Il Modello di organizzazione, gestione e controllo (MOGC) di un ente è il vero cardine del sistema di prevenzione previsto dal D. lgs 231/01, indispensabile per esonerare l’ente da responsabilità amministrativa nel caso in cui il reato venga commesso nel suo interesse o vantaggio.
Già in precedenti articoli pubblicati su questa testata ci si è soffermati sulla costruzione del sistema di prevenzione dei reati presupposto nell’azienda, basato sull’interazione tra un MOGC efficace ed aggiornato, il Codice etico dell’ente, il Regolamento di disciplina, la procedura Whistleblowing ed un Organismo di vigilanza indipendente e professionalmente adeguato.
Il Tribunale di Milano, con la sentenza n. 1070 del 25.01.2024 si è soffermato particolarmente sulla efficacia del MOGC e sulla sua adeguatezza sia nella parte generale che in quella speciale.
In particolare, riguardo alla parte speciale, ha elencato una serie di requisiti ritenuti necessari per determinare l’adeguatezza del Modello ai requisiti richiesti dal D lgs. 231/01:
“Calandoci, invece, sul terreno della 'cautela' è giunto il momento di analizzare il contenuto dei protocolli di prevenzione del rischio reato, analisi che verrà condotta prima in linea teorica per poi entrare nel merito del Modello 231 adottato …. valutarne la sua adeguatezza ai fini della prevenzione del rischio……
Considerata, pertanto, l'assoluta rilevanza di questi strumenti di prevenzione nel sistema delineato dal d.lgs. 231/01, occorre scrutane i contenuti. Anche su questo il dettato normativo è stato parco di che, pertanto, sono state elaborate soprattutto dalla giurisprudenza.
Una primordiale informazione la ricaviamo dall'art. 6 co. 2 d.lgs. 231701 ovvero che un Modello idoneo deve "individuare le attività nel cui ambito possono essere commessi reati", cioè le c.d. attività sensibili.
La configurazione delle attività a rischio reato, denominata anche "mappatura del rischio" (risk assessment), consiste in una fase cognitivo-rappresentativa funzionale alla prevenzione del rischio-reato ed alla valutazione del suo grado di intensità. Infatti, come nel diritto penale individuale, sia il coefficiente psicologico che quello della colpa presuppongono che l'agente si sia rappresentato il rischio derivante dalla sua condotta attraverso le conoscenze disponibili in quel momento, allo stesso modo l'ente collettivo è chiamato a fare una ricognizione a tappeto dei fattori di rischio, il che risulta un'attività sicuramente più complicata rispetto a quanto avvenga nell'agire individuale, dal momento che ancora una volta si richiede un efficace metodo organizzativo di rilevamento e di mappatura, pertanto, dovrà snodarsi attraverso un procedimento contraddistinto da:
a) individuazione delle aree potenzialmente a rischio reato con particolare riguardo alle aree c.d. strumentali, ovvero quelle che gestiscono strumenti finanziari, destinati a supportare la commissione dei reati stessi;
b) rilevazione processi sensibili dai quali derivare le ipotesi di reato perseguibili, il che significa le attività al cui espletamento è connesso il rischio di commissione di reati, indicando le direzioni ed i ruoli aziendali coinvolti;
c) rilevazione e valutazione del grado di efficacia dei sistemi operativi e di controllo già in atto di individuare i punti di criticità rispetto alla prevenzione del rischio-reato;
d) descrizione delle possibili modalità di commissione dei reati, allo scopo di forgiare le indispensabili "cautele' preventive.
Sotto questo profilo particolarmente importante è un'attenta analisi dell'evoluzione dell'organigramma aziendale, che consiste nell'appurare, diacronicamente, gli eventuali mutamenti organizzativi intervenuti nel tessuto aziendale, allo scopo di verificare se siano stati indotti da disfunzioni operative o da violazioni comportamentali, che hanno Ieso un pregiudizio, anche solo potenziale all'ente. In altre parole si tratta di verificare l'adeguatezza nel tempo del protocollo e la sua idoneità a conformarsi ai mutamenti strutturali avvenuti all'interno della società.
Descritta la fase del c.d. risk assessment, il contenuto sicuramente più significativo del Modello 231 è rappresentato dai protocolli di comportamento che integrano il secondo fondamentale contenuto del dovere di organizzazione che grava sugli enti, in quanto hanno come obiettivo strategico quello della “cautela”, cioè l'apprestamento di misure idonee a ridurre continuativamente e ragionevolmente il rischio-reato. Lo strumento per conseguire detto obiettivo è la predisposizione di un processo, di un sistema operativo che deve essere caratterizzato da cautele puntuali, concrete ed orientate sul rischio da contenere. Alla determinatezza, si deve affiancare anche l'efficace attuazione nel senso che Io strumento di prevenzione non deve risolversi in un mero “supporto cartaceo” che sarebbe sicuramente poco efficace sul piano applicativo: uno dei principi fondamentali, che deve ispirare il contenuto e l'operatività dei protocolli è quello della 'segregazione delle funzioni' , in base al quale i soggetti che intervengono in una fase non possono svolgere alcun ruolo nelle altre fasi del processo decisionale e ciò, Io si capisce, risponde, all'esigenza di evitare che il processo o una parte rilevante di esso resti nelle mani di un'unica funzione, con il rischio di ingenerare conflitti di interesse capaci di accentuare il rischio. Una volta definita l'orditura dei protocolli, il loro contenuto richiede:
a) l'indicazione di un responsabile del processo a rischio-reato, il cui compito principale è quello di assicurare che il sistema operativo sia adeguato ed efficace rispetto al fine che intende perseguire;
b) la regolamentazione del processo, ovvero l'individuazione dei soggetti che hanno il presidio di una specifica funzione, e ciò in osservanza del predetto principio di segregazione delle funzioni;
c) la specificità e la dinamicità del protocollo, laddove iI primo requisito evoca la sua aderenza sostanziale rispetto al rischio da contenere, mentre il secondo presupposto attiene alla capacità del modello di adeguarsi ai mutamenti organizzativi che avvengono nella compagine sociale;
d) la garanzia di completezza dei flussi informativi, che rivestono un ruolo assolutamente centrale sul versante dell'effettività della cautela e, da ultimo, un efficace monitoraggio e controllo di linea, ovvero quelli esercitati dal personale e dal management esecutivo come parte integrante della propria attività gestionale e decisionale, il che non solo la necessaria distinzione tra controllore e controllato, ma anche la necessiti di evitare possibili condizionamenti impropri che possono verificarsi ogniqualvolta il controllo esercitato da soggetti che condividono con i controllati la medesima prospettiva retributiva, sia in termini di incentivazione che di disincentivazione.”
Un vero decalogo per la redazione del MOGC in questa sentenza, che costituisce una pietra miliare nella applicazione del D. lgs 231/01, che punta alla effettività del Modello, alla sua attualità, alla concreata applicabilità all’interno dell’Ente ed alla necessità della interoperabilità tra le varie componenti del sistema di prevenzione aziendale.
Nessuna delle componenti di tale sistema (Mogc, Codice etico, Regolamento di disciplina, Organismo di vigilanza, procedura Whistleblowing) può funzionare singolarmente o essere da sola sufficiente ad esonerare da responsabilità amministrativa l’Ente: solo la perfetta ed aggiornata sincronia del sistema di prevenzione può consentire l’applicazione da parte della magistratura, come avvenuto con la citata sentenza del Tribunale di Milano, dell’esimente dell’art. 6 del D. lgs 231/01.
