Organismo di Vigilanza e Modello Organizzativo: due recenti sentenze di merito intervengono sul "Sistema 231"

Prendendo spunto dalle recenti sentenze emesse in esito al giudizio di primo grado nei noti procedimenti penali a carico di Banca Monte dei Paschi di Siena e Banca Popolare di Vicenza, entrambe condannate per il reato di aggiotaggio e false comunicazioni sociali, reati presupposto ai sensi del D.lgs. 231/2001, si svolgono qui alcune riflessioni relative ai temi legati all'adeguatezza del Modello e al ruolo dell'Organismo di Vigilanza.

Tralasciando l'analisi delle singole vicende, in entrambe le sentenze l'Autorità Giudiziaria ha condannato le Società ravvisando l'inadeguatezza del Modello e l'inefficacia dell'attività di controllo dell'OdV.

Con riguardo all'adeguatezza del Modello, le sentenze, richiamando consolidata giurisprudenza della Cassazione, hanno sottolineato nuovamente la necessità che il Modello organizzativo sia "calato" sulla realtà della Società. In particolare, viene ravvisata l'inadeguatezza dello stesso laddove si limiti a richiamare o recepire codici di comportamento redatti da associazioni rappresentative di settore.

Anche alla luce delle motivazioni addotte nelle citate sentenze, è da ritenersi che tale obiettivo possa essere raggiunto mediante un'adeguata analisi delle aree sensibili e delle attività a rischio svolte dalla Società.

Resta cruciale, pertanto, l'attenzione sull'importanza del continuo aggiornamento dell'analisi dei rischi (Risk Assessment) in relazione non solo alle novità legislative, ma anche a quelle organizzative od operative della Società (modifiche della Governance aziendale, dell'Organigramma funzionale, etc.).

Ciò, in particolare, viene confermato all'interno della sentenza relativa al processo "Banca Popolare di Vicenza". In tale occasione, infatti, l'Autorità Giudiziaria ha contestato l'assenza di un adeguato risk assessment in relazione alla gestione delle attività di predisposizione del bilancio, gestione delle azioni e dei processi di erogazione del credito.

Inoltre, la sentenza ribadisce come la corretta valutazione dei rischi, pur rappresentando certamente il primo adempimento fondamentale per l'elaborazione di un Modello adeguato ed efficace, debba necessariamente essere affiancata da una puntuale regolamentazione dei processi a rischio.

La mera individuazione di un rischio, infatti, non è sufficiente per presidiarlo, occorre adottare procedure o protocolli operativi e formare il personale al loro puntuale rispetto.

Entrambe le sentenze hanno affrontato, poi, il delicato tema del ruolo dell'Organismo di Vigilanza, ponendo particolare attenzione all'autonomia e indipendenza dell'OdV e all'efficacia della sua attività di controllo.

In particolare, nella sentenza "Banca Popolare di Vicenza", è stata contestata l'i nadeguatezza della nomina a membro dell'OdV del Responsabile Internal Audit. Nella sentenza si legge che la dipendenza gerarchica con il Direttore Generale e quella funzionale con il Consiglio di Amministrazione non avrebbe garantito la sua piena autonomia e l'indipendenza nello svolgimento del suo incarico quale membro dell'OdV.

Tale decisione appare controversa.

Alcune best practice di settore (su tutte le Linee Guida ABI del 2004 e le Linee Guida di Confindustria), infatti, contemplano la possibilità per il Responsabile Internal Audit di partecipare quale membro all'Organismo di Vigilanza della Società. Le stesse Linee Guida di Confindustria, aggiornate a giugno 2021, prevedono espressamente che la funzione di Internal Auditing - se ben posizionata e dotata di risorse adeguate - sia idonea a ricoprire il ruolo di membro dell'Organismo di Vigilanza.
Tale decisione, quindi, si pone in contrasto rispetto alle indicazioni fornite dalle associazioni di settore.

Ovviamente è indiscutibile ed indiscusso che la difformità rispetto a punti specifici delle Linee Guida di Confindustria non infici di per sé la validità del Modello e viceversa, ovvero che il rispetto delle stesse non comporti – aprioristicamente – la validità del Modello.
Ciò a maggior ragione se quanto sopra rappresenta la decisione dell'Autorità Giudiziaria, ovvero l'unico soggetto cui spetta l'analisi e la valutazione del Modello Organizzativo.

Tuttavia, applicando rigidamente tale pronuncia, si dovrebbe escludere l'Internal Audit dall'OdV, assegnando allo stesso, semmai, un ruolo di supporto nella conduzione e programmazione delle attività di verifica dell'Organismo.

Quanto all'efficacia dell'attività di controllo dell'Organismo di Vigilanza, in entrambe le sentenze viene contestato all'OdV di non aver attuato o programmato alcuna attività di verifica autonoma (Piano di Audit 231), affidando i controlli alla funzione di Internal Auditing aziendale.

Il tema dell' appiattimento del ruolo di controllo dell'OdV rispetto all'attività della funzione Auditing ritorna costantemente in giurisprudenza nei processi a carico di Società di grandi dimensioni con strutture aziendali complesse ed eterogenee.

L'OdV, pertanto, non può e non deve limitarsi a riprodurre il piano di Audit elaborato dalle funzioni di controllo interne all'azienda, ma deve, necessariamente, procedere in autonomia.

Nulla esclude che ciò venga fatto utilizzando i programmi di controllo elaborati dalle funzioni Internal Auditing, ma questi devono rappresentare il "punto di partenza" su cui l'Organismo di Vigilanza procede con le dovute e necessarie integrazioni proprie del "Sistema 231" (vigilanza sull'efficacia ed adeguatezza del Modello, prevenzione della realizzazione di reati 231).

____

*A cura degli Avv. ti Maurizio Bortolotto e Valentina Corino, partners Gebbia Bortolotto Penalisti Associati