Governance e Compliance
Modello 231, whistleblowing e audit di compliance sono tre strumenti diversi con un obiettivo comune: il controllo interno dell'azienda. Il Modello 231 previene i reati commessi nell'interesse dell'ente. Il whistleblowing fa emergere le irregolarità che nascono dentro l'organizzazione. L'audit di compliance verifica nel tempo che regole e procedure vengano rispettate davvero, e non solo scritte su carta.
Cos'è la governance aziendale in ottica di compliance?
La governance aziendale in ottica di compliance è l'insieme di regole, ruoli e controlli che un'azienda adotta per rispettare le norme e prevenire illeciti. Modello 231, whistleblowing e audit di compliance sono tre strumenti di questo sistema, ciascuno con una funzione diversa.
Il Modello 231 agisce prima del fatto: costruisce protocolli che riducono la possibilità che un reato venga commesso nell'interesse dell'ente. Il whistleblowing agisce quando qualcosa non ha funzionato: dà a chi lavora in azienda un canale sicuro per segnalare comportamenti illeciti o irregolarità. L'audit di compliance agisce nel tempo: verifica periodicamente che le regole vengano applicate e non solo scritte su carta. Un'azienda che adotta tutti e tre gli strumenti costruisce un sistema di controllo interno coerente, dove ogni pezzo copre un momento diverso del rischio: prima, durante e dopo. Non sono tre adempimenti separati da gestire in modo scollegato l'uno dall'altro. Un audit può far emergere la necessità di aggiornare il Modello 231, ad esempio quando cambia l'attività dell'ente. Un Organismo di Vigilanza può usare le segnalazioni whistleblowing come fonte di allerta precoce su rischi che i protocolli non avevano ancora intercettato. Per questo motivo conviene guardare questi tre strumenti come un sistema unico di governance, e non come tre pratiche isolate gestite da persone diverse senza comunicazione tra loro. Un'azienda che li integra riduce il tempo che passa tra il momento in cui un rischio emerge e il momento in cui viene corretto.
Chi deve adottare il Modello 231?
Il Modello 231 è il modello organizzativo che il D.Lgs. 231/2001 prevede per gli enti che possono rispondere in via amministrativa per reati commessi da amministratori, dirigenti o dipendenti nel loro interesse. Adottare un Modello 231 efficace consente all'ente di ridurre o escludere questa responsabilità.
La responsabilità amministrativa da reato non colpisce solo chi ha materialmente commesso il fatto. Colpisce anche l'ente, se il reato è stato commesso nel suo interesse o a suo vantaggio. Questo vale per gli amministratori, per i dirigenti e per i dipendenti: chiunque agisca per conto dell'ente può, con la sua condotta, esporre l'ente stesso a questa responsabilità. Un ente che non ha un Modello 231, o che ne ha uno solo formale, resta esposto per intero a questa responsabilità in caso di reato. Un Modello 231 costruito con un'analisi dei rischi corretta, invece, dimostra che l'ente ha fatto quanto necessario per prevenire il reato prima ancora che venga commesso. Questo è il motivo per cui vale la pena valutarlo indipendentemente dal settore o dalla dimensione dell'azienda: la domanda giusta non è se l'azienda è obbligata per legge in astratto, ma se è esposta al rischio concreto di reati commessi nel suo interesse. Un ente che ha rapporti frequenti con la Pubblica Amministrazione, che gestisce dati sensibili, o che ha responsabilità dirette in materia di sicurezza sul lavoro, valuta il Modello 231 non come un costo ma come una protezione strutturale.
Cos'è l'Organismo di Vigilanza (OdV)?
L'Organismo di Vigilanza (OdV) è un team indipendente istituito nell'ambito del Modello 231. Il suo compito è supervisionare l'applicazione del modello organizzativo.
L'OdV non si limita a certificare che il Modello 231 sia stato scritto e archiviato. Lavora insieme alla definizione dei protocolli di controllo, quindi entra nel merito di come l'azienda previene concretamente i reati-presupposto. Monitora l'applicazione del modello nel tempo, non solo al momento della sua adozione iniziale. Aggiorna i controlli quando le condizioni dell'azienda cambiano, ad esempio quando cambia l'attività svolta, l'organizzazione interna o l'esposizione a un determinato rischio. La sua indipendenza è la caratteristica distintiva rispetto ad altri organi di controllo interni: un organismo che dipende da chi dovrebbe controllare perde gran parte della sua funzione di garanzia. Per questo l'OdV lavora come organo separato, con un compito di supervisione continuativa e non come adempimento una tantum legato alla sola adozione del modello. Un Modello 231 senza un OdV che lavora davvero rischia di restare un documento formale, valido sulla carta ma privo di un controllo reale sulla sua applicazione quotidiana.
Quali sono i reati-presupposto del Modello 231?
I reati-presupposto sono i reati che, se commessi nell'interesse dell'ente, generano la responsabilità amministrativa. Il D.Lgs. 231/2001 li raggruppa in 8 categorie.
Reati contro la Pubblica Amministrazione (corruzione, concussione, truffa)
Reati societari (false comunicazioni sociali)
Reati in materia di sicurezza sul lavoro
Reati ambientali
Reati informatici e trattamento illecito di dati
Reati di criminalità organizzata
Reati contro la persona
Reati di abuso di mercato
Ogni categoria copre un'area diversa dell'attività aziendale. I reati contro la Pubblica Amministrazione riguardano corruzione, concussione e truffa nei rapporti con enti pubblici. I reati societari riguardano le false comunicazioni sociali, quindi la correttezza dei bilanci e delle comunicazioni verso soci e terzi. I reati in materia di sicurezza sul lavoro e i reati ambientali riguardano la gestione operativa dei rischi fisici e ambientali legati all'attività dell'ente. I reati informatici riguardano il trattamento illecito di dati, un'area che riguarda ormai quasi ogni tipo di azienda. I reati di criminalità organizzata, i reati contro la persona e i reati di abuso di mercato coprono altre aree specifiche, più legate al settore e al tipo di operazioni svolte. Non tutte le categorie sono rilevanti per ogni azienda: l'analisi dei rischi del Modello 231 individua quali si applicano davvero, in base all'attività svolta, e su queste concentra i protocolli di controllo.
Chi è obbligato al whistleblowing?
Con il D.Lgs. 24/2023, tutte le aziende con più di 50 dipendenti devono implementare un sistema di gestione delle segnalazioni conforme alla normativa.
Il D.Lgs. 24/2023 recepisce la Direttiva UE 2019/1937. Il whistleblowing consente a dipendenti, collaboratori e stakeholder di segnalare in modo riservato e protetto comportamenti illeciti o irregolarità all'interno dell'organizzazione. La soglia dei 50 dipendenti è il criterio che fa scattare l'obbligo per l'azienda. Un'azienda sopra questa soglia deve avere un canale di segnalazione conforme, non un semplice indirizzo email interno improvvisato senza garanzie di riservatezza. Il canale deve garantire riservatezza e deve essere gestito da un soggetto formato per farlo, capace di ricevere, analizzare e dare seguito alle segnalazioni ricevute. Un sistema whistleblowing non conforme, anche se tecnicamente esistente, non protegge l'azienda né il segnalante allo stesso modo di un sistema costruito secondo i requisiti del decreto.
Cosa impone il D.Lgs. 24/2023 sul whistleblowing?
Il D.Lgs. 24/2023 impone 4 obblighi principali alle aziende soggette alla normativa.
Predisporre canali interni sicuri e riservati per le segnalazioni
Garantire la riservatezza dell'identità del segnalante
Prevedere formazione e comunicazione interna su diritti, tutele e modalità
Nominare un gestore o team dedicato alla ricezione e analisi delle segnalazioni
Predisporre canali interni sicuri e riservati è il primo obbligo: senza un canale davvero riservato, chi vorrebbe segnalare non lo fa, per paura di ritorsioni o di essere identificato. Garantire la riservatezza dell'identità del segnalante è il secondo: è la condizione che rende il canale credibile agli occhi di chi dovrebbe usarlo, non solo un requisito tecnico da rispettare. Prevedere formazione e comunicazione interna sui diritti e le tutele del segnalante è il terzo obbligo: un canale che nessuno sa come usare, o di cui nessuno conosce le tutele collegate, resta di fatto inutilizzato. Nominare un gestore o un team dedicato alla ricezione e all'analisi delle segnalazioni è il quarto: qualcuno deve occuparsi in modo strutturato di ogni segnalazione ricevuta, dalla verifica dei fatti fino alla relazione finale con le eventuali azioni correttive. I 4 obblighi non funzionano isolati: un canale sicuro senza un gestore formato, o una formazione senza un canale realmente riservato, lasciano il sistema incompleto e vulnerabile.
Cos'è un audit di compliance e a chi serve?
L'audit di compliance è una verifica del grado di conformità dell'azienda a normative, regolamenti e procedure interne. Serve a qualsiasi azienda o ente, non solo come obbligo legato a una singola normativa.
Un audit di compliance trasforma la conformità in un vantaggio competitivo, non solo in un costo da sostenere per rispettare un obbligo. Verifica se le procedure scritte corrispondono davvero a quello che succede in azienda ogni giorno, e non solo a quello che è documentato sulla carta. Un audit condotto da un soggetto esterno garantisce un'analisi indipendente e obiettiva, non condizionata dalle dinamiche interne dell'organizzazione o dai rapporti tra le persone che vi lavorano. Questo vale sia per un'azienda che ha già un Modello 231 o un sistema di whistleblowing e vuole verificarne l'efficacia nel tempo, sia per un'azienda che vuole semplicemente sapere a che punto è rispetto a normative come il GDPR o le certificazioni ISO. L'audit non è quindi uno strumento riservato a chi ha già avuto un problema di conformità: è utile anche a chi vuole prevenirlo, verificando lo stato reale delle proprie procedure prima che un controllo esterno lo faccia al posto suo.
Quali ambiti copre un audit di compliance?
Un audit di compliance può coprire 6 ambiti principali, in base al contesto e ai rischi dell'azienda.
Privacy e protezione dei dati personali (GDPR)
Sicurezza sul lavoro (D.Lgs. 81/2008)
Ambiente e sostenibilità
Modelli organizzativi 231
Certificazioni ISO e sistemi di gestione
Codici etici e procedure interne
Privacy e protezione dei dati personali riguarda il rispetto del GDPR nella gestione quotidiana dei dati di clienti, dipendenti e fornitori. Sicurezza sul lavoro riguarda il D.Lgs. 81/2008 e le procedure che tutelano chi lavora in azienda. Ambiente e sostenibilità riguarda gli impatti e gli obblighi ambientali legati all'attività svolta. Modelli organizzativi 231 riguarda la verifica di un Modello 231 già adottato, per controllare che sia ancora efficace e aggiornato rispetto ai rischi attuali dell'ente. Certificazioni ISO e sistemi di gestione riguarda gli standard volontari che l'azienda ha scelto di adottare, verificandone la reale applicazione. Codici etici e procedure interne riguarda le regole che l'azienda si è data da sola, al di là degli obblighi di legge, e che spesso restano meno controllate delle norme esterne. Non tutti gli ambiti sono rilevanti per ogni audit: il piano di audit si costruisce sul contesto normativo specifico dell'azienda, non su una lista uguale per tutti.
Come lavora C2Compliance su Modello 231, whistleblowing e audit?
C2Compliance segue un percorso strutturato per ciascuno dei tre servizi, con fasi distinte ma un metodo comune: analisi, implementazione, monitoraggio nel tempo.
Per il Modello 231 il percorso è in 4 fasi: analisi dei rischi, protocolli di controllo, Organismo di Vigilanza, formazione e monitoraggio. Per il whistleblowing il percorso è in 3 fasi: analisi e implementazione, gestione delle segnalazioni, formazione e sensibilizzazione. Per l'audit di compliance il percorso è in 3 fasi: analisi e pianificazione, conduzione dell'audit, relazione e miglioramento. In tutti e tre i casi il lavoro non si esaurisce con la consegna di un documento: ogni percorso prevede un monitoraggio o una gestione continuativa nel tempo, non un intervento a spot. Questo metodo comune, applicato a tre servizi diversi, è ciò che permette a C2Compliance di seguire un'azienda su più fronti di governance senza trattarli come pratiche scollegate tra loro. C2Compliance ha oltre 120 clienti attivi ed eroga più di 3.700 ore di consulenza ogni anno, su tre valori guida che orientano il lavoro con ogni cliente: Consapevolezza, Etica, Umanità.
Entra nel dettaglio
Domande frequenti
Governance e compliance sono la stessa cosa?
No. La governance è il sistema di regole e ruoli con cui l'azienda si organizza. La compliance è il rispetto delle norme all'interno di quel sistema. Modello 231, whistleblowing e audit di compliance sono gli strumenti concreti che uniscono le due cose.
Conviene partire dal Modello 231 o dal whistleblowing?
Dipende dai dipendenti e dai rischi dell'azienda. Un'azienda con più di 50 dipendenti ha già l'obbligo whistleblowing. Un'azienda esposta ai reati-presupposto del D.Lgs. 231/2001 trae beneficio dal Modello 231 indipendentemente dalla propria dimensione. Spesso i due percorsi convivono nello stesso sistema di controllo interno, senza che uno debba precedere necessariamente l'altro.
Un audit di compliance può sostituire il Modello 231 o il whistleblowing?
No. L'audit di compliance verifica la conformità a normative e procedure, incluso un Modello 231 già adottato o un sistema whistleblowing già attivo. Non sostituisce né l'adozione del modello né il sistema di segnalazioni: li controlla e segnala eventuali carenze da correggere.
Vuoi valutare la tua situazione?
Raccontaci la tua organizzazione: ti proponiamo un primo confronto senza impegno.