I sistemi di controllo

di Giovanni Battisti.

Iniziamo con il dire che non esiste una definizione unica di sistema di controllo.

Il modello proposto dal Committee of Sponsoring Organization of the Tradeway Commission (CoSO), probabilmente uno dei più diffusi e noti, definisce il controllo “un processo (svolto dal consiglio di amministrazione, dai dirigenti e da altri soggetti della struttura aziendale) finalizzato a fornire una ragionevole sicurezza (al consiglio di amministrazione e al management stessi, N.d.R.) sul conseguimento degli obiettivi rientranti nelle seguenti categorie:
- efficacia ed efficienza delle attività operative;
- attendibilità delle informazioni di bilancio;
- conformità alle leggi ed ai regolamenti in vigore”.[1]

Tre quindi sono gli ambiti di azione del controllo: le attività operative, la produzione delle informazioni di bilancio (e, più in generale, delle informazioni comunque rivolte al pubblico) e la conformità dell’azione aziendale a norme e regolamenti.
E tre sono gli obiettivi: “efficacia strategica ed efficienza operativa definiti dai vertici aziendali, la trasparenza informativa delineata dalle politiche aziendali, la correttezza gestionale e l’osservanza sostanziale di leggi, norme e regolamenti”. [2]

Per conseguire tali obiettivi il Modello elaborato dal CoSO avverte di non limitarsi all’esecuzione delle attività di controllo (tipicamente attività “a posteriori” o al più “concomitanti” le operazioni aziendali), ma suggerisce e sostiene l’adozione di un sistema che permetta di “manovrare” più leve e di agire “a priori”, ossia prima del verificarsi dell’evento rischioso.
Queste leve, definite “le componenti del sistema di controllo”, sono:
- l’ambiente di controllo;
- la valutazione dei rischi;
- l’attività di controllo;
- l’informazione e la comunicazione;
- il monitoraggio.

Queste cinque componenti, strettamente correlate tra loro, costituiscono il sistema di controlli interno dell’azienda. [3]

Vediamole un po’ più nel dettaglio:

- L’ambiente di controllo determina il livello di “sensibilità” del personale alla necessità di controllo. Quando si parla di ambiente di controllo ci si riferisce all’integrità ed ai valori etici dei dirigenti, alla competenza del personale, alla filosofia ed allo stile di direzione, ai sistemi incentivanti adottati dall’azienda, alle modalità di delega delle responsabilità, di organizzazione e di sviluppo professionale, all’impegno e alla capacità di indirizzo del consiglio di amministrazione (PriceWaterhouseCoopers, op. cit., pagg. 25 e seguenti).

- Il processo di valutazione dei rischi permette di individuare e analizzare i fattori che possono pregiudicare il raggiungimento degli obiettivi che l’azienda si è posta (obiettivi che devono essere compatibili e coerenti, N.d.R.) e consente di determinare come questi rischi dovranno essere gestiti (si veda anche: “La gestione dei rischi”; PriceWaterhouseCoopers, op. cit., pagg. 40 e seguenti; Beretta, op. cit., pagg. 35 e seguenti).

- Le attività di controllo possono essere definite come “l’insieme delle politiche e delle procedure che assicurano al management che le sue direttive siano applicate”[4]. Includono attività diverse quali approvazioni, autorizzazioni, verifiche, esami della performance operativa, protezione dei beni aziendali, separazione dei compiti, tracciabilità delle principali operazioni ecc…

- Informazione e comunicazione. La circolazione di informazioni pertinenti, all’interno dell’organizzazione e da / verso l’esterno (clienti, fornitori, azionisti, authority ecc.), è essenziale per dirigere l’azienda verso gli obiettivi fissati. Le qualità delle informazioni sono solitamente così riassunte: l’informazione deve essere pertinente, tempestiva, aggiornata, esatta ed accessibile (PriceWaterhouseCoopers, op. cit., pagg. 71 e seguenti).

- Il monitoraggio, infine, deve assicurare l’efficacia del sistema di controllo interno nel tempo; è pertanto necessaria la “valutazione critica, da parte di persone appropriate, del modo in cui i controlli sono concepiti, dei tempi di esecuzione e dei modi in cui sono presi i provvedimenti necessari”[5].

È opportuno precisare che «il sistema di controllo interno è una responsabilità dei diversi “process owner”. Gli Internal auditor forniscono assurance sul disegno e sull’efficacia di tali controlli, ma non ne sono responsabili.» [6]

Per ora, limitiamoci infine a segnalare che l’attenzione in azienda si sta spostando dal sistema dei controlli interni al più ampio ambito della gestione dei rischi aziendali, il cui modello “di riferimento” è comunemente identificato nel c.d. “Enterprise Risk Management”, o “ERM” elaborato dal Committee of Sponsoring Organizations of the Treadway Commission, così definito: “Enterprise risk management is a process, effected by an entity’s board of directors, management and other personnel, applied in strategy setting and across the enterprise, designed to identify potential events that may affect the entity, and manage risk to be within its risk appetite, to provide reasonable assurance regardin the achievement of entity objectives.” [7]

Il sistema di controllo interno ha una forte complementarietà con i modelli di corporate governance, dei quali diremo nei prossimi post.

----
[1] PriceWaterhouseCoopers, Il sistema di controllo interno – Terza edizione aggiornata settembre 2004, ed. Il Sole 24 ORE, pagg. 2 e seguenti.
[2] Beretta, op. cit., p. 40.
[3] PriceWaterhouseCoopers, op. cit., pagg. 17 e seguenti.
[4] PriceWaterhouseCoopers, op. cit., cap. 4, pag. 59.
[5] PriceWaterhouseCoopers, op. cit., cap. 6, pag. 83.
[6] IIA, Position Paper IIA: esprimere un Giudizio da parte dell’Internal Auditing sul sistema di Controllo Interno – Considerazioni Pratiche, pag. VI (Traduzione del Position Paper “Practical considerations regarding Internal Auditing Expressing an Opinion on Internal Control” emesso dall’Insitute of Internal Auditors nel mese di giugno 2005, traduzione a cura dell’associazione Italiana Internal Auditors (AIIA) – Comitato per la ricerca e studi.
[7] Committee of Sponsoring Organizations of the Treadway Commission, Enterprise Risk management – Integrated Framework, Executive Summary, September 2004, pag. 2.

"Check list" dei Modelli di organizzazione adottati ex D.Lgs. 231/01

di Giovanni Battisti.

La seguente check list è stata predisposta per facilitare la verifica “formale” del contenuto dei documenti che costituiscono il sistema di controlli adottato dall’ente; tale contenuto è stato identificato sulla base delle indicazioni del D.Lgs. 231/01, delle Linee Guida di Confindustria [1] (di seguito anche solo Linee Guida) e delle indicazioni che emergono da alcune sentenze ritenute particolarmente significative.

Prima di elencare i punti di verifica della check list, è tuttavia opportuno richiamare l’attenzione sulle indicazioni fornite da Confindustria relativamente alla predisposizione dei “Modelli di organizzazione, gestione e controllo”:
- “[…] la formulazione dei modelli e l’organizzazione dell’attività dell’organo di controllo devono porsi come obiettivo l’esito positivo di tale giudizio di idoneità. Questa particolare prospettiva finalistica impone agli enti di valutare l’adeguatezza delle proprie procedure alle esigenze di cui si è detto, tenendo presente che la disciplina in esame è già entrata in vigore.” (Linee Guida, pag. 5);
- “Facilita l’applicazione dell’esimente, soprattutto in termini probatori, la documentazione scritta dei passi compiuti per la costruzione del modello.” (Linee Guida, pag. 6);
- “Le Linee Guida svolgono […] un importante ruolo ispiratore nella costruzione del modello e dell’organismo di controllo con i relativi compiti da parte del singolo ente, il quale però, per meglio perseguire il fine di prevenire i reati, potrà anche discostarsene […]” (Linee Guida, pag. 6);
- Il modello e le relative misure devono cioè essere tali che l’agente non dovrà solo volere l’evento reato […] ma potrà attuare il suo proposito criminoso soltanto aggirando fraudolentemente (ad esempio attraverso artifizi e/o raggiri) le indicazioni dell’ente.” (Linee Guida, pag. 9).

Detto questo, ecco l’elenco degli argomenti che devono essere trattati dal “Modello di organizzazione, gestione e controllo” adottato dall’azienda in attuazione del Decreto Legislativo 231 del 2001:

1. la mappa delle aree aziendali a rischio (Linee Guida, pag. 11).
Il modello deve identificare ed elencare:
- le attività nel cui ambito possono essere direttamente commessi i reati previsti dal decreto (D. Lgs. 231/01, art. 6, co. 2, lett. a)
- le attività c.d. “strumentali” [2] alla commissione dei reati previsti dal decreto;

2. la mappa documentata delle potenziali modalità attuative degli illeciti (Linee Guida, pag. 11).
Il Modello deve evidenziare dettagliatamente:
- cosa può essere commesso (il tipo di reato);
- da chi (ruolo o funzione);
- come (in che modo);
- quando (in che occasione). [3]

3. la situazione attuale (as is), quella da attuare (to be), e gli eventuali adeguamenti relativamente a (Linee Guida, pag. 12):
3a. Codice Etico.
Il Codice Etico deve prendere in esame almeno i seguenti argomenti:
- L’ente ha come principio imprescindibile il rispetto di leggi e regolamenti vigenti in tutti i Paesi in cui esso opera:
o tale impegno vale per i dipendenti, consulenti, fornitori e chiunque abbia rapporti con l’ente;
o l’ente non inizierà o proseguirà nessun rapporto con chi non intende allinearsi con questo principio;
o i dipendenti devono essere a conoscenza delle leggi;
o l’ente deve adeguatamente informare i propri dipendenti;
o l’ente deve assicurare un adeguato programma di formazione sulle problematiche del Codice Etico.
- Ogni operazione e transazione deve essere correttamente registrata, autorizzata, verificabile, legittima, coerente e congrua;
- I principi base relativamente ai rapporti con gli interlocutori dell’ente: Pubblica Amministrazione, pubblici dipendenti e, nel caso di enti concessionari di pubblico servizio, interlocutori commerciali privati:
o non è consentito offrire denaro o doni a dirigenti, funzionari o dipendenti della PA, italiana ed estera (fatti salvi beni e utilità di modico valore);
o si considerano atti di corruzione i pagamenti illeciti fatti direttamente dall’ente o da suoi dipendenti o tramite persone che agiscono per loro conto;
o è proibito accettare oggetti, servizi, prestazioni di valore per ottenere un trattamento più favorevole in relazione a qualsiasi rapporto con la PA, italiana ed estera;
o il personale incaricato dei rapporti (trattativa d’affari, richiesta) con la PA non deve cercare di influenzare impropriamente le decisioni della controparte;
o nelle gare con la PA si deve operare nel rispetto della legge e della corretta pratica commerciale;
o le direttive valide per i dipendenti dell’ente devono essere applicate a qualsiasi soggetto “terzo” che rappresenti l’ente nei rapporti con la PA;
o l’ente, nei rapporti con la PA, non deve farsi rappresentare da soggetti “terzi” quando si possano creare conflitti di interesse;
o nei rapporti con la PA (trattativa d’affari, richiesta o rapporto commerciale) non devono essere proposte o esaminate opportunità di impiego e/o commerciali che possano avvantaggiare dipendenti della PA a titolo personale; offrire omaggi; sollecitare o ottenere informazioni riservate;
o qualsiasi violazione (anche potenziale) commessa dall’ente o da terzi va segnalata tempestivamente alle funzioni competenti;
o il finanziamento di partiti politici, comitati, organizzazioni pubbliche o candidati politici deve avvenire nel rispetto delle normative vigenti.

3b. Sistema organizzativo.
Il Sistema organizzativo deve rispondere ai seguenti requisiti:
- essere formalizzato;
- prevedere una chiara attribuzione delle responsabilità;
- prevedere una chiara descrizione delle linee di dipendenza gerarchica;
- prevedere una chiara descrizione dei compiti;
- i sistemi premianti adottati non devono costituire un celato incentivo alla commissione dei reati previsti dal Decreto.

3c. Procedure operative manuali ed informatiche.
Particolare attenzione deve essere prestata alle procedure per la gestione delle risorse finanziarie (D. Lgs. 231/01, art. 6, co. 2, lett. c), soprattutto per i flussi finanziari non rientranti nei processi tipici aziendali (Linee Guida, pag. 13).
In generale, le procedure operative devono prevedere:
- specifici principi di controllo, in particolare: la documentabilità e verificabilità delle operazioni, transazioni ed azioni (che devono essere “coerenti e congrue”, Linee Guida, pag. 14);
- la separazione/contrapposizione di funzioni; la documentabilità dei controlli;
- opportuni punti di controllo (es. quadrature).

3d. Poteri autorizzativi e di firma.
Il sistema delle deleghe e procure deve:
- essere coerente con le responsabilità organizzative e gestionali;
- deve prevedere una puntuale indicazione delle soglie di approvazione delle spese.

3e. Sistema di controllo di gestione.
Nel contesto del sistema di controllo di gestione devono essere definiti:
- opportuni indicatori per le singole tipologie di rischio rilevato;
- i processi di risk assessment interni alle funzioni aziendali.

3f. Sistema di comunicazione al personale.
La comunicazione al personale del Modello deve essere:
- capillare;
- efficace;
- autorevole;
- chiara e dettagliata;
- periodicamente ripetuta;
- deve riguardare tutte le componenti del Modello (Codice Etico, Modello in senso stretto, flussi informativi etc.).

3g. Formazione.
Il programma di formazione deve:
- essere appropriatamente tarato in funzione dei livelli dei destinatari (“a seconda che la stessa si rivolga ai dipendenti nella loro generalità, ai dipendenti che operino in specifiche aree di rischio, all’organo di vigilanza ed ai preposti al controllo interno” [4]);
- prevedere “il contenuto dei corsi, la loro frequenza, l’obbligatorietà della partecipazione ai programmi di formazione” [4];
- prevede “controlli di frequenza e di qualità sul contenuto dei programmi di formazione” [4].
A parere di chi scrive, questi due ultimi punti –in ragione della loro variabilità e degli aspetti pratici connessi all’organizzazione operativa dei corsi- possono anche essere descritti in un allegato al Modello o in un piano annuale di formazione, richiamato nel Modello stesso.

3h. Sistema informativo verso l’Organismo di Vigilanza (OdV).
Deve essere previsto l’obbligo per le funzioni aziendali a rischio di dare informazioni all’OdV relativamente a:
- le risultanze periodiche dell’attività di controllo poste in essere in attuazione del Modello;
- le anomalie e le atipicità riscontrate.

3i. Sistema disciplinare.
- Per i casi di rapporto di lavoro subordinato, deve rispettare le procedure previste dall’art. 7 dello Statuto dei Lavoratori;
- Deve prevedere “espressamente […] la comminazione di sanzione disciplinare nei confronti degli amministratori, direttori generali e compliance officers che per negligenza ovvero imperizia – non abbiano saputo individuare, e conseguentemente eliminare, violazioni del modello e, nei casi più gravi, perpetrazione di reati [4].

3j. Organismo di vigilanza (OdV).
Il Modello deve prevedere che l’OdV:
- sia un organo interno all’ente;
- sia in grado di controllare non solo i dipendenti, ma anche i direttori e gli amministratori dell’ente [4];
- sia dedicato a tempo pieno all’attività di vigilanza sul Modello;
- abbia libero accesso presso tutte le funzioni della Società, senza necessità di alcun consenso preventivo;
- possa avvalersi dell’ausilio di tutte le strutture della società ovvero di consulenti esterni;
- sia dotato di adeguate risorse finanziarie.
Inoltre:
- la collocazione organizzativa dell’OdV deve garantirne l’autonomia dell’iniziativa di controllo da ogni forma d’interferenza e/o di condizionamento da parte di qualunque componente dell’ente”;
- non siano attribuiti all’OdV compiti operativi;
- i componenti dell’organo di vigilanza debbano possedere capacità specifiche in tema di attività ispettiva e consulenziale [5];
- le attività poste in essere dall’OdV non possono essere sindacate da alcun altro organismo o struttura aziendale.
Quanto ai compiti assegnati, l’OdV deve:
- vigilare sull’effettività del modello (verifica della coerenza tra i comportamenti concreti ed il modello adottato);
- verificare l’adeguatezza del modello, ossia la sua reale (e non meramente formale) capacità di prevenire i comportamenti non voluti;
- accertare il mantenimento nel tempo dei requisiti di solidità e funzionalità del modello;
- aggiornare il modello, nell’ipotesi in cui le analisi operate rendano necessario effettuare correzioni ed adeguamenti, presentando proposte di adeguamento del modello e verificandone, successivamente, l’attuazione e l’effettiva funzionalità delle soluzioni proposte (c.d. follow up).

3k. Misure idonee a scoprire ed eliminare tempestivamente situazioni di rischio.

--
[1] Confindustria, Area Strategica Fisco e Diritto d’Impresa, Linee Guida per la costruzione dei modelli di organizzazione, gestione e controllo ex D.Lgs. 231/2001, approvate il 7 marzo 2002, aggiornate al 24 maggio 2004.
[2] “Strumentali” sono quei processi nei quali, pur non potendosi ravvisare il rischio diretto di commissione di reati, si possono realizzare atti ed operazioni risultanti funzionali ed utili rispetto alla commissione di tali reati (ad es., condotte riconducibili al reato di corruzione). La distinzione tra processi “diretti” e processi “strumentali”, a parere di chi scrive, risponde alla necessità che il Modello fornisca una “rappresentazione esaustiva di come le fattispecie di reato possono essere attuate rispetto al contesto operativo interno ed esterno in cui opera l’azienda” (Linee Guida, pag. 11).
[3] Quanto al perché, il Decreto Legislativo 231/01 ha già definito che il reato deve essere stato commesso “nell’interesse o a vantaggio dell’Ente” (art. 5, co. 1).
[4] Ordinanza cautelare del GIP del Tribunale di Milano, depositata il 9 novembre 2004.

Contenuto "minimo" dei Modelli di organizzazione e controllo (3/3)

di Giovanni Battisti.

Il D.Lgs. 231/01, le Linee Guida di Confindustria e alcune sentenze ritenute significative permettono di identificare un "contenuto minimo" dei Modelli di organizzazione, gestione e controllo (terza parte).

*****

Per concludere, il documento relativo al “Modello di organizzazione, gestione e controllo” deve riportare almeno:
1. la mappa delle aree aziendali a rischio (Linee Guida [1], pag. 11), ovvero sia le attività nel cui ambito possono essere direttamente commessi i reati previsti dal decreto (D.Lgs. 231/01, di seguito anche Decreto, art. 6, co. 2, lett. a), sia le attività c.d. “strumentali” [2] alla commissione dei reati previsti dal decreto (es. assunzione, gestione omaggi, sponsorizzazioni etc.);
2. la mappa documentata delle potenziali modalità attuative degli illeciti [3] nelle aree a rischio individuate al punto precedente (Linee Guida, pag. 11) che evidenzi (secondo un approccio di identificazione dei fattori di rischi già descritto) dettagliatamente: cosa può essere commesso (il tipo di reato), da chi (persona o funzione), come (in che modo) e quando (in che occasione). [4]
3. la descrizione documentata delle singole componenti del sistema, descrivendo:
- il sistema dei controlli preventivi esistente (as is);
- il sistema dei controlli preventivi da attuare (to be, quelle che il Decreto all’art. 7, co. 3 chiama “misure idonee a garantire lo svolgimento delle attività nel rispetto della legge”);
- gli eventuali adeguamenti necessari (risultato del confronto tra situazione as is e situazione to be).

I punti 1. e 2. non presentano particolari problemi; con riferimento al terzo punto, Confindustria identifica come “singole componenti del sistema”:
a. il Codice Etico;
b. il sistema organizzativo;
c. le procedure manuali ed informatiche;
d. i poteri autorizzativi e di firma;
e. il sistema di controllo di gestione;
f. la comunicazione al personale e sua formazione.
Questo elenco deve tuttavia essere integrato con gli elementi indicati dal Decreto:
g. poteri, compiti e composizione dell’organismo di vigilanza, di seguito OdV (Decreto, art. 6, co. 1, lett. b);
h. flussi informativi verso l’OdV (Decreto, art. 6, co. 2, lett. d);
i. un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure indicate nel Modello (Decreto, art. 6, co. 2, lett. e);
j. misure idonee a scoprire ed eliminare tempestivamente situazioni di rischio (Decreto, art. 7, co. 3).

Sempre con riferimento al contenuto del terzo punto, a parere di chi scrive il Modello in senso stretto (inteso quindi come documento cartaceo) deve riportare il to be delle componenti del sistema di controllo, cioè come deve essere organizzato il sistema dei controlli preventivi dell’azienda. La situazione as is e gli interventi di adeguamento, necessari per portare a regime il sistema dei controlli, possono essere allegati al Modello stesso; in particolare, è opportuno che tali interventi siano organizzati in un piano delle attività, con descrizione di dettaglio dei tempi, delle aree o funzioni aziendali coinvolte, degli obiettivi da conseguire, dello stato di avanzamento dei lavori (da aggiornare periodicamente).

Ecco, il secondo documento (Modello di organizzazione e di controllo) deve trattare tutti questi elementi (teniamo presente che, per nostra scelta, il Codice Etico è stato “estrapolato” dal Modello e costituisce un documento a se stante); nel prossimo post vedremo di definire una “check list” molto operativa per valutare la completezza del Modello che ci è consegnato.

-----
[1] Confindustria, Area Strategica Fisco e Diritto d’Impresa, Linee Guida per la costruzione dei modelli di organizzazione, gestione e controllo ex D.Lgs. 231/2001, approvate il 7 marzo 2002, aggiornate al 24 maggio 2004.
[2] “Strumentali” sono quei processi nei quali, pur non potendosi ravvisare il rischio diretto di commissione di reati, si possono realizzare atti ed operazioni risultanti funzionali ed utili rispetto alla commissione di tali reati (ad es., condotte riconducibili al reato di corruzione). La distinzione tra processi “diretti” e processi “strumentali”, a parere di chi scrive, risponde alla necessità che il Modello fornisca una “rappresentazione esaustiva di come le fattispecie di reato possono essere attuate rispetto al contesto operativo interno ed esterno in cui opera l’azienda” (Linee Guida, pag. 11).
[3] Questo sembra uno dei punti più “carenti” e affrontati con meno precisione nei Modelli attuali.
[4] Il perché non ci interessa :-), o meglio, il Decreto ha già definito che il reato deve essere stato commesso “nell’interesse o a vantaggio dell’Ente” (Decreto, art. 5, co. 1).

Legge 146 del 16 marzo 2006

Riceviamo la seguente segnalazione (grazie Roberta!) che pubblichiamo.

Il 12 aprile è entrata in vigore la legge n. 146 del 16 marzo 2006 che, recependo la Convenzione internazionale del 2001 contro la criminalità organizzata, ha ampliato l'elenco dei reati per i quali è prevista la responsabilità a carico della società (rectius, ente) ai casi di associazione a delinquere, di natura semplice o mafiosa, il riciclaggio e la tratta di emigrati. A patto che, come scrive G. Negri su Il Sole 24 Ore del 12 aprile, "rientrino nella categoria di reato transnazionale", ovvero che "l'illecito sia commesso in più di uno Stato, oppure sia commesso in uno Stato, ma in esso sia coinvolto un gruppo criminale organizzato e impegnato in attività criminali in più di uno Stato" o che il reato "sia commesso in uno Stato ma abbia effetti «sostanziali» in un altro Stato".

A breve un approfondimento su quanto sopra riportato.

La gestione dei rischi

di Giovanni Battisti.

Una volta identificati i rischi cui è esposta l’azienda dobbiamo procede alla loro valutazione, dobbiamo cioè misurare la loro probabilità di accadimento ed il loro impatto (chiamato anche “impatto lordo” o “magnitudo”), ovvero la “massima perdita realizzabile a seguito del manifestarsi” [1] del rischio.
In questa sezione introduttiva non ci tratterremo a descrivere gli strumenti e le tecniche disponibili per valutare un rischio; ci basti evidenziare che:
- i rischi sono in relazione agli obiettivi aziendali, siano tali obiettivi espliciti (o formulati) o impliciti (“taciti”);
- l’attività di valutazione dei rischi permette di identificare i rischi che dovranno essere “gestiti” dall’azienda (in quanto collegati ad opportunità da sfruttare) ed i rischi che dovranno essere evitati o eliminati. [2]

Prima di proseguire vediamo di rispondere alla domanda: “Perché un’azienda deve gestire alcuni rischi? Non sarebbe meglio eliminarli?”
Come in parte anticipato, il rischio è connaturato all’attività imprenditoriale, o come scrive G. C. Grossi “senza rischio non vi può essere ricompensa” [3]; il management ha quindi il compito di determinare il livello di rischio massimo accettato dall’azienda (risk tolerance) e di mantenere i rischi entro tale livello.

Per “gestire un rischio” si deve incidere su una delle sue due dimensioni, o su entrambe, al fine di ridurne la probabilità di accadimento e/o l’impatto.

Le principali strategie di gestione di un rischio sono le seguenti:
- il ridimensionamento del rischio, adottando strumenti di prevenzione (ad es. un allarme antincendio) e quindi diminuendo l’impatto dell’evento, o aumentando il numero di unità esposte al rischio (è il principio delle imprese di assicurazione, che trasferiscono il singolo rischio sulla totalità degli assicurati) e quindi agendo sulla dimensione probabilità.
- il trasferimento –in tutto o in parte– del rischio, ad esempio stipulando una polizza di assicurazione a protezione dell’evento incendio degli immobili, o trasferendo il rischio di insolvibilità di un cliente ad una società di factoring. Il rischio in quanto tale resta; sono trasferite ad un terzo, dietro pagamento, le probabili conseguenze economiche.
- la sua ritenzione, assumendo il rischio a proprio carico. È importante che questa sia una scelta consapevole, e che l’impresa adotti di conseguenza soluzioni che rendano possibile l’assunzione del rischio, ad esempio accantonando le opportune riserve finanziarie.
- la condivisione del rischio, ad esempio costituendo una società per “condividere” il rischio delle potenziali perdite (ma anche gli utili attesi). È una strategia che si pone “a metà strada” tra il trasferimento del rischio e la sua ritenzione.
- l’eliminazione del rischio, se si decide di non assumere il rischio, eliminando i relativi fattori di rischio. È una strategia che può portare (in relazione a determinate tipologie di rischio) anche a rifiutare delle opportunità di business, e deve essere quindi attentamente valutata in relazione alla propensione dell’azienda ad assumersi nuovi rischi (c.d. risk appetite). Agisce sulla probabilità di accadimento del rischio, riducendola –drasticamente!– a zero.

Come si vede, quale che sia la strategia scelta, gestire un rischio comporta sempre il sostenimento di un costo (si paga il premio di assicurazione, si cede parte degli utili a fronte di eventuali perdite, si accantonano riserve finanziarie ecc…): l’attività di gestione dei rischi (risk management) cerca “di bilanciare al margine il costo della riduzione del rischio con i benefici potenziali a esso connessi”[4].

-----
[1] Beretta, op. cit., p. 93.
[2] Tali rischi sono spesso presenti in azienda senza che ve ne sia consapevolezza, ed emergono in fase di risk assessment.
[3] G.C. Grossi, Mappatura dei rischi per l’auditing, Italia Oggi di martedì 9.11.2004, pag. 38.
[4] Beretta, op. cit., p. 14.

Contenuto "minimo" dei Modelli di organizzazione ex D.Lgs. 231/01: il Codice Etico

di Giovanni Battisti.

Il D.Lgs. 231/01, le Linee Guida di Confindustria e alcune sentenze ritenute significative permettono di identificare un "contenuto minimo" dei Modelli di organizzazione, gestione e controllo. In questa seconda parte, si approfondisce il contenuto del Codice Etico.

*****

Per identificare il contenuto minimo dei documenti che descrivono i principi ed il funzionamento del “sistema di controlli” adottato dall’ente dobbiamo fare riferimento ovviamente al D.Lgs. 231/01 ed alle Linee Guida di Confindustria [1], cui abbiamo aggiunto le indicazioni emerse da alcune sentenze particolarmente interessanti.

Partiamo dal Codice Etico, il più facile; il contenuto minimo di tale documento (Linee Guida, cap. II, pag. 16) è il seguente:

• L’ente ha come principio imprescindibile il rispetto di leggi e regolamenti vigenti in tutti i Paesi in cui esso opera;
• Ogni operazione e transazione deve essere correttamente registrata, autorizzata, verificabile, legittima, coerente e congrua;
• Devono infine essere elencati i principi base relativamente ai rapporti con gli interlocutori dell’ente: Pubblica Amministrazione, pubblici dipendenti e, nel caso di enti concessionari di pubblico servizio, interlocutori commerciali privati.

Più in generale, dobbiamo tenere presente che il Codice Etico è un documento ufficiale –approvato dal massimo vertice dell’ente – che mira a “raccomandare, promuovere o vietare determinati comportamenti, al di là ed indipendentemente da quanto previsto a livello normativo” nei “confronti dei «portatori di interesse» (dipendenti, fornitori, clienti, Pubblica Amministrazione, azionisti, mercato finanziario, ecc.)” (Linee Guida, cap. II, pag. 16). E questo è il contenuto “allargato” del codice Etico. Tutto sommato abbastanza chiaro.

(segue)
-----
[1] Confindustria, Area Strategica Fisco e Diritto d’Impresa, Linee Guida per la costruzione dei modelli di organizzazione, gestione e controllo ex D.Lgs. 231/2001, approvate il 7 marzo 2002, aggiornate al 24 maggio 2004.

Contenuto "minimo" dei Modelli di organizzazione e controllo (1/3)

di Giovanni Battisti.

OK, i consulenti hanno terminato il loro lavoro e stanno per consegnare il famigerato “Modello di organizzazione, gestione e controllo” della nostra Società, pronto per la discussione ed approvazione da parte del Consiglio di Amministrazione.
Ma cosa ci dobbiamo esattamente attendere? Quali e quanti documenti? E “cosa” devono contenere? (prima parte)

Il testo del D.Lgs. 231/01 (di seguito, Decreto) fornisce una prima risposta a queste domande identificando, come visto, il “contenuto minimo” dei Modelli di organizzazione e di gestione, rinviando tuttavia poi ai “codici di comportamento redatti dalle associazioni rappresentative degli enti” (Decreto, art. 6, co. 3).

E il primo approccio con le Linee Guida di Confindustria [1] (di seguito, Linee Guida) è un po’ traumatico, in quanto sono utilizzate, senza apparente distinzione, le espressioni “modelli di organizzazione, gestione e controllo” (Linee guida, pag. 5), “sistema interno di organizzazione e controlli” (Linee guida, pag. 5), “sistema di controllo preventivo” (Linee Guida, pag. 8) e “sistema di gestione del rischio” (Linee Guida, pag. 9).
Ancora, il giudizio di idoneità che il giudice penale è chiamato a formulare è riferito al “sistema interno di organizzazione e controlli” (Linee Guida, pag. 5), mentre qualche pagina dopo l’espressione “sistema di controlli preventivi” (Linee Guida, pag. 11) è attribuita ai “protocolli diretti a programmare la formazione e l’attuazione delle decisioni dell’ente in relazione ai reati da prevenire” [2].

Insomma, apparentemente non troviamo una risposta alla nostra domanda: “Cosa mi deve essere consegnato? Quali argomenti devono essere trattati? Il Modello è un documento o un insieme di documenti? O un sistema di controlli? E che vuole dire ‘sistema di controlli’?”

In realtà proprio l’analisi delle espressioni utilizzate dal Decreto e dalle Linee Guida ci permette di dire che quando si parla di Modello di organizzazione e di controllo (o di Modello di organizzazione, gestione e controllo), ci si riferisce in genere al sistema complessivo di controlli preventivi adottato da un ente, volti a prevenire la commissione dei reati identificati dal Decreto, i cui principi ed il cui funzionamento sono descritti in uno o più documenti, generalmente un “Codice Etico” e un “Modello di organizzazione, gestione e controllo” in senso stretto.

In sintesi: il “Modello di organizzazione e controllo” ex Decreto è costituito da uno o più documenti che descrivono i principi ed il funzionamento del “sistema di controlli” adottati dall’ente.

(segue)
-----
[1] Confindustria, Area Strategica Fisco e Diritto d’Impresa, Linee Guida per la costruzione dei modelli di organizzazione, gestione e controllo ex D.Lgs. 231/2001, approvate il 7 marzo 2002, aggiornate al 24 maggio 2004.
[2] D.Lgs. 231/01, art. 6, co. 2, let. b.