Risk Assessment 231: il processo alla base di un Modello 231 efficace
Quando si parla di Modello 231, l’attenzione viene spesso concentrata sul documento finale: la Parte Generale, le Parti Speciali, i protocolli, il Codice Etico, il sistema disciplinare, i flussi informativi verso l’Organismo di Vigilanza.
Ma un Modello di organizzazione, gestione e controllo non dovrebbe essere prima scritto e successivamente adattato all’organizzazione.
Per poter stabilire quali regole, controlli e protocolli siano effettivamente necessari occorre conoscere l’ente, comprenderne il funzionamento, ricostruirne i processi e individuare dove e attraverso quali modalità potrebbero concretamente manifestarsi i rischi di commissione dei reati rilevanti ai sensi del D.Lgs. 231/2001.
La qualità del Risk Assessment incide direttamente sulla qualità del Modello che verrà costruito: un’analisi superficiale o standardizzata rischia infatti di produrre protocolli altrettanto generici, mentre una conoscenza strutturata dei processi, delle responsabilità, dei poteri e dei controlli consente di progettare misure di prevenzione coerenti con l’effettiva esposizione dell’organizzazione.
Il Risk Assessment deve quindi essere considerato non come un documento da aggiungere al fascicolo 231, ma come un processo di analisi dal quale devono discendere le scelte che danno forma al sistema di prevenzione.
Indice dell’articolo
- Perché il Risk Assessment viene prima del Modello 231
- Che cos’è realmente il Risk Assessment 231
- Mappatura, attività sensibili, Risk Assessment e Gap Analysis
- Come si svolge un Risk Assessment 231
- Dalle attività sensibili agli scenari di rischio-reato
- Valutare i presidi e il rischio 231
- Dal Risk Assessment alla progettazione del Modello 231
- Risk Assessment, governance e adeguati assetti
- Quando aggiornare il Risk Assessment 231
1. Perché il Risk Assessment viene prima del Modello 231
Il D.Lgs. 231/2001 non prescrive una specifica metodologia denominata “Risk Assessment 231” e non stabilisce che l’ente debba predisporre un documento che porti necessariamente questo nome.
L’art. 6, comma 2, del D.Lgs. 231/2001 individua però alcune esigenze alle quali il Modello deve rispondere. Tra queste vi sono l’individuazione delle attività nel cui ambito possono essere commessi reati e la previsione di specifici protocolli diretti a programmare la formazione e l’attuazione delle decisioni dell’ente in relazione ai reati da prevenire.
Il collegamento tra questi due elementi è determinante.
Prima di stabilire come prevenire un rischio, occorre comprendere dove quel rischio è presente, come potrebbe manifestarsi e quali controlli lo presidiano già.
Non sarebbe possibile progettare in modo fondato un protocollo relativo, ad esempio, alla selezione dei fornitori, alla gestione dei rapporti con la Pubblica Amministrazione, alla formazione del bilancio o alla gestione delle risorse finanziarie senza avere prima ricostruito come tali attività vengono effettivamente svolte, chi vi interviene, quali decisioni vengono assunte e attraverso quali controlli.
Le Linee Guida di Confindustria rendono particolarmente evidente questa logica. Nell’ambito del processo di costruzione del sistema di prevenzione 231 individuano infatti due passaggi fondamentali: da un lato l’identificazione dei rischi potenziali, attraverso l’analisi del contesto aziendale per comprendere in quali aree e secondo quali modalità potrebbero verificarsi gli eventi rilevanti; dall’altro la progettazione del sistema di controllo, attraverso la valutazione dei presidi esistenti e il loro eventuale adeguamento rispetto ai rischi precedentemente identificati.
È in questo percorso che trova collocazione il Risk Assessment 231.
Prima dei protocolli viene la conoscenza dell’organizzazione
Questo passaggio è essenziale perché il sistema 231 non opera in una struttura separata dall’organizzazione.
I controlli previsti dal Modello intervengono dentro processi aziendali che già esistono, coinvolgono persone che esercitano determinate responsabilità, utilizzano procedure e sistemi informativi, si inseriscono in livelli autorizzativi, deleghe, procure e flussi decisionali già presenti.
Per questo motivo, prima di definire ulteriori presidi, il Risk Assessment deve consentire di comprendere almeno:
- come è strutturata l’organizzazione;
- quali sono i principali processi e le attività rilevanti;
- quali soggetti vi intervengono e con quali responsabilità;
- dove vengono assunte le decisioni;
- quali poteri autorizzativi e di firma sono attribuiti;
- quali procedure, controlli e sistemi di tracciabilità sono già presenti;
- quali flussi informativi collegano le diverse funzioni;
- quali eventuali criticità o debolezze organizzative possono incidere sulla capacità di prevenzione.
Non significa trasformare il Risk Assessment in un’analisi indistinta di ogni attività aziendale. Il livello di approfondimento deve essere proporzionato alle caratteristiche dell’ente, alla sua complessità e ai rischi che progressivamente emergono.
Significa, invece, evitare di valutare il rischio 231 senza conoscere il contesto nel quale quel rischio dovrebbe essere gestito.
Il Risk Assessment non è ancora il Modello, ma ne determina l’impostazione
Il Risk Assessment e il Modello 231 devono quindi rimanere concettualmente distinti.
Il primo analizza l’organizzazione e la sua esposizione ai rischi; il secondo definisce il sistema organizzativo e di controllo predisposto per prevenire i reati individuati come rilevanti.
Ma proprio per questa ragione esiste tra i due un rapporto molto stretto.
Dall’analisi dovrebbero emergere le informazioni necessarie per decidere:
- quali attività richiedono specifici protocolli;
- quali responsabilità devono essere meglio definite e dove è necessaria una maggiore segregazione delle funzioni;
- quali controlli devono essere introdotti o rafforzati;
- quali attività devono essere tracciate e quali evidenze devono essere conservate;
- quali livelli autorizzativi devono essere previsti;
- quali informazioni devono confluire verso l’Organismo di Vigilanza;
- quali comportamenti e modalità operative devono essere oggetto di informazione o formazione.
In altri termini, il Risk Assessment non costituisce il Modello 231, ma dovrebbe costituirne la base informativa e metodologica.
È anche per questo che un Modello realmente costruito sull’organizzazione non può derivare dalla semplice personalizzazione di documenti standard.
Due imprese appartenenti allo stesso settore, con dimensioni apparentemente analoghe, possono avere processi, sistemi di delega, livelli di esternalizzazione, modalità decisionali, rapporti con clienti e fornitori e sistemi di controllo profondamente differenti. Di conseguenza, anche a fronte delle stesse categorie di reato-presupposto, possono presentare scenari di rischio e necessità di presidio differenti.
Il punto di partenza non è quindi chiedersi “quali protocolli deve contenere un Modello 231?” , ma:
“come funziona questa organizzazione, dove possono manifestarsi i rischi 231 e quali misure sono necessarie per governarli?”
È a queste domande che un Risk Assessment ben progettato deve essere in grado di rispondere.
2. Che cos’è realmente il Risk Assessment 231
Il Risk Assessment 231 è un processo strutturato di analisi attraverso il quale vengono individuate e valutate le situazioni nelle quali, considerando le caratteristiche e il funzionamento concreto dell’organizzazione, possono assumere rilevanza i reati-presupposto previsti dal D.Lgs. 231/2001.
Il suo obiettivo non è stabilire semplicemente quali reati siano astrattamente riferibili all’ente. Deve consentire di comprendere dove il rischio può manifestarsi, attraverso quali attività e possibili modalità, quali soggetti e decisioni sono coinvolti e quali presidi preventivi risultano effettivamente presenti.
Questa impostazione richiede di partire dall’organizzazione reale.
Un’impresa non è esposta a un rischio 231 soltanto perché una determinata fattispecie di reato è prevista dal Decreto. Il rischio assume concretezza nel momento in cui viene ricondotto alle attività svolte, ai processi attraverso i quali vengono assunte ed eseguite le decisioni, ai rapporti con soggetti interni ed esterni, ai poteri esercitati e alle modalità con cui tali attività vengono controllate e documentate.
Per questo il Risk Assessment non dovrebbe essere costruito procedendo esclusivamente dal catalogo dei reati-presupposto verso l’organizzazione. Il percorso deve essere anche inverso: comprendere come funziona l’ente e verificare, all’interno di quel funzionamento, quali rischi 231 possono effettivamente assumere rilevanza.
Il Risk Assessment non coincide con l’attribuzione di un livello di rischio
Uno degli equivoci più frequenti consiste nell’identificare il Risk Assessment con la matrice utilizzata per classificare i rischi.
La rappresentazione attraverso livelli quali basso, medio o alto, oppure mediante punteggi derivanti dalla combinazione di determinati parametri, può certamente costituire uno degli strumenti utilizzati nell’analisi. Ma il risultato numerico o qualitativo non è il Risk Assessment.
Prima di arrivare a una valutazione occorre aver costruito le informazioni che consentono di formularla: comprendere l’attività analizzata, individuare il possibile scenario di rischio, ricostruire i soggetti e le decisioni coinvolte, verificare i presidi esistenti e rilevare le eventuali vulnerabilità.
La matrice può quindi sintetizzare una valutazione, ma non può sostituire il percorso attraverso il quale quella valutazione è stata formulata.
Un livello di rischio assume infatti significato soltanto se è possibile comprenderne le ragioni e ricostruire gli elementi organizzativi e di controllo sui quali la valutazione è stata fondata.
L’output del Risk Assessment deve essere utilizzabile
Un buon Risk Assessment non dovrebbe limitarsi a classificare i rischi. Deve produrre una conoscenza sufficientemente strutturata da poter essere utilizzata nelle successive decisioni relative al sistema 231.
Per ciascuna area significativa dovrebbe essere possibile ricostruire il collegamento tra il processo e l’attività sensibile analizzati, il possibile scenario di rischio-reato, i soggetti coinvolti, i presidi esistenti, le eventuali criticità e la valutazione formulata, così da comprendere le possibili necessità di intervento.
È proprio questo collegamento a rendere il Risk Assessment utile alla progettazione del Modello.
Se, al termine dell’analisi, sappiamo soltanto che una determinata area presenta un rischio “medio” o “alto”, ma non siamo in grado di spiegare perché, attraverso quali modalità il rischio potrebbe concretizzarsi, quali controlli sono stati considerati e quali debolezze sono emerse, disponiamo di un’informazione insufficiente per progettare misure preventive realmente coerenti.
Il valore del Risk Assessment risiede quindi non soltanto nella classificazione finale, ma soprattutto nella qualità e nella tracciabilità del ragionamento che collega l’organizzazione ai rischi e i rischi ai presidi necessari.
3. Mappatura dei processi, attività sensibili, Risk Assessment e Gap Analysis: le differenze
Nella pratica professionale espressioni come mappatura dei processi, mappatura delle attività sensibili, mappatura dei rischi, Risk Assessment e Gap Analysis vengono talvolta utilizzate con significati parzialmente sovrapposti.
Non esiste, inoltre, una sequenza terminologica rigidamente stabilita dal D.Lgs. 231/2001: le singole metodologie possono aggregare o articolare diversamente le attività di analisi.
Dal punto di vista operativo è tuttavia utile distinguerle, perché rispondono a domande differenti e rappresentano passaggi diversi del percorso attraverso il quale l’organizzazione viene analizzata ai fini della costruzione del sistema 231.
Mappatura dei processi: come funziona l’organizzazione?
La mappatura dei processi serve innanzitutto a ricostruire come vengono svolte le attività dell’ente.
Non nasce necessariamente per finalità 231 e può avere un perimetro più ampio. Consente di individuare i principali processi, le rispettive fasi, i soggetti coinvolti, le responsabilità, le decisioni, i flussi informativi e documentali e le relazioni tra le diverse funzioni.
È quindi una rappresentazione del funzionamento organizzativo.
Per il Risk Assessment 231 questa conoscenza costituisce una base importante, perché i rischi non si manifestano nell’organigramma in quanto tale, ma nelle attività concretamente svolte e nei passaggi attraverso i quali vengono assunte ed eseguite le decisioni.
La mappatura dei processi risponde quindi, prima di tutto, alla domanda: come funziona l’organizzazione e attraverso quali attività, responsabilità e passaggi decisionali vengono realizzati i suoi processi?
Mappatura delle attività sensibili: dove può assumere rilevanza il rischio 231?
La mappatura delle attività sensibili ha una finalità più specifica.
Serve a individuare, all’interno dei processi dell’organizzazione, le attività nel cui ambito può concretamente presentarsi il rischio di commissione di uno o più reati-presupposto.
È un passaggio direttamente collegato all’esigenza indicata dall’art. 6, comma 2, lettera a), del D.Lgs. 231/2001, secondo cui il Modello deve individuare le attività nel cui ambito possono essere commessi reati.
Il processo e l’attività sensibile non coincidono necessariamente.
All’interno dello stesso processo possono infatti esistere fasi con diversa rilevanza ai fini 231; allo stesso modo, uno stesso rischio-reato può interessare attività appartenenti a processi differenti.
Una mappatura sufficientemente analitica deve quindi evitare associazioni generiche tra interi processi e famiglie di reato e consentire di comprendere quale specifica attività presenti una possibile rilevanza ai fini 231 e per quale ragione.
Risk Assessment: come può manifestarsi il rischio e come viene presidiato?
L’individuazione delle attività sensibili delimita le aree nelle quali il rischio può assumere rilevanza, ma non conclude l’analisi.
Il Risk Assessment approfondisce tali attività per comprendere attraverso quali possibili modalità il rischio-reato potrebbe concretamente manifestarsi nel contesto specifico dell’organizzazione e quali elementi del sistema organizzativo e di controllo intervengano rispetto a tale esposizione.
Il passaggio richiede quindi di mettere in relazione le caratteristiche dell’attività, i soggetti e le decisioni coinvolte, le possibili modalità di commissione del reato e i presidi effettivamente presenti.
Il Risk Assessment risponde pertanto a una domanda più articolata: dove è presente il rischio, attraverso quali modalità potrebbe manifestarsi e come viene attualmente presidiato?
La costruzione degli scenari di rischio-reato e la valutazione dei controlli saranno approfondite nei passaggi successivi dell’analisi.
Gap Analysis: che cosa manca rispetto al sistema di prevenzione necessario?
La Gap Analysis utilizza le informazioni prodotte dal Risk Assessment per compiere un passaggio ulteriore.
Una volta compreso il rischio e verificati i presidi esistenti, occorre confrontare ciò che l’organizzazione già possiede con ciò che sarebbe necessario per disporre di un sistema di prevenzione adeguatamente strutturato rispetto al rischio considerato.
Il gap può riguardare, ad esempio, una responsabilità non chiaramente attribuita, un’autorizzazione mancante, una segregazione insufficiente, un controllo non formalizzato, l’assenza di tracciabilità, una procedura incompleta oppure un presidio formalmente esistente ma non effettivamente applicato.
La Gap Analysis non dovrebbe partire da un catalogo standard di procedure che ogni impresa dovrebbe possedere. Il punto di riferimento deve essere il rischio emerso dall’analisi e il livello di presidio necessario per affrontarlo.
Altrimenti si corre il rischio di invertire il metodo: invece di individuare le carenze rispetto ai rischi effettivamente rilevati, si verifica semplicemente se l’organizzazione possieda una serie predeterminata di documenti o controlli.
L’individuazione dei gap rappresenta quindi l’output attraverso il quale l’analisi evidenzia le carenze o le vulnerabilità del sistema di prevenzione rispetto ai rischi considerati. Tali elementi costituiranno la base per la successiva definizione degli interventi di adeguamento.
La sequenza metodologica può quindi essere rappresentata così:
mappatura dei processi → individuazione delle attività sensibili → analisi degli scenari di rischio → verifica dei presidi → valutazione del rischio → Gap Analysis.
Non tutti i progetti utilizzeranno necessariamente queste stesse denominazioni o separeranno formalmente ogni passaggio. Ciò che conta è che la logica sottostante rimanga riconoscibile e documentata e che sia possibile comprendere come si sia giunti all’individuazione delle eventuali carenze del sistema di prevenzione.
4. Come si svolge un Risk Assessment 231: partire dalla conoscenza dell’organizzazione
Lo svolgimento di un Risk Assessment 231 prende avvio dalla conoscenza dell’ente, perché solo comprendendo come vengono effettivamente svolte le attività, assunte le decisioni ed esercitati i controlli è possibile individuare le situazioni nelle quali un rischio 231 può concretamente manifestarsi.
La conoscenza dell’organizzazione non rappresenta quindi un’attività accessoria rispetto al Risk Assessment: è ciò che consente di passare dalle fattispecie di reato astrattamente previste dalla normativa alle concrete modalità attraverso le quali il rischio potrebbe assumere rilevanza nell’ente analizzato.
Il perimetro dell’analisi deve essere costruito sulle caratteristiche dell’ente
Non tutte le organizzazioni devono essere analizzate nello stesso modo e con lo stesso livello di approfondimento.
Dimensioni, settore di attività, struttura societaria, presenza territoriale, rapporti con la Pubblica Amministrazione, utilizzo di intermediari, articolazione dei processi, grado di esternalizzazione, sistema delle deleghe, caratteristiche della supply chain e sistemi di controllo già presenti possono modificare significativamente il profilo di rischio.
Anche imprese appartenenti allo stesso settore possono presentare configurazioni molto differenti: una può gestire internamente gran parte dei processi, mentre un’altra può affidare all’esterno attività rilevanti; una può concentrare le decisioni in poche figure, mentre un’altra può adottare un sistema articolato di deleghe e autorizzazioni; una può intrattenere frequentemente rapporti con soggetti pubblici, mentre per un’altra tali rapporti possono essere marginali.
Il Risk Assessment deve quindi essere proporzionato e costruito sul contesto specifico, evitando sia analisi eccessivamente generiche sia approfondimenti indiscriminati che producono grandi quantità di informazioni senza aumentarne realmente l’utilità.
Prima di analizzare i singoli rischi è necessario, pertanto, definire il perimetro dell’ente, delle attività e dei processi che devono essere approfonditi.
L’analisi documentale: comprendere l’assetto formalizzato
Una parte importante della conoscenza iniziale deriva dall’esame della documentazione già presente nell’organizzazione.
A seconda delle caratteristiche dell’ente, possono assumere rilevanza organigrammi, mansionari, deleghe e procure, statuto e documenti di governance, procedure e policy interne, sistemi autorizzativi, regolamenti, contratti significativi, documentazione relativa ai sistemi di gestione, strumenti di controllo e reporting e altra documentazione pertinente ai processi esaminati.
L’obiettivo, tuttavia, non è raccogliere documenti in quanto tali.
L’analisi deve servire a comprendere che cosa quei documenti ci dicono sul funzionamento dell’organizzazione:
- come sono distribuite responsabilità e autorità;
- chi dispone di determinati poteri e con quali limiti;
- quali processi e attività risultano formalizzati;
- quali autorizzazioni e controlli sono previsti e a chi sono attribuiti;
- come vengono separate o concentrate determinate attività;
- quali informazioni ed evidenze devono essere prodotte, tracciate e conservate.
Questa ricostruzione restituisce però, in primo luogo, l’organizzazione formalmente prevista. Per comprendere come i processi funzionino realmente è necessario confrontare quanto emerge dai documenti con le modalità operative effettivamente adottate.
Le interviste: comprendere come i processi funzionano realmente
Un Risk Assessment non può normalmente essere fondato sulla sola documentazione.
Procedure, organigrammi e deleghe descrivono l’assetto formalizzato; l’analisi deve verificare anche ciò che avviene effettivamente nella gestione quotidiana.
Per questo assumono particolare importanza le interviste con i responsabili dei processi e con le figure che possiedono una conoscenza diretta delle attività esaminate.
L’intervista non dovrebbe limitarsi a chiedere:
“Esiste un controllo su questa attività?”
Dovrebbe invece consentire di ricostruire concretamente il processo: come nasce l’attività, chi la avvia, quali soggetti intervengono, quali informazioni vengono utilizzate, chi assume e autorizza le decisioni, come vengono gestite le eccezioni, quali controlli vengono effettuati e quali evidenze rimangono delle attività svolte.
Questo tipo di ricostruzione consente di far emergere eventuali differenze tra quanto previsto formalmente e quanto avviene nella pratica: una procedura può non essere applicata secondo le modalità definite oppure possono esistere prassi e controlli operativi non adeguatamente formalizzati.
L’obiettivo dell’intervista non è quindi raccogliere dichiarazioni sull’esistenza dei controlli, ma comprendere il funzionamento reale del processo e verificare la corrispondenza tra assetto formalizzato e prassi operative.
Il Risk Assessment deve ricostruire anche responsabilità, poteri e passaggi decisionali
Conoscere un processo significa anche comprendere chi può fare cosa.
La distribuzione delle responsabilità e dei poteri incide direttamente sulla configurazione del sistema di controllo.
Nell’analisi devono quindi essere considerate non soltanto le attività operative, ma anche le modalità attraverso le quali vengono assunte, autorizzate ed eseguite le decisioni: attribuzioni organizzative, deleghe, procure, limiti di spesa, livelli autorizzativi, eventuali sostituzioni e modalità di gestione delle eccezioni.
Un processo nel quale la stessa persona può avviare un’operazione, selezionare la controparte, autorizzare l’impegno e verificarne l’esecuzione presenta una configurazione organizzativa molto diversa da un processo nel quale tali responsabilità sono distribuite tra soggetti differenti.
Non è però sufficiente verificare formalmente la presenza di più soggetti. Occorre comprendere se la distribuzione delle responsabilità determina una reale separazione delle decisioni e dei controlli oppure se, nella pratica, attività rilevanti continuano a concentrarsi sulla medesima persona o funzione.
La ricostruzione di processi, responsabilità, poteri, flussi informativi e controlli non deve quindi produrre una semplice descrizione dell’organizzazione. Deve costruire la base informativa necessaria per individuare dove e attraverso quali modalità i rischi 231 possono concretamente manifestarsi.
Su questa base diventa possibile chiedersi attraverso quali comportamenti, decisioni o modalità operative, all’interno delle attività individuate, potrebbe essere commesso o agevolato un reato rilevante ai sensi del D.Lgs. 231/2001. È il passaggio che conduce dalla conoscenza dell’organizzazione alla costruzione degli scenari di rischio-reato.
5. Dalle attività sensibili agli scenari di rischio-reato
L’individuazione delle attività sensibili consente di stabilire dove il rischio 231 può assumere rilevanza, ma non descrive ancora attraverso quali modalità potrebbe concretamente manifestarsi.
Per compiere questo passaggio è necessario costruire possibili scenari di rischio-reato, collegando la fattispecie normativa alle caratteristiche dell’attività, alle modalità con cui il processo viene realmente svolto, ai soggetti coinvolti e ai passaggi decisionali rilevanti.
Lo scenario consente quindi di passare dall’individuazione dell’area sensibile alla comprensione concreta delle possibili modalità di esposizione al rischio.
Dal reato astratto alla possibile modalità di commissione
I reati-presupposto costituiscono necessariamente il riferimento normativo dell’analisi, ma non possono rappresentarne l’unico livello.
Il Risk Assessment non dovrebbe infatti limitarsi a verificare se una determinata fattispecie sia astrattamente applicabile all’ente. Deve comprendere attraverso quali comportamenti, decisioni o utilizzi distorti dei processi aziendali quella fattispecie potrebbe concretamente assumere rilevanza nel contesto analizzato.
Consideriamo, ad esempio, l’affidamento di un incarico professionale. Individuare in questa attività un possibile rischio corruttivo delimita l’area di attenzione, ma non descrive ancora la modalità attraverso la quale il rischio potrebbe manifestarsi.
In relazione alle caratteristiche del processo, uno scenario potrebbe riguardare, ad esempio, l’affidamento di un incarico o la corresponsione di un compenso non adeguatamente giustificati, utilizzati per attribuire direttamente o indirettamente un’utilità indebita a un soggetto collegato a un decisore.
Non significa affermare che una simile condotta si sia verificata o che sia probabile. Lo scopo dell’analisi è diverso: individuare modalità ragionevolmente ipotizzabili attraverso le quali l’attività potrebbe essere utilizzata per realizzare o agevolare un reato, così da poter verificare se l’organizzazione dispone di presidi adeguati a prevenirle.
Lo scenario di rischio non descrive quindi un fatto accaduto, ma una possibile modalità di manifestazione del rischio costruita sulla base delle caratteristiche dell’attività e del processo analizzati.
Costruire scenari di rischio coerenti con il processo analizzato
Gli scenari di rischio non dovrebbero essere formulati in modo standard e applicati indistintamente a organizzazioni differenti. Devono derivare dalle informazioni raccolte attraverso l’analisi documentale, la ricostruzione dei processi, le interviste e l’esame delle responsabilità e dei poteri.
Uno scenario dovrebbe essere sufficientemente specifico da consentire di comprendere quale attività è interessata, quale possibile condotta viene ipotizzata, quali soggetti potrebbero intervenire, attraverso quale passaggio del processo e quali condizioni organizzative potrebbero rendere possibile o facilitare la condotta.
Il livello di dettaglio deve però rimanere proporzionato. Non è necessario descrivere ogni possibile combinazione teorica attraverso la quale potrebbe essere commesso un reato: un’analisi costruita su tutte le ipotesi astrattamente concepibili diventerebbe rapidamente complessa e poco utilizzabile. Occorre invece individuare gli scenari ragionevolmente pertinenti rispetto alle caratteristiche dell’ente e alle modalità con cui l’attività viene effettivamente svolta.
Lo stesso processo di acquisto può, ad esempio, presentare scenari di rischio differenti in un’impresa che opera prevalentemente con fornitori privati, in una società che partecipa a commesse pubbliche oppure in un’organizzazione che ricorre frequentemente a consulenti, intermediari o soggetti esteri.
Il processo può avere lo stesso nome, ma gli scenari di rischio e i presidi da verificare possono essere differenti. È anche per questa ragione che un Risk Assessment non dovrebbe essere replicato automaticamente da un’organizzazione all’altra.
Perché un’associazione generica tra processo e reato non è sufficiente
Una mappatura costruita esclusivamente associando processi e famiglie di reato può produrre una rappresentazione apparentemente completa, ma poco utile ai fini della prevenzione.
Una classificazione come:
Acquisti → corruzione → rischio medio
individua un’area di esposizione, ma non consente ancora di comprendere quale attività presenti il rischio, attraverso quale modalità potrebbe realizzarsi la condotta, quali soggetti siano coinvolti, quali controlli operino e perché sia stato attribuito proprio quel livello di rischio.
Se queste informazioni non sono ricostruibili, diventa difficile stabilire quali misure preventive siano realmente necessarie. La qualità dello scenario di rischio condiziona quindi anche la qualità del controllo che potrà essere valutato o successivamente progettato.
Il rapporto tra rischio e presidio deve pertanto essere sufficientemente specifico da consentire di comprendere quale scenario è stato individuato, quali controlli intervengono su di esso e quali eventuali vulnerabilità emergono dall’analisi.
Gli scenari devono considerare anche il possibile interesse o vantaggio dell’ente
Nell’analisi 231 esiste un elemento che distingue il rischio-reato da una generica analisi dei rischi di illegalità.
L’art. 5 del D.Lgs. 231/2001 collega infatti la responsabilità dell’ente alla commissione del reato nel suo interesse o vantaggio e la esclude quando l’autore abbia agito nell’interesse esclusivo proprio o di terzi.
La costruzione degli scenari di rischio deve quindi tenere conto anche di questa dimensione. Non è sufficiente chiedersi se un determinato soggetto possa commettere un illecito nello svolgimento della propria attività: occorre valutare la possibile rilevanza della condotta nel quadro della responsabilità dell’ente.
Questo non significa anticipare valutazioni giuridiche riferite a un eventuale caso concreto, ma evitare che il Risk Assessment si trasformi in una raccolta indistinta di tutte le condotte illecite astrattamente commettibili da chi opera nell’organizzazione.
Gli scenari devono quindi rimanere coerenti con lo specifico sistema di responsabilità disciplinato dal D.Lgs. 231/2001.
La costruzione dello scenario non rappresenta, tuttavia, il punto di arrivo dell’analisi. Uno scenario sufficientemente specifico deve consentire di individuare quali elementi del sistema organizzativo e di controllo sono chiamati a prevenirne o contrastarne la possibile realizzazione.
È questo collegamento che permette di passare dall’analisi delle modalità attraverso le quali il rischio potrebbe manifestarsi alla verifica dei presidi effettivamente presenti nell’organizzazione.
6. Valutare i presidi e il rischio 231
Una volta individuati gli scenari di rischio-reato, il Risk Assessment deve verificare quali presidi intervengono su ciascuno di essi e in quale misura risultano adeguati rispetto al rischio analizzato.
La presenza di procedure, autorizzazioni o controlli non consente infatti, da sola, di concludere che il rischio sia adeguatamente presidiato. Occorre comprendere come i controlli sono progettati, chi ne è responsabile, se vengono effettivamente applicati e quali evidenze ne consentono la verifica.
Le Linee Guida Confindustria collocano la valutazione e l’eventuale adeguamento del sistema dei controlli preventivi dopo l’identificazione dei rischi potenziali, confermando il collegamento metodologico tra rischio individuato, presidi esistenti e valutazione della loro adeguatezza.
Dal controllo dichiarato al controllo effettivo
Durante l’analisi è frequente rilevare procedure, livelli autorizzativi, verifiche o prassi di controllo che, almeno formalmente, sembrano presidiare l’attività sensibile.
Il Risk Assessment deve però andare oltre la semplice constatazione della loro presenza. Un controllo può essere formalmente previsto ma non applicato con continuità, può essere svolto secondo modalità differenti da quelle definite oppure può essere effettivamente operativo senza essere adeguatamente formalizzato o tracciato.
Per questo è necessario distinguere due aspetti.
Il primo riguarda il disegno del controllo: occorre verificare se il presidio, così come è stato configurato, sia coerente con lo scenario di rischio che dovrebbe fronteggiare.
Il secondo riguarda la sua effettiva applicazione: occorre comprendere se il controllo venga realmente eseguito secondo le modalità previste e se sia possibile verificarne lo svolgimento.
Consideriamo, ad esempio, una procedura che preveda l’approvazione di un secondo soggetto prima dell’affidamento di un incarico professionale.
L’esistenza della doppia autorizzazione costituisce un primo elemento, ma non conclude l’analisi. È necessario verificare quale valutazione venga effettuata dal secondo soggetto, quali informazioni abbia a disposizione, se possa realmente negare l’autorizzazione, come vengano gestite le eccezioni e quale evidenza rimanga dell’approvazione.
Se il secondo passaggio consiste, nella pratica, in una mera conferma automatica della decisione già assunta, la presenza formale di due soggetti non equivale necessariamente a un effettivo rafforzamento del controllo.
Lo stesso criterio vale per gli altri presidi: segregazione delle funzioni, poteri autorizzativi, controlli gerarchici, procedure, verifiche documentali, sistemi informatici, riconciliazioni, tracciabilità e flussi informativi devono essere esaminati rispetto allo specifico rischio che sono chiamati a presidiare.
La domanda non dovrebbe quindi essere soltanto:
“il controllo esiste?”
ma:
“questo controllo, per come è progettato e realmente applicato, è in grado di incidere sullo scenario di rischio individuato?”
È questa verifica che permette di attribuire ai presidi un peso effettivo nella successiva valutazione del rischio.
Rischio inerente, presidi esistenti e rischio residuo
Una volta ricostruito lo scenario e analizzati i controlli, il Risk Assessment può procedere alla valutazione dell’esposizione al rischio.
Nelle metodologie di risk assessment viene frequentemente distinta la situazione di rischio considerata prima dell’effetto dei presidi da quella risultante dopo avere valutato i controlli esistenti.
Nel contesto 231 questa distinzione consente di separare concettualmente:
il rischio inerente, riferito all’esposizione associata all’attività e allo scenario considerato senza attribuire efficacia ai controlli esistenti;
e il rischio residuo, che rappresenta il livello di esposizione che permane dopo avere considerato i presidi effettivamente presenti e la loro capacità di prevenzione.
La distinzione consente di rispondere a due domande differenti:
quanto è rilevante questo scenario per l’organizzazione?
e:
quanto il sistema di controllo esistente riesce effettivamente a governarlo?
Un’attività può presentare un rischio inerente significativo e risultare adeguatamente presidiata grazie a un sistema di controllo strutturato. Viceversa, anche un’esposizione iniziale più contenuta può richiedere attenzione quando i controlli risultano deboli, poco chiari o non adeguatamente applicati.
L’utilità della valutazione non consiste quindi soltanto nell’attribuire una classe al rischio residuo, ma nel comprendere in quale misura i presidi incidano sulla valutazione e quali controlli abbiano contribuito al risultato.
È da questo confronto che possono emergere le vulnerabilità e i gap sui quali intervenire.
La matrice rappresenta la valutazione, non la sostituisce
Il risultato dell’analisi viene spesso rappresentato attraverso matrici, scale qualitative o sistemi di punteggio. Questi strumenti possono essere utili per rendere confrontabili le valutazioni, individuare priorità e sintetizzare il profilo di rischio dell’organizzazione.
Diventano però problematici quando la determinazione del punteggio diventa l’obiettivo dell’analisi anziché la sua rappresentazione finale.
Attribuire a un rischio un valore “medio”, “alto” oppure un determinato punteggio non consente, da solo, di comprendere quali scenari siano stati analizzati, quali controlli siano stati considerati e quali ragioni abbiano condotto al giudizio espresso.
Due situazioni classificate entrambe come “rischio medio” possono infatti derivare da configurazioni molto differenti: ad esempio, da un rischio inerente significativo mitigato da controlli robusti oppure da un’esposizione inferiore accompagnata da presidi più deboli.
La metodologia deve quindi rendere comprensibili i criteri utilizzati, gli elementi considerati e le motivazioni che supportano la valutazione.
La matrice svolge la propria funzione quando sintetizza in modo coerente un’analisi già svolta; diventa invece un elemento puramente formale quando produce una precisione apparente non supportata da informazioni sufficienti.
Il dato realmente utilizzabile non è soltanto il livello attribuito al rischio, ma il percorso che consente di comprendere come quel livello sia stato determinato e quali eventuali debolezze del sistema di controllo siano emerse.
È su queste informazioni che può fondarsi il passaggio successivo dalla valutazione del rischio alla definizione degli interventi di adeguamento.
7. Dal Risk Assessment alla progettazione del Modello 231
Il Risk Assessment non si esaurisce nella valutazione dell’esposizione al rischio. Il suo esito deve rendere possibile il passaggio dall’analisi alla progettazione del sistema di prevenzione.
Le informazioni progressivamente raccolte e messe in relazione — attività sensibili, scenari di rischio, presidi esistenti, valutazioni e gap — devono consentire di comprendere quali aspetti dell’organizzazione richiedono un intervento e su quali elementi tale intervento deve essere costruito.
È in questo passaggio che i risultati del Risk Assessment diventano criteri per progettare e rafforzare il Modello 231, trasformando le evidenze emerse dall’analisi in misure organizzative e di controllo coerenti con i rischi effettivamente individuati.
Dai gap agli interventi di adeguamento
Una volta individuato un gap, il passaggio successivo consiste nel comprendere quale intervento sia effettivamente necessario per ridurre la vulnerabilità emersa.
La risposta non dovrebbe essere automatica. La presenza di una carenza non implica necessariamente la necessità di introdurre una nuova procedura: occorre intervenire sull’elemento che determina concretamente l’inadeguatezza del presidio.
A seconda del gap rilevato, può essere necessario:
- chiarire ruoli, responsabilità o poteri;
- rafforzare la segregazione delle funzioni o modificare un passaggio autorizzativo;
- introdurre o revisionare procedure e protocolli;
- rafforzare controlli, tracciabilità ed evidenze delle attività svolte;
- adeguare deleghe, procure o sistemi autorizzativi;
- definire specifici flussi informativi o interventi di informazione e formazione.
In alcuni casi può quindi essere sufficiente rendere più chiara una responsabilità o rendere verificabile un controllo già esistente; in altri può essere necessario modificare in modo più significativo il processo o introdurre nuovi presidi.
Gli interventi dovrebbero inoltre essere definiti e prioritizzati considerando la rilevanza del rischio, la natura della vulnerabilità e le caratteristiche dell’organizzazione, evitando di introdurre misure sproporzionate o puramente documentali.
L’obiettivo non è aumentare il numero dei documenti che compongono il sistema 231, ma rafforzare il sistema organizzativo e di controllo nei punti in cui il Risk Assessment ha evidenziato un’effettiva necessità di intervento.
Dal rischio ai protocolli, alle responsabilità e ai controlli
Il D.Lgs. 231/2001 richiede che il Modello preveda specifici protocolli diretti a programmare la formazione e l’attuazione delle decisioni dell’ente in relazione ai reati da prevenire.
Alla luce del Risk Assessment, il carattere “specifico” del protocollo non dipende soltanto dal fatto che esso sia riferito a un determinato processo o a una particolare famiglia di reati. Il protocollo deve essere costruito in modo coerente con le concrete modalità attraverso le quali il rischio può manifestarsi nell’organizzazione e con le vulnerabilità effettivamente rilevate.
Se, ad esempio, nell’affidamento di incarichi professionali l’analisi ha evidenziato un’eccessiva discrezionalità nella selezione, l’assenza di verifiche sulla congruità dei compensi e una debole tracciabilità della prestazione, le misure di prevenzione dovranno intervenire proprio su questi elementi, prevedendo criteri di selezione, livelli autorizzativi, verifiche sulla congruità economica, modalità di documentazione della prestazione e regole per la liquidazione del compenso.
La stessa logica riguarda anche le altre componenti del sistema 231. Il Risk Assessment può evidenziare la necessità di intervenire sulla distribuzione delle responsabilità, sulle deleghe, sulla segregazione delle funzioni, sui controlli, sui flussi informativi, sulla tracciabilità, sui sistemi autorizzativi e sulle attività formative.
Il Modello non dovrebbe quindi sovrapporre all’organizzazione un sistema parallelo di regole costruite esclusivamente per finalità documentali, ma integrarsi nei processi ordinari dell’ente, utilizzando e rafforzando, ove necessario, i sistemi organizzativi e di controllo attraverso i quali l’attività viene realmente gestita.
La tracciabilità tra rischio individuato e presidio adottato
Un Risk Assessment ben costruito dovrebbe consentire di ricostruire il percorso che conduce dall’analisi dei rischi alle misure contenute nel Modello.
Per ogni presidio significativo dovrebbe essere possibile comprendere quale scenario di rischio è chiamato a fronteggiare, quale eventuale gap è stato rilevato, quale intervento di adeguamento è stato definito e quale misura organizzativa o procedurale è stata conseguentemente adottata.
Questa tracciabilità è importante non soltanto nella fase di progettazione, ma anche nella successiva gestione del Modello. Consente di verificare nel tempo se il presidio continui a essere coerente con il rischio considerato, di comprendere l’impatto delle modifiche organizzative e di valutare la necessità di aggiornare protocolli e controlli.
Permette inoltre di evitare che il Modello si trasformi progressivamente in un insieme di disposizioni delle quali non sia più chiara la ragione originaria.
La relazione dovrebbe essere ricostruibile lungo l’intero percorso:
processo → attività sensibile → scenario di rischio-reato → presidi esistenti → gap → intervento di adeguamento → protocollo o controllo → responsabilità → evidenza → vigilanza.
Questo non significa che il Modello debba necessariamente rappresentare l’intera sequenza in un unico documento o in una tabella particolarmente complessa. Ciò che conta è che il collegamento sia ricostruibile e documentato attraverso gli output prodotti durante il progetto 231.
È anche qui che emerge una delle principali conseguenze di un Risk Assessment insufficiente: attività sensibili individuate in modo troppo ampio producono scenari poco definiti; scenari poco definiti rendono difficile valutare i controlli; una valutazione debole dei controlli genera gap generici; gap generici conducono facilmente a protocolli standard.
Il problema di un Risk Assessment debole non consiste quindi soltanto nell’avere una rappresentazione dei rischi meno accurata: rischia di compromettere la logica sulla quale viene costruito l’intero sistema di prevenzione.
Un Modello può essere formalmente completo e contenere numerose procedure, ma risultare comunque poco aderente all’organizzazione se non è possibile comprendere quali rischi abbiano determinato le misure previste.
La qualità del sistema 231 non dovrebbe quindi essere ricercata nel numero dei documenti prodotti, ma nella coerenza tra rischi concretamente individuati, caratteristiche dell’organizzazione e misure di prevenzione adottate. È il Risk Assessment a costruire e rendere verificabile questo collegamento.
8. Risk Assessment 231, governance e adeguati assetti
Il lavoro di analisi svolto per costruire il sistema 231 produce informazioni che possono risultare utili anche oltre lo specifico perimetro della prevenzione dei reati-presupposto.
Ricostruire processi, responsabilità, poteri, flussi informativi, sistemi autorizzativi e controlli significa infatti acquisire una conoscenza strutturata di elementi rilevanti del funzionamento dell’impresa.
Queste informazioni mantengono una finalità specifica nell’ambito del Risk Assessment 231, ma possono essere riutilizzate nel più ampio sistema di governance e, per gli aspetti pertinenti, nel percorso di valutazione e rafforzamento degli assetti organizzativi.
Il collegamento assume rilievo anche alla luce dell’art. 2086, comma 2, c.c., che richiede all’imprenditore che operi in forma societaria o collettiva di istituire un assetto organizzativo, amministrativo e contabile adeguato alla natura e alle dimensioni dell’impresa, anche in funzione della tempestiva rilevazione della crisi e della perdita della continuità aziendale.
La conoscenza organizzativa prodotta dal Risk Assessment
L’analisi può far emergere, ad esempio, responsabilità non chiaramente definite, concentrazioni di poteri, passaggi decisionali poco strutturati, carenze nei flussi informativi, controlli insufficienti o sistemi di tracciabilità non coerenti con le attività svolte.
Si tratta di elementi individuati nell’ambito di un’analisi orientata alla prevenzione dei reati-presupposto, ma che possono evidenziare debolezze più generali del sistema organizzativo e di controllo dell’impresa.
Un documento del CNDCEC, pur con specifico riferimento all’integrazione dei rischi informatici nel Modello 231, richiama la logica della “prevenzione mediante organizzazione” e colloca il sistema 231 all’interno di una più ampia prospettiva di governance e controllo interno.
In questa prospettiva, la conoscenza prodotta dal Risk Assessment può diventare una base informativa organizzativa riutilizzabile, mettendo a disposizione elementi che possono assumere rilevanza anche oltre lo specifico perimetro della prevenzione 231.
Il rapporto con gli adeguati assetti: punti di contatto e confini
Il collegamento tra Risk Assessment 231 e adeguati assetti deve essere interpretato con attenzione, perché i due piani non coincidono.
Il Risk Assessment 231 è finalizzato a individuare e analizzare i rischi connessi alla possibile commissione dei reati-presupposto e a verificare la capacità dei relativi presidi preventivi.
Gli adeguati assetti presentano invece un perimetro più ampio: comprendono le componenti organizzativa, amministrativa e contabile e rispondono anche alle esigenze di tempestiva rilevazione della crisi e della perdita della continuità aziendale.
Un Risk Assessment 231, pertanto, non è sufficiente, da solo, per esprimere una valutazione complessiva sull’adeguatezza degli assetti organizzativi, amministrativi e contabili dell’impresa.
Può tuttavia fornire un contributo significativo, soprattutto sul versante organizzativo. La mappatura dei processi, la verifica delle responsabilità e dei poteri, l’analisi della segregazione delle funzioni, dei sistemi autorizzativi, dei flussi informativi e dei controlli producono infatti informazioni utilizzabili anche nel più ampio percorso di valutazione e rafforzamento degli assetti.
Il rapporto dovrebbe quindi essere letto in termini di integrazione e riutilizzo della conoscenza, non di sovrapposizione.
In questo senso, un Risk Assessment ben condotto può produrre un risultato ulteriore rispetto alla sola compliance 231: rendere più leggibile il funzionamento dell’organizzazione e mettere a disposizione informazioni utili per una gestione più consapevole dei processi, delle responsabilità e dei controlli.
È un valore che non sostituisce la più ampia valutazione degli adeguati assetti, ma può contribuire a evitare duplicazioni e a ricondurre le informazioni prodotte dal progetto 231 all’interno del più ampio sistema di governo dell’impresa.
9. Quando aggiornare il Risk Assessment 231
Il Risk Assessment non dovrebbe essere considerato un’attività da svolgere una sola volta, in occasione della prima adozione del Modello.
Nel tempo possono cambiare processi, responsabilità, sistemi utilizzati, modalità operative, rapporti con soggetti esterni e lo stesso perimetro dei reati-presupposto rilevanti per l’ente. Un’analisi inizialmente coerente con l’organizzazione può quindi perdere progressivamente attendibilità se non viene riesaminata alla luce dei cambiamenti intervenuti.
Il D.Lgs. 231/2001 non stabilisce una periodicità fissa con la quale debba essere ripetuto un documento denominato “Risk Assessment”. L’esigenza di aggiornamento deve essere invece letta all’interno del più ampio sistema di funzionamento e mantenimento del Modello.
Più che collegare il Risk Assessment a una scadenza puramente formale, è quindi necessario individuare gli eventi che possono modificare il profilo di rischio dell’organizzazione o l’adeguatezza dei presidi esistenti.
Tra questi possono assumere particolare rilevanza:
- l’introduzione o la modifica di reati-presupposto rilevanti per l’ente;
- l’avvio di nuove attività, prodotti, servizi o mercati e le modifiche significative dei processi aziendali;
- riorganizzazioni, operazioni societarie o variazioni rilevanti della struttura;
- modifiche di deleghe, procure, responsabilità o sistemi autorizzativi;
- l’introduzione di sistemi informativi o modalità operative che incidano sui processi sensibili;
- variazioni significative nei rapporti con fornitori, intermediari, partner o attività esternalizzate;
- criticità, anomalie, violazioni, segnalazioni o risultati delle attività di controllo e vigilanza che evidenzino possibili debolezze dei presidi o mettano in discussione la precedente valutazione del rischio.
Non ogni cambiamento richiede necessariamente di ripetere integralmente il Risk Assessment. L’aggiornamento dovrebbe essere proporzionato alla natura e all’impatto della modifica intervenuta.
L’introduzione di una nuova categoria di reato-presupposto può richiedere, ad esempio, di verificare quali processi e attività dell’ente possano assumere rilevanza rispetto alla nuova fattispecie; una riorganizzazione può invece rendere necessario riesaminare responsabilità, poteri, segregazione delle funzioni e controlli nei soli processi interessati. Cambiamenti più estesi possono rendere opportuna una revisione più ampia dell’analisi.
Il punto non è quindi aggiornare periodicamente una matrice perché è trascorso un determinato intervallo di tempo, ma verificare se la rappresentazione dei rischi sulla quale è stato costruito il Modello continui a corrispondere alla realtà dell’organizzazione.
L’aggiornamento deve pertanto consentire di valutare l’impatto dei cambiamenti sulle attività sensibili, sugli scenari di rischio, sui presidi e sugli eventuali gap, individuando le parti dell’analisi e del sistema di prevenzione che devono essere riesaminate.
In questo senso, l’aggiornamento del Risk Assessment consente di mantenere allineata l’analisi dei rischi ai cambiamenti intervenuti nell’organizzazione e nei relativi presidi, individuando quando sia necessario riesaminare anche le misure del sistema 231.
Il valore del Risk Assessment 231 non risiede quindi nella produzione di una matrice o nella semplice classificazione dei rischi, ma nella capacità di costruire una conoscenza sufficientemente strutturata dell’organizzazione sulla quale fondare le scelte del sistema di prevenzione.
Un’analisi efficace deve rendere comprensibile dove il rischio può manifestarsi, attraverso quali modalità, quali presidi sono effettivamente presenti e quali vulnerabilità richiedono un intervento. Solo così le misure contenute nel Modello possono essere ricondotte ai rischi che sono chiamate a prevenire e alle caratteristiche concrete dell’ente.
Il Risk Assessment consente quindi di mantenere riconoscibile il collegamento tra organizzazione, rischio e misura di prevenzione, evitando che il Modello 231 si trasformi in un sistema documentale parallelo o in un insieme di regole standardizzate poco aderenti al funzionamento effettivo dell’organizzazione.
La qualità di un Modello 231 dipende, in larga misura, dalla qualità del processo attraverso il quale sono stati conosciuti e valutati i rischi sui quali quel Modello è stato costruito. Un valido Risk Assessment ne costituisce quindi non soltanto il punto di partenza, ma la base attraverso la quale il sistema di prevenzione può essere progettato, verificato e mantenuto coerente nel tempo con l’evoluzione dell’organizzazione.
Ogni Risk Assessment 231 deve essere costruito sulla realtà dell’organizzazione.
Se stai avviando o aggiornando un progetto 231, possiamo confrontarci sul percorso di analisi, sul perimetro da considerare e sulla coerenza tra rischi individuati, presidi e Modello.