Software per il modello 231: cosa deve gestire per l'OdV e per il consulente

Un software 231 non rende idoneo un modello 231 e non sostituisce l'Organismo di Vigilanza. Serve a una cosa precisa: dimostrare l'efficace attuazione del modello, che è la condizione su cui si decide l'esimente. L'art. 6, comma 1, del D.Lgs 231/2001 chiede all'ente di provare di aver «adottato ed efficacemente attuato» il modello e che non vi è stata omessa o insufficiente vigilanza; l'art. 7, comma 4, traduce l'efficace attuazione in una verifica periodica, nella modifica del modello quando servono e in un sistema disciplinare. Per i reati di sicurezza sul lavoro l'art. 30, comma 2, del D.Lgs 81/2008 è ancora più esplicito: il modello deve prevedere «idonei sistemi di registrazione dell'avvenuta effettuazione delle attività».

Un software per il modello 231, quindi, si giudica su ciò che registra e su ciò che sa ricostruire: i flussi informativi verso l'OdV (art. 6, comma 2, lettera d), il piano e le verifiche, i verbali, le relazioni all'organo dirigente, le azioni correttive e il loro esito, con date e responsabili. Per il consulente 231 che segue più enti si aggiunge un secondo requisito: vedere in un elenco solo che cosa è scaduto, su quale cliente, e perché. Il resto (generatori di testo, punteggi senza fonte, cruscotti decorativi) non aiuta davanti a un giudice.

Compliance 231: cos'è, e che parte ne copre un software

La compliance 231 è il lavoro continuo che sta fra l'adozione del modello e il giorno in cui qualcuno chiede di vederne l'attuazione. Il modello 231 è il documento; la compliance è la prova che quel documento viene applicato. Cosa contiene il modello e a cosa serve è spiegato nella guida sul modello 231; qui conta la parte che si svolge dopo.

La legge descrive questa parte in quattro elementi, e ciascuno lascia una traccia documentale diversa.

Elemento	Norma	Traccia che deve restare
Vigilanza dell'OdV	art. 6 c.1 lett. b e d	piano, verifiche, verbali delle riunioni, relazioni
Flussi informativi verso l'OdV	art. 6 c.2 lett. d	chi ha inviato cosa, quando, e cosa ne ha fatto l'OdV
Verifica periodica e modifica	art. 7 c.4 lett. a	esiti delle verifiche, proposte, delibere di aggiornamento
Registrazione delle attività SSL	art. 30 c.2 D.Lgs 81/08	date di DVR, formazione, sorveglianza sanitaria, riunioni
Canali di segnalazione interna	art. 6 c.2-bis, D.Lgs 24/23	funzionamento del canale, gestione delle segnalazioni, esiti

Nessuna di queste tracce richiede un software: per anni si sono tenute con cartelle condivise e fogli di calcolo. Il software serve quando il volume (decine di flussi al mese, più enti, più decreti) rende impossibile ricostruire a posteriori chi ha fatto cosa e quando. È lì che un foglio di calcolo cede: una data sovrascritta non lascia storia.

Modello 231: chi lo redige, e dove entra il software

Il decreto non dice chi scrive il modello. Dice chi lo adotta: l'organo dirigente (art. 6, comma 1, lettera a). Il comma 3 consente di costruirlo sulla base dei codici di comportamento delle associazioni di categoria, come le Linee guida di Confindustria del giugno 2021.

In prassi la redazione è affidata a un gruppo di lavoro, spesso guidato da un consulente 231 esterno (avvocato penalista d'impresa, commercialista, società di consulenza), che raccoglie le informazioni dalle funzioni aziendali. I principi di redazione del CNDCEC del 2016 chiedono che chi redige abbia indipendenza e imparzialità rispetto alle pressioni interne, e che il modello sia costruito sulle caratteristiche dell'ente: la forma segue l'efficacia, non il contrario.

L'OdV, invece, non dovrebbe scriverlo. Vigila sul modello e ne propone l'aggiornamento; se ne fosse l'autore verificherebbe il proprio lavoro, ed è per la stessa ragione che le Linee guida escludono compiti operativi per l'organismo. Come si compone e cosa fa è nella guida sull'organismo di vigilanza 231.

Il software entra dopo la redazione. Uno strumento che promette di «generare» il modello compilando un questionario produce un testo, non un'analisi dei rischi: l'art. 7, comma 3, chiede misure adeguate alla natura, alle dimensioni e all'attività di **quell'**ente. Il punto in cui un software fa la differenza è l'attuazione: trasformare protocolli e flussi scritti nel modello in adempimenti con un responsabile, una cadenza e una prova.

Cosa deve gestire un software 231 per l'OdV

L'OdV ragiona per reati presupposto e per flussi, e la continuità d'azione si prova con i documenti. Un software adeguato a un organismo di vigilanza deve coprire almeno cinque cose.

1. Il piano di vigilanza. Costruito sul rischio, approvato dall'OdV, con le aree e i processi da verificare nell'anno.

2. Le riunioni e i verbali. Convocazione, ordine del giorno, verbale, con la data in cui è stato chiuso. Le Linee guida chiedono tracciabilità e conservazione di tutta la documentazione dell'attività dell'organismo.

3. I flussi informativi, uno per uno. Il modello deve dire chi manda che cosa all'OdV e con quale cadenza (art. 6, comma 2, lettera d). Un flusso non è un'email in una casella: è un adempimento con un mittente, un termine e una ricevuta. Il caso tipico è l'infortunio, che collega il modello 231 alla sicurezza sul lavoro attraverso l'art. 25-septies.

4. Le azioni correttive e il loro follow-up. Una verifica che trova una carenza e non ha un seguito documentato vale meno di nessuna verifica: mostra che l'OdV sapeva.

5. La relazione all'organo dirigente. È l'atto in cui la vigilanza dell'anno diventa un documento firmato. Una volta trasmessa non deve più cambiare: se il software rigenera la relazione dai dati di oggi, quella di marzo non dice più ciò che diceva a marzo. Come si scrive è nella guida sulla relazione annuale dell'OdV.

Cosa deve gestire per il consulente 231

Il consulente 231 ha un problema diverso da quello dell'OdV: non un ente, ma un portafoglio. Le domande che si fa sono di scansione («cosa scade questa settimana, e su quale cliente») e di prova («questo adempimento è stato fatto, ed è ancora valido?»). Un software che risponde a queste domande deve avere quattro caratteristiche.

• Due stati distinti per ogni adempimento. Lo stato del lavoro (fatto, in corso, da fare) e lo stato della scadenza (regolare, in scadenza, scaduto) sono due informazioni diverse. «Completato e scaduto» è il caso più frequente: il documento fu redatto, il ciclo è finito. Un campo solo lo nasconde.
• Il collegamento con la sicurezza sul lavoro. Per i reati dell'art. 25-septies il modello deve coprire gli obblighi dell'art. 30, comma 1, del D.Lgs 81/2008: DVR, formazione, sorveglianza sanitaria, riunioni periodiche. Se il DVR vive in un altro strumento, l'OdV vigila su una copia. Gli adempimenti collegati sono nella pagina sulla sicurezza sul lavoro.
• Prove allegate con data e versione. Un verbale caricato due volte con contenuti diversi deve restare due versioni distinte, non una che sovrascrive l'altra.
• Un registro di chi ha fatto cosa. Cambi di stato, documenti caricati, relazioni generate: con utente e data. È la risposta alla domanda «quando è stato chiuso questo adempimento, e da chi?».

Dati personali e segnalazioni: le domande da fare al fornitore

Un software 231 tratta dati personali, anche delicati: flussi su procedimenti disciplinari, indagini, infortuni. Con il parere del 12 maggio 2020 il Garante ha chiarito che l'OdV è parte dell'ente: titolare è l'ente, i componenti sono soggetti autorizzati. Il fornitore del software che ospita quei dati è invece un responsabile del trattamento, e serve il contratto dell'art. 28 del Regolamento UE 2016/679, con le misure di sicurezza dell'art. 32. Le domande da porre: dove stanno i dati, chi vi accede dal lato del fornitore, come si esportano e come si cancellano a fine rapporto.

Il canale di segnalazione interna è un caso a parte. L'art. 4 del D.Lgs 24/2023 chiede che garantisca la riservatezza del segnalante e del contenuto, «anche tramite il ricorso a strumenti di crittografia», e l'art. 14 limita la conservazione a cinque anni dalla comunicazione dell'esito finale. Se il software 231 riceve anche le segnalazioni, questi requisiti valgono per lui; se il canale è uno strumento separato, il software 231 deve almeno tenerne sotto controllo il funzionamento e la gestione.

Come si presenta in pratica: un esempio con Legisboard

Legisboard è un registro di adempimenti su tre decreti (GDPR, D.Lgs 231/2001, D.Lgs 81/2008), installato per singolo studio, con il suo database e utenze create per invito. Lo descriviamo come esempio di come i requisiti sopra si traducono in uno strumento, non come l'unico modo di soddisfarli.

• Il catalogo 231 contiene 65 adempimenti, dalla nomina dell'OdV ai flussi informativi, ciascuno con un responsabile e una cadenza di controllo. La scadenza non si scrive a mano: la calcola il motore dall'ultima esecuzione.
• Stato del lavoro e stato della scadenza restano due campi separati.
• Un adempimento comune a più decreti ha un solo proprietario: il DVR si censisce nel modulo sicurezza e il modulo 231 lo legge, senza copie.
• Le prove allegate tengono versione e impronta SHA-256; ogni modifica e ogni documento generato lasciano una riga nel registro delle attività.
• La relazione, una volta pubblicata, è numerata e non cambia più. Il fascicolo per l'autorità giudiziaria e l'OdV, invece, si genera al momento e mostra lo stato alla data.
• Il canale whistleblowing non è dentro Legisboard: il catalogo ne controlla il funzionamento (codice M36) e la gestione delle segnalazioni.

Cosa fare in pratica

Prima di scegliere un software per il modello 231, o di rivedere quello che usate:

1. Partite dal modello, non dal software. Elencate i flussi, le verifiche e le cadenze che il vostro modello e il regolamento dell'OdV prevedono: sono quelli i termini da rispettare, non le cadenze predefinite di uno strumento.
2. Chiedete una ricostruzione. Prendete un adempimento di sei mesi fa e chiedete allo strumento chi l'ha chiuso, quando, con quale documento. Se la risposta non c'è, non ci sarà neppure davanti a un perito.
3. Verificate che le relazioni trasmesse restino ferme e che gli allegati abbiano versioni, non sovrascritture.
4. Controllate il collegamento con la sicurezza sul lavoro se l'ente ha rischi 25-septies: i dati dell'81/08 devono essere gli stessi che legge l'OdV.
5. Regolate i dati personali: contratto ex art. 28 GDPR con il fornitore, autorizzazioni dei componenti dell'OdV, requisiti del D.Lgs 24/2023 per il canale di segnalazione.

Tutti gli adempimenti 231 con le loro cadenze sono nella pagina sugli adempimenti 231. Sull'idoneità del modello di un ente specifico, e sulla scelta degli strumenti in presenza di procedimenti in corso, serve il parere del professionista che assiste l'ente.