Le basi di riferimento dell’Organismo di Vigilanza 231. Fin dove si spingono i suoi poteri?

Approfondimento a cura di Gabriela Ghet, consulente giuridico d'impresa presso Il Centro di Formazione AiFOS Applika srl

1. Introduzione

L’istituzione e l’effettiva operatività dell’Organismo di Vigilanza sono una delle condizioni necessarie affinché il Modello 231 sia idoneo a prospettare l’esenzione dalla responsabilità penale-amministrativa di cui al D.lgs. 231/2001. Ma fin dove deve spingersi il suo controllo per assicurare l’efficacia esimente?

Nella prassi, il lavoro svolto dagli Organismi di Vigilanza 231 presso gli enti si presenta caratterizzato da un certo margine di discrezionalità. Ciò è dato dalla scarsità di definizioni e prescrizioni normative da parte del Decreto 231 e dall’assenza di linee guida specifiche atte a disciplinare questo ruolo sempre più presente nelle realtà societarie.

La chiave per provare a definire cosa un OdV debba fare per raggiungere il suo scopo ultimo (cioè creare condizioni di tutela tali da portare l’ente ad ottenere l’esenzione da responsabilità amministrativa in caso di commissione di un reato presupposto) è l’analisi delle pronunce dei giudici che di questo si sono occupati in prima persona.

2. Il dato normativo

Ancor prima della giurisprudenza, ricordiamo solo brevemente quella diversa base di partenza rappresentata dal corpo normativo di riferimento contenuto nel D.lgs. 231/2001. Il fulcro della disciplina è contenuto nell’art. 6; in primis il suo comma 1, lettera b):

“(…) l'ente non risponde se prova che:
b) il compito di vigilare sul funzionamento e l'osservanza dei modelli, di curare il loro aggiornamento è stato affidato a un organismo dell'ente dotato di autonomi poteri di iniziativa e di controllo
(…)
d) non vi è stata omessa o insufficiente vigilanza da parte dell'organismo di cui alla lettera b).”

Rilevano poi altri due precetti contenuti nel comma secondo dell’art. 6:

“2. In relazione all'estensione dei poteri delegati e al rischio di commissione dei reati, i modelli di cui alla lettera a), del comma 1, devono rispondere alle seguenti esigenze:
c) individuare modalità di gestione delle risorse finanziarie idonee ad impedire la commissione dei reati;
d) prevedere obblighi di informazione nei confronti dell'organismo deputato a vigilare sul funzionamento e l'osservanza dei modelli;”

Quanto alla lettera c) comma 2, seppur non venga menzionato espressamente l’Organismo di Vigilanza, il legislatore ci indica l’esigenza che l’attività preventiva dei reati all’interno della società (il cui primo promotore è proprio l’Organismo di Vigilanza) sia adeguatamente finanziata e le modalità di gestione di tali risorse siano identificate all’interno di procedure formalizzate nel Modello.

La lettera d) invece, a prima vista, più che di un “fare” da parte dell’OdV sembrerebbe parlare di un “ricevere”. Condizione essenziale affinché l’OdV possa svolgere il suo lavoro è ricevere costantemente flussi informativi dalle unità operative dell’ente. È chiaro che la lettura da farsi non è quella di un “obbligo passivo” in cui l’OdV è mero ricevente, bensì di un’attività di reporting di cui l’OdV deve farsi primo promotore, provvedendo alle richieste – dettagliate -  e ai necessari solleciti. Se non accogliessimo questa lettura, la qualificazione, operata dal legislatore, dei flussi informativi come “obbligatori”, perderebbe di significato.

Oltre ad altri due successivi commi dell’art. 6 (segnatamente: il comma 4 nel quale si afferma la possibilità che, negli enti di piccole dimensioni, le funzioni di OdV vengano svolte dall’organo dirigente; e il comma 4-bis che assegna questa possibilità al collegio sindacale, al consiglio di sorveglianza o al comitato per il controllo della gestione delle società di capitali) è così che si esaurisce la disciplina dell’Organismo di Vigilanza, nulla avendo da aggiungere nemmeno la Relazione ministeriale al D. Lgs n. 231/2001.

3. Le linee guida

Possiamo ora valutare, prima di passare all’analisi della giurisprudenza, un’ulteriore base di riferimento che è rappresentata dalle molteplici linee guida in materia di Modelli 231 presenti allo stato attuale. Per citarne alcune tra le più rilevanti, troviamo le storiche linee guida di Confindustria denominate “Linee guida per la costruzione dei modelli di organizzazione, gestione e controllo ai sensi del decreto legislativo 8 giugno 2001, n. 231” la cui ultima versione risale a giugno 2021; successivamente, la Prassi di riferimento UNI/PdR 138:2023 dal titolo “Modello semplificato di organizzazione, gestione e controllo di cui al D.Lgs. 231/2001 per la prevenzione dei reati contro la Pubblica Amministrazione e dei reati societari nelle micro e piccole imprese” pubblicate a gennaio 2023; e infine, le nuovissime “Linee di indirizzo per il monitoraggio e la valutazione del rischio della commissione dei reati relativi a salute e sicurezza sul lavoro di cui al 25 septies del d.lgs. 231/01” pubblicate a giugno 2023.

Soffermiamoci sulle Linee guida di Confindustria, le uniche, tra le diverse fonti citate, a riportare un capitolo più approfondito in tema di OdV. Riportiamo solo brevemente l’elencazione dei compiti a cui l’Organismo di Vigilanza è chiamato:

• Vigilanza sull’effettività del modello;
• Esame dell’adeguatezza del modello;
• Analisi circa il mantenimento nel tempo dei requisiti di solidità e funzionalità del modello;
• Cura del necessario aggiornamento del modello, attraverso:
  • Suggerimenti e proposte di adeguamento del modello agli organi aziendali;
  • Follow-up: verifica dell’attuazione e dell’effettiva funzionalità delle soluzioni proposte.

In materia di salute e sicurezza sul lavoro (rinvio al reato presupposto di cui all’art. 25-septies D.lgs. 231/2001) e tutela ambientale (art. 25-undecies D-lgs. 231/2001), le linee guida mettono a fuoco un importante aspetto: l’Organismo di Vigilanza non può sovrapporsi ai controlli svolti dalle figure deputate vuoi alla sicurezza, vuoi alla tutela ambientale. Una simile sovrapposizione di compiti sarebbe “tanto inutile quanto inefficace”, si legge nelle linee guida. Si evidenzia così che l’OdV debba svolgere i propri compiti su un piano differente, che non può coincidere quindi con le funzioni, ad esempio, di un Responsabile del Servizio di Prevenzione e Protezione (RSPP). Ma qual è questo “piano differente”? Per provare a dare risposta a questa domanda dobbiamo ora passare all’analisi della base giurisprudenziale formatasi in materia.

4. La giurisprudenza

Uno dei principali parametri che il Giudice è chiamato a valutare in occasione di un processo avete ad oggetto un reato presupposto, in applicazione del Decreto 231, è che non vi sia stata “omessa o insufficiente vigilanza” (art. 6, comma 1, lettera d, D.lgs. 231/2001). Parametro importantissimo in quanto l’omessa o insufficiente vigilanza da parte dell’Organismo è sufficiente a fondare la responsabilità della società, anche in quei casi in cui un OdV è stato sì nominato, ma magari solo formalmente in quanto nel concreto tale nomina è rimasta lettera morta.

4.1 Un caso in cui il Giudice ha ritenuto insufficiente la vigilanza dell’OdV è la vicenda giudiziaria che ha investito la Banca Monte Paschi di Siena, precisamente con la pronuncia del Tribunale di Milano, Sez. II, sentenza n. 10748 del 7 aprile 2021. Il Tribunale è giunto a ritenere la Banca responsabile degli illeciti amministrativi 231 contestati, nonostante la presenza di un MOGC 231 (ritenuto inadeguato) e di un OdV formalmente istituito ma la cui omessa – o almeno insufficiente – vigilanza ha portato a ritenere fondata la colpa di organizzazione di cui al Decreto 231.

La sentenza, in primo luogo, ribadisce l'importanza della effettività degli autonomi poteri di controllo dell'Organismo nonché della concreta indipendenza dei suoi componenti. Ma ciò che è stato rimproverato all’Organismo di Vigilanza della Banca è che, pur essendo munito di penetranti poteri di iniziativa e controllo e pur in presenza di molteplici segnali d'allarme, tra cui le stesse notifiche degli atti di indagine di cui l’OdV era a conoscenza, ha omesso i dovuti accertamenti assistendo inerte agli accadimenti, limitandosi a insignificanti prese d'atto. Altro aspetto rilevato dal Tribunale riguarda le riunioni periodiche dell’Organismo. Si evidenzia come il regolamento interno dell’OdV prevedesse, correttamente, l’obbligo di riunirsi con periodicità almeno trimestrale (e ogniqualvolta ve ne fosse stata la necessità), assicurando così la continuità d’azione. Di ben trenta sedute avvenute nel periodo di riferimento, solamente quattro di queste sono state dedicate alla trattazione delle attività sensibili coinvolte nei reati successivamente contestati.

4.2 Riportiamo poi la pronuncia della Cassazione penale, Sez. VI, sentenza n. 23401 dell’11 novembre 2021 (nella nota vicenda Impregilo). Uno dei principali passaggi della sentenza riguarda l’individuazione del metro dell'ingerenza consentita all'Organismo di Vigilanza sugli atti degli apicali, e quindi il contenuto necessario del modello, perché lo stesso possa reputarsi idoneo. Un modello organizzativo che rendesse obbligatorio un preventivo controllo di qualsiasi atto del presidente o dell’amministratore delegato di una società porterebbe l'Organismo di Vigilanza ad inserirsi, di fatto, nella gestione di quest'ultima, in tal modo, esorbitando dal compito affidatogli dal Decreto 231, art. 6, lett. b), che è solamente quello di individuare e segnalare le criticità del modello e della sua attuazione, senza alcuna responsabilità di gestione. Invero, l'Organismo di Vigilanza non può avere connotazioni di tipo gestorio, che ne minerebbero inevitabilmente la stessa autonomia: ad esso spettano, piuttosto, compiti di controllo sistemico e continuativo sulle regole cautelari predisposte.

4.3 Per la vicenda che ha invece investito la Banca Popolare di Vicenza, la pronuncia della Corte d’Appello di Venezia, Sez. I Pen., sentenza n. 3348 del 4 gennaio 2023 statuisce l’inadeguatezza del Modello 231 a causa della mancanza di indipendenza dell’OdV - vista l’osmosi tra i membri dell’OdV e gli apicali dell’ente - con le invalidanti conseguenze che ne derivano dal punto di vista dei poteri di controllo dell’Organismo stesso, della sua libertà di parola e di iniziativa all’interno dell’organizzazione. Il giudice si sofferma inoltre sull’inadeguatezza e mancanza di effettività dell’OdV, aspetti confermati dalla durata della condotta illecita (si parla di alcuni anni), il numero elevato dei soggetti coinvolti, e il fatto che l’OdV non abbia mai fatto oggetto di verifica o di discussione l’attività sensibile che ha portato alla commissione del reato presupposto (sebbene fosse a conoscenza dell’operazione).

Ulteriormente, la sentenza sottolinea la rilevanza del contenuto dei verbali, rimproverando, nel caso di specie che “i verbali delle riunioni dell’OdV non sono che la plastica espressione di un organismo che interpretava il proprio ruolo in modo meramente formale, posto che non offrono la benché minima contezza di alcuna programmazione di attività di verifica, né evidenziano che fossero state rilevate criticità, neppure in relazione ai casi più eclatanti”.

La mancanza di indipendenza dell’OdV si è poi riverberata anche sui destinatari e in particolare sui dipendenti della società, in quanto, mancando una netta scissione tra OdV e apicali sono venute meno anche le garanzie di riservatezza e le rassicurazioni di tutela tipiche di un sistema di Whistleblowing idoneamente costituito. A causa di ciò, non è stata effettuata alcuna segnalazione di condotte irregolari ai sensi del Modello 231, nonostante le numerose lamentele dei dipendenti per alcune “pressioni” fatte presenti anche ai sindacati.

5. La nuova policy del Whistleblowing

A proposito di segnalazioni, possiamo concludere con un ultimo spunto di riflessione reso necessario dall’entrata in vigore della nuova disciplina sul Whistleblowing (D.lgs. 10 marzo 2023, n. 24; in attuazione della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell'Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali). Quel che è certo è che il nuovo atto normativo necessariamente impatta e ridefinisce le incombenze operative degli Organismi di Vigilanza.

Anzitutto occorre riportare che, nonostante lo scetticismo iniziale di alcuni, le Linee Guida dell’ANAC (Autorità Nazionale Anti-Corruzione), approvate con Delibera n° 311 del 12 luglio 2023, hanno riconosciuto espressamente che il ruolo di gestore del canale di segnalazione interno alla società possa essere assegnato, tra gli altri, agli organi di internal audit, all’Organismo di Vigilanza previsto dalla disciplina del d.lgs. n. 231/2001, ai comitati etici (…). Così facendo, l’OdV viene investito di una serie di nuove funzioni operative - che già ricordano quelle passate - legate alla ricezione delle segnalazioni, alla relativa attività istruttoria nonché al loro seguito, ma che si differenziano per la necessità di collocarsi all’interno di nuovi schemi di dettaglio legati al rispetto dei termini, delle procedure e delle garanzie tracciate dal D.Lgs. 24/2023. Si rende dunque necessario, vista l’entrata in vigore della nuova disciplina già a partire dal 15 luglio 2023 (17 dicembre 2023 per le aziende private che impiegano meno di 249 dipendenti) una modifica del Modello 231 inserendovi una nuova policy Whistleblowing e un’attività di aggiornamento normativo da parte dei membri dell’Organismo di Vigilanza.