Modello 231: collegare processi sensibili e controlli operativi

A cura diDott. Alessio FerrettiDottore Commercialista · Pubblicato il 16/10/2026

Un Modello 231 è collegato ai processi sensibili quando, per ciascuna attività concreta, rende riconoscibili chi decide o opera, quale rischio organizzativo va verificato, quale controllo può intercettarlo e quale evidenza ne dimostra l’applicazione. Non basta riportare un protocollo: il presidio va ricondotto a un passaggio reale, come l’approvazione di una spesa, la scelta di un fornitore, la gestione di una delega o la trasmissione di informazioni all’OdV.

Il punto di partenza utile è spesso un errore di allineamento: il modello descrive una separazione di ruoli, ma nella pratica una sola persona richiede, approva e dispone un’operazione; oppure un flusso informativo è previsto, ma non si riesce a ricostruire chi lo abbia inviato e con quali contenuti. La correzione consiste nel ricostruire il processo effettivo e associare a ogni snodo un responsabile, un controllo proporzionato e una traccia documentale, senza presentare questa verifica come garanzia di esito o come modello universale.

In sintesi

• Un processo è sensibile non perché porta un’etichetta nel modello, ma perché contiene una decisione, un’autorizzazione, un impiego di risorse o uno scambio informativo da rendere verificabile.
• La mappatura utile parte dalla sequenza reale delle attività e non dall’elenco astratto dei protocolli.
• Per ogni snodo conviene indicare un ruolo responsabile, il rischio da verificare, il presidio previsto e l’evidenza che ne consente il riscontro.
• Un controllo interno è più leggibile quando distingue chi prepara, chi autorizza e chi verifica, compatibilmente con la struttura concreta dell’impresa.
• Se deleghe, procedure, verbali e operatività raccontano versioni diverse dello stesso processo, la priorità è chiarire la differenza e assegnare un’azione documentata.

Segnale di urgenza: il processo reale non coincide con il protocollo

Un segnale da non rimandare emerge quando una domanda semplice non riceve una risposta univoca: chi può impegnare la società? Chi controlla che l’operazione rispetti il passaggio previsto? Dove si trova l’evidenza della verifica? Se le risposte cambiano a seconda della persona interpellata, il problema non è soltanto la forma del documento: è la distanza tra assetto dichiarato e attività effettiva.

Si immagini un processo di selezione e gestione di un fornitore. La descrizione interna può prevedere richiesta, valutazione, autorizzazione e conservazione delle motivazioni. Nella pratica, però, la richiesta può arrivare informalmente, la valutazione restare in una conversazione non ricostruibile e l’autorizzazione coincidere con un solo atto finale. In questo caso non è utile aggiungere formule generiche al Modello 231. È più utile capire quali passaggi esistono davvero, quali sono compressi nella stessa persona e quale evidenza ragionevole può accompagnarli.

La domanda operativa è: se tra alcuni mesi fosse necessario ricostruire questa decisione, quali documenti e quali soggetti permetterebbero di farlo? Una risposta concreta può includere una richiesta motivata, una comparazione coerente con il caso, l’autorizzazione prevista dalle deleghe e una registrazione della verifica. Non tutte le attività richiedono la medesima intensità di controllo; la scelta va valutata in relazione a ruoli, frequenza, autonomia decisionale e rilevanza dell’operazione.

Percorso di correzione: dalla singola attività al controllo verificabile

Il collegamento può essere costruito seguendo quattro elementi nella stessa riga di lavoro: attività, responsabilità, rischio da verificare, presidio ed evidenza. Questa struttura evita sia il protocollo astratto sia la raccolta indiscriminata di documenti.

1. Individuare il punto decisionale. Non partire dalla funzione aziendale nel suo complesso, ma dal passaggio che modifica una situazione: assegnare un incarico, autorizzare un pagamento, scegliere una controparte, approvare una deroga, attribuire poteri o trasmettere una segnalazione. L’autodomanda è: quale scelta, se svolta in modo incoerente, merita di essere resa tracciabile?
2. Attribuire ruoli effettivi. Per ciascun passaggio, conviene distinguere chi propone, chi valuta, chi autorizza e chi svolge un controllo interno. Nelle organizzazioni più snelle alcuni ruoli possono convivere; proprio per questo occorre rendere esplicito quale verifica alternativa possa limitare una concentrazione non prevista o non giustificata. Le deleghe, gli organigrammi, le procure e le procedure sono riferimenti da confrontare con l’operatività, non sostituti della ricostruzione.
3. Definire il presidio sul rischio specifico. Il controllo non coincide con la sola firma finale. Può prevedere una verifica di coerenza della richiesta, un confronto tra autorizzazione e poteri attribuiti, una validazione prima dell’esecuzione o una revisione successiva su un insieme di operazioni. La domanda decisiva è: che cosa può rivelare questo controllo e chi ha il compito di gestire l’eventuale anomalia?
4. Stabilire l’evidenza minima. Un presidio è più facilmente verificabile se lascia una traccia coerente con il processo: verbale, autorizzazione, report, registro, comunicazione o elemento presente nei sistemi aziendali. L’evidenza non va prodotta retroattivamente per riempire un fascicolo; quando manca, va registrata come differenza da chiarire e da correggere per il futuro.

Il danno evitabile non è un esito già accertato, ma la perdita di coerenza nella ricostruzione di una decisione: ruoli non leggibili, controlli non attribuiti, flussi senza destinatario o documenti che non consentono di comprendere quale verifica sia avvenuta. Per approfondire il confronto tra processi, ruoli e documenti può essere utile verificare se il modello organizzativo 231 descrive ancora l’impresa.

Come rimediare quando un controllo esiste solo sulla carta

La correzione non richiede necessariamente di riscrivere l’intero modello. Può iniziare dal processo che presenta il disallineamento più chiaro e produrre una decisione organizzativa circoscritta. Ad esempio, se una procedura prevede una verifica prima dell’autorizzazione ma nessuno sa chi la effettua, la scelta da formalizzare è il soggetto incaricato, il momento della verifica, l’evidenza attesa e il percorso da seguire in caso di eccezione.

Un mini-scenario aiuta a distinguere la correzione dalla mera raccolta di carte. Una direzione rileva che le autorizzazioni di una determinata attività sono presenti, ma non è ricostruibile la verifica preliminare prevista dal protocollo. La conclusione operativa non è affermare che il controllo sia stato svolto: l’evidenza disponibile non lo consente. È invece possibile assegnare al responsabile di processo il compito di descrivere il flusso effettivo, confrontarlo con deleghe e procedura, individuare il punto privo di responsabile e proporre una traccia utilizzabile nelle attività successive. Se emerge che il controllo era svolto ma conservato in un sistema diverso, quel fatto può cambiare la conclusione: il presidio va allora ricondotto al processo e reso accessibile alla verifica.

Conviene anche distinguere tra un’eccezione gestita e un’eccezione invisibile. Una deroga può essere compatibile con l’operatività se ha un soggetto autorizzato, una motivazione e una traccia; diventa invece un punto da approfondire quando sostituisce stabilmente il percorso ordinario senza che ruoli e documenti lo rappresentino. La stessa logica vale per i flussi verso l’OdV: non basta indicare che un’informazione è trasmessa, ma occorre poter identificare origine, destinatario, contenuto e momento del flusso secondo l’assetto adottato.

Quando coinvolgere lo studio sul caso concreto

È opportuno coinvolgere un supporto professionale quando il disallineamento riguarda più processi, deleghe non coordinate con le decisioni effettive, controlli privi di evidenza o flussi verso l’OdV non chiaramente attribuiti. Alessio Ferretti STP, studio di commercialisti, può esaminare e gestire professionalmente il caso concreto nel perimetro del servizio, leggendo assetti organizzativi, processi amministrativi, flussi finanziari, documenti societari e tracciabilità delle decisioni, e coordinando i professionisti associati per gli aspetti specialistici.

Per una prima valutazione è utile descrivere la situazione, l’urgenza e un elenco dei documenti disponibili, ad esempio modello, protocolli, deleghe, organigramma, verbali o report dei flussi. Non occorre allegare documenti personali o riservati nel primo contatto: dopo il contatto si possono concordare le modalità di trasmissione appropriate. L’obiettivo della valutazione è individuare differenze, priorità documentate e azioni da assegnare, non promettere un esito difensivo.

Richiedi una consulenza sul tuo caso