Organismi di vigilanza 231, l’efficacia richiede verifiche e veri flussi informativi

La sentenza con cui il Tribunale di Vicenza (sezione penale, 17 giugno 2021, n. 348) ha condannato la Banca popolare di Vicenza per i reati di aggiotaggio e di ostacolo all’esercizio delle funzioni delle autorità pubbliche di vigilanza, ha puntato nuovamente i riflettori sull’organismo di vigilanza (Odv) previsto dal Dlgs 231/2001. Una pronuncia importante che affronta tutti gli aspetti del funzionamento dell’Odv (dalla pianificazione delle attività alla procedimentalizzazione del flussi informativi) e che sul tema della composizione dell’organismo di vigilanza, ritiene non adeguata la presenza di figure come l’internal audit, a causa di una sua subordinazione alle funzioni apicali che dovrebbe controllare.
Le regole
Le società, per evitare di incorrere nella responsabilità prevista dal Dlgs 231/2001, qualora uno dei loro dipendenti (ma non solo) commetta uno dei reati (o illeciti amministrativi) presupposto indicati dallo stesso decreto, devono aver adottato ed efficacemente attuato modelli di organizzazione e di gestione (i Modelli 231) idonei a prevenire i reati. Debbono inoltre aver affidato il compito di vigilare sul funzionamento e l’osservanza dei modelli a un organismo dell’ente (l’organismo di vigilanza) che deve curarne l’aggiornamento. Elemento imprescindibile per evitare le sanzioni è che non vi sia stata omessa o insufficiente vigilanza da parte dell’Odv. Fondamentale inoltre che l’organismo operi in modo indipendente e autonomo, altrimenti il Modello 231 non è efficace (Cassazione, 38343/2014 e 467/2013).
Pianificazione e informazione
Nella sentenza del 17 giugno scorso il giudice vicentino si è soffermato proprio sulla mancanza di indipendenza e di autonomia dell’organismo di vigilanza e sulla carenza di flussi informativi nei suoi confronti, concludendo che l’attività dell’Odv era stata delegata e appiattita su quella effettuata dalla funzione di internal audit e non era riferita a tematiche attinenti ad effettive criticità rilevate rispetto al Modello 231.
Prescindendo dal merito, quali sono i principi che si possono ricavare relativamente al funzionamento dell’organismo di vigilanza?
In primis, l’Odv dovrebbe pianificare la propria attività e prevedere verifiche dirette e avere «autonomi poteri di intervento». Sulla pianificazione, nulla quaestio; tuttavia la legge prevede che all’organismo sia affidato il compito di vigilare sul funzionamento e l’osservanza del Modello 231 e non di effettuare verifiche specifiche in stile revisione interna o prendere provvedimenti (con quale autorità?): si tratta di vigilare sui sistemi di controllo e richiederne l’effettuazione (anche a sorpresa), sull’aggiornamento del Modello e la formazione del personale, non di sostituirsi al ruolo dell’ispettorato.
Viene posta altresì in risalto l’importanza dei flussi informativi (diversi dalle mere segnalazioni) anche attraverso una procedimentalizzazione (e report periodici) del flusso di informazioni provenienti dalle strutture aziendali afferenti all’area di rischio. Un’affermazione che non può non essere condivisa.
Composizione
Ulteriori aspetti richiamati dalla sentenza sono l’imprescindibilità della «previsione di sanzioni in caso di inottemperanza all’obbligo di segnalazione» e la composizione dell’organismo di vigilanza, ove figure come l’internal audit, che rispondano dapprima funzionalmente e poi gerarchicamente al consiglio di amministrazione, non sarebbero adeguate a farne parte. Tale affermazione non solo è contraria alla dottrina unanime e alle istruzioni di Banca d’Italia ma, se veramente applicata, getterebbe nello scompiglio moltissime società dotate di un organismo di vigilanza. Nella Banca popolare di Vicenza c’era un riporto dell’internal audit al direttore generale e questa è una pecca, ma a chi se non al consiglio di amministrazione e ai comitati consiliari (come peraltro richiede Banca d’Italia) dovrebbe altrimenti rispondere il responsabile della revisione interna?
D’altronde, gli stessi giudici vicentini riconoscono che la figura dell’internal audit può «in astratto» essere adeguata a comporre l’organismo, «tant’è che le stesse linee guida dell’Abi del 2004 contemplavano tale possibilità»
In conclusione, una sentenza che farà discutere ma non necessariamente porterà definitiva chiarezza per gli operatori.

LA GIURISPRUDENZA
Richiesta di informazioni
L’attivita dell’OdV è adeguata in quanto «pur verificata l’assoluta estraneità della società oggetto di indagine, l’Organismo di Vigilanza notiziato dell’apertura dell’indagine penale, ha chiesto formalmente informazioni ai vertici amministrativi dell’epoca, acquisendo chiarimenti, oltre ai relativi verbali di interrogatorio resi» al Pm.
Procura della Repubblica presso il Tribunale di Como, decreto di archiviazione del 29 gennaio 2020
Autonomia
IL’assenza del requisito dell’autonomia dell’Organismo di vigilanza (presenza del Responsabile del servizio di prevenzione e protezione nell’OdV) è sufficiente per escludere l’efficacia del Modello 231
Cassazione penale, sezioni unite, sentenza 3834372014 (caso ThyssenKrupp)
Indipendenza
Il requisito dell’indipendenza necessario affinché iniziativa e controllo siano effettivi e non solo cartolari presuppone la non subordinazione del controllante al controllato. Gli obblighi di informazione nei confronti dell’OdV servono per consentire l’esercizio “autonomo” del potere di vigilanza che può esplicitarsi anche preventivamente rispetto ad atti sociali
Cassazione penale, sentenza 467/2013 (caso Impregilo).