Articolo a cura di: Redazione - Studio Legale Calvello

I protocolli 231 sono le regole organizzative e operative attraverso le quali un’impresa disciplina le attività esposte al rischio di commissione dei reati rilevanti ai sensi del D.Lgs. 231/2001. Devono stabilire chi può assumere determinate decisioni, quali autorizzazioni sono necessarie, come vengono effettuati i controlli e quali documenti consentono di verificarne l’applicazione. Un protocollo generico, non coerente con l’organizzazione aziendale o sistematicamente disatteso può compromettere l’efficacia preventiva del Modello 231.

Per le aziende che stanno predisponendo un modello organizzativo, oppure devono verificare procedure già adottate, il problema consiste nel tradurre i rischi di reato in controlli concretamente applicabili. Occorre distinguere gli obblighi previsti dalla normativa dalle scelte organizzative che dipendono dalle dimensioni dell’impresa, dalle attività svolte e dai rischi individuati. Una valutazione professionale può essere necessaria quando le responsabilità non sono chiaramente attribuite, i controlli non risultano documentati oppure emergono violazioni che mettono in discussione l’adeguatezza del sistema.

Che cosa sono i protocolli 231 e perché devono essere costruiti sulle attività aziendali

L’articolo 6, comma 2, lettera b), del D.Lgs. 231/2001 prevede che il modello organizzativo individui specifici protocolli diretti a programmare la formazione e l’attuazione delle decisioni dell’ente in relazione ai reati da prevenire. La disposizione richiede quindi di disciplinare concretamente i processi decisionali nei quali possono manifestarsi i rischi rilevanti per la responsabilità amministrativa dell’ente.

Un protocollo del Modello 231 non coincide necessariamente con una procedura amministrativa già utilizzata dall’azienda. Una procedura può descrivere come effettuare un acquisto, selezionare un fornitore o autorizzare un pagamento. Il protocollo 231 deve verificare se, nell’ambito di quelle operazioni, esistano rischi di commissione di reati presupposto e individuare i presidi organizzativi necessari per prevenirli. Può quindi richiamare procedure esistenti, integrarle oppure introdurre controlli ulteriori, senza obbligare l’impresa a duplicare inutilmente la documentazione.

Consideriamo una società che intrattiene rapporti commerciali con enti pubblici. Il protocollo relativo a tali rapporti può disciplinare i soggetti autorizzati a rappresentare l’impresa, le modalità di partecipazione alle trattative, le verifiche sulle dichiarazioni presentate e la documentazione da conservare. Se la società opera prevalentemente attraverso fornitori e subappaltatori, sarà invece necessario valutare controlli coerenti con i rischi effettivamente presenti nella selezione delle controparti, nell’affidamento degli incarichi e nell’esecuzione dei contratti.

La costruzione dei protocolli presuppone quindi un’analisi delle attività aziendali. Il collegamento deve essere verificabile: per ogni attività sensibile occorre individuare i rischi pertinenti e i controlli destinati a prevenirli. Questo lavoro si basa sulle risultanze del risk assessment 231 e della mappatura delle attività sensibili, che costituiscono il riferimento per definire protocolli proporzionati alla struttura e all’esposizione dell’impresa.

La distinzione assume rilievo anche quando l’azienda possiede certificazioni o sistemi di gestione strutturati. Le procedure ISO, i regolamenti interni e i controlli amministrativi possono costituire una base utilizzabile, ma la loro esistenza non dimostra automaticamente che siano stati considerati tutti i rischi rilevanti ai sensi del decreto 231. È necessario verificare se i controlli esistenti rispondano alle specifiche esigenze preventive del modello e se siano effettivamente applicati.

Come costruire i protocolli 231: responsabilità, autorizzazioni, controlli e tracciabilità

La redazione dei protocolli deve partire dal funzionamento reale dell’impresa. Dopo aver individuato le attività sensibili, occorre esaminare come vengono assunte le decisioni, quali soggetti intervengono, quali strumenti vengono utilizzati e dove possono verificarsi anomalie o comportamenti illeciti. In questa fase, l’analisi delle procedure scritte deve essere confrontata con le modalità operative effettivamente seguite dai responsabili aziendali.

Il primo elemento riguarda la chiara attribuzione delle responsabilità. Ogni protocollo deve consentire di identificare chi avvia un’operazione, chi ne verifica i presupposti, chi la autorizza e chi controlla la corretta esecuzione. Quando il rischio lo richiede, devono essere previste forme di separazione tra funzioni operative e funzioni di controllo, evitando che una sola persona possa gestire un’intera operazione senza verifiche indipendenti.

La segregazione delle funzioni non richiede necessariamente una struttura complessa. Nelle imprese di dimensioni ridotte, dove più incarichi possono essere concentrati nelle stesse persone, occorre valutare controlli compensativi concretamente praticabili, come autorizzazioni ulteriori, verifiche periodiche della direzione o controlli documentati da parte di soggetti diversi da chi ha eseguito l’operazione. La soluzione deve essere proporzionata al rischio, senza introdurre adempimenti meramente formali.

Un secondo elemento è il sistema delle autorizzazioni e dei poteri decisionali. Le regole previste dai protocolli devono essere coerenti con deleghe, procure, organigramma e poteri di firma. Se una procedura richiede l’approvazione di un dirigente che, nella pratica, non dispone delle informazioni o dei poteri necessari, il controllo rischia di diventare inefficace. Lo stesso problema si presenta quando i limiti di spesa o le competenze autorizzative sono stabiliti informalmente e non risultano verificabili.

La tracciabilità costituisce un ulteriore requisito operativo. Il protocollo deve individuare quali evidenze conservare per ricostruire le decisioni e dimostrare l’esecuzione dei controlli previsti. Possono assumere rilievo richieste di acquisto, autorizzazioni, verbali, registrazioni informatiche, documentazione contrattuale e report di verifica. Non è necessario produrre documenti aggiuntivi per ogni attività, ma occorre evitare che controlli dichiarati come obbligatori restino privi di qualsiasi riscontro.

Particolare attenzione richiedono le modalità di gestione delle risorse finanziarie, considerate espressamente dall’articolo 6, comma 2, lettera c), del D.Lgs. 231/2001. Nei processi interessati, i protocolli devono coordinarsi con le regole sui pagamenti, sulle autorizzazioni di spesa e sulle verifiche contabili, così da ridurre le possibilità di utilizzo improprio delle risorse aziendali per finalità illecite.

Devono essere disciplinate anche le situazioni nelle quali una procedura non può essere seguita secondo le modalità ordinarie. Una deroga motivata, preventivamente autorizzata quando possibile e adeguatamente documentata, è diversa dall’aggiramento sistematico dei controlli. Per questo è opportuno stabilire chi possa autorizzare le eccezioni, come debbano essere registrate e quando sia necessario informare le funzioni di controllo.

La costruzione dei protocolli richiede infine di definire le modalità di diffusione e applicazione delle regole. Un controllo può essere correttamente progettato ma risultare inefficace se i dipendenti non conoscono le proprie responsabilità o se le istruzioni non corrispondono agli strumenti disponibili. La formazione deve quindi essere commisurata ai compiti effettivamente svolti e ai rischi delle singole funzioni, mentre la documentazione deve consentire di verificare nel tempo se le prescrizioni siano rispettate.

Quali rischi comportano protocolli 231 inadeguati e come verificarne l’efficacia

Un protocollo 231 deve essere valutato considerando sia la sua struttura sia il modo in cui viene applicato. Una procedura formalmente corretta può risultare inadeguata se non affronta un rischio presente nell’attività aziendale, se attribuisce responsabilità non coerenti con l’organizzazione oppure se i controlli previsti vengono sistematicamente ignorati. Il problema può emergere durante un audit interno, a seguito di una segnalazione, in occasione di una riorganizzazione aziendale o quando un procedimento penale coinvolge la società per un reato presupposto.

Il D.Lgs. 231/2001 non stabilisce che ogni irregolarità procedurale determini automaticamente la responsabilità dell’ente. Occorre verificare i presupposti previsti dalla disciplina, compresa la commissione di un reato presupposto nell’interesse o a vantaggio dell’ente, secondo le condizioni applicabili al caso concreto. L’adeguatezza del modello e la sua effettiva attuazione possono assumere rilievo nella valutazione della responsabilità, ma non è sufficiente dimostrare che l’azienda abbia approvato un documento denominato Modello 231.

Una criticità ricorrente riguarda i protocolli copiati da modelli predisposti per altre imprese. Anche quando il testo è formalmente articolato, può descrivere attività che l’azienda non svolge, trascurare processi realmente esposti al rischio oppure attribuire controlli a funzioni inesistenti. La personalizzazione deve riguardare l’intero sistema: rischi individuati, responsabilità, autorizzazioni, verifiche, flussi informativi e documentazione.

Per verificare l’efficacia dei protocolli, l’azienda può effettuare controlli documentali e verifiche operative su campioni di attività. È utile confrontare le prescrizioni con operazioni effettivamente svolte, controllare le autorizzazioni, ricostruire i passaggi decisionali e verificare se le anomalie siano state registrate e gestite. L’esame deve comprendere anche le deroghe alle procedure e gli eventuali casi nei quali un controllo risulta previsto sulla carta ma non viene eseguito.

Il lavoro può essere inserito in un audit del Modello 231 oppure in un check-up del modello organizzativo esistente. La verifica consente di individuare le carenze che richiedono un intervento, distinguendo le modifiche documentali dalle correzioni operative. In alcuni casi sarà sufficiente precisare un’autorizzazione o rendere tracciabile un controllo; in altri potrà essere necessario rivedere l’intero protocollo perché il rischio è cambiato o le misure previste non sono più adeguate.

La revisione deve essere valutata anche quando cambiano le attività aziendali, vengono introdotti nuovi sistemi informatici, si modificano le deleghe, si acquisisce una società o emergono nuovi rischi. Una segnalazione whistleblowing o una violazione interna può fornire elementi utili per verificare l’effettiva tenuta dei controlli. Il coordinamento con l’Organismo di Vigilanza permette di valutare le informazioni rilevanti, le eventuali anomalie e gli interventi da sottoporre agli organi competenti, nel rispetto dei rispettivi ruoli.

Se l’azienda riceve una contestazione o viene coinvolta in un procedimento penale, la ricostruzione dei controlli applicati prima dei fatti può diventare particolarmente delicata. In questa situazione è opportuno conservare la documentazione pertinente, ricostruire le responsabilità effettive e valutare con assistenza legale le carenze emerse, evitando modifiche documentali retroattive che possano compromettere la corretta ricostruzione dei fatti. Le eventuali misure correttive devono essere reali, documentate e coerenti con le criticità riscontrate.

Esempio pratico: quando i controlli sui fornitori non sono sufficienti

Una società che opera nel settore industriale dispone di un Modello 231 e di una procedura per selezionare i fornitori. Durante una verifica interna emerge che alcune consulenze vengono affidate senza una documentazione uniforme sulle ragioni dell’incarico, sulle autorizzazioni e sulle verifiche effettuate prima del pagamento. La procedura esistente non chiarisce quali controlli debbano essere applicati nei casi più delicati e le responsabilità risultano distribuite tra più uffici senza un passaggio autorizzativo definito.

La revisione parte dall’analisi delle attività effettive e dei rischi pertinenti, senza presumere che ogni anomalia costituisca un reato. Vengono esaminate le modalità di selezione dei fornitori, le deleghe, i flussi autorizzativi e le evidenze conservate. Sulla base dei risultati, l’azienda può precisare i criteri di approvazione degli incarichi, definire i controlli necessari prima dei pagamenti e stabilire quali documenti conservare. Le nuove regole devono poi essere comunicate ai soggetti interessati e sottoposte a verifiche periodiche, affinché l’intervento non si limiti alla modifica del testo della procedura.

FAQ sui protocolli del Modello 231

I protocolli 231 sono obbligatori per tutte le aziende?

Il D.Lgs. 231/2001 disciplina i requisiti del modello organizzativo idoneo a prevenire i reati presupposto, compresa la previsione di specifici protocolli decisionali. L’adozione del Modello 231 non costituisce un obbligo generalizzato per ogni impresa, ma la sua opportunità deve essere valutata in relazione ai rischi, all’attività svolta e agli eventuali requisiti applicabili in determinati settori o rapporti contrattuali.

È possibile utilizzare le procedure aziendali già esistenti?

Sì. Le procedure esistenti possono essere utilizzate come base, purché siano verificate rispetto ai rischi rilevanti ai sensi del D.Lgs. 231/2001. Se non prevedono controlli adeguati, responsabilità definite o evidenze verificabili, devono essere integrate o modificate.

Chi deve redigere i protocolli 231?

La predisposizione richiede il coinvolgimento delle funzioni aziendali che conoscono i processi e, quando necessario, di professionisti con competenze in materia di responsabilità degli enti e compliance. Gli organi societari competenti mantengono le responsabilità relative all’adozione e all’attuazione del modello secondo le regole applicabili alla società.

Ogni quanto tempo devono essere aggiornati i protocolli?

Non esiste una scadenza unica valida per ogni protocollo. La revisione deve essere valutata quando cambiano l’organizzazione, i processi, i rischi, la normativa rilevante o emergono criticità che rendono necessario modificare i controlli. Sono opportune verifiche periodiche anche in assenza di cambiamenti evidenti.

Un protocollo 231 ben redatto esclude la responsabilità dell’azienda?

No. La redazione formale non garantisce l’esclusione della responsabilità dell’ente. La valutazione dipende dai presupposti di legge e, tra gli altri elementi pertinenti, dall’idoneità del modello rispetto ai rischi e dalla sua concreta ed efficace attuazione.

Richiedi una valutazione dei protocolli 231 della tua azienda

Protocolli generici, controlli non documentati o procedure che non corrispondono alle attività effettive possono rendere necessario un intervento sul Modello 231. Noi dello Studio Legale Calvello possiamo esaminare la situazione organizzativa dell’impresa, verificare le criticità dei protocolli esistenti e valutare gli interventi opportuni per la loro predisposizione, revisione o verifica.

Per sottoporre il caso alla nostra attenzione, richiedi una valutazione per il Modello 231 della tua azienda attraverso il modulo dedicato. La verifica delle esigenze specifiche consentirà di individuare il tipo di assistenza più adatto alla struttura aziendale e ai rischi da esaminare.