Risk Assessment dei processi produttivi: Protocolli di controllo,

codici etici, attività dell’OdV

Dr. Pasquale SGRÒ

Cascina, Polo Tecnologico di Navacchio - 21 luglio 2016

COS’È IL MODELLO ORGANIZZATIVO (MOG)?

La responsabilità delle società prevista dal 231 è autonoma rispetto a quella prevista per la persona fisica autore del reatoe tale ampliamento mira a coinvolgere, nella punizione di determinati reati, anche il patrimonio della società ed in ultimaanalisi gli interessi dei soci che prima del 231 non subivano conseguenze dirette dalla realizzazione di reati commessi daipropri dipendenti o amministratori, nell’interesse o a vantaggio della propria società.

Il D.Lgs. 231/01 prevede la possibilità di non incorrere in alcuna responsabilità penale-amministrativa se la società adottaun Modello Organizzativo idoneo a prevenire la commissione dei reati e nomina un Organismo di Vigilanza con il compitodi verificarne la concreta attuazione del MOG.

Un’organizzazione aziendale capace di garantire che i reati indicati nel D.Lgs. 231/01 siano identificati e contrastatisecondo lo stato dell’arte.

Il fatto che si verifichi un evento negativo (infortunio o malattia professionale) non è una prova automatica dellainadeguatezza del MOG (vedi D.Lgs. 231/01 quando parla di fraudolenta elusione del MOG e quando impone all’azienda disanzionare chi elude il MOG).

PRESUPPOSTI E FINALITÀ DELL’ADOZIONE E DELL’ATTUAZIONE DI MOG

L’Ente non è ritenuto responsabile se prova che:

a) ha adottato ed attuato, prima della commissione del fatto, un Modello di Gestione, Organizzazione e Controllo idoneo a prevenire reati della specie di quello verificatosi;

b) ha nominato un organismo, indipendente e con poteri autonomi, che vigili sul funzionamento e l’osservanza del Modello e ne curi l’aggiornamento;

c) il reato è stato commesso eludendo fraudolentemente le misure previste nel Modello;

d) non vi è stata omessa o insufficiente vigilanza da parte dell’OdV.

Le componenti più rilevanti del sistema di controllo per prevenire ragionevolmente la commissione dei reati previstidal Decreto, sono:

CODICE ETICO

SISTEMA ORGANIZZATIVO

PROCEDURE MANUALI ED INFORMATICHE

POTERI AUTORIZZATIVI E DI FIRMASISTEMI DI CONTROLLO DI GESTIONE

COMUNICAZIONE AL PERSONALE E SUA INFORMAZIONE

Documentazione che deve essere uniformata ai seguenti principi:

- Verificabilità, documentabilità, coerenza e congruenza di ogni operazione;

autonomia e indipendenza; professionalità; continuità d’azione; obblighi di informazione dell’Organismo di Vigilanza

- Separazione delle funzioni (ad esempio, nessuno può gestire in autonomia un intero processo);

- Documentazione dei controlli;

- Previsione di un adeguato sistema sanzionatorio in caso di violazione delle norme;

- Individuazione dei requisiti dell’Organismo di Vigilanza, riassumibili in:

PRESUPPOSTI E FINALITÀ DELL’ADOZIONE E DELL’ATTUAZIONE DI MOG

La redazione del Modello Organizzativo deve essere un vero e proprio “abito su misura”,

creato ad hoc per l’azienda,

pertanto non vi possono essere linee guida esaustive delle diverse necessità delle singole aziende.

MODELLO ORGANIZZATIVO: RIFLESSIONI

Il MOG è suddiviso nelle seguenti parti:

PARTE GENERALE

che contiene i punti cardine del D.Lgs.

231/01 e fa riferimento

all’organizzazione aziendale

PARTE SPECIALE

suddivisa in fascicoli in base alle

diverse tipologie di reato previste e

include i principi comportamentali e

le misure preventive adottate

(tante parte speciali quanti sono i

reati risultati maggiormente

rilevanti per la società a seguito del

Risk assessment)

ALLEGATI

Quali:

Codice Etico e di comportamento,

Sistema Disciplinare, Statuto

dell’OdV, Regolamento dell’OdV,

Principi generali di

comportamento, Elenco dei reati

presupposti

STRUTTURA DEL MODELLO: Parte Generale – Parte Speciale e Allegati

Il "Risk Assessment" o "Analisi del Rischio" è una metodologia volta alladeterminazione del rischio associato a determinati pericoli o sorgenti di rischio e ha loscopo di individuare i rischi di commissione dei reati-presupposto e a valutarel’adeguatezza o meno del sistema di controllo interno.

La redazione del risk assessment e la conseguente valutazione del rischio reatoall’interno della società rappresenta il punto di partenza per la redazione del ModelloOrganizzativo

Al fine di creare un Modello personalizzato, un vero “abito su misura”, occorre conoscere in modo efficace la realtàaziendale per capire quali siano le attività più sensibili dal punto di vista del rischio di commissione del reato, evitandodi predisporre mappature meramente compilative e asettiche, sprovviste di qualsiasi valutazione sull’intensità delrischio reato e sul suo grado di avveramento all’interno della società.

Colloqui e interviste ai responsabili di funzione

Documenti presenti in azienda

LA METODOLOGIA DI RISK ASSESSMENT

È bene tener presente che qualora in fase di risk assessment sia individuato un livello di rischio alto, ciò non significache le aree a rischio non siano già caratterizzate da comportamenti virtuosi e preventivi.

Il risk assessment infatti è un’analisi che oltre a tenere conto dello stato di fatto, deveguardare alle reali possibilità che il reato si possa verificare e sulla base di questopredisporre le opportune procedure.

LA METODOLOGIA DI RISK ASSESSMENT

Adeguatezza:Prendere in considerazione anche i rischi prevedibili associati ai processi critici (quando una scorretta o mancatagestione introduce altri rischi: es. gestione manutenzione).

Gestione rischio:- identificare chiaramente chi fa, cosa fa e quando lo fa,- per chi fa, individuare la chiara identificazione delle competenze e capacità, ossia l’idoneità dei ruoli e dei poteriattribuiti

Non conformità accertataIn caso di non conformità accertata bisogna valutare le misure da prendere e l’implementazione dei correttivi deveavvenire con una tempistica che dovrà essere proporzionale alla gravità delle non conformità riscontrate.

RISK ASSESSMENT: riflessioni

RISK ASSESSMENT: Riflessioni

Per i REATI AMBIENTALI, il MONITORAGGIO AMBIENTALE sul piano pratico è l’unico strumento che consente dimisurare il rischio penale.- Le Autorizzazioni contengono specifiche prescrizioni.- Garantire la tracciabilità di tutti i campioni prelevati e inviati al laboratorio.

L’Analisi Ambientale deve mappare tutte le attività produttive del sito produttivo, reparto per reparto, soffermandosi sulciclo produttivo, sulle materie prime utilizzate e su quelle generate come scarto, sulle attrezzature, sui sistemi digestione delle materie prime, ma anche su tutte le attività ausiliarie che regolano i trasporti, le caldaie, i sistemi diraffreddamento e riscaldamento, ecc.

Per ogni attività o prodotto o servizio si dovranno individuare le interazioni reali o potenziali tra questi e l’ambiente equindi si dovrà valutare la significatività (intensità dell’impatto ambientale, sensibilità ambientale dei corpi ricettori,adeguatezza tecnologica degli impianti, il livello di controllo gestionale).Il tutto considerando tre diverse situazioni di funzionamento: normale, anormale, di emergenza.

Per Es. REATI AMBIENTALI

RISK ASSESSMENT: RAPPORTI COMMITTENTE / APPALTATORI

Il MOG dovrà prendere posizione regolamentando l’attività dei rischi introdotti dall’appaltatore, sottoponendola aspecifico controllo preventivo con una gestione dei vari aspetti (contrattualistica e operatività)Insomma il MOG dovrà imporre al committente uno specifico controllo sull’idoneità di tutta la filiera degli affidatari eforse imporre anche al committente l’obbligo di individuare i fornitori tra le white list delle Prefetture.

PER ESEMPIO:

SCARICHI IDRICISu questa materia il problema di gestione dei ruoli e responsabilità tra committente e appaltatore si pone in mododiverso, in quanto il titolare dello scarico è sempre il committente che quindi sarà esposto al rischio penale per il fattocommesso dall’appaltatore all’interno del suo stabilimento. Succede spesso che gli appaltatori non si curino affatto delleconseguenze di sversamenti accidentali di sostanze al suolo o nelle fogne dello stabilimento, causando unacontaminazione degli scarichi idrici.

RIFIUTISe i rifiuti sono prodotti dall’appaltatore, il committente potrà avere diverse problematiche, anche se la Suprema Cortechiarisce che il committente non è responsabile per illecita gestione dei rifiuti dell’appaltatore se non si inserisce nellacogestione del rifiuto (cogestione diretta o indiretta del rifiuto).

PROTOCOLLI DI CONTROLLO

Il Modello prevede specifici protocolli comportamentali atti a prevenire i reati che potrebbero derivare dal cattivo ederrato svolgimento delle attività aziendali

Il sistema di controlli preventivi dovrà essere tale da garantire che i rischi di commissione dei reati siano ridotti ad un“livello accettabile”. Si tratta, in sostanza, di progettare quelli che il decreto 231 definisce “specifici protocolli diretti aprogrammare la formazione e l’attuazione delle decisioni dell’ente in relazione ai reati da prevenire”.

I protocolli possono contenere la descrizione:• delle procedure interne per l'assunzione e l'attuazione delle decisioni di gestione (incluso il normale svolgimento dellerelative attività), con l’indicazione delle modalità relative e dei soggetti titolari delle funzioni, competenze eresponsabilità;• delle modalità di documentazione e di conservazione degli atti delle procedure in modo da assicurare trasparenza everificabilità delle stesse;• delle modalità di controllo della conformità tra le procedure previste e la loro attuazione e documentazione.

IL CODICE ETICO

Il Modello deve rispondere all’esigenza di prevenire la commissione dei reatiprevisti dal 231 attraverso la predisposizione di regole di comportamentospecifiche.

Il complesso delle regole contenute nel Codice Etico mira alla salvaguardia degli interessi degli stakeholders (o portatori diinteressi), nonché a proteggere la reputazione della società, assicurando, nel contempo, un approccio etico nellosvolgimento delle proprie attività. Al fine di garantire una piena effettività delle previsioni del Codice Etico, sono tenutiall’osservanza dei principi etici e delle norme di comportamento ivi indicati: gli amministratori e i sindaci (organi sociali), tuttii dipendenti, nonché tutti coloro che, pur esterni alla società, operino, direttamente o indirettamente, stabilmente otemporaneamente, per essa (es. procuratori, agenti, collaboratori a qualsiasi titolo, consulenti, fornitori, partnercommerciali, o comunque, chiunque operi in nome o per conto della società).

Il Codice Etico indica i principi generali e le regole comportamentali cui lasocietà riconosce valore etico positivo ed a cui devono conformarsi tutti idestinatari del Codice stesso.

Oltre all’adozione del Modello Organizzativo la società deve nominare un Organismo di Vigilanza (OdV), dotato diautonomi poteri di iniziativa e controllo a cui sia affidato il compito di vigilare sul funzionamento e l’osservanza delModello, nonché di curarne l’aggiornamento.E’ infine necessario che l’Organismo di Vigilanza svolga un’attività continuativa, attraverso ispezioni, controlli e verifiche.

Il ruolo dell’OdVha assunto sempre maggior rilievo in un’ottica di reale prevenzione dei reati

L’OdV è nominato dal Consiglio di Amministrazione che ne individua i membri sulla base dei requisiti di onorabilità,integrità, rispettabilità e professionalità.L’OdV può essere collegiale o monocratico, composto da membri interni e/o esterni, purché si tratti di persone dicomprovata professionalità ed esperienza, indipendenza ed autonomia, in grado di garantire l’applicazione della normativae dei processi organizzativi interni.

Vi sono precise cause di incompatibilità con la nomina di membro dell’OdV.A titolo esemplificativo, non possono essere nominati soggetti condannati per reati compresi nel D.Lgs231/01 o per altra tipologia di reato che renda sostanzialmente dubbia la loro capacità di svolgere un ruolopreventivo o l’attribuzione agli stessi di funzioni operative all’interno della società incompatibili con irequisiti di autonomia ed indipendenza dell’OdV.

ORGANISMO DI VIGILANZA: ATTIVITÀ

ORGANISMO DI VIGILANZA: Funzioni e Poteri

All’Organismo di Vigilanza sono conferiti i poteri di iniziativa e controllo necessari per assicurare un’effettiva ed efficientevigilanza sulla concreta applicazione del Modello Organizzativo.

L’OdV nelle verifiche, non esclusivamente documentali, deve tentare di mettere in difficoltà il modello aziendale

In particolare è affidato all’OdV il compito di vigilare su:- adeguatezza del Modello: il Modello deve essere adeguato all’azienda cui si applica.

- effettività del Modello: ossia vigilare affinché i comportamenti posti in essere all’interno dell’azienda corrispondano alModello predisposto;

- efficacia del Modello: ossia verificare che il Modello predisposto sia concretamente idoneo a prevenire il verificarsi deireati previsti dal Decreto e dai successivi provvedimenti che ne modifichino il campo di applicazione;

- opportunità di aggiornamento del Modello al fine di adeguarlo ai mutamenti legislativi e alle modifiche della strutturaaziendale.

Da un punto di vista operativo, pertanto compete all’OdV:

- verificare periodicamente la mappa delle aree a rischio reato (o “attività sensibili”), al fine di adeguarla ai mutamentidell’attività e/o della struttura aziendale. A tal fine, all’Organismo di Vigilanza devono essere segnalate da parte di tutti idipendenti le eventuali situazioni che possono esporre l’azienda a rischio di reato.

- effettuare periodicamente, anche utilizzando professionisti esterni, verifiche volte all’accertamento di quanto previstodal Modello, in particolare assicurare che le procedure, i protocolli e i controlli previsti siano posti in essere edocumentati in maniera conforme e che i principi etici siano rispettati. Si osserva, tuttavia, che le attività di controllosono demandate alla responsabilità primaria del management operativo e sono considerate parte integrante di ogniprocesso aziendale, da cui l’importanza di un processo formativo del personale;

- effettuare periodicamente verifiche mirate su determinate operazioni o atti specifici posti in essere, soprattutto,nell’ambito delle attività sensibili i cui risultati vengano riassunti in un apposito rapporto il cui contenuto sarà espostonel corso delle comunicazioni agli organi societari;

- coordinarsi con le altre funzioni aziendali (anche attraverso apposite riunioni) per uno scambio di informazioni pertenere aggiornate le aree a rischio reato/sensibili.

ORGANISMO DI VIGILANZA: Funzioni e Poteri

L’Organismo di Vigilanza ha libero accesso a tutta la documentazione aziendale rilevante e deve essere costantementeinformato dalla direzione:- sugli aspetti dell’attività aziendale che possono esporre l’azienda al rischio conseguente alla commissione di uno dei

reati previsti dal Decreto;- sui rapporti con Consulenti e Partner.

Inoltre, l’Organismo di Vigilanza deve:- promuovere iniziative per la formazione e comunicazione sul Modello e predisporre la documentazione necessaria atal fine;- interpretare la normativa rilevante e verificare l’adeguatezza del sistema di controllo interno in relazione a taliprescrizioni normative;- riferire periodicamente all’organo amministrativo e al Collegio Sindacale in merito all’attuazione delle politicheaziendali per l’attuazione del Modello;- rimanere costantemente aggiornato con attività di formazione e di studio.

ORGANISMO DI VIGILANZA: Funzioni e Poteri

Risk Assessment dei processi produttivi: Protocolli di controllo,

codici etici, attività dell’OdV

Dr. Pasquale SGRÒ

Cascina, Polo Tecnologico di Navacchio - 21 luglio 2016

GRAZIE PER L’ATTENZIONE