Articolo a cura di: Redazione - Studio Legale Calvello

La mappatura dei rischi 231 permette di individuare le attività aziendali nelle quali potrebbero essere commessi reati rilevanti ai sensi del D.Lgs. 231/2001 e di verificare se i controlli esistenti siano adeguati a prevenirli. È una delle attività su cui si fonda la costruzione del Modello di organizzazione, gestione e controllo, ma richiede attenzione anche nelle imprese che hanno già adottato il Modello da diversi anni. Una riorganizzazione interna, l’ingresso in nuovi mercati, l’introduzione di nuovi reati presupposto o l’emersione di irregolarità possono rendere necessario un nuovo esame dei processi aziendali. Per gli amministratori il problema è capire quando la valutazione dei rischi non rappresenta più l’organizzazione effettiva dell’impresa e quali interventi siano necessari per mantenere il sistema di prevenzione concretamente funzionante.

Perché una mappatura dei rischi 231 incompleta o non aggiornata può compromettere il Modello organizzativo

Il D.Lgs. 231/2001 disciplina la responsabilità amministrativa degli enti per determinati reati commessi, nell’interesse o a vantaggio dell’ente, da soggetti che rivestono funzioni di rappresentanza, amministrazione o direzione oppure da persone sottoposte alla loro direzione o vigilanza. La responsabilità della società non deriva automaticamente dalla commissione di un reato da parte di un amministratore o di un dipendente: occorre verificare i presupposti previsti dalla normativa. Tra gli elementi che assumono rilievo nella valutazione della posizione dell’ente vi sono l’organizzazione aziendale, i presidi preventivi e, quando adottato, l’effettiva attuazione del Modello 231.

L’articolo 6, comma 2, del decreto richiede che il Modello individui le attività nel cui ambito possono essere commessi i reati. La mappatura delle attività a rischio reato costituisce quindi il punto di partenza per definire protocolli, procedure e controlli coerenti con l’esposizione effettiva dell’impresa. Non basta predisporre un documento contenente l’elenco dei reati presupposto: occorre collegare le fattispecie astrattamente rilevanti alle operazioni concretamente svolte, alle responsabilità attribuite e alle modalità attraverso le quali vengono assunte ed eseguite le decisioni.

Consideriamo una società che gestisce acquisti, contratti con fornitori, rapporti con enti pubblici e movimentazioni finanziarie. Una valutazione che si limiti a classificare genericamente il rischio di corruzione, senza esaminare chi seleziona i fornitori, chi autorizza i pagamenti e quali verifiche precedono la stipulazione dei contratti, difficilmente permette di individuare le vulnerabilità organizzative. La stessa criticità può verificarsi quando l’impresa utilizza una matrice dei rischi predisposta per un’altra società, senza adattarla alle proprie dimensioni, ai processi decisionali e alle attività effettivamente esercitate.

Un ulteriore problema riguarda i Modelli 231 rimasti invariati nonostante l’evoluzione dell’azienda. L’apertura di uno stabilimento, l’esternalizzazione di lavorazioni, l’acquisizione di una società o la modifica delle deleghe possono introdurre attività sensibili che non erano presenti nella precedente analisi. Anche il sistema dei controlli può perdere efficacia: una procedura formalmente esistente potrebbe non essere più applicata, oppure non prevedere verifiche adeguate rispetto alle nuove modalità operative.

La mancata revisione della mappatura non determina, di per sé, una sanzione autonoma prevista dal D.Lgs. 231/2001. Può però assumere rilievo nella valutazione dell’idoneità e dell’efficace attuazione del Modello, qualora venga contestato all’ente uno dei reati presupposto. Gli articoli 6 e 7 del decreto attribuiscono importanza ai presidi organizzativi e al loro funzionamento concreto, secondo condizioni differenti in relazione alla posizione del soggetto autore del reato. Per questa ragione, quando esaminiamo un Modello 231 già esistente, verifichiamo anzitutto se la valutazione dei rischi corrisponda alle attività attuali e se i controlli descritti trovino effettiva applicazione.

Come si costruisce il risk assessment 231: processi aziendali, reati presupposto e controlli preventivi

La costruzione di un risk assessment 231 richiede un’analisi dell’organizzazione aziendale che precede la redazione della matrice dei rischi. Il primo passaggio consiste nel comprendere come l’impresa opera realmente: quali attività svolge, quali soggetti assumono le decisioni, come vengono autorizzate le operazioni e quali controlli intervengono nelle diverse fasi dei processi. Organigrammi, deleghe, procure, procedure interne, contratti e documentazione relativa ai sistemi di gestione costituiscono una base utile, ma devono essere confrontati con le informazioni raccolte presso i responsabili delle funzioni aziendali.

Le interviste con amministrazione, acquisti, risorse umane, produzione, area commerciale e altre funzioni interessate permettono di individuare eventuali differenze tra le procedure formalizzate e le prassi operative. Una procedura può prevedere una doppia autorizzazione per determinati pagamenti, mentre nella pratica la verifica viene effettuata da un solo soggetto. Oppure un responsabile può esercitare poteri decisionali non adeguatamente rappresentati nelle deleghe. Queste circostanze devono essere considerate perché il rischio organizzativo dipende anche da come vengono concretamente gestite le operazioni, non soltanto dalle regole riportate nei documenti.

Una volta ricostruiti i processi, occorre individuare le attività sensibili e collegarle ai reati presupposto pertinenti. L’analisi può riguardare, secondo le caratteristiche dell’impresa, i rapporti con la Pubblica Amministrazione, i reati societari e tributari, la salute e sicurezza sul lavoro, la gestione ambientale, i flussi finanziari e i sistemi informatici. Non tutte le fattispecie previste dal decreto presentano la medesima esposizione per ogni organizzazione. È necessario valutare gli scenari concretamente ipotizzabili, tenendo conto anche delle modalità attraverso le quali un reato potrebbe essere commesso nell’interesse o a vantaggio della società.

Per ciascuna attività sensibile si procede quindi alla valutazione del rischio inerente e del rischio residuo. Il primo rappresenta l’esposizione considerata prima di attribuire efficacia ai presidi specifici esistenti; il secondo tiene conto dei controlli effettivamente presenti e della loro capacità di prevenire o intercettare condotte illecite. La metodologia può utilizzare scale qualitative o criteri di valutazione più articolati, purché siano coerenti, documentati e applicati in modo uniforme. Non esiste una formula numerica universalmente imposta dal D.Lgs. 231/2001 per calcolare il rischio: il metodo deve essere adeguato alla complessità aziendale e consentire di motivare le valutazioni effettuate.

La matrice dei rischi 231 deve rendere riconoscibile il collegamento tra processo, attività sensibile, scenario di reato, funzioni coinvolte e presidi di controllo. È opportuno documentare le eventuali carenze e le azioni correttive necessarie, individuando responsabilità e priorità di intervento. Una valutazione che attribuisce un rischio basso a un’attività senza verificare l’effettivo funzionamento delle procedure può produrre una rappresentazione poco attendibile dell’esposizione aziendale.

Il risultato dell’analisi deve tradursi in indicazioni operative per il Modello 231. Quando emergono controlli insufficienti, può essere necessario modificare i livelli autorizzativi, introdurre verifiche indipendenti, rafforzare la tracciabilità delle operazioni oppure aggiornare i protocolli di prevenzione. La mappatura delle attività sensibili nel Modello 231 e la gap analysis 231 costituiscono attività collegate, ma con funzioni differenti: la prima identifica dove possono manifestarsi i rischi di reato, mentre la seconda permette di esaminare le carenze rispetto ai presidi organizzativi necessari.

La valutazione deve infine essere documentata in modo da consentire successive verifiche e aggiornamenti. Occorre poter ricostruire quali processi siano stati esaminati, quali informazioni siano state utilizzate, quali rischi siano stati individuati e quali misure siano state proposte. Questa tracciabilità permette agli organi aziendali e all’Organismo di Vigilanza di comprendere le valutazioni svolte e di verificare, nel tempo, se le condizioni sulle quali si fondavano siano rimaste immutate.

Quando aggiornare la mappatura dei rischi 231 e quali cambiamenti richiedono una nuova valutazione

La mappatura dei rischi 231 non dovrebbe essere considerata un documento definitivo, valido indipendentemente dall’evoluzione dell’impresa. Il D.Lgs. 231/2001 non stabilisce una scadenza periodica unica entro la quale tutte le aziende debbano ripetere integralmente il risk assessment. L’esigenza di aggiornamento dipende dalle caratteristiche dell’organizzazione, dai cambiamenti normativi e operativi e dalle informazioni che emergono durante l’attività di controllo. L’impresa deve quindi disporre di un sistema che consenta di riconoscere quando le valutazioni precedenti non descrivono più adeguatamente i rischi effettivi.

Un primo motivo di revisione riguarda le modifiche normative che introducono nuovi reati presupposto o modificano quelli già contemplati. Quando cambia il perimetro della responsabilità dell’ente, occorre verificare se le nuove fattispecie siano pertinenti alle attività svolte e se i protocolli esistenti siano sufficienti a gestire i rischi individuati. Non è necessario attribuire automaticamente un livello di rischio elevato a ogni nuova fattispecie: l’analisi deve considerare il settore, i processi e le modalità operative dell’impresa.

Un secondo fattore è rappresentato dai cambiamenti organizzativi. Fusioni, acquisizioni, apertura di nuove sedi, ingresso in mercati esteri, introduzione di nuove linee produttive e affidamento di attività a fornitori esterni possono modificare le modalità con cui vengono assunte le decisioni e svolte le operazioni. Anche la sostituzione di figure apicali, la revisione delle deleghe e delle procure o la concentrazione di più funzioni in un unico soggetto possono rendere necessario riesaminare la separazione dei compiti e i controlli sulle attività sensibili.

L’aggiornamento può rendersi opportuno anche quando emergono fatti che fanno dubitare dell’efficacia dei presidi esistenti. Un’anomalia contabile, una violazione delle procedure, un incidente rilevante, una segnalazione whistleblowing o un rilievo formulato dall’Organismo di Vigilanza possono rivelare che un rischio non era stato individuato correttamente oppure che un controllo non viene applicato come previsto. In queste situazioni, limitarsi a gestire l’episodio specifico senza verificare le possibili carenze organizzative può lasciare irrisolto il problema che lo ha reso possibile.

La revisione deve essere proporzionata alla portata del cambiamento. Se una modifica riguarda un singolo processo, può essere sufficiente riesaminare l’attività sensibile interessata, i relativi scenari di reato e i controlli collegati, verificando anche se siano coinvolte altre funzioni. Quando, invece, cambia in misura rilevante l’assetto organizzativo o il modello di business, può essere necessario ripercorrere l’intera analisi dei rischi. Non ogni aggiornamento richiede di rifare da zero il Modello 231, ma ogni modifica deve essere valutata per stabilire se incida anche su protocolli, procedure, codice etico, sistema disciplinare o flussi informativi.

Per organizzare questa attività, l’impresa può prevedere verifiche periodiche e criteri interni che impongano una valutazione in presenza di determinati eventi. La periodicità scelta deve essere coerente con l’esposizione al rischio e con la complessità dei processi. È utile documentare la data dell’ultima analisi, le modifiche intervenute, le decisioni assunte e le ragioni per cui si è ritenuto necessario aggiornare, oppure mantenere invariata, una determinata valutazione. Questa documentazione consente di ricostruire il percorso seguito e di individuare le questioni che richiedono ulteriori interventi.

Quali responsabilità hanno amministratori e Organismo di Vigilanza nella revisione dei rischi aziendali

La responsabilità di mantenere un sistema organizzativo adeguato non può essere affrontata come un semplice adempimento documentale affidato a un consulente. Gli organi aziendali devono valutare l’assetto dell’impresa e assumere le decisioni di propria competenza in relazione ai rischi individuati. Nel sistema delineato dal D.Lgs. 231/2001, l’adozione e l’efficace attuazione del Modello assumono rilievo secondo i presupposti stabiliti dalla legge. La predisposizione della mappatura da parte di un professionista esterno può supportare l’attività aziendale, ma non sostituisce le decisioni organizzative che spettano agli organi competenti.

L’Organismo di Vigilanza (OdV) svolge un ruolo distinto. È chiamato a vigilare sul funzionamento e sull’osservanza del Modello e a curarne l’aggiornamento secondo quanto previsto dal decreto e dall’assetto organizzativo adottato. Nell’esercizio delle proprie funzioni può rilevare cambiamenti nei processi, carenze nei controlli o informazioni che rendono opportuno un riesame della mappatura. Può quindi richiedere chiarimenti, formulare osservazioni e segnalare agli organi competenti la necessità di interventi. L’OdV, però, non deve essere confuso con la funzione aziendale che gestisce ordinariamente i processi né con l’organo cui spettano le decisioni di adozione e modifica del Modello.

Per consentire una vigilanza effettiva, la mappatura deve essere accessibile e sufficientemente dettagliata da permettere all’OdV di programmare controlli coerenti con i rischi individuati. Se un processo viene modificato, il responsabile aziendale competente dovrebbe rendere disponibili le informazioni necessarie affinché sia possibile valutarne le implicazioni. È quindi utile disciplinare i flussi informativi verso l’OdV, indicando quali eventi devono essere comunicati, da chi e con quali modalità. L’assenza di informazioni tempestive può impedire all’Organismo di cogliere cambiamenti che incidono sull’efficacia del sistema di prevenzione.

Un’attenzione specifica va riservata alle segnalazioni whistleblowing. Quando una segnalazione riguarda possibili illeciti, violazioni di procedure o anomalie nei processi aziendali, le informazioni disponibili possono richiedere una verifica del rischio sottostante. Il coordinamento tra il gestore della segnalazione e l’OdV deve rispettare i ruoli assegnati, la riservatezza del segnalante e le regole applicabili alla gestione delle informazioni. Non ogni segnalazione comporta automaticamente una revisione del Modello, ma i fatti emersi devono essere valutati per stabilire se rivelino una carenza dei controlli o un’attività sensibile non adeguatamente considerata.

La stessa logica vale per le verifiche interne e gli audit. Se i controlli mostrano che una procedura viene sistematicamente aggirata, la risposta non dovrebbe limitarsi a richiamare il personale al rispetto delle regole. Occorre capire se la procedura sia applicabile, se le responsabilità siano definite correttamente e se esistano controlli capaci di rilevare tempestivamente le violazioni. In funzione delle risultanze, possono essere necessari interventi organizzativi, formazione mirata o modifiche ai protocolli. Le decisioni e le verifiche successive dovrebbero essere documentate, in modo da poter valutare se le misure adottate abbiano affrontato le criticità riscontrate.

Per le imprese che non dispongono di una funzione interna di compliance, un supporto legale specializzato può aiutare a esaminare la mappatura, individuare le carenze e pianificare gli aggiornamenti necessari. L’attività può essere collegata a un audit del Modello 231 oppure a una verifica più mirata del risk assessment esistente. La scelta dipende dalla situazione aziendale: quando il problema riguarda una singola area, un esame circoscritto può essere sufficiente; se emergono criticità diffuse, è opportuno valutare l’adeguatezza complessiva del sistema organizzativo.

Esempio pratico: aggiornare la mappatura dei rischi 231 dopo una riorganizzazione aziendale

Una società manifatturiera aveva adottato un Modello 231 alcuni anni prima, predisponendo una mappatura dei rischi basata sui processi allora esistenti. Successivamente, l’impresa aveva ampliato la rete dei fornitori, modificato le responsabilità dell’ufficio acquisti e introdotto nuove modalità di autorizzazione dei pagamenti. Durante una verifica interna erano emerse alcune incongruenze tra le procedure formalizzate e le prassi effettivamente seguite dal personale.

In una situazione di questo tipo, la revisione non può limitarsi a modificare l’organigramma o ad aggiornare le date dei documenti. Occorre ricostruire il processo di acquisto, verificare le modalità di selezione dei fornitori, esaminare le autorizzazioni e controllare la tracciabilità delle operazioni. L’analisi deve poi stabilire se i rischi individuati nella precedente mappatura siano ancora attuali, se siano emersi nuovi scenari di reato e se i presidi esistenti siano applicati in modo coerente.

Un professionista incaricato della revisione può supportare l’impresa nell’esame della documentazione, nelle interviste con i responsabili delle funzioni coinvolte e nella valutazione delle carenze riscontrate. Sulla base delle risultanze, vengono individuati gli interventi da sottoporre agli organi competenti, che possono riguardare la matrice dei rischi, i protocolli sugli acquisti, i livelli autorizzativi e i flussi informativi verso l’Organismo di Vigilanza. L’eventuale aggiornamento del Modello deve riflettere le modifiche effettivamente necessarie e accompagnarsi alla verifica della loro applicazione.

Il caso mostra perché una mappatura dei rischi 231 deve seguire l’evoluzione reale dell’impresa. La portata dell’intervento dipende dalle criticità individuate: non sempre è necessario riscrivere l’intero Modello, ma non è sufficiente neppure correggere formalmente i documenti quando i problemi riguardano i controlli e le responsabilità operative.

FAQ sulla mappatura dei rischi 231 e sul suo aggiornamento

La mappatura dei rischi 231 deve essere aggiornata ogni anno?

Il D.Lgs. 231/2001 non prevede una scadenza annuale generalizzata per ripetere integralmente il risk assessment. L’impresa dovrebbe organizzare verifiche periodiche coerenti con la propria esposizione al rischio e riesaminare la mappatura quando cambiamenti normativi, organizzativi o operativi possono incidere sulle valutazioni precedenti.

Chi può effettuare la mappatura dei rischi 231?

L’attività può essere svolta con risorse interne dotate delle competenze necessarie oppure con il supporto di professionisti esterni. La scelta dipende dalla complessità dell’impresa, dalle competenze disponibili e dall’esigenza di un esame specialistico. In ogni caso, le valutazioni devono basarsi sui processi effettivi e le decisioni organizzative devono essere assunte dai soggetti competenti.

È necessario rifare il Modello 231 quando cambia la normativa?

Non necessariamente. Occorre verificare quali nuove fattispecie o modifiche normative siano pertinenti all’impresa e se incidano sulla mappatura, sui protocolli o sugli altri elementi del Modello. L’ampiezza della revisione dipende dalle conseguenze concrete del cambiamento.

Che cosa rischia l’azienda se la mappatura non è aggiornata?

Una mappatura obsoleta può non rappresentare adeguatamente i rischi di reato e i controlli necessari. Se viene contestato un reato presupposto, le carenze del sistema organizzativo possono assumere rilievo nella valutazione della responsabilità dell’ente e dell’idoneità del Modello. Le conseguenze dipendono dai fatti e dai presupposti previsti dal D.Lgs. 231/2001.

L’Organismo di Vigilanza può chiedere l’aggiornamento della mappatura?

Sì. Nell’ambito delle proprie funzioni, l’OdV può rilevare criticità, richiedere informazioni e segnalare agli organi competenti la necessità di riesaminare i rischi e i presidi. Le decisioni sull’adozione e sulla modifica del Modello spettano ai soggetti competenti secondo la legge e l’assetto societario.

Richiedi una valutazione della mappatura dei rischi 231 della tua azienda

Se il Modello 231 della tua impresa è stato predisposto da tempo, se l’organizzazione è cambiata o se sono emerse anomalie nei controlli interni, può essere opportuno verificare che la mappatura dei rischi sia ancora adeguata. Un esame mirato consente di individuare le aree che richiedono approfondimenti e di valutare se aggiornare il risk assessment, i protocolli o altre componenti del sistema organizzativo.

Lo Studio Legale Calvello assiste le imprese nelle attività di valutazione, revisione e aggiornamento del Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001. L’intervento viene definito in funzione delle caratteristiche dell’azienda, dei processi interessati e delle criticità da esaminare.

Richiedi una valutazione per il Modello 231 della tua azienda attraverso il modulo dedicato. Esamineremo la richiesta per individuare il tipo di supporto professionale più adatto alla situazione descritta.