Quando un modello 231 può definirsi “idoneo”?
Tribunale Ordinario di Milano, Sez. II, 22 aprile 2024, n. 1070
Scarica la pronuncia qui:
È stato costituito, recentemente, presso il Ministero della Giustizia un gruppo di lavoro composto da magistrati e avvocati per procedere ad una riforma complessiva della disciplina della responsabilità amministrativa degli Enti.
Difatti, «a distanza di quasi 20 anni dalla sua introduzione nell'ordinamento lo schema di responsabilizzazione degli enti, delineato dal legislatore italiano con il decreto legislativo 231/2001 e successive modificazioni, ha ormai dimostrato tanto le sue apprezzabili capacità, quanto le sue non trascurabili criticità», come si apprende dal comunicato diramato dal "Guardasigilli".
In attesa di una (per ora solo annunciata) modifica, un importante passo avanti nei giudizi relativi alla responsabilità amministrativa degli enti è stato compiuto dal Tribunale di Milano che - in una sentenza di assoluzione di una società imputata per l'illecito amministrativo di cui all'art.25 ter d.lgs. 231/2001 – ha fornito istruzioni concrete per la costruzione di un Modello 231 idoneo a prevenire la commissione di reati.
Come chiarito dagli stessi Giudici di merito, la normativa di riferimento, in particolare gli artt.5, 6 e 7 d.lgs. 231/2001, non contiene alcuna indicazione specifica circa il contenuto di un modello di organizzazione, gestione e controllo.
Invero, l'art.5 menziona quale criterio di imputazione del reato all'ente l'aver commesso il fatto nell'interesse o a vantaggio dell'ente stesso; mentre gli artt. 6 e 7 distinguono i meccanismi di esonero dalla responsabilità a seconda che l'illecito sia commesso dai soggetti in posizione apicale o dai sottoposti. In quest'ultimo caso, l'ente risponde se la commissione è resa possibile dall'inosservanza degli obblighi di direzione e vigilanza.
Il Collegio si è, dunque, soffermato sulla struttura del Modello, generalmente composto da Parte generale e una Parte Speciale.
La prima descrive la configurazione giuridica societaria e i correlati organi di amministrazione e di controllo che la compongono, dando atto di eventuali modifiche intercorse nel tempo.
Questa ricomprende anche il c.d. Codice etico che, teso a proporsi quale "tavolozza dei valori", racchiude in sé i principi cui l'ente dichiara di ispirarsi nello svolgimento delle proprie attività, nonché il rilevamento degli illeciti, un sistema disciplinare e l'istituzione, composizione, funzionamento ed obiettivi dell'Organismo di Vigilanza (OdV).
La seconda, invece, contempla nello specifico:
1) la descrizione della struttura dei reati presupposto, il cui elenco è costantemente aggiornato;
2) risk assessment ovvero la c.d. mappatura delle attività a rischio reato;
3) i principi generali di comportamento e i contenuti essenziali delle cautele ravvisate nei protocolli operativi;
4) la rubrica dei protocolli operativi, allegati al Modello stesso, che integrano il volto procedimentale e sostanziale della cautela orientata a ridurre il rischio – reato.
Una volta tratteggiate le linee generali della "conformazione" del MOG, i giudici si sono poi soffermati su alcuni aspetti.
Ebbene, un modello per dirsi efficace ed idoneo, oltre a prevedere una puntuale configurazione degli assetti interni e dei relativi meccanismi di controllo, deve essere accompagnato da un'intensa attività di informazione e crescita del personale attuata sia attraverso una diffusione e comunicazione del Modello e del Codice Etico a tutti i lavoratori, sia mediante iniziative di formazione finalizzate a divulgare ed implementare la comprensione delle procedure e delle regole comportamentali adottate.
Si tratta – come precisato dal Tribunale - di iniziative che non devono risolversi in attività occasionali, piuttosto devono ispirarsi ai criteri di continuità e di intensità.
Sotto il profilo dell'efficace attuazione di un MOG risulta fondamentale predisporre un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure indicate nei protocolli operativi e che preveda dei contenuti essenziali quale, ad esempio, l'apparato sanzionatorio diversamente articolato a seconda del ruolo dei destinatari, i criteri di commisurazione della sanzione, le condotte ritenute rilevanti, il procedimento di irrogazione della sanzione e così via.
I Giudici milanesi, inoltre, sottolineano l'importanza dell'Organismo di Vigilanza nell'assetto normativo del d.lgs. 231/2001.
Difatti, la necessità di nominare un OdV è determinata dal fatto che il Modello, espressione di un insieme articolato di cautele preventive, vedrebbe vanificata la sua funzione qualora non fosse affiancato da un organismo incaricato di vigilare sul funzionamento e l'osservanza del Modello stesso e di curarne l'aggiornamento.
Ribadendo poi quanto già affermato in più occasioni da autorevole dottrina, nella parte motiva della sentenza vengono indicati i requisiti richiesti ai membri OdV quali: autonomia, professionalità (intesa come specifiche competenze in tema di controllo) e continuità d'azione che consiste nell'assicurare un funzionamento costante nel tempo ed una continua interazione con gli organismi amministrativi e di controllo della società.
Inoltre, per assolvere al meglio questi doveri, l'Organismo deve essere dotato di un proprio budget e la sua attività deve formare oggetto di analitica disciplina in un apposito regolamento (per un maggior approfondimento V. La disciplina e i compiti dell'Organismo di Vigilanza https://www.giuridicamente.com/l/la-disciplina-e-i-compiti-dell%E2%80%99organismo-di-vigilanza/ ).
Per quanto riguarda la c.d. "mappatura dei rischi", viene definita come «una fase cognitivo- rappresentativa funzionale alla percezione del rischio-reato ed alla valutazione del suo grado di intensità».
In particolare, deve snodarsi attraverso un «procedimento contraddistinto da:
· individuazione delle aree potenzialmente a rischio – reato con particolare riguardo alle aree c.d. strumentali, ovvero quelle che gestiscono strumenti finanziari, destinati a supportare la commissione dei reati stessi;
· rilevazione dei processi sensibili dai quali potrebbero derivare le ipotesi di reato perseguibili, il che significa selezionare le attività al cui espletamento è connesso il rischio di commissione dei reati, indicando la direzione ed i ruoli aziendali coinvolti;
· rilevazione e valutazione del grado di efficacia dei sistemi operativi e di controllo già in essere, allo scopo di reperire i punti di criticità rispetto alla prevenzione del rischio-reato;
· descrizione delle possibili modalità di commissione di reati, allo scopo di forgiare le indispensabili "cautele" preventive»
Occorre, inoltre, operare un'analisi meticolosa dell'evoluzione dell'organigramma aziendale, che consiste nell'appurare eventuali mutamenti organizzativi intervenuti nel tessuto aziendale, allo scopo di verificare se siano stati indotti da disfunzioni operative oppure da violazioni comportamentali, che hanno pregiudicato, anche solo potenzialmente, l'ente.
Una volta descritta la fase del c.d. risk assessment, i Giudici di merito si sono poi soffermati sui protocolli di comportamento, considerati il secondo fondamentale contenuto del dovere di organizzazione che grava sugli enti, il cui obiettivo strategico è quello della "cautela" attraverso misure idonee a ridurre continuativamente e ragionevolmente il rischio- reato.
E' necessario, dunque, predisporre un processo, nonché un sistema operativo caratterizzato da cautele puntuali, concrete ed orientate sul rischio da contenere.
«Alla determinatezza – osserva il Tribunale – si deve affiancare anche l'efficace attuazione nel senso che lo strumento di prevenzione non deve risolversi in un mero supporto cartaceo».
Uno degli aspetti principale è senza dubbio la "segregazione delle funzioni" in base al quale i soggetti che intervengono in una fase non possono svolgere alcun ruolo nelle altre fasi del processo decisionale.
L'obiettivo è quello di evitare che il processo o una parte di esso resti nelle mani di un'unica funzione, con il pericolo di conflitti di interesse tali da accentuare il rischio-reato.
Il protocollo richiede altresì:
- l'indicazione di un responsabile del processo a rischio-reato, il cui compito principale è quello di assicurare che il sistema operativo sia adeguato ed efficace rispetto al fine che intende perseguire;
- la regolamentazione del processo, ovvero l'individuazione dei soggetti che hanno il presidio di una specifica funzione;
- la specificità del protocollo ovvero aderenza sostanziale rispetto al rischio da contenere; dinamicità del protocollo ovvero capacità del modello di adeguarsi ai mutamenti organizzativi che avvengono nella compagine sociale;
- la garanzia di completezza dei flussi informativi, che rivestono un ruolo assolutamente centrale sul versante dell'effettività della cautela;
- un efficace monitoraggio e controllo di linea ovvero quelli esercitati dal personale e dal management esecutivo come parte integrante della propria attività gestionale e decisionale.
Pertanto, anche alla luce dei chiarimenti forniti dal Tribunale di Milano, appare sempre più evidente come il Modello 231 rappresenti non solo un importante strumento di prevenzione per le imprese che operano sul terreno italiano, ma consenta alle stesse di dimostrare concretamente la propria responsabilità sociale ed etica nei confronti dei propri stakeholder, contribuendo così a migliorare la reputazione e la competitività sul mercato.