Schema per la determinazione della responsabilità dell'ente

Il dott. de Gennaro ci ha inviato uno "schema riepilogativo" per determinare la responsabilità delle persone giuridiche ai sensi del D.Lgs. 231/01.

E' uno strumento semplice e pratico che sintetizza i principali aspetti relativi alla responsabilità amministrativa delle persone giuridiche ex D.Lgs. 231/01:

• la società deve aver conseguito, dall'azione illecita, un interesse o un vantaggio (d.lgs. 231/01, art. 5, co. 1: "L'ente è responsabile per i reati commessi nel suo interesse o a suo vantaggio");
• la responsabilità della società è autonoma, prescinde cioè dall'identificazione del soggetto che ha commesso il reato (d.lgs. 231/01, art. 8, co. 1, lett. a: "La responsabilità dell'ente sussiste anche quando ... l'autore del reato non è stato identificato o non è imputabile");
• l'onere della prova, in sede di giudizio penale, varia a seconda che il reato sia stato commesso da un soggetto in posizione apicale o da un soggetto sottoposto all'altrui direzione, i cosiddetti soggetti in posizione subordinata (d.lgs. 231/01, art. 6 e art. 7).

Ricordiamo che devono essere consideratti soggetti in posizione "apicale" sia le "persone che rivestono funzioni di rappresentanza, di amministrazione o di direzione dell'ente o di una sua unità organizzativa dotata di autonomia finanziaria e funzionale" sia le "persone che esercitano, anche di fatto, la gestione e il controllo dello stesso" (d.lgs. 231/01, art. 5, co. 1, lett. a).


Clicca qui per scaricare lo schema illustrativo dei presupposti della responsabilità amministrativa delle persone giuridiche ai sensi del decreto legislativo n. 231 del 2001.

Sicurezza, prorogati gli adempimenti sulla valutazione dei rischi

Il Senato ha approvato ieri il testo del DDL di "conversione in legge, con modificazioni, del decreto-legge 3 giugno 2008, n. 97" (il cosiddetto "Decreto Mille-Proroghe") che tra gli altri adempimenti rinvia al 1 gennaio 2009 gli obblighi di valutazione dei rischi previsti dal D.Lgs. 81/08.
Questo il testo dell'emendamento:

«All'articolo 306, comma 2, del decreto legislativo 9 aprile 2008, n. 81, le parole: "decorsi novanta giorni dalla pubblicazione del presente decreto nella Gazzetta Ufficiale della Repubblica Italiana" sono sostituite dalle seguenti: "a decorrere dal 1º gennaio 2009"».

Dopo la pubblicazione sulla Gazzetta Ufficiale, pertanto, il comma 2 dell'art. 306 del D.Lgs. 81/08 sarà così modificato (le modifiche in grassetto);

"Le disposizioni di cui agli articoli 17, comma 1, lettera a), e 28, nonché le altre disposizioni in tema di valutazione dei rischi che ad esse rinviano, ivi comprese le relative disposizioni sanzionatorie, previste dal presente decreto, diventano efficaci a decorrere dal 1º gennaio 2009; fino a tale data continuano a trovare applicazione le disposizioni previgenti."

Le disposizioni di cui agli articoli 17, comma 1, lettera a) e 28 riguardano rispettivamente la valutazione da parte del datore di lavoro di tutti i rischi con la conseguente elaborazione del documento di valutazione dei rischi e l'oggetto della valutazione dei rischi.

La proroga divenerà operativa dopo la firma del Capo dello Stato e la pubblicazione sulla Gazzetta Ufficiale (che dovrebbe avvenire in tempi molto brevi, decadendo il Decreto Legge 97/08 il prossimo 3 agosto 2008).

ISVAP, trasmissione informatica dei dati

Sul sito dell'ISVAP è disponibile la versione aggiornata del documento "Norme per la trasmissione informatica dei dati" prevista dall'art. 38 del Regolamento n. 20 del 26 marzo 2008, recante disposizioni in materia di controlli interni, gestione dei rischi, compliance ed esternalizzazione delle attività delle imprese di assicurazione, ai sensi degli articoli 87 e 191, comma 1, del decreto legislativo 7 settembre 2005, n. 209 - codice delle assicurazioni private.

Ricordiamo che l'art. 38 del Regolamento prevede che "Entro centoventi giorni dall’entrata in vigore del presente Regolamento, le imprese trasmettono all’ISVAP un prospetto riepilogativo dei contratti di esternalizzazione in vigore, secondo il modello di cui all'allegato 3."
La trasmissione di cui all'art. 38 del Regolamento comprende anche i dati di contratti già trasmessi all'ISVAP in forma cartacea secondo quanto disposto dall'art. 35 comma 1 del Regolamento.

Linee guida IIA per le frodi aziendali

"Nessuna organizzazione è esente dal rischio di frodi. Frodi su larga scala hanno determinato la scomparsa di interi gruppi societari, massicce perdite sugli investimenti, significative spese legali, l'arresto di figure chiave dell'organizzazione aziendale, e la perdita di fiducia tra gli investitori.
I comportamenti fraudolenti del top management, una volta resi pubblici, hanno segnato negativamente la reputazione, i marchi e l'immagine di molte organizzazioni in tutto il mondo."

Il numero di agosto della newsletter dell'Institute of Internal Auditors (Tone at the Top) è dedicato alle frodi aziendali.

Basato sul paper recentemente approvato dall'IIA, dal Certified Fraud Examiners e dall'American Institute of Certified Public Accountants, "The Risky Business of Fraud" identifica le cinque linee guida che le aziende possono adottare per prevenire e per identificare il rischio di frodi.

Bando di concorso per tesi in corporate governance e controllo interno

L’Associazione Italiana Internal Auditors ha indetto, con la collaborazione delle Università di Bologna, Milano, Napoli, Pisa, Roma e Torino, un bando di concorso per tesi di laurea specialistica in materia di Corporate Governance e Controllo Interno, discusse (o da discutere) nel 2008.
Ai primi tre classificati sarà riconosciuto un premio di 1.000 euro ciascuno.

Il bando di concorso con le modalità di adesione può essere consultato sul sito dell'Associazione.

Risk management nell'era del web 2.0

Pensavo, in questi giorno di ozio forzato post-operatorio, alla recente sentenza del Tribunale del Commercio di Parigi che condanna Ebay, credo il più noto sito di aste online, a risarcire la società francese Lvmh (che gestisce celebri marchi di abbigliamento, profumeria, orologeria, cosmetica etc) con 40 milioni di euro per i danni arrecati (d'immagine, morali e alla rete di vendta della società).

YouTube, il portale di video sharing al momento più diffuso, dal canto suo deve periodicamente fronteggiare minacce o azioni di oscuramento, attuate da alcuni governi in reazione a contenuti ritenuti blasfemi, o di azioni legali per presunte violazioni di privacy o del copyright.

Cosa hanno in comune queste vicende, e come possono interessare i lettori di questo sito?
(In estrema sintesi) eBay e YouTube condividono il fatto di essere aziende dell'era Web 2.0, il cui patrimonio è costituito dai contenuti caricati sul sito dagli utenti, e il cui profitto deriva dal traffico generato da tali contenuti.
Condividono però anche la difficoltà (o l'impossibilità, vista la mole di informazioni veicolate) di controllare questi contenuti, esponendosi ai rischi conseguenti. Rischi che, non dimentichiamolo, come abbiamo visto toccano direttamente e pesantemente la capacità delle aziende di produrre reddito.

Ora, è abbastanza evidente che ogni nuova attività imprenditoriale deve inevitabilmente confrontarsi con nuovi rischi, ma nei casi citati l'intreccio patrimonio, reddito e rischio è incredibilmente stretto.
Non solo: ogni azione per contenere tali rischi sembra compromettere, in porzioni più o meno significative, la capacità reddituale delle aziende.

Una bella sfida per i risk manager di queste aziende, e un aspetto interessante da considerare se si decidesse di avviare un'attività imprenditoriale sul web del tipo "web 2.0" ("impresa 2.0", si può dire con un po' di ironia? E spero che i puristi mi passino questa espressione).

Su questi aspetti (idee per gestire il rischio in questo tipo di attività, strumenti da adottare etc.) mi piacerebbe sentire il parere di qualche risk manager.


Siti consigliati per approfondire il concetto di Web 2.0:

• Web 2.0, una definizione in 10 punti
• Cos'è Web 2.0 - Design Patterns e Modelli di Business per la Prossima Generazione di Software

Privacy e uso di dati biometrici nelle operazioni di trasfusione

Fonte: newsletter n. 310 del Garante per la protezione dei dati personali.

Il Garante per la protezione dei dati personali ha autorizzato l'azienda ospedaliera civile Maria Paternò Arezzo di Ragusa a utilizzare un sistema di sicurezza trasfusionale basato sulla rilevazione delle impronte digitali di operatori sanitari e pazienti. Con l'introduzione del sistema biometrico si vuole sia prevenire errori di identificazione dei malati o delle sacche di sangue (il sistema assicura la tracciabilità del sangue e la corretta associazione tra paziente, campione prelevato e sacca di sangue o di emoderivati durante la trasfusione), sia garantire anche la reale presenza del personale sanitario nei primi 15 minuti della trasfusione, la fase più delicata.

Il progetto presentato all'esame del garante prevede l'uso di un terminale portatile nel reparto di trasfusione, di un lettore di codici a barre, di un sensore per la rilevazione delle impronte digitali e di un software che trasforma le immagini delle impronte in un codice numerico. Prima della trasfusione, paziente e operatore sanitario poggiano un dito sul sensore biometrico, creando un file temporaneo con l'immagine dell'impronta che viene trasformata in un codice e immediatamente distrutta. Il codice viene registrato direttamente nel portatile, dal quale non possono essere estratti: il terminale non ha infatti porte di accesso o connessioni in rete e i dati (ora di inizio e fine delle trasfusioni, codice del paziente e dell'operatore sanitario, gruppo sanguigno ecc.) sono trasferiti al server e agli altri terminali dell'ospedale via radio.

L'Autorità ha ritenuto l'uso delle impronte digitali proporzionato alla delicatezza delle informazioni da trattare e ai rischi connessi all'incolumità e alla salute dei pazienti.
L'uso delle impronte digitali dovrà tuttavvia avvenir enel rispetto di alcuni specifici accorgimenti:

• i dati biometrici dei pazienti non potranno essere conservati per più di sette giorni;
• l'azienda dovrà individuare preventivamente i casi in cui ritenga necessario protrarre i tempi di conservazione dei dati dei pazienti fino a trenta giorni;
• i dati di medici e infermieri potranno essere conservati solo per la durata del loro incarico presso il reparto trasfusionale;
• devono essere previste modalità di identificazione alternative (ad es. braccialetti con codici a barre) per i pazienti che non intendono sottoporsi alla rilevazione delle impronte digitali;
• l'azienda ospedaliera dovrà designare i responsabili del trattamento dei dati presso le società esterne che trattano i dati relativi alle operazioni eseguite durante le trasfusione, specificando nel dettaglio le misure di sicurezza da osservare.

Descrivere un rischio

Autore: operàri s.r.l. Fonte: www.operari.it

Saper descrivere un rischio sembra facile. Se diciamo: "c'é rischio di inciampare" pensiamo di avere detto tutto. E invece no, perché non abbiamo aggiunto informazioni importanti, non abbiamo spiegato le circostanze. Perché si può inciampare? E cosa può succedere se in effetti finiamo per inciampare?

La descrizione di un rischio in una frase di senso compiuto è azione meno semplice di quanto possa sembrare. Innanzi tutto, per quanto possa sembrare banale dirlo, il rischio si esprime con una valenza e una connotazione negativa.

Si devono usare parole che esprimono la minaccia, l'evento incerto che ha conseguenze avverse. Non si dice quindi - semplificando - "rischio risorse umane", ma almeno "rischio di alto turnover delle risorse umane". A volere essere sinceri, non è detto affatto che questa spiegazione sia poi davvero meglio della prima. Se in effetti il rischio è percepito come tale, significa implicitamente che vi è scarsità di risorse valide e che corriamo il rischio di perderle.

Se vogliamo pertanto essere incisivi e concreti nella descrizione, dobbiamo descrivere almeno altri due aspetti:

• quale sia la causa che scatena la minaccia;
• quale è o quali sono le principali conseguenze che derivano dal manifestarsi della minaccia nel concreto.

A costo di sembrare eccessivamente semplici si può proporre una metodologia di descrizione che sia in grado di tracciare l’informazione in merito a cosa sia effettivamente a rischio, per quali ragioni e quali cause, con quali conseguenze. Per esempio, una frase che spieghi il fenomeno degno di attenzione con l'introduzione rappresentata da “esiste il rischio che…”; che poi introduca i motivi che sottendono al rischio con la forma “a causa di…”; infine, che sia capace di descrivere le conseguenze, con la forma diretta “con la conseguenza che…”.

E’ evidente che la metodologia di descrizione proposta è molto semplice e non pretende di gestire relazioni indirette tra causa ed effetto; in altri termini, mentre è possibile che una causa scatenante generi effetti a catena o relazioni causa effetto di tipo non lineare, il sistema proposto non mira a gestire relazioni di questo tipo.
La descrizione metodologica del rischio che viene proposta considera ogni rischio in maniera autonoma, come in laboratorio, e non si interroga sugli eventuali altri effetti indiretti che possono venire a generarsi, eventualmente in concomitanza con altri rischi.

Privacy e carte fedeltà

Sul tema della tutela dei dati personali dei clienti nei programmi di marketing che prevedono l'uso delle carte fedeltà abbiamo già segnalato gli interventi del Garante per la privacy (Stop alle carte di fedeltà se spiano nel carrello della spesa; Privacy e fidelity card).

Su questo tema, vi segnalo l'ottimo articolo di approfondimento "Carte fedeltà: gli obblighi informativi dell’impresa alla luce della normativa vigente e dei provvedimenti del Garante privacy" dell'avv. Camilotto Cecilia -pubblicato su FiloDiritto il 7 luglio 2008.

In questo articolo, l'autrice riepiloga e commenta le "norme di comportamento" per un corretto uso dei dati personali dei clienti, da parte delle società che utilizzano le fidelity cards nei loro piani di fidelizzazione, facendo riferimento sia al provvedimento del Garante per la protezione dei dati personali del 24 febbraio 2005 ("In quel provvedimento l’Autorità Garante ribadì che il trattamento dei dati personali deve essere svolto in ossequio ai principi di necessità, liceità, correttezza, qualità dei dati, proporzionalità."), sia al principio della trasparenza sotteso all’articolo 13 del Codice in materia di protezione dei dati personali.

Vengono da ultimo segnalati e commentati dall'autrice due recenti interventi dell'Autorità Garante per la protezione dei dati personali per irregolarità nelle informative sottoscritte dai consumatori al momento del rilascio di carte fedeltà.

Link utili:

• Provvedimento del Garante per la protezione dei dati personali del 24 febbraio 2005
• Garante per la protezione dei dati personali, newsletter n. 300 del 5 febbraio 2008 n. 300
• Garante per la protezione dei dati personali, newsletter n. 306 del 21 maggio 2008

MEGA e la nuova release della soluzione GRC

Comunicato stampa

MEGA ha presentato, lo scorso 19 maggio a Milano, l’ultima release della MEGA GRC Suite, la versione 3.0, che integra l’automazione delle procedure di Risk, Audit e Compliance su una piattaforma tecnologica centralizzata e con un’interfaccia utente semplice ed intuitiva.

La MEGA GRC Suite 3.0 propone tre soluzioni distinte, ma integrate nella stessa piattaforma, che permettono di soddisfare le specifiche necessità di ogni tipologia di utilizzatore:

• MEGA GRC Risk: permette l’identificazione, la valutazione e il controllo dei rischi operativi gestendo le differenti metodologie di approccio proprie delle aziende. Garantendo anche la storicizzazione dei dati inseriti, la soluzione permette di ridurre le minacce e diminuire i costi di gestione dei rischi.
• MEGA GRC Audit: consente di migliorare la produttività e lo scambio di informazioni all’interno dell’audit rendendo disponibile una visione globale dei piani di audit, automatizzando la gestione dei piani di azione suggeriti e garantendo una gestione centralizzata della documentazione.
• MEGA GRC Compliance & Control: permette di assicurare, riducendo al minimo i costi, la conformità dell’azienda alle molteplici e spesso complesse regolamentazioni, supportando il management nel garantire che l’azienda mantenga sistemi di controllo efficaci e gestisca piani d’azione per il miglioramento della perfomance.

Che sia l’audit manager, il responsabile compliance, lo specialista del controllo interno o il risk manager, tutte le figure aziendali utilizzano un’unica soluzione. Il vantaggio di un simile approccio è quello di avere un repository comune, alimentato da tutti, che permette di ottimizzare il lavoro, gestire i dati incoerenti ed obsoleti, snellire le attività di reporting e che consente, soprattutto, di avere una visione specifica sui propri singoli aspetti aggiunta ad una vista globale sull’azienda.

«Le attività di GRC (Governance, Risk e Compliance, ndr)sono veramente efficaci se parte integrante di una visione strategica, coerente e gestibile - spiega Lucio de Risi, Presidente e CEO di MEGA - I manager delle diverse aree operative hanno una percezione differente dello stesso problema e di conseguenza le azioni che intraprendono variano. Ecco che l’utilizzo di una piattaforma unica e coerente, che permette però una visione delle proprie specifiche responsabilità, è un grande vantaggio.»

Una gestione di questi processi attraverso strumenti non omogenei e spesso statici come Word, fogli di calcolo o metodi di gestione documentale è impensabile nel caso di grandi volumi di informazioni. Utilizzare strumenti che, non comunicando tra loro, non permettono l’integrazione e la sincronizzazione dei dati, impedisce agli utenti di aggiornare, ricercare le informazioni in maniera efficace e di gestire correttamente le procedure di sicurezza. La MEGA GRC Suite automatizza queste operazioni e fornisce una soluzione adatta ed integrata per la raccolta, lo stoccaggio e l’accesso ai dati aziendali.

«Nonostante la maggior parte delle società affermino di mettere in pratica delle procedure di GRC, molte risultano non sufficientemente protette e, in caso di verifica, non risponderebbero ai rigorosi requisiti imposti. - segnala Michael Rasmussen, Presidente della società di consulenza Corporate Integrity - Molti dei problemi che incontra l’azienda sono causati dalla mancanza di controlli e di indicatori adeguati e dal fatto di non tenere in considerazione quanto queste procedure siano legate alla strategia e alle attività aziendali di business.»*

La nuova release si è arricchita di nuove e potenti caratteristiche che aumentano la facilità di utilizzo e permettono anche all’utilizzatore occasionale di lavorare sul software pur non avendo seguito un training specifico. È una soluzione intuitiva con una grafica ed un’interfaccia utente di grande qualità. MEGA GRC Suite ha una struttura adattabile e scalabile che si adatta ad ogni tipologia di organizzazione aziendale.
Per 15 anni MEGA ha fornito soluzioni di Business Process Analysis (BPA) e di Enterprise Architecture (EA) alle più grandi società del Fortune 500 e a numerosi enti pubblici a cui ha permesso di gestire con efficacia attività complesse e di grande portata aumentandone le performance aziendali. MEGA punta ad offrire un livello di expertise della stessa rilevanza con la nuova GRC Suite, che è allo stesso tempo indipendente ed integrata alla Modeling Suite per la BPA e l’EA, ponendosi come obiettivo di accompagnare le aziende ad affrontare le complesse sfide del Risk Management, della Compliance, dell’Audit e del Controllo.

* «While most companies claim to have GRC practices in place, most are not as protected as they should be and would not meet the most stringent audit requirements if tested. Many corporate problems are caused by a lack of relevant controls and indicators, and a misunderstanding of how these relate to a company’s business strategy and practices.»

L’offerta MEGA (www.mega.com) comprende anche la MEGA Modeling Suite per la Business Process Analysis (BPA) e l’Entreprise Architecture (EA). MEGA è una società privata che conta più di 50.000 licenze distribuite nel Mondo. Tra i principali clienti vanta: AT&T, Allianz, Alstom, AXA, Banco Popolare, BNP Paribas, British American Tobacco,Carrefour, Cattolica Assicurazioni, Crédit Agricole, Dexia, Direct TV, EDF, ENEL, France Telecom, General Electric, GlaxoSmithKline, Unicredit Group, Italcementi, KBC, Michelin, Morgan Stanley, NASA, Novartis, RAI, Renault-Nissan, Royal & SunAlliance, Sanofi-Aventis, Saras, Société Générale, ST Microelectronics, Total Fina.

Per informazioni:
Annalia Martinelli - Areté Comunicazione
Tel: 02 4813854
Mail: info @ aretecomunicazione.it

Chiara Colombo - MEGA International
Tel: +33 1 42 75 41 11
Mail: ccolombo @ mega.com

Conservazione e utilizzo dei dati dei clienti per fini commerciali

Nella newsletter del 1 luglio 2008 il Garante per la privacy ha affrontato il tema dell'archiviazione, da parte delle aziende, dei dati dei propri clienti, ribadendo il principio che "le aziende che raccolgono dati dei loro clienti, anche di quelli potenziali, non possono tenerli a tempo indeterminato" in quanto "i dati non possono essere conservati per un periodo superiore a quello necessario per il perseguimento dello scopo per i quale essi vengono raccolti e utilizzati."

Il provvedimento fa seguito agli accertamenti dell'Autorità - finalizzati a verificare il rispetto delle norme sulla vendita a distanza - su di un azienda che commercializza prodotti per la casa. Da queste verifiche è emerso che l'azienda conservava non soltanto i dati anagrafici e i recapiti dei clienti che avevano poi comperato i prodotti, ma anche le schede anagrafiche di quanti non avevano effettuato alcun acquisto, e che i dati dei clienti venivano raccolti non solo per organizzare incontri dimostrativi, ma anche per successivi contatti.

Giuseppe Fortunato, relatore del provvedimento, ne ha così sintetizzato la ratio:
"I dati che un cliente ha fornito non possono tendenzialmente essere utilizzati a tempo indefinito. Non è possibile che per il solo fatto di aver una volta soltanto acquistato un bene si debba essere contattati per altre offerte".

Internal Audit e Compliance, gli ambiti di competenza

Sul sito dell'Associazione Italiana Compliance e dell'Associazione Italiana Internal Auditors sono disponibili gli atti del convegno "Le funzioni di Internal Audit e di Compliance - Ruoli, responsabilità e ambiti di rispettiva competenza", tenutosi a Milano lo scorso 2 luglio, e organizzato da AICOM e AiiA per presentare il primo paper congiunto delle due associzioni sulle sinergie tra le Funzioni di Compliance e di Internal Audit.

Tra gli interventi segnaliamo quello di Claudio Clemente, capo del Servizio Vigilanza sugli Enti Creditizi della Banca d'Italia, che ha illustrato il contenuto del documento.
L'aspetto che maggiormente ci interessa e che il documento sembra identificare -partendo dalle diverse finalità assegnate dalla normativa (bancaria, ndr) alle due funzioni di controllo- i diversi ambiti di operatività:

• l'Internal Audit "valuta la funzionalità del complessivo sistema dei controlli interni; accerta, anche con verifiche in loco, la regolarità dell'operatività e l'andamento dei rischi";
• la Compliance "verifica la coerenza dei processi con l'obiettivo di prevenire la violazione delle norme di etero ed autoregolamentazione, in un'ottica di presidio dei rischi di non conformità e di reputazione".

Entrambe condividono l'obiettivo di "diffusione di una cultura incentrata sull apiena consapevolezza dei rischi e sul rispetto delle regole".

Personalmente, sulla base degli atti del convegno, non mi sembra si sia ancora raggiunta la chiarezza sperata, e che vi siano ancora aree grigie: il "complessivo sistema dei controlli interni" richiamato quale ambito di applicazione dell'Internal Audit comprende infatti, in mancanza di ulteriori precisazioni, anche il sistema dei controlli volti a prevenire violazioni normative. Ma, per esprimermi definitivamente, aspetto la disponibilità del paper.

I miei dubbi trovano una parziale conferma nella già citata presentazione, laddove si richiama alla "necessità di una adeguata definizione delle modalità di coordinamento e raccordo con l'Internal Audit (e con le altre funzioni aziendali di controllo), in un ottica di:

• condivisione di informazioni
• minimizzazione delle aree di possibile sovrapposizione"

Linee guida IIA per l'EDP Audit

Dal 2005 le Global Technology Audit Guides dell'IIA (GTAGs) aiutano gli internal auditor di tutto il mondo, diffondendo e aumentando la conoscenza dei diversi rischi, controlli e dei relativi processi di gestione relativi all'impiego di strumenti informatici in azienda.

Dallo scorso 7 luglio sono disponibili (sia in versione cartacea che elettronica) due nuove guide, rispettivamente la:

• Business Continuity Management.
  
• Developing the IT Audit Plan.
  

Business Continuity Management
Un efficace programma di business continuity management permette di gestire il livello di rischio che l'azienda si troverebbe ad affrontare in conseguenza ad un evento catastrofico, naturale o meno. La guida comprende approfondisce gli aspetti di "disaster recovery planning" per garantire la disponibilità delle infrastrutture tecnologiche e degli applicativi gestionali considerati strategici. Scarica gratuitamente questa guida.






Developing the IT Audit Plan
Numerosi audit esterni di qualità dell'IIA hanno evidenziato che lo sviluppo di un adeguato piano di EDP audit spesso è il tallone d'achille degli internal auditor. La guida si propone pertanto di aiutare i responsabili delle strutture di internal auditing e gli internal auditor a: comprendere l'organizzazione aziendale ed il ruolo dell'IT; definire e comprendere l'ambiente IT; identificare il contributo dell'attività di risk assessment per definire l'universo di un EDP audit; redigere il piano annuale di EDP audit. Scarica gratuitamente questa guida.

Linee guida per la gestione delle frodi aziendali

L'Institute of Internal Auditors (IIA), in collaborazione con l'Association of Certified Fraud Examiners (ACFE) e con The American Institute of Certified Public Accountants (AICPA), ha pubblicato una guida pratica (in inglese) per la gestione del rischio di frode: "Managing the Business Risk of Fraud: A Practical Guide."

La guida definisce 5 principi chiavi per la gestione del processo di prevenzione delle frodi e identifica gli strumenti che gli amministratori, i dirigenti e gli auditor devono adottare per prevenire le frodi societarie. Il manuale è il risultato di due anni di lavoro di un team dedicato di 20 esperti nel settore della prevenzione e gestione di frodi societarie.

La guida "Managing the Business Risk of Fraud: A Practical Guide" può essere scaricata gratuitamente dal sito web dell'IIA.

Attestazione del Dirigente Preposto, l’indagine di operari

Presentazione della “Indagine sulle prime relazioni di attestazione dei DP” di Stefano Barlini (www.operari.it)


In occasione delle rendicontazioni contabili il cui periodo di riferimento si è chiuso dopo il 1° luglio 2007, i “dirigenti preposti alla redazione dei documenti contabili societari” e gli organi amministrativi delegati delle società emittenti titoli quotati in Italia sono stati chiamati (per la prima volta) a formulare l’attestazione prevista dall’articolo 154-bis, comma 5 del D.Lgs. n. 58 del 1998 (il c.d. Testo Unico della Finanza).

operàri ha condotto un’approfondita indagine per identificare i principali profili di comportamento adottati dal Dirigente Preposto e dalle società emittenti nella predisposizione della della prima “relazione di attestazione”, analizzando le relazioni di attestazione allegate al bilancio di esercizio, consolidato o relazione semestrale il cui periodo di riferimento si è chiuso dopo il 1° luglio 2007, disponibili presso il sito di Borsa Italiana.
L’indagine ha interessato l'intera popolazione delle società emittenti.

In sintesi, è emerso che la società emittente “media”:

• ha compilato il paragrafo 2 della relazione di attestazione di cui al comma 5 dell’articolo 154-bis del TUF introdotto dalla legge 262/05;
• rappresenta un emittente del settore financial a capitalizzazione medio-grande;
• non differenzia le relazioni di attestazione allegate al bilancio di esercizio e al consolidato;
• cita il COSO a supporto a del giudizio di adeguatezza delle procedure amministrativo-contabili;
• non fornisce ulteriori informazioni, né specifica il framework di riferimento a supporto del giudizio di effettiva applicazione delle procedure.

E’ possibile scaricare gratuitamente il testo con i risultati dell’indagine e il file con il dettaglio dei dati dell’analisi (in formato win excel compresso).

Link:

• Decreto Legislativo del 24 febbraio 1998, n. 58 (TUF) e dei regolamenti attuativi emanati dalla Consob in materia di intermediari, mercati ed emittenti

Limitazioni all’uso del contante e titoli al portatore, modifiche alla normativa

Il Decreto Legge 25 giugno 2008, n. 112 "Disposizioni urgenti per lo sviluppo economico, la semplificazione, la competitività, la stabilizzazione della finanza pubblica e la perequazione Tributaria", pubblicato sulla Gazzetta Ufficiale n. 147 del 25 giugno 2008, Supplemento Ordinario n.152, ha riportato a 12.500 euro la soglia per il trasferimento di "denaro contante libretti di deposito bancari o postali al portatore o di titoli al portatore in euro o in valuta estera, effettuato a qualsiasi titolo tra soggetti diversi" (DL 112/08, art. 32, co. 1, lett. a); tale tetto era stato abbassato a 5.ooo euro a partire dallo scorso 30 aprile 2008 (D.Lgs. 231/07, art. 49 "Limitazioni all'uso del contante e dei titoli al portatore").
Restano non trasferibili, e pertanto possono essere incassati dal solo beneficiario, direttamente o a mezzo banca, gli assegni da 12.500 euro in su.

Tali limiti restano, comunque, modificabili con decreto del Ministro dell'economia e delle finanze (D.Lgs. 231/07, art. 66, co. 7).
E' stato inoltre abrogato l'obbligo, imposto al girante, di inserire il proprio codice fiscale nella girata degli assegni trasferibili (DL 112/08, art. 32, co. 1, lett. b).

Non è stata invece modificata la struttura del sistema introdotta dal citato D.Lgs. 231/07: gli assegni bancari e postali continueranno ad essere consegnati muniti della clausola di non trasferibilità; per ciascun assegno richiesto in forma libera dovrà essere pagato un bollo di 1,5 euro.

DL 97 del 2008, rinvii in materia di sicurezza sul lavoro

È stato pubblicato sulla Gazzetta Ufficiale . 128 del 3 giugno 2008 il Decreto Legge n. 97 recante "Disposizioni urgenti in materia di monitoraggio e trasparenza dei meccanismi di allocazione della spesa pubblica, nonché in materia fiscale e di proroga di termini".
Il Decreto, all'art. 4, co. 2, posticipa al 1 gennaio 2009:

• l'obbligo di comunicazione da parte del datore di lavoro, all'INAIL/IPSEMA, a fini statistici e informativi, dei dati relativi agli infortuni che comportino un'assenza di almeno un giorno e, a fini assicurativi, dei dati relativi agli infortuni che comportino un'assenza superiore a tre giorni (D.Lgs. 81/08, art. 18, co. 1, lettera r);
• il divieto delle visite mediche in fase preassuntiva (D.Lgs. 81/08, art. 41, co. 3, lett. a).

Link utili:

• Abrogazioni e rinvii in materia di appalti e di sicurezza sul lavoro, di Federica Gozzini;
• Chiarimenti della Direzione Provinciale del Lavoro di Modena.

Privacy, le semplificazioni del Decreto Legge 112 del 2008

Il Decreto Legge 25 giugno 2008, n. 112 "Disposizioni urgenti per lo sviluppo economico, la semplificazione, la competitività, la stabilizzazione della finanza pubblica e la perequazione tributaria", pubblicato nella Gazzetta Ufficiale n. 147 del 25 giugno 2008, ha abrogato l’obbligo della redazione del Documento Programmatico sulla sicurezza (DPS) per tutte le aziende che "trattano soltanto dati personali non sensibili e l'unico dato sensibile è costituito dallo stato di salute o malattia dei propri dipendenti senza indicazione della relativa diagnosi".
Novità anche per la notificazione dei trattamenti, che dovrà essere "trasmessa attraverso il sito del Garante".

Di seguito si riporta il testo dell’articolo 29, relativo al trattamento dei dati personali, del Decreto Legge 112/08.

DL 112/08, art. 29. - Trattamento dei dati personali
1. All'articolo 34 del decreto legislativo 30 giugno 2003, n. 196, dopo il comma 1 è aggiunto il seguente:
«1-bis. Per i soggetti che trattano soltanto dati personali non sensibili e l'unico dato sensibile è costituito dallo stato di salute o malattia dei propri dipendenti senza indicazione della relativa diagnosi, l'obbligo di cui alla lettera g) del comma 1 e di cui al punto 19 dell'Allegato B e' sostituito dall'autocertificazione, resa dal titolare del trattamento ai sensi dell'articolo 47 del decreto del Presidente della Repubblica 28 dicembre 2000, n. 445, di trattare soltanto dati personali non sensibili, che l'unico dato sensibile è costituito dallo stato di salute o malattia dei propri dipendenti senza indicazione della relativa diagnosi, e che il trattamento di tale ultimo dato è stato eseguito in osservanza delle misure di sicurezza richieste dal presente codice nonchè dall'Allegato B).».
2. Entro due mesi dall'entrata in vigore della legge di conversione del presente decreto-legge, con un aggiornamento del disciplinare tecnico adottato nelle forme del decreto del Ministro della giustizia di concerto con il Ministro per la pubblica amministrazione e l'innovazione e con il Ministro per la semplificazione normativa, ai sensi dell'articolo 36 del decreto legislativo 30 giugno 2003, n. 196, sono previste modalità semplificate di redazione del documento programmatico per la sicurezza di cui alla lettera g) del comma 1 dell'articolo 34 e di cui al punto 19 dell'Allegato B al decreto legislativo 30 giugno 2003, n. 196 per le correnti finalità amministrative e contabili.
3. Qualora il decreto di cui al comma 2 non venga adottato entro il termine ivi indicato, la disciplina di cui al comma 1 si applica a tutti i soggetti di cui al comma 2.
4. All'articolo 38 del decreto legislativo 30 giugno 2003, n. 196, il comma 2 è sostituito dal seguente:
«La notificazione è validamente effettuata solo se è trasmessa attraverso il sito del Garante, utilizzando l'apposito modello, che contiene la richiesta di fornire tutte e soltanto le seguenti informazioni:
1) le coordinate identificative del titolare del trattamento e, eventualmente, del suo rappresentante, nonche' di un responsabile del trattamento se designato;
2) la o le finalita' del trattamento;
3) una descrizione della o delle categorie di persone interessate e dei dati o delle categorie di dati relativi alle medesime;
4) i destinatari o le categorie di destinatari a cui i dati possono essere comunicati;
5) i trasferimenti di dati previsti verso Paesi terzi;
6) una descrizione generale che permetta di valutare in via preliminare l'adeguatezza delle misure adottate per garantire la sicurezza del trattamento.».
5. Entro due mesi dall'entrata in vigore della presente legge il Garante di cui all'articolo 153 del decreto legislativo 30 giugno 2003, n. 196 adegua il modello di cui al comma 2 dell'articolo 38 del decreto legislativo 30 giugno 2003, n. 196 alle prescrizioni di cui al comma 4.

Link utilii:

Privacy – nuove semplificazioni del Garante per la PMI, di Panfilo Marcelli
• Semplificazione per attività amministrative e contabili, Prescrizione del Garante del 19 giugno 2008