Compliance aziendale

Partire dai rischi reali dell’impresa

 

La compliance serve a rendere riconoscibili le responsabilità e controllabili le decisioni. Un’impresa che affida acquisti, pagamenti, gestione del personale e rapporti con la Pubblica Amministrazione alle stesse persone ha esigenze diverse da un gruppo con funzioni separate. Il punto di partenza è capire come il lavoro viene svolto davvero, anche quando le prassi si sono allontanate dall’organigramma.

 

Esaminiamo attività, processi decisionali, rapporti con terzi e documentazione. Mettiamo a confronto le regole scritte con le prassi e individuiamo le aree nelle quali un potere non chiaro, un controllo mancante o un passaggio non documentato può esporre l’impresa. Il risultato è un elenco ragionato di interventi, con priorità e responsabilità definite.

 

Modello 231: adozione e attuazione

 

Il d.lgs. 231/2001 disciplina la responsabilità dell’ente per determinati reati commessi nel suo interesse o vantaggio. Il modello organizzativo non è una certificazione generale di conformità: la sua rilevanza dipende anche dall’idoneità dei presidi e dalla loro effettiva attuazione. Il sistema va costruito sui rischi dell’attività, aggiornato e accompagnato da controlli verificabili.

 

Il lavoro può comprendere mappatura delle attività sensibili, revisione di protocolli e clausole contrattuali, coordinamento di deleghe e procure, flussi informativi, sistema disciplinare e supporto alla formazione. Il ruolo dell’organismo di vigilanza rimane distinto dall’assistenza dello studio. Prima dell’incarico definiamo le competenze necessarie e il contributo di specialisti penali, tecnici e organizzativi.

 

Whistleblowing: un canale da far funzionare

 

La disciplina del d.lgs. 24/2023 richiede anzitutto di verificare se e con quale perimetro si applica all’organizzazione. L’analisi riguarda le segnalazioni ammesse, i destinatari delle tutele, il canale interno e il soggetto incaricato della gestione. Una casella email indicata sul sito, da sola, non risolve l’organizzazione del processo.

 

Affianchiamo l’impresa nella definizione delle procedure: ricezione e valutazione della segnalazione, interlocuzione riservata, gestione dei conflitti di interessi, accertamenti e conservazione dei documenti. Coordiniamo la tutela della riservatezza e dei dati con le esigenze di verifica e difesa. Una segnalazione deve essere esaminata; non equivale alla prova del fatto denunciato.

 

Deleghe, procedure e rapporti con i terzi

 

Chi può impegnare la società? Chi autorizza una spesa e chi controlla la prestazione? Che cosa accade quando il responsabile è assente? Sono domande operative che una procedura deve risolvere. Verifichiamo la coerenza tra poteri formali, limiti di importo, competenze effettive e flussi di approvazione, senza attribuire a una semplice delega un effetto liberatorio automatico.

 

Nei rapporti con fornitori, agenti, consulenti e partner esaminiamo obblighi informativi, dichiarazioni, clausole di controllo e rimedi in caso di violazione. Le previsioni contrattuali devono essere compatibili con i processi interni: inserire un obbligo che nessuno verifica può lasciare intatta la criticità che si voleva affrontare.

 

Un esempio: l’impresa apre una nuova attività

 

Immaginiamo una società che acquisisce un ramo d’azienda e mantiene in uso le procedure precedenti. Cambiano però responsabili, fornitori, autorizzazioni e modalità di pagamento. Il nostro lavoro consiste nell’individuare i punti di discontinuità, verificare i poteri, raccordare contratti e procedure e definire quali controlli aggiornare prima dell’avvio. È un esempio illustrativo, non la descrizione di un incarico.

 

Il confronto coinvolge amministratori, referenti operativi e consulenti già presenti. Non sostituiamo il presidio tecnico o gestionale dell’impresa: rendiamo chiari i profili giuridici, le alternative e le attività che devono essere affidate alle competenze appropriate.

 

Documenti e risultato del lavoro

 

Per il primo esame sono utili organigramma, statuto, deleghe e procure, eventuale modello 231, codice etico, procedure operative, contratti significativi e documentazione delle criticità già emerse. Per il whistleblowing servono anche procedura del canale, incarichi, informative e accordi con i fornitori. Concordiamo modalità protette per i documenti riservati e limiti di accesso alle segnalazioni.

 

La restituzione distingue ciò che richiede un intervento immediato, ciò che può essere programmato e ciò che va monitorato. Il piano indica attività, referenti e verifiche successive. Nuove operazioni, cambiamenti organizzativi o incidenti possono richiedere una revisione prima della verifica periodica.

 

Le domande da chiarire all’inizio

 

Serve rifare tutto se esistono già modello e procedure? Non necessariamente: prima verifichiamo se i documenti descrivono ancora l’organizzazione e se i presidi funzionano. La priorità può essere l’attuazione di una regola già corretta, non la produzione di un nuovo documento.

 

Chi gestisce il canale e chi svolge le verifiche? Sono ruoli da definire espressamente, con competenze, autonomia e strumenti adeguati. L’assistenza legale, la gestione delle segnalazioni e gli incarichi di vigilanza non si presumono compresi gli uni negli altri. Perimetro e responsabilità vengono concordati prima dell’avvio.

 

Percorsi collegati

 

Legal Check-up · Corporate e governance · Privacy, digitale e AI · Lavoro e personale

 

Riferimenti: d.lgs. 231/2001; d.lgs. 24/2023; linee guida ANAC sui canali interni; parere del Garante privacy.