La mappatura dei rischi 231 si documenta costruendo una matrice che colleghi ogni attività sensibile dell’impresa a: fattispecie 231 pertinenti, soggetti e poteri effettivi, decisioni da governare, protocollo applicabile, controllo previsto ed evidenza da conservare. Non è sufficiente elencare i reati presupposto o raccogliere documenti: la documentazione deve rendere ricostruibile perché un processo è stato valutato, chi opera, quale controllo interviene e come l’Organismo di Vigilanza riceve le informazioni rilevanti.
L’art. 6 del D.Lgs. 231/2001 richiede di individuare le attività nel cui ambito possono essere commessi reati e di prevedere protocolli per la formazione e l’attuazione delle decisioni. La matrice è quindi uno strumento organizzativo utile per tradurre tale impostazione nell’operatività reale; da sola, tuttavia, non dimostra né l’idoneità né l’efficace attuazione del Modello organizzativo 231.
In sintesi
- Partire dai processi effettivi, non da un catalogo astratto di reati.
- Per ogni processo sensibile, indicare decisione, responsabile, potere, controllo, documento prodotto e flusso verso l’OdV.
- Confrontare deleghe e procure con chi approva, firma, dispone pagamenti o gestisce rapporti esterni nella pratica.
- Tenere distinta l’evidenza dell’esistenza di un protocollo dalla prova della sua applicazione.
- Riesaminare la matrice quando cambiano organizzazione, poteri, processi o norme pertinenti.
Dalla mappa al fascicolo verificabile
Il primo passaggio è delimitare l’unità di analisi. Una riga della mappa non dovrebbe limitarsi a formule quali “acquisti” o “rapporti con la pubblica amministrazione”: dovrebbe individuare una decisione o un’attività concreta, per esempio la selezione di un fornitore, l’approvazione di una spesa, la gestione di un rifiuto, il conferimento di un incarico o la chiusura di una contestazione.
Per ciascuna riga occorre poi collegare il processo alle fattispecie potenzialmente pertinenti, senza presumere che siano esposte tutte le aree dell’impresa. Il collegamento va motivato con le caratteristiche del processo e non con la sola denominazione della funzione. A quel punto la documentazione deve mostrare la catena: organigramma e funzionigramma chiariscono i ruoli; deleghe e procure delimitano i poteri; il protocollo descrive passaggi e autorizzazioni; registri, verbali, ordini, controlli o report costituiscono riscontri dell’applicazione.
Un controllo è documentato in modo utile quando è possibile rispondere a quattro domande: chi lo svolge, su quale decisione o evento, con quale criterio e quale traccia lascia. Una firma senza riferimento all’oggetto approvato, per esempio, può confermare che un documento esiste ma non chiarisce se il controllo previsto dal protocollo sia stato svolto. Analogamente, una delega aggiornata ma non coerente con le autorizzazioni effettivamente utilizzate segnala uno snodo da approfondire.
La gestione delle risorse finanziarie merita una riga o un collegamento specifico quando il processo comporta impegni, pagamenti, rimborsi o disponibilità economiche. L’art. 6 richiede modalità di gestione delle risorse finanziarie idonee a impedire la commissione dei reati; nella mappatura, ciò si traduce nella verifica della separazione tra chi richiede, autorizza, esegue e controlla, secondo l’organizzazione concreta.
Per approfondire la distinzione tra protocollo scritto e riscontri operativi, può essere utile leggere quali prove mostrano che il Modello organizzativo 231 è applicato e non solo scritto.
Caso tipo: una società con processi cambiati
Si consideri una società ipotetica che ha introdotto un nuovo responsabile operativo e affidato a un’altra funzione l’approvazione di alcuni fornitori. Il Modello 231, invece, continua a indicare ruoli e passaggi precedenti. Non è un caso reale né consente conclusioni sulla responsabilità dell’ente: serve a individuare cosa documentare.
- Verifica dell’attività. La società ricostruisce il processo di qualifica del fornitore: richiesta interna, controlli richiesti, scelta, approvazione e archiviazione. Il dato decisivo è chi svolge ciascun passaggio nella realtà, non soltanto chi è nominato in un documento generale.
- Snodo sui poteri. Si confrontano organigramma, deleghe, procure e soglie autorizzative con le persone che hanno effettivamente approvato le decisioni esaminate. Se il responsabile operativo svolge un passaggio non previsto, la conclusione operativa è aggiornare il flusso o riallineare poteri e documenti; un singolo documento corretto non risolve la discordanza.
- Evidenza del controllo. La matrice indica che la qualifica richiede una verifica e un’approvazione. Per rendere il controllo verificabile, la società conserva il criterio applicato, l’esito, il soggetto che ha approvato e il riferimento alla decisione. Se manca uno di questi elementi, la riga resta incompleta e va assegnata un’azione correttiva documentata.
Il fatto che cambierebbe la conclusione è l’esistenza di un protocollo già aggiornato e di evidenze coerenti, oppure l’emersione di poteri esercitati stabilmente in modo diverso. Nel primo caso si registra la coerenza verificata; nel secondo si individua una priorità di aggiornamento, senza dedurre automaticamente alcun effetto sull’ente.
La matrice delle aree esposte
La tabella seguente non è un catalogo di rischi presunti per ogni impresa. È un esempio di struttura da usare soltanto se l’attività svolta rende pertinente l’area indicata.
| Area di rischio | Fattispecie o processo aziendale | Documento da verificare |
|---|---|---|
| Gestione di rifiuti | Raccolta, trasporto, recupero, smaltimento, commercio o intermediazione; verifica di autorizzazioni, iscrizioni o comunicazioni quando pertinenti. | Titoli abilitativi applicabili, incarichi, registrazioni di processo, controlli sul soggetto incaricato e flussi all’OdV. |
| Rifiuti non pericolosi | Processi nei quali vi sia il rischio concreto di abbandono, deposito o immissione nelle acque nelle condizioni previste dall’art. 255-bis. | Istruzioni operative, attribuzioni di responsabilità, segnalazioni, report di controllo ed eventuali verbali. |
| Rifiuti pericolosi | Processi che comportino rifiuti pericolosi e richiedano una verifica distinta delle condotte e delle condizioni dell’art. 255-ter. | Classificazione e tracciabilità rilevanti, ruoli, controlli e segnalazioni pertinenti. |
| Combustione illecita | Processi esposti al deposito incontrollato o a eventi che rendano pertinente l’art. 256-bis. | Presidi di gestione, controlli sui luoghi e sui trasferimenti, segnalazioni e flussi di escalation. |
La riga sull’art. 256 non consente di qualificare una condotta concreta senza verificare attività svolta, titoli applicabili, condizioni e fatti. Le righe sugli artt. 255-bis, 255-ter e 256-bis richiedono la stessa prudenza: descrivono fattispecie differenti e non autorizzano a presumere esposizione o responsabilità.
Aggiornamento normativo da registrare
Il D.L. 116/2025 ha modificato l’art. 25-undecies del D.Lgs. 231/2001 ed è stato convertito con modificazioni dalla L. 147/2025. Nel testo vigente dell’art. 25-undecies rientrano anche richiami agli artt. 255-bis, 255-ter, 256 e 256-bis del D.Lgs. 152/2006. Per la mappatura, l’aggiornamento non consiste nell’aggiungere indiscriminatamente nuove righe: occorre confrontare il testo vigente con i processi realmente svolti e annotare esito, responsabile del riesame, documenti esaminati e azioni assegnate.
Un verbale dell’OdV o dell’organo competente può documentare il riesame, ma non dovrebbe sostituire la matrice aggiornata e le evidenze di attuazione. L’art. 6 prevede obblighi di informazione nei confronti dell’organismo deputato a vigilare: frequenza, contenuto e destinatari dei flussi vanno quindi disciplinati e adattati all’organizzazione.
Quando chiedere una valutazione sul caso
Conviene coinvolgere un professionista quando la mappa non coincide con ruoli, deleghe o procedure reali, quando un processo è cambiato, quando mancano tracce dei controlli o quando occorre riesaminare l’impatto di modifiche normative. Alessio Ferretti STP, studio di commercialisti, può esaminare e gestire professionalmente il caso concreto nel perimetro del servizio, ricostruendo assetti organizzativi, processi amministrativi, flussi finanziari, documenti societari e tracciabilità delle decisioni nel Modello 231.
Nel contatto descrivi la situazione, l’urgenza e un elenco dei documenti disponibili, come Modello, matrice, deleghe, procedure, verbali e flussi verso l’OdV; dopo il contatto potranno essere concordate le modalità di trasmissione. Richiedi una consulenza.
Commenti
Commenti e domande dei lettori
Puoi leggere gli interventi pubblicati. Se vuoi aggiungere una domanda pertinente, apri il modulo: sarà visibile solo dopo moderazione.
Lascia un commento