Organismo di Vigilanza 231: composizione, compiti, nomina e requisiti

L'Organismo di Vigilanza 231 è l'organismo dell'ente, «dotato di autonomi poteri di iniziativa e di controllo», a cui l'organo dirigente affida il compito di vigilare sul funzionamento e sull'osservanza del modello 231 e di curarne l'aggiornamento (art. 6, comma 1, lettera b, D.Lgs 231/2001). Senza un OdV che abbia vigilato davvero l'ente perde l'esimente: la lettera d dello stesso comma chiede di provare che non vi è stata omessa o insufficiente vigilanza. Lo nomina l'organo dirigente, cioè il consiglio di amministrazione o l'amministratore unico.

La legge non dice altro sulla composizione. L'OdV può essere monocratico o collegiale, interno, esterno o misto. Negli enti di piccole dimensioni i suoi compiti possono essere svolti dall'organo dirigente (comma 4); nelle società di capitali dal collegio sindacale, dal consiglio di sorveglianza o dal comitato per il controllo della gestione (comma 4-bis). I requisiti (autonomia e indipendenza, professionalità, continuità d'azione) vengono dalla lettera b, dalla giurisprudenza e dalle Linee guida delle associazioni di categoria, e il modello li deve scrivere.

Che cosa fa l'organismo di vigilanza 231

Il decreto assegna all'OdV due compiti: vigilare sul modello e curarne l'aggiornamento. Gli strumenti glieli dà il resto dell'art. 6: il comma 2, lettera d, impone al modello di prevedere obblighi di informazione nei confronti dell'organismo, cioè i flussi informativi che le funzioni aziendali devono inviargli.

Le Linee guida di Confindustria del giugno 2021 (capitolo IV) traducono i due compiti in quattro attività:

• vigilanza sull'effettività del modello, cioè sulla coerenza fra i comportamenti concreti e le regole scritte;
• esame dell'adeguatezza, cioè della capacità reale, non solo formale, di prevenire i reati;
• analisi del mantenimento nel tempo dei requisiti di solidità e funzionalità;
• aggiornamento, che passa da proposte all'organo dirigente e dal follow-up sulla loro attuazione.

Gli inneschi dell'aggiornamento sono quelli dell'art. 7, comma 4, lettera a: violazioni significative delle prescrizioni e mutamenti nell'organizzazione o nell'attività. Le Linee guida aggiungono le modifiche normative, perché l'elenco dei reati presupposto cambia spesso.

Due limiti vanno tenuti fermi. L'OdV propone, non adotta: il modello lo adotta e lo modifica l'organo dirigente. E l'OdV non ha poteri impeditivi: vigila sul funzionamento del modello, non sull'attività dell'ente. Per questo le Linee guida (paragrafo 4 del capitolo IV) escludono che i suoi membri abbiano una posizione di garanzia ai sensi dell'art. 40, comma 2, del codice penale, anche per i reati in materia di sicurezza sul lavoro. Se ne deduce anche un divieto: all'OdV non vanno affidati compiti operativi, perché chi decide non può poi verificare la propria decisione.

Composizione: OdV monocratico o collegiale

Il decreto è indifferente alla forma. Le Linee guida Confindustria danno un criterio: la composizione si modula su dimensione, tipo di attività e complessità organizzativa, e deve assicurare l'effettività dei controlli. In concreto:

Soluzione	Fondamento	Quando regge	Punto debole
OdV monocratico esterno	prassi, Linee guida 2021	enti piccoli o medi con un profilo di rischio contenuto	continuità d'azione affidata a una sola persona, spesso part time
OdV collegiale misto (esterni più interni)	prassi, Linee guida 2021	imprese medio-grandi: l'interno assicura continuità, l'esterno terzietà	il membro interno non deve avere ruoli operativi nelle aree vigilate
OdV collegiale tutto esterno	prassi, Linee guida 2021	gruppi e società con rischi elevati	serve una segreteria tecnica interna per i flussi e la continuità
Collegio sindacale con funzioni di OdV	art. 6 c.4-bis	società di capitali con un collegio già operativo	due ruoli diversi nelle stesse persone: verbali e relazioni vanno tenuti distinti
Organo dirigente	art. 6 c.4	enti di piccole dimensioni	controllore e controllato coincidono; la norma non definisce la «piccola dimensione»

L'odv monocratico è la scelta più frequente nelle PMI, e le Linee guida lo considerano adeguato quando l'ente non si avvale del comma 4. Se l'unico componente è interno, va valutato con attenzione che non abbia compiti operativi né funzioni di controllo già esercitate nell'ente. Nelle imprese medio-grandi le Linee guida preferiscono la composizione collegiale.

Gli esempi negativi vengono dalla giurisprudenza citata nelle stesse Linee guida: un dirigente del settore ambiente e sicurezza nominato nell'OdV che doveva vigilare proprio sulle misure antinfortunistiche (Corte d'Assise d'Appello di Torino, 22 maggio 2013, ThyssenKrupp), o un presidente dell'OdV che era anche consigliere di amministrazione (Cass. pen. n. 52316/2016, Impregilo). In entrambi i casi chi doveva controllare era subordinato a chi era controllato, e il controllo è stato giudicato solo cartolare.

I requisiti dell'OdV, uno per uno

Le Linee guida riassumono i requisiti in tre voci, che il modello deve tradurre in clausole verificabili.

Autonomia e indipendenza. L'iniziativa di controllo deve essere libera da interferenze di qualunque componente dell'ente, e in particolare dell'organo dirigente, che è fra i soggetti controllati. La giurisprudenza vi affianca l'indipendenza: nessun condizionamento economico o personale, nessun conflitto di interessi, anche potenziale. Il compenso non è di per sé causa di dipendenza. Si assicura con il riporto diretto al consiglio di amministrazione, con un budget annuale di cui l'OdV dispone, con il libero accesso a tutte le funzioni senza consenso preventivo, e con cause di ineleggibilità e decadenza scritte nel modello (onorabilità, assenza di conflitti, assenza di parentele con il vertice). Le Linee guida riportano una pronuncia che ha giudicato inefficace la clausola che fa scattare l'ineleggibilità solo dopo una condanna definitiva: anche prima di una condanna definitiva il candidato può non essere abbastanza indipendente.

Professionalità. Non basta il rinvio generico al curriculum: il modello deve chiedere competenze ispettive e consulenziali, e la scelta deve verificarle. Le Linee guida citano il campionamento statistico, l'analisi e il contenimento dei rischi, il flow-charting dei processi, i questionari, le metodologie antifrode. È opportuno che almeno un membro abbia competenze giuridiche, in particolare penalistiche. Per la sicurezza sul lavoro l'OdV si avvale delle figure del D.Lgs 81/2008 (RSPP, medico competente, RLS), senza sovrapporsi a loro.

Continuità d'azione. La vigilanza deve essere costante, non un controllo all'anno. Si prova con un calendario delle attività, con riunioni periodiche verbalizzate e con una struttura di riferimento interna, che nei collegi tutti esterni prende la forma di una segreteria tecnica.

Nel catalogo Legisboard la verifica dei requisiti è un adempimento a sé, distinto dalla nomina.

Nomina dell'OdV: chi la fa e che cosa deve contenere

La nomina dell'OdV spetta all'organo dirigente, perché è a lui che l'art. 6, comma 1, chiede di affidare il compito. Al momento dell'adozione del modello l'organo dirigente deve disciplinare modalità di nomina e revoca, durata in carica e requisiti soggettivi dei componenti, e comunicare all'organizzazione compiti e poteri dell'OdV (Linee guida, capitolo IV). Una delibera di nomina che regge indica almeno: i componenti e il presidente, se collegiale; la durata; il compenso; il budget; il richiamo alle cause di ineleggibilità e decadenza e le dichiarazioni dei nominati; le modalità di revoca, solo per giusta causa e con delibera motivata.

La legge non fissa la durata. La fissa il modello: in prassi tre esercizi per i componenti esterni. Quando le funzioni sono affidate al collegio sindacale, le Linee guida consigliano di allineare la durata a quella del collegio, che resta in carica per tre esercizi (art. 2400 c.c.).

Come diventare OdV 231: non esiste un albo né un titolo abilitante. I componenti esterni sono di solito avvocati, commercialisti, revisori o professionisti dell'internal audit. Ciò che conta è che abbiano i requisiti che il modello di quell'ente richiede, e che la nomina dia conto di averli verificati.

L'OdV e la privacy dei dati che riceve

L'OdV tratta dati personali, anche delicati: audit, flussi, istruttorie. Con il parere del 12 maggio 2020 il Garante ha chiarito che l'OdV, interno o esterno che sia, è parte dell'ente: non è un autonomo titolare né un responsabile del trattamento ai sensi dell'art. 28 del Regolamento UE 2016/679. L'ente, titolare, designa i singoli componenti come soggetti autorizzati (artt. 4, n. 10, e 29 GDPR; art. 2-quaterdecies del Codice privacy), dà loro istruzioni e adotta le misure di sicurezza dell'art. 32. Il parere riguarda i flussi informativi dell'art. 6 e non i ruoli legati al whistleblowing, che il D.Lgs 24/2023 regola a parte: il gestore del canale interno può essere l'OdV, un'altra persona o ufficio interno autonomo, o un soggetto esterno (art. 4, comma 2).

Il regolamento dell'OdV: chi lo approva

Il decreto non parla di regolamento. Le Linee guida indicano che l'OdV disciplini il proprio funzionamento con un regolamento (cadenza dei controlli, criteri e procedure di analisi, convocazioni, quorum, verbalizzazione) e sconsigliano che lo approvino organi diversi dall'OdV, perché ne verrebbe messa in dubbio l'indipendenza. All'organo dirigente spetta ciò che il modello riserva a lui: composizione, nomina, revoca, durata, poteri, budget. In prassi il regolamento si trasmette al consiglio per conoscenza, non per approvazione.

Un anno di lavoro: piano, riunioni, verbali, relazione

La continuità d'azione si vede nei documenti. Il ciclo tipico ha quattro elementi, che nel catalogo Legisboard sono adempimenti distinti con il loro responsabile.

1. Il piano di vigilanza, a inizio anno, costruito sul rischio: quali aree e processi verificare, con quali audit 231, in quali mesi.
2. Le riunioni periodiche, di solito trimestrali, con ordine del giorno, esame dei flussi ricevuti e delle verifiche svolte.
3. I verbali, raccolti in un libro e conservati dall'OdV: le Linee guida chiedono tracciabilità e conservazione di tutta la documentazione dell'attività.
4. La relazione all'organo dirigente, che le Linee guida indicano almeno semestrale e da trasmettere anche al collegio sindacale: come scriverla è nella guida sulla relazione annuale dell'OdV.

Le cadenze del catalogo (piano e regolamento ogni anno, riunioni ogni tre mesi, verbali archiviati ogni mese, nomina riverificata ogni due anni) sono cadenze di controllo del prodotto, non termini di legge: il D.Lgs 231/2001 non ne fissa nessuna. Il termine vero è quello scritto nel vostro modello e nel regolamento dell'OdV. Se il modello dice due riunioni l'anno e ne vengono fatte due, l'obbligo è rispettato; se dice quattro e ne vengono fatte due, quella differenza è la prima cosa che un perito noterà.

Cosa fare in pratica

Per un ente che deve nominare l'OdV, o rivedere quello che ha:

1. Rileggete il modello e verificate che disciplini composizione, durata, revoca, cause di ineleggibilità e decadenza, budget e poteri. Se manca qualcosa, la modifica è dell'organo dirigente, su proposta dell'OdV. Il quadro generale è nella guida sul modello 231.
2. Scegliete la composizione su dimensione e rischio, e scrivete il perché nella delibera. Escludete chi ha ruoli operativi nelle aree che l'OdV dovrà vigilare.
3. Verificate i requisiti con documenti, non solo con dichiarazioni, e ripetete la verifica alla cadenza che il modello prevede.
4. Designate i componenti come autorizzati al trattamento dei dati, con istruzioni scritte, come indica il Garante.
5. Chiedete all'OdV il regolamento, il piano dell'anno e il calendario delle riunioni nel primo mese dalla nomina.

Tutti gli adempimenti dell'OdV, dalla nomina ai flussi informativi, sono nella pagina sugli adempimenti 231. Sulla composizione adatta a un ente specifico, e sulla valutazione dei requisiti di un candidato, serve il parere del professionista che assiste l'ente.