello 231 rivela controlli aziendali insufficienti

Si consideri una società manifatturiera che abbia adottato un Modello 231 alcuni anni prima e che, nel frattempo, abbia ampliato la propria rete di fornitori e modificato l’organizzazione dell’ufficio acquisti. Durante una verifica emergono procedure formalmente corrette, ma non aggiornate rispetto alle nuove responsabilità: alcuni fornitori vengono selezionati senza una documentazione uniforme e determinate autorizzazioni sono concentrate nella stessa funzione.

L’analisi richiede di confrontare il modello vigente con i processi effettivi, esaminare un campione di operazioni e chiarire le responsabilità delle persone coinvolte. Le criticità vengono documentate e valutate in rapporto ai rischi pertinenti, senza presumere che ogni irregolarità costituisca un reato o determini automaticamente la responsabilità dell’ente.

Sulla base dei risultati, la società può programmare l’aggiornamento delle procedure di acquisto, definire controlli più chiari sulle autorizzazioni e stabilire quali evidenze conservare. Le verifiche successive servono ad accertare se le nuove misure siano state applicate. La portata dell’intervento dipende dalle carenze effettivamente riscontrate e dalla loro rilevanza per il sistema di prevenzione aziendale.

FAQ sulla gap analysis 231 e sulle carenze organizzative aziendali

La gap analysis 231 è obbligatoria per tutte le aziende?

No. Il D.Lgs. 231/2001 non impone indistintamente a tutte le imprese di svolgere una specifica gap analysis. La verifica può essere utile per valutare l’adeguatezza del sistema di prevenzione, soprattutto quando l’azienda ha già adottato un modello organizzativo o deve riesaminarlo in seguito a cambiamenti, anomalie o rilievi dell’OdV. Possono rilevare anche requisiti specifici previsti da rapporti contrattuali, gare o discipline settoriali.

Qual è la differenza tra gap analysis 231 e audit del Modello 231?

La gap analysis individua e valuta gli scostamenti tra l’organizzazione esistente e i presidi ritenuti necessari. L’audit può avere un ambito più ampio e comprendere verifiche sistematiche sull’applicazione delle procedure e sull’efficacia dei controlli. Le due attività possono essere integrate nello stesso incarico, in funzione degli obiettivi e della situazione aziendale.

Chi può effettuare una gap analysis del Modello 231?

L’attività può essere svolta da professionisti con competenze giuridiche e organizzative adeguate, anche con il coinvolgimento delle funzioni aziendali interessate. È necessario definire con chiarezza il perimetro dell’incarico, le responsabilità e i rapporti con l’Organismo di Vigilanza, preservandone l’autonomia nello svolgimento delle funzioni previste dalla legge e dal modello.

Che cosa succede se vengono individuate carenze gravi?

L’azienda deve valutarne la natura e la rilevanza, stabilire le misure correttive necessarie e definire le priorità di intervento. Se la criticità riguarda un processo esposto a un rischio concreto, può essere opportuno intervenire tempestivamente sui controlli interessati e valutare se siano necessarie ulteriori verifiche. Le conseguenze giuridiche dipendono dai fatti accertati e dai presupposti previsti dalla normativa applicabile.

Quanto costa una gap analysis 231?

Il costo dipende dalle dimensioni dell’impresa, dal numero e dalla complessità dei processi esaminati, dalla qualità della documentazione disponibile e dall’estensione delle verifiche richieste. Un’analisi preliminare circoscritta può richiedere un impegno diverso rispetto a una verifica estesa che comprenda interviste, test sui controlli, esame delle evidenze e predisposizione di un piano di adeguamento. Per formulare un preventivo attendibile occorre definire prima il perimetro dell’attività.

Richiedi una valutazione delle carenze organizzative del Modello 231 della tua azienda

Se la tua azienda ha già adottato un Modello 231, ma non hai la certezza che le procedure siano aggiornate e i controlli vengano applicati correttamente, una verifica mirata può aiutare a individuare gli scostamenti e stabilire quali interventi siano opportuni. Noi dello Studio Legale Calvello valutiamo la situazione organizzativa dell’impresa, la documentazione disponibile e i rischi pertinenti per individuare le esigenze di verifica e adeguamento.

La portata dell’analisi deve essere definita sulla base delle caratteristiche dell’azienda, delle attività svolte e delle criticità emerse. Per richiedere una valutazione della tua situazione, invia una richiesta attraverso la pagina dedicata alla consulenza sul Modello 231 per aziende.