Risk assessment 231: la mappatura dei rischi-reato per processo

Il risk assessment 231 è l'attività con cui l'ente individua le attività nel cui ambito possono essere commessi reati, come chiede l'art. 6, comma 2, lettera a, del D.Lgs 231/2001. Il risultato è una mappatura: per ogni processo aziendale, quali reati presupposto vi si possono commettere, in che modo, da quali funzioni, con quali controlli già in essere e con quale rischio residuo. Da lì nascono i protocolli della parte speciale, i flussi verso l'organismo di vigilanza e il piano delle verifiche.

Il decreto non prescrive un metodo, una scala di punteggio o un formato. Prescrive il risultato: un modello idoneo a prevenire reati della specie di quello verificatosi (art. 6, comma 1, lettera a). Il riferimento metodologico più usato sono le Linee guida Confindustria del giugno 2021, che articolano il lavoro in tre fasi, ciascuna con un risultato documentato. Nemmeno l'aggiornamento ha una scadenza di legge: l'art. 7, comma 4, lettera a chiede una verifica periodica e la modifica del modello quando emergono violazioni significative o cambiano l'organizzazione o l'attività.

Che cosa chiede la legge al risk assessment 231

L'art. 6, comma 2, elenca cinque esigenze a cui il modello deve rispondere «in relazione all'estensione dei poteri delegati e al rischio di commissione dei reati». La prima è la mappatura; le altre quattro ne dipendono.

I protocolli (lettera b) si scrivono «in relazione ai reati da prevenire», quindi presuppongono di sapere quali reati sono possibili e dove. I flussi informativi verso l'OdV (lettera d) hanno senso solo se riguardano i processi a rischio. L'art. 7, comma 3, aggiunge il criterio di proporzione: il modello prevede misure idonee «in relazione alla natura e alla dimensione dell'organizzazione nonché al tipo di attività svolta». Un risk assessment generico, copiato da un altro ente o dall'elenco completo dei reati presupposto, non risponde a nessuna di queste esigenze.

Le Linee guida Confindustria (Parte generale, cap. II, par. 3 e 4) descrivono tre passaggi:

Fase	Che cosa si fa	Risultato documentato
i. Inventariazione degli ambiti di attività	Si individuano i reati rilevanti e le aree in cui, per le attività effettivamente svolte, sono possibili	Elenco delle aree e dei processi a rischio, con le funzioni coinvolte
ii. Analisi dei rischi potenziali	Si descrivono le modalità con cui ciascun reato potrebbe essere attuato in quell'area	«Mappa documentata delle potenziali modalità attuative degli illeciti»
iii. Valutazione, costruzione o adeguamento dei controlli	Si confrontano i controlli esistenti con i rischi e si colmano le lacune fino a un livello accettabile	«Descrizione documentata del sistema dei controlli preventivi» e adeguamenti

Il metodo può essere affidato a una funzione aziendale che lavora con il management di linea, oppure all'autovalutazione del management con il supporto di un facilitatore. In entrambi i casi la fonte delle informazioni sono le persone che gestiscono i processi: interviste ai responsabili, lettura di deleghe, procure, procedure e casi passati dell'ente. Le Linee guida chiedono espressamente di considerare la «storia» dell'ente e gli illeciti commessi da altri operatori dello stesso settore.

Rischio 231: quando un rischio è accettabile

Senza una soglia, i controlli possibili sono infiniti. Le Linee guida la fissano in due modi diversi a seconda del tipo di reato, e la soglia decide quando la fase iii è finita.

• Reati dolosi (corruzione, reati societari, tributari, riciclaggio): il sistema di prevenzione è accettabile quando non può essere aggirato se non fraudolentemente. È la stessa logica dell'esimente: l'art. 6, comma 1, lettera c, richiede che l'autore abbia commesso il reato «eludendo fraudolentemente» il modello.
• Reati colposi (omicidio e lesioni colpose con violazione delle norme antinfortunistiche, art. 25-septies; reati ambientali colposi): la frode è incompatibile con la colpa. La soglia è la violazione del modello, e degli adempimenti di prevenzione sottostanti, nonostante la puntuale osservanza degli obblighi di vigilanza da parte dell'OdV.

Il giudice non valuta il modello con il senno di poi. La Cassazione (Sez. VI pen., n. 23401 del 15 giugno 2022, caso Impregilo) ha ribadito che il reato commesso non dimostra da solo l'inidoneità del modello: il giudice si colloca al momento del fatto e verifica se il modello, così com'era, rendeva il reato prevedibile ed evitabile. È il motivo per cui la mappatura deve essere datata, firmata e conservata con le sue versioni: è la prova di che cosa l'ente sapeva e aveva previsto in quel momento.

Mappatura per reato o per processo

Le Linee guida ammettono tre approcci: per attività, per funzioni, per processi. La prassi più solida è quella per processo, per tre ragioni concrete.

I processi strumentali. Molti reati non si commettono nel processo che li «ospita». La corruzione di un funzionario pubblico si consuma nei rapporti con la pubblica amministrazione, ma la provvista nasce negli acquisti, nelle consulenze, nelle note spese, nei rimborsi, nelle assunzioni. Le Linee guida chiedono di individuare anche i processi «strumentali o di supporto» alla commissione dei reati. Una mappatura per reato tende a fermarsi al processo diretto; una per processo li vede tutti.

La segregazione delle funzioni. I controlli preventivi si scrivono sui processi: chi autorizza, chi esegue, chi registra, chi verifica. Il principio «nessuno può gestire in autonomia un intero processo» (Linee guida, cap. II, par. 5) si verifica solo guardando il processo intero.

La manutenzione. Quando cambia l'organizzazione (una nuova funzione, un'acquisizione, un nuovo canale di vendita) si sa subito quale scheda rivedere. Quando cambia la legge, si cercano i processi in cui il nuovo reato è possibile: l'elenco dei reati presupposto si muove spesso, e lo seguiamo nella guida sui reati presupposto aggiornati.

Per la sicurezza sul lavoro il criterio cambia. Le Linee guida avvertono che per l'art. 25-septies nessun ambito si può escludere a priori, e che l'analisi delle modalità di commissione corrisponde alla valutazione dei rischi degli artt. 28 e 29 del D.Lgs 81/2008. Il risk assessment 231 non rifà il DVR: verifica che il sistema che lo produce e lo aggiorna sia organizzato, con le funzioni e i poteri richiesti dall'art. 30 del D.Lgs 81/2008.

A cosa servono i profili per processo nel modello 231

Il profilo per processo (o scheda profilo) è l'unità della mappatura: una scheda per ogni processo sensibile. Serve a tre cose. Documenta che l'ente ha individuato le attività a rischio, e quindi risponde alla lettera a dell'art. 6, comma 2. Collega ogni rischio a un protocollo della parte speciale, e quindi alla lettera b. Dice all'OdV dove guardare: i flussi informativi e le verifiche a campione si costruiscono sulle schede.

Una scheda profilo 231 per processo contiene, in genere, questi campi:

Campo	Esempio: processo «Acquisti di beni e servizi»
Responsabile del processo	Responsabile ufficio acquisti; coinvolti amministrazione e richiedenti
Attività sensibili	Selezione e qualifica fornitori, conferimento incarichi di consulenza, approvazione ordini, benestare al pagamento
Reati presupposto	Corruzione, anche tra privati (artt. 25 e 25-ter); reati tributari (art. 25-quinquiesdecies); autoriciclaggio (25-octies)
Modalità di commissione	Incarichi fittizi o sovrafatturati per creare provvista; fatture per operazioni inesistenti; fornitori riconducibili a dipendenti
Controlli esistenti	Albo fornitori, doppia firma sopra soglia, tre preventivi, verifica della prestazione prima del pagamento
Rischio inerente e residuo	Valutazione prima e dopo i controlli, con la scala scelta dall'ente
Lacune e azioni	Controllo mancante, responsabile, scadenza dell'azione correttiva
Flussi verso l'OdV	Elenco degli affidamenti diretti sopra soglia, con periodicità

L'esempio è illustrativo: i reati e i controlli di una scheda vera dipendono da che cosa fa l'ente e da come lo fa. Quello che non deve mancare è il legame esplicito fra modalità di commissione e controllo. Una scheda che elenca reati e controlli senza dire quale controllo presidia quale modalità non permette di valutare se il rischio è accettabile.

Il foglio Excel di valutazione dei rischi 231: cosa può e cosa non può fare

La valutazione si fa di solito con una matrice: probabilità per impatto, a volte con un terzo fattore di rilevabilità. Il rischio inerente si misura senza controlli, il rischio residuo con i controlli esistenti. La scala è una scelta metodologica dell'ente: nessuna norma la fissa, e un punteggio non sostituisce la descrizione delle modalità di commissione.

Un foglio Excel di valutazione dei rischi 231 basta per la prima mappatura di un ente piccolo. I limiti emergono con il tempo:

• le versioni: il valore probatorio della mappatura dipende dal poter dire che cosa era scritto a una certa data. Un file sovrascritto lo perde;
• le evidenze: la scheda dice che il controllo esiste; la prova che funziona (il verbale, il campione verificato) sta altrove e va collegata;
• le azioni: le lacune individuate diventano azioni con responsabile e scadenza, e qualcuno deve seguirle fino alla chiusura.

Sono gli stessi temi che trattiamo nella guida al software per il modello 231: non serve uno strumento specifico, serve che versioni, evidenze e azioni non si perdano.

Ogni quanto si aggiorna il risk assessment 231

Il D.Lgs 231/2001 non fissa una periodicità. Fissa gli inneschi. L'art. 7, comma 4, lettera a, chiede «una verifica periodica e l'eventuale modifica» del modello quando sono scoperte violazioni significative delle prescrizioni o quando intervengono mutamenti nell'organizzazione o nell'attività. L'art. 6, comma 1, lettera b, affida all'organismo di vigilanza il compito di curare l'aggiornamento del modello. Per la sicurezza sul lavoro, l'art. 30, comma 4, del D.Lgs 81/2008 chiede il riesame quando sono scoperte violazioni significative delle norme di prevenzione o in occasione di mutamenti nell'organizzazione e nell'attività in relazione al progresso scientifico e tecnologico.

A questi si aggiunge un innesco che la norma non scrive ma il sistema impone: un nuovo reato presupposto che tocca l'attività dell'ente rende la mappatura incompleta per quella specie di reato. Come si lega l'aggiornamento al modello nel suo insieme lo spieghiamo nella guida su che cos'è il modello 231.

Nel catalogo Legisboard la mappatura e la gap analysis sono adempimenti annuali:

La cadenza annuale è una cadenza di controllo, non un termine di legge. Serve a non lasciar passare un anno senza chiedersi se qualcosa è cambiato. Il termine vero è quello fissato nel vostro modello, più gli inneschi dell'art. 7, comma 4: un'acquisizione a marzo o un reato presupposto nuovo a giugno impongono la revisione subito, anche se l'ultima mappatura risale a pochi mesi prima. La gap analysis fra modello e prassi, con le interviste ai responsabili dei processi, è il modo di accorgersi che un protocollo scritto non corrisponde più a come si lavora. Gli altri adempimenti del modello e dell'OdV sono raccolti nella pagina sugli adempimenti 231.

Cosa fare in pratica

1. Partite dall'organigramma e dalle procure, non dall'elenco dei reati. Elencate i processi, con il responsabile di ciascuno.
2. Intervistate i responsabili dei processi e chiedete come si lavora davvero: chi decide, chi firma, chi paga, quali eccezioni sono frequenti.
3. Compilate una scheda per processo con reati, modalità di commissione, controlli, rischio inerente e residuo. Includete i processi strumentali: acquisti, consulenze, personale, note spese, omaggi.
4. Motivate per iscritto le esclusioni delle famiglie di reato che non vi riguardano.
5. Trasformate ogni lacuna in un'azione con responsabile e scadenza, e in un protocollo della parte speciale.
6. Datate e conservate ogni versione della mappatura, approvata dall'organo dirigente insieme al modello, e trasmettetela all'OdV perché costruisca su di essa il piano delle verifiche.
7. Fissate gli inneschi di revisione nel modello: violazioni significative, cambi organizzativi, nuovi reati presupposto. La verifica annuale resta, come controllo minimo.

Per enti con attività complesse o con reati già contestati, la mappatura richiede il giudizio di un professionista che conosca il settore: le schede descritte qui sono la struttura, non il contenuto.