Source: http://paperzz.com/doc/5305062/compliance-aziendale--politiche-e-procedure-per-gestire
Timestamp: 2017-01-20 12:04:14+00:00
Document Index: 172868276

Matched Legal Cases: ['art. 6', 'art. 6', 'art. 25', 'art. 9', 'art. 25', 'art. 30', 'art. 25', 'art. 24', 'art. 6', 'art. 5', 'art. 6', 'art. 6', 'art. 25', 'art. 13', 'art. 13', 'art. 7']

Compliance Aziendale: Politiche e procedure per gestire
MODELLI DI VERBALE - Centro servizi amministrativi di Padova pdf457 KB
LA COMPLIANCE E IL SISTEMA DEI CONTROLLI pdf293 KB
I Big Data a servizio del Fraud Management assicurativo pdf622 KB
Roma, Milano - Aodv231 e AiiA pdf298 KB
Brochure Assicurazioni pdf1 339 KB
PNAU - DB Quiz carteggio patenti entro (Ver 2 06-05 pdf11 979 KB
Compliance Aziendale: Politiche e procedure per gestireembedintegration code for your site or blogWidth: (Auto)
Politiche e procedure per gestire
i rischi di non conformit&agrave;
Indagine conoscitiva 2013
cop assiteca R.indd 1
21/11/13 15.27
DI COMPLIANCE NELLE IMPRESE ITALIANE
a cura di Lorenza Altieri e Alberto Floreani
Design&amp;Grafica - Anna Benetti
Tipolito Casma S.r.l.
Via B. Provaglia 3b/3c/3d
cop assiteca R.indd 2
La compliance aziendale e il contesto normativo di riferimento
1.LA COMPLIANCE AZIENDALE:
2.RUOLI, RESPONSABILIT&Agrave; E MODELLI ORGANIZZATIVI
3.IL PROCESSO DI COMPLIANCE
4.IL CONTESTO NORMATIVO DI RIFERIMENTO
4.1RESPONSABILIT&Agrave; AMMINISTRATIVA
4.2ANTIRICICLAGGIO E CONTRASTO
DEL FINANZIAMENTO DEL TERRORISMO (DLGS 231/07)
4.3SICUREZZA E SALUTE SUI LUOGHI DI LAVORO (DLGS 81/08)
4.4DANNI AMBIENTALI E INQUINAMENTO
(DLGS 152/06 E DLGS 121/11)
4.5PRIVACY E PROTEZIONE DEI DATI PERSONALI (DLGS 196/03)
4.6NORME SULLA SICUREZZA INFORMATICA
4.7QUALIT&Agrave; E CERTIFICAZIONE ISO 9001
4.8NORMATIVE SPECIFICHE NAZIONALI E INTERNAZIONALI
5.IL PROGETTO DI RICERCA:
METODOLOGIA IMPIEGATA E ANALISI DEL CAMPIONE
6.IL RUOLO DELLA COMPLIANCE NELLE AZIENDE
ITALIANE: I RISULTATI DELLA RICERCA
7.IL MODELLO ORGANIZZATIVO DELLA COMPLIANCE
NELLE AZIENDE ITALIANE: LE EVIDENZE DELLA SURVEY 30
Allegato 1 - Comitato Tecnico Scientifico
ell’attivit&agrave; di consulenza, intermediazione e gestione del portafoglio assicurativo prestata alle proprie aziende clienti, Assiteca ha sempre operato nella
convinzione che l’impresa che attua politiche di risk management possa meglio competere sul mercato. Con l’obiettivo di segnalare le aziende che maggiormente
si sono dimostrate sensibili a questa tematica e dare quindi voce alle eccellenze del
nostro paese, nel 2010 Assiteca ha lanciato la prima edizione del Premio “La gestione
del rischio nelle imprese italiane”, un riconoscimento unico nel panorama nazionale.
L’iniziativa si basa sulla realizzazione di un’indagine, strutturata con il supporto di un
autorevole Comitato Tecnico Scientifico, funzionale a inquadrare il grado di preparazione delle aziende italiane sul tema della gestione del rischio e propedeutica all’attribuzione del Premio, ogni anno approfondisce un focus specifico. Dopo aver affrontato il
tema della sicurezza sul lavoro, dei crediti commerciali e della business continuity, il focus
del Premio Assiteca 2013 &egrave; dedicato alla gestione del rischio di compliance aziendale.
Novit&agrave; dell’edizione 2013 la partnership con il Gruppo 24 ORE e la premiazione
delle imprese vincitrici nell’ambito del 10&deg; Annual Economia &amp; Finanza. L’indagine
2013 si &egrave; posta l’obiettivo di verificare come le aziende italiane si sono organizzate e
strutturate per gestire il rischio di non conformit&agrave;, quali le politiche, i processi e le
procedure adottate per garantire la compliance aziendale e migliorare la competitivit&agrave;.
Ai fini dell’assegnazione del Premio, il questionario &egrave; stato strutturato con domande
chiuse con un sistema di punteggio che ha permesso di definire il ranking delle aziende
partecipanti. In questo modo sono state identificate le aziende pi&ugrave; virtuose che sono
state successivamente contattate per verificare in modo pi&ugrave; approfondito le politiche
di compliance adottate. Questa seconda fase qualitativa, gestita dal Comitato Tecnico
Scientifico, ha portato a definire le aziende finaliste:
• F.I.V. Fabbrica Italiana Valvole – Produzione di rubinetti e accessori per termoidraulica
• LEO Pharma – Ricerca e produzione di farmaci per curare le patologie dermatologiche
• Petroltecnica – Bonifiche e smaltimento di rifiuti industriali
• SECH – Terminal contenitori Porto di Genova
• Bosch Rexroth – Tecnologie per l’azionamento e il controllo del movimento
• Isagro – Produzione e distribuzione di agrofarmaci
• NTV Nuovo Trasporto Viaggiatori – Trasporto ferroviario ad alta velocit&agrave;
• SKF Industrie – Produzione e vendita cuscinetti volventi
Al termine dell’incontro dedicato alla presentazione delle best practice delle aziende
svolto lo scorso 29 ottobre a Milano presso la sede del Gruppo 24 ORE, il Comitato
Tecnico Scientifico si &egrave; riunito per selezionare le aziende vincitrici:
• Petroltecnica per la categoria piccole e medie imprese
• Isagro per la categoria grandi imprese
• nella maggior parte delle imprese che hanno risposto al questionario, il rischio di
compliance &egrave; stato preso nella dovuta considerazione attraverso la realizzazione
di adeguati presidi organizzativi e operativi;
• le imprese che hanno investito risorse nell’attivit&agrave; di compliance sembrano
consapevoli dell’utilit&agrave; che questa attivit&agrave; pu&ograve; comportare in termini di miglioramenti organizzativi e procedurali, di immagine aziendale e di migliore garanzia
per gli stakeholder aziendali, primi fra tutti gli azionisti;
• le imprese rispondenti valutano come non particolarmente elevati i loro rischi
di compliance; ci&ograve; quale probabile conseguenza dell’introduzione di adeguati
presidi organizzativi e operativi atti a mitigarli;
• la diffusione tra le imprese italiane di una specifica funzione di compliance per
la gestione del rischio di non conformit&agrave; &egrave; ancora limitata alle imprese di pi&ugrave;
l report – realizzato da Lorenza Altieri, senior research analyst di CeTIF, e
Alberto Floreani, professore associato presso la Facolt&agrave; di Scienze Bancarie Finanziarie e Assicurative dell’Universit&agrave; Cattolica del Sacro Cuore – sintetizza i
risultati dell’indagine sul ruolo e sulla gestione del rischio compliance nelle imprese
italiane realizzata nell’ambito della IV edizione del Premio Assiteca.
Il rischio di non conformit&agrave; alle norme, o rischio di compliance, &egrave; &laquo;il rischio di incorrere in sanzioni giudiziarie o amministrative, perdite finanziarie rilevanti o danni di reputazione in conseguenza di violazioni di norme imperative (di legge o di
regolamenti) ovvero di autoregolamentazione (es. statuti, codici di condotta, codici
di autodisciplina)&raquo;1. Nell’ambito del pi&ugrave; articolato sistema di risk management, il
rischio di compliance &egrave; gi&agrave; da diversi anni all’attenzione di banche, imprese di assicurazione e grandi gruppi multinazionali. Per il mondo delle istituzioni finanziarie,
in particolare, esistono delle disposizioni che rendono obbligatoria l’esistenza di
una specifica funzione di compliance2. Per le istituzioni non finanziarie, la presenza di una funzione di compliance non &egrave; obbligatoria, ma il progressivo ampliarsi
dell’ambito applicativo del Dlgs 231/01 sulla responsabilit&agrave; amministrativa delle
persone giuridiche costituisce un elemento che dovrebbe incrementare l’attenzione
delle imprese verso l’istituzione di una tale funzione e, pi&ugrave; in generale, verso una
pi&ugrave; articolata gestione del rischio di non conformit&agrave;.
Il presente scritto si propone di introdurre alla compliance aziendale e al contesto
normativo di riferimento (Sezione 1) e di esporre i risultati dell’indagine, effettuata
tramite un questionario3, sul ruolo della compliance nelle imprese italiane operanti
al di fuori del settore finanziario (Sezione 2).
Come si avr&agrave; modo di illustrare, dall’indagine emergono alcuni spunti interessanti.
In particolare, il ridotto numero dei questionari compilati rispetto al numero degli
invii sembrerebbe indicare una scarsa sensibilit&agrave; delle imprese italiane al rischio di
compliance. &Egrave; doveroso sottolineare per&ograve;:
1. La compliance aziendale: lo scenario di riferimento
Il sistema della compliance &egrave; quell’insieme di strutture organizzative, attivit&agrave;, politiche e procedure che vengono poste in essere al fine di prevenire il rischio di non conformit&agrave; dell’operato
aziendale alle norme, ai regolamenti, alle procedure e ai codici di condotta vigenti, suggerendo
– ove si riscontrino disallineamenti – le pi&ugrave; opportune soluzioni da porre in essere per sanarli.
La funzione compliance presente all’interno delle aziende &egrave; il referente unico dell’intero
processo di compliance ed &egrave; la struttura organizzativa cui &egrave; affidato il compito di:
• prevenire i disallineamenti tra le procedure aziendali e l’insieme delle regole interne ed
esterne all’azienda;
• assistere le strutture aziendali nell’applicazione delle norme, dei regolamenti, delle procedure e dei codici, coordinandone e garantendone l’attuazione;
• segnalare le pi&ugrave; recenti novit&agrave; normative al fine di aggiornare periodicamente la documentazione in essere presso l’azienda, predisponendo interventi formativi per adeguare le
procedure interne alle normative, qualora necessario;
• risolvere situazioni di discordanza tra la disciplina in vigore e le specifiche realt&agrave; operative
• prevenire il rischio di sanzioni legali o amministrative, di perdite operative, di provvedimenti di interdizione parziale o totale dell’attivit&agrave; (rischio normativo);
• prevenire l’impresa dal deterioramento della reputazione aziendale presso l’opinione pubblica, la comunit&agrave; finanziaria, la propria clientela e, pi&ugrave; in generale, tutti i suoi stakeholder
(dipendenti, fornitori, clienti, Pubblica Amministrazione, azionisti, mercato finanziario
ecc.); la reputazione dipende da fattori quali l’affidabilit&agrave;, l’autorevolezza e l’effettiva
capacit&agrave; nello svolgere la propria attivit&agrave; e, per essere correttamente tutelata, deve essere
gestita attraverso una comunicazione efficace e il mantenimento di una relazione positiva
con i principali soggetti portatori d’interesse (rischio reputazionale).
I controlli di conformit&agrave; sono dunque da inserire nel pi&ugrave; ampio scenario del sistema di
monitoraggio dei rischi aziendali; pertanto, affinch&eacute; tali controlli possano essere svolti
in modo ottimale e la funzione compliance possa operare efficacemente, &egrave; essenziale il
coordinamento con le altre aree aziendali (funzione legale, organizzazione, organismo
di vigilanza ecc.) e, in particolare, con le funzioni che presidiano il sistema dei controlli
interni e quello di risk management, garantendo una precisa definizione degli ambiti di
azione e di responsabilit&agrave; di ciascuna di queste funzioni, al fine di evitare sovrapposizioni
e ridondanza nelle attivit&agrave; di controllo.
Sinteticamente, il sistema della compliance d’azienda &egrave; quindi da intendersi come uno
strumento che supporta le aziende a promuovere e consolidare i propri principi etici, a
migliorare le relazioni con la clientela, a tutelare gli amministratori da possibili responsabilit&agrave; personali e ad armonizzare i comportamenti dei dipendenti, rendendo le imprese
anche maggiormente competitive nei confronti dei propri concorrenti.
La compliance si pone come interlocutore istituzionale privilegiato delle differenti unit&agrave; di
controllo presenti all’interno delle strutture operative d’azienda, validandone le procedure
interne e verificandone costantemente la congruenza rispetto alla normativa vigente.
La funzione compliance &egrave; la struttura aziendale alla quale &egrave; affidato il compito di porre in
essere tutte le azioni necessarie per garantire la mitigazione del rischio di non conformit&agrave;.
Dal punto di vista strettamente operativo, la funzione dovr&agrave; procedere a:
• valutare le principali fonti di rischio di non conformit&agrave; cui l’impresa &egrave; soggetta;
• definire le politiche e le procedure che dovranno essere poste in essere per contrastare
efficacemente i rischi individuati;
• elaborare un piano periodico di verifiche di conformit&agrave;, al fine di controllare lo stato dell’arte, il grado di disallineamento e le eventuali carenze nella gestione dei rischi aziendali;
• stilare un reporting periodico relativo all’attivit&agrave; di compliance e ai risultati ottenuti.
Affinch&eacute; la funzione possa operare efficacemente &egrave; essenziale che essa risulti:
• indipendente rispetto alle aree operative aziendali; a tale scopo deve essere chiaramente
formalizzato il mandato della funzione, attraverso una precisa indicazione di compiti,
responsabilit&agrave;, addetti, prerogative, oltre a essere assicurata la presenza di adeguati presidi
per la prevenzione dell’insorgenza di eventuali conflitti di interesse. La funzione compliance deve inoltre essere ben separata rispetto alle unit&agrave; dedicate allo svolgimento dei
controlli interni, affinch&eacute; sia garantita un’attivit&agrave; di revisione indipendente;
• dotata di risorse qualitativamente e quantitativamente adeguate rispetto ai compiti da espletare; in tal senso, le risorse impiegate all’interno della funzione dovranno possedere specifiche competenze tecniche e professionali ed essere inserite in programmi di formazione
continua, in base alle effettive necessit&agrave; riscontrate;
• libera di accedere a tutte le attivit&agrave; svolte in azienda, sia presso gli uffici centrali che presso
le strutture di periferia, e di consultare tutte le informazioni giudicate rilevanti per lo svolgimento della propria operativit&agrave;.
La sua composizione pu&ograve; essere definita in maniera autonoma e individuale da ciascuna
impresa, che pu&ograve; scegliere di affidare l’incarico di responsabile della compliance a un singolo
soggetto aziendale, piuttosto che affidarlo a una pluralit&agrave; di risorse interne operanti in aree
differenti dell’organizzazione.
Pi&ugrave; precisamente, possono essere adottati i seguenti approcci:
• costituzione di una specifica funzione dedicata;
• attribuzione di competenze di compliance alla direzione generale;
• attribuzione di competenze di compliance in capo ad altre funzioni preesistenti;
• attribuzione di competenze specifiche a consiglieri di amministrazione indipendenti;
• attribuzione di competenze specifiche a soggetti operanti all’interno dell’azienda ai quali
vengono delegate alcune funzioni di controllo;
• attribuzione di competenze specifiche a comitati gi&agrave; presenti e attivi, con compiti di natura varia (di consulenza, deliberativi ecc.);
• attribuzione di compiti di verifica a organismi di controllo esterni4.
Nello specifico, poi, &egrave; possibile che la funzione compliance – nella figura del compliance officer al
quale &egrave; generalmente affidata – si trovi a coordinare risorse che espletano funzioni di controllo
di conformit&agrave; ma siano inserite all’interno di funzioni aziendali diverse; il grado di delega delle
attivit&agrave; determina il grado di decentramento del processo di conformit&agrave;. In altri casi, invece, la
funzione di compliance coordina e controlla l’operato di altre unit&agrave; di compliance che possono
essere dislocate in altre divisioni aziendali/sul territorio.
I modelli organizzativi come questi sono connotati da un’operativit&agrave; decentrata che risulta
essere meno onerosa (in termini di risorse ma anche di costi organizzativi) rispetto a quella
delle funzioni compliance che operano in modo accentrato e autonomo.
I sistemi decentrati saranno quindi di pi&ugrave; facile e frequente applicazione e adattabili a un numero maggiore di realt&agrave; aziendali con caratteristiche e strutture operative differenti.
Non di rado le organizzazioni optano per un modello organizzativo “flessibile”, connotato
da un grado di accentramento delle attivit&agrave; pi&ugrave; elevato nelle fasi intense di recepimento di
nuove normative, seguito da una seconda fase di maggiore decentramento delle attivit&agrave; nella
gestione quotidiana e operativa della compliance d’azienda5.
3. Il processo di compliance
La funzione compliance governa un processo trasversale e ciclico, che consta di presidi organizzativi e operativi atti a evitare disallineamenti rispetto alle regole del contesto nel quale
l’azienda si trova a operare, garantendo nel continuo la conformit&agrave; alla normativa vigente.
Il processo di compliance pu&ograve; essere schematicamente organizzato nei seguenti quattro
sottoprocessi.
• Individuazione e applicazione della normativa: individuazione di norme, regole e principi
rilevanti per l’azienda e traduzione di tali leggi del complesso di regole e procedure che
dovranno guidare lo svolgimento dell’operativit&agrave; aziendale. Tale eventualit&agrave; si potr&agrave; verificare nel caso in cui vengano emessi una nuova normativa, un nuovo regolamento o un
nuovo standard al quale attenersi, da parte delle istituzioni, delle associazioni di categoria,
degli organismi di vigilanza o dell’impresa stessa.
• Valutazione dei rischi: verifica della situazione aziendale corrente, con riguardo alle modifiche/ai cambiamenti richiesti dalla normativa vigente, identificazione dei processi e
delle aree aziendali impattate e che potrebbero risultare quindi esposte al rischio di non
conformit&agrave;, valutando anche il grado di rischio di tale esposizione.
• Implementazione degli adeguamenti: adozione delle regole e delle procedure operative definite come necessarie al fine di riequilibrare i disallineamenti interni all’azienda dovuti a
una non conformit&agrave; alla normativa vigente; sviluppo delle competenze e delle professionalit&agrave; necessarie a garantire un’efficace applicazione di tali regole, per mezzo di un adeguato
processo di comunicazione e di formazione.
• Attivit&agrave; di monitoraggio e reporting: verifiche periodiche e nel continuo relative all’effettiva
applicazione degli adeguamenti organizzativi/operativi resisi necessari e all’efficacia del
corpo di regole sviluppato; eventuale predisposizione di interventi correttivi, di nuovi
processi informativi o di formazione, qualora non siano risultati sufficienti/adeguati. Rendicontazione agli organi supervisori dei risultati raggiunti o di eventi di non conformit&agrave;
con carattere di rilevanza.
4. Il contesto normativo di riferimento
L’insieme di norme, regolamenti e procedure in relazione ai quali le aziende operano per
il mantenimento della compliance e per l’implementazione di eventuali azioni correttive o
preventive &egrave; composito e variabile, in relazione allo specifico settore operativo di ciascuna
azienda, al suo ambito di attivit&agrave; e alle sue caratteristiche.
Esistono tuttavia alcune normative fondamentali rispetto alle quali il rischio di non conformit&agrave; delle imprese &egrave; maggiormente marcato e che meritano dunque di essere opportunamente analizzate e studiate per comprenderne appieno le implicazioni e le prescrizioni
organizzative e operative che esse generano in capo alle imprese.
In particolare, si fa riferimento alle seguenti disposizioni:
a.Responsabilit&agrave; amministrativa delle persone giuridiche (Dlgs 231/01);
b.Antiriciclaggio e contrasto del finanziamento del terrorismo (Dlgs 231/07);
c.Sicurezza e salute sui luoghi lavoro (Dlgs 81/08);
d.Danni ambientali e inquinamento (Dlgs 152/06 e Dlgs 121/11);
e.Privacy e protezione dei dati personali (Dlgs 196/03);
f. Norme sulla sicurezza informatica;
g.Qualit&agrave; e certificazione ISO 9001;
h.Normative specifiche nazionali e internazionali.
Per ciascuna delle normative richiamate, qualora esse siano effettivamente parte del quadro
normativo di riferimento per la singola realt&agrave; aziendale, esister&agrave; un insieme di risorse organizzate e finalizzate a garantire conformit&agrave; alle prescrizioni in esse contenute. Di seguito vengono
analizzate le previsioni e le implicazioni organizzative e operative dettate da queste normative.
4.1 Responsabilit&agrave; amministrativa delle persone giuridiche
(Dlgs 231/01)
Il decreto legislativo 8 giugno 2001, n. 231, recante “Disciplina della responsabilit&agrave; amministrativa delle persone giuridiche, delle societ&agrave; e delle associazioni anche prive di personalit&agrave;
prima volta nel nostro ordinamento la responsabilit&agrave; in sede penale degli enti, che si aggiunge a quella della persona fisica che ha realizzato materialmente il fatto illecito, adeguando la
normativa nazionale in materia di responsabilit&agrave; delle persone giuridiche ad alcune convenzioni internazionali a cui l’Italia ha aderito6.
L’ampliamento della responsabilit&agrave; mira a coinvolgere nella punizione di taluni illeciti penali
il patrimonio degli enti e gli interessi economici dei soci, i quali, fino all’entrata in vigore
della legge in esame, non pativano conseguenze dalla realizzazione di reati commessi, con
vantaggio della societ&agrave;, da amministratori e/o dipendenti. L’innovazione normativa &egrave; perci&ograve; particolarmente significativa, determinando peraltro un interesse di quei soggetti che
partecipano alle vicende patrimoniali dell’ente, al controllo della regolarit&agrave; e della legalit&agrave;
dell’operato sociale.
La responsabilit&agrave; dell’ente giuridico si aggiunge a quella della persona fisica che ha commesso materialmente l’illecito ed &egrave; autonoma rispetto ad essa, sussistendo anche quando
l’autore del reato non sia stato identificato, non sia imputabile oppure nel caso in cui il reato
si estingua per una causa diversa dall’amnistia.
Il regime di responsabilit&agrave; amministrativa a carico dell’impresa &egrave; configurabile per reati
puntualmente elencati e commessi nel suo interesse o vantaggio:
“a) da persone che rivestono funzioni di rappresentanza, di amministrazione o di direzione dell’ente o
di una sua unit&agrave; organizzativa dotata di autonomia finanziaria e funzionale nonch&eacute; da persone che
b) da persone sottoposte alla direzione o alla vigilanza di uno dei soggetti di cui alla lettera a)”7.
Le fattispecie di reato rilevanti sono molteplici; a titolo esemplificativo ne vengono qui riportate alcune categorie, rimandando alla lettura integrale della norma per una definizione
maggiormente puntuale dei reati cui essa fa riferimento:
• delitti contro la pubblica amministrazione (quali induzione indebita a dare o promettere
utilit&agrave;, corruzione e malversazione ai danni dello Stato, truffa ai danni dello Stato e frode
informatica ai danni dello Stato ecc.);
• reati informatici e trattamento illecito dei dati;
• reati societari (quali false comunicazioni sociali, impedito controllo, illecita influenza
sull’assemblea ecc.);
• delitti in materia di terrorismo e di eversione dell’ordine democratico (incluso il finanziamento ai suddetti fini);
• delitti contro la personalit&agrave; individuale (quali lo sfruttamento della prostituzione, la pornografia minorile, la tratta di persone e la riduzione e mantenimento in schiavit&ugrave;);
• reati in materia di abusi di mercato (abuso di informazioni privilegiate e manipolazione
del mercato);
• reati in materia di ricettazione, riciclaggio e impiego di denaro, beni o utilit&agrave; di provenienza illecita;
• delitti di omicidio colposo e lesioni colpose gravi o gravissime, commessi con violazione
delle norme antinfortunistiche e sulla tutela dell’igiene e della salute sul lavoro;
• delitti di criminalit&agrave; organizzata;
• reati ambientali.
Limiti della responsabilit&agrave;, modelli organizzativi dell’ente e linee guida operative
L’art. 6 del decreto legislativo 231/01 contempla tuttavia una forma di “esonero” di responsabilit&agrave; qualora l’ente dimostri, in occasione di un procedimento penale per uno dei reati
considerati, di aver adottato ed efficacemente attuato modelli di organizzazione, gestione
e controllo idonei a prevenire la realizzazione dei reati considerati, provando quindi che la
commissione del reato non deriva da una propria “colpa organizzativa”.
Il decreto sancisce infatti che la societ&agrave; non debba rispondere degli illeciti commessi se
“a) l’organo dirigente ha adottato ed efficacemente attuato, prima della commissione del fatto, modelli di
b) il compito di vigilare sul funzionamento e l’osservanza dei modelli e di curare il loro aggiornamento &egrave; stato
affidato a un organismo della societ&agrave; dotato di autonomi poteri di iniziativa e di controllo;
d) non vi &egrave; stata omessa o insufficiente vigilanza da parte dell’organismo di cui alla lettera b)”8.
Il legislatore si &egrave; preoccupato di delineare, all’interno del decreto, quello che deve essere il contenuto dei modelli di organizzazione e di gestione considerati efficaci per prevenire il rischio di
commissione dei reati indicati. Nello specifico, la norma indica che le imprese devono:
“a) individuare le attivit&agrave; nel cui ambito possono essere commessi reati;
b) prevedere specifici protocolli diretti a programmare la formazione e l’attuazione delle decisioni dell’ente
c) individuare modalit&agrave; di gestione delle risorse finanziarie idonee a impedire la commissione dei reati;
e) introdurre un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure indicate nel modello”9.
Alla luce delle previsioni normative, dunque, &egrave; possibile individuare alcuni passi operativi che le
imprese dovrebbero compiere per realizzare all’interno delle proprie realt&agrave; dei modelli di organizzazione e gestione coerenti con i requisiti specifici contenuti nel decreto legislativo 231/01.
Di seguito vengono brevemente descritte le prassi che dovrebbero essere poste in essere.
• Indagine degli ambiti aziendali di attivit&agrave;. L’analisi del contesto aziendale nel suo complesso
dovrebbe essere finalizzata a evidenziare quelle aree/settori di attivit&agrave; nei quali potrebbero
essere compiuti dei reati, con l’obiettivo di realizzare una mappatura delle aree aziendali
• Analisi dei rischi potenziali. L’analisi dei rischi potenziali &egrave; finalizzata a verificare le modalit&agrave; con le quali gli eventi illeciti potrebbero essere realizzati in ciascuna delle aree aziendali
individuate come potenzialmente a rischio; lo scopo &egrave; ottenere una rappresentazione esaustiva di come le differenti fattispecie di reato potrebbero essere attuate rispetto al contesto
operativo interno ed esterno in cui opera l’azienda.
• Valutazione, costruzione e adeguamento del sistema di controlli attualmente esistente. Il sistema
dei controlli finalizzato a prevenire il compimento di reati eventualmente esistente all’interno dell’azienda dovr&agrave; essere valutato alla luce dei risultati dell’indagine degli ambienti
aziendali e dell’individuazione dei rischi potenziali; tale valutazione di conformit&agrave;/non
conformit&agrave; dovr&agrave; quindi portare a un adeguamento del sistema attuale qualora venga
rilevata la necessit&agrave; di modificarlo/integrarlo, piuttosto che a una costruzione del sistema
dei controlli ex novo, qualora l’ente ne sia sprovvisto.
Le caratteristiche del sistema di controllo preventivo
I contenuti del decreto permettono di desumere quelle che dovrebbero essere le componenti
di un sistema di controllo realmente efficace nell’esecuzione della propria funzione preventiva del rischio di compimento dei reati. Nello specifico, gli elementi chiave di tale modello
risultano essere quelli riportati di seguito10.
• Il codice etico (o di comportamento) relativo ai reati individuati, il sistema disciplinare e i
meccanismi sanzionatori. L’adozione di princ&igrave;pi etici rilevanti ai fini della prevenzione dei
reati identificati, inseriti all’interno di un codice etico aziendale, costituisce un elemento
di grande importanza del sistema di controllo preventivo. I codici etici sono documenti
ufficiali dell’ente che contengono l’insieme dei diritti, dei doveri e delle responsabilit&agrave;
della societ&agrave; e dei suoi esponenti nei confronti dei propri stakeholder.
Un codice etico &egrave; finalizzato a raccomandare, promuovere o vietare determinati comportamenti, indipendentemente da quanto previsto a livello normativo; in esso possono anche
essere indicate sanzioni proporzionate alla gravit&agrave; delle eventuali infrazioni commesse.
Prevedere un adeguato sistema disciplinare e sanzionatorio per la violazione delle norme
del codice etico potrebbe essere un elemento particolarmente rilevante per il positivo
funzionamento del modello adottato; tali violazioni ledono il rapporto di fiducia instaurato tra i soggetti in posizione apicale, i lavoratori subordinati, i lavoratori autonomi e
altri soggetti terzi con l’impresa e devono dunque determinare azioni disciplinari volte a
dissuadere i soggetti dal violare le norme vigenti, oltre che a ristabilire l’ordine aziendale.
• Il sistema organizzativo e i poteri autorizzativi e di firma. Un sistema organizzativo formalizzato e ben definito contribuisce ad assegnare in maniera chiara le responsabilit&agrave;,
descrive puntualmente i compiti e le attivit&agrave; degli organismi aziendali e definisce le linee
di dipendenza gerarchica, il sistema dei poteri e delle deleghe. Esso, inoltre, definisce
i sistemi premianti dei dipendenti eventualmente previsti dalla societ&agrave;, con lo scopo di
indirizzare le attivit&agrave; del personale operativo e manageriale verso l’efficiente consegui-
mento degli obiettivi aziendali. I poteri autorizzativi e di firma, assegnati in coerenza con
le responsabilit&agrave; organizzative e gestionali assegnate, indicano i soggetti ai quali &egrave; stato
conferito il potere di autorizzare determinate tipologie di operazioni.
• Le procedure manuali e informatiche e il sistema di controllo di gestione. I sistemi di informazioni regolamentano lo svolgimento delle attivit&agrave; prevedendo opportuni punti
di controllo finalizzati a verificare il corretto svolgimento dell’operativit&agrave; aziendale.
Il sistema di controllo di gestione &egrave; invece in grado di fornire tempestiva segnalazione
dell’esistenza e dell’insorgere di situazioni di criticit&agrave;; funzionali a ci&ograve; sono la definizione
di opportuni indicatori per le singole tipologie di rischio rilevato e i processi di risk assessment interni alle singole funzioni aziendali.
• Processi di comunicazione al personale e sua formazione. Si tratta dei processi continuativi
di comunicazione/diffusione al personale d’azienda delle previsioni contenute nel codice
etico, della struttura dei poteri autorizzativi, delle linee di dipendenza gerarchica, delle
procedure e dei flussi di informazione ecc. Al processo di comunicazione deve essere
affiancato un solido programma di formazione rivolto al personale di ogni livello e, in
particolar modo, a quello operante nelle aree a rischio, al fine di dargli illustrazione delle
logiche e della portata delle regole aziendali.
Come si &egrave; detto, l’art. 6 del Dlgs 231/01 prevede che l’ente possa essere esonerato dalla
responsabilit&agrave; conseguente alla commissione dei reati indicati se l’organo dirigente ha
adottato modelli di organizzazione, gestione e controllo idonei a prevenire efficacemente
l’esecuzione degli illeciti, oltre ad aver affidato a un organismo della societ&agrave; dotato di
autonomi poteri di iniziativa e controllo il fondamentale compito di vigilare sul corretto
funzionamento del modello di organizzazione e gestione, curandone la verifica periodica
e l’eventuale modifica/aggiornamento dello stesso, qualora vengano scoperte significative
violazioni delle prescrizioni o quando intervengano mutamenti rilevanti nell’organizzazione
e nelle attivit&agrave; aziendali.
L’esistenza di un Organismo di Vigilanza (OdV) &egrave; dunque un elemento essenziale per l’implementazione di ottimali dinamiche di verifica e controllo del buon funzionamento del modello.
Le attivit&agrave; che questo &egrave; chiamato ad assolvere possono essere cos&igrave; sinteticamente riassunte:
• vigilare sull’effettivit&agrave; del modello, verificando la coerenza fra i comportamenti posti in
essere all’interno dell’azienda e il modello istituito;
• constatare l’adeguatezza del modello, ossia la sua capacit&agrave; di prevenire, almeno in linea di
massima, i comportamenti non desiderati, e verificare il permanere nel tempo dei requisiti
di solidit&agrave; e funzionalit&agrave;;
• procedere a un aggiornamento del modello, nell’ipotesi in cui si verifichi che si sono resi
necessari opportuni adeguamenti e correzioni.
Con riferimento, invece, ai requisiti che si ritiene debbano connotare l’Organismo di Vigilanza e il suo operato, sono stati individuati i seguenti:
• autonomia e indipendenza: l’Organismo deve essere autonomo e indipendente nello svol-
gimento delle proprie attivit&agrave; di controllo, risultando libero da qualsiasi interferenza o
condizionamento (in particolare se proveniente dall’organo dirigente) che possa gravare
sul suo operato; per garantire ci&ograve; &egrave; indispensabile che l’OdV non svolga alcun compito
operativo che, rendendolo partecipe di decisioni e attivit&agrave; d’azienda, ne minerebbe l’obiettivit&agrave; di giudizio nel momento delle verifiche sui comportamenti e sul modello;
• professionalit&agrave;: l’Organismo deve possedere un set adeguato di strumenti e tecniche specialistiche (ispettive, ma anche d’analisi dei sistemi, di tipo giuridico e penalistico ecc.) che
gli permettano di svolgere efficacemente la propria attivit&agrave;;
• continuit&agrave; di azione: deve esistere una struttura dedicata esclusivamente e a tempo pieno
all’attivit&agrave; di vigilanza sul modello, senza che alla stessa vengano affidate attivit&agrave; operative
di alcuna sorta.
4.2 Antiriciclaggio e contrasto del finanziamento
del terrorismo (DLgs 231/07)
Il riciclaggio di denaro &egrave; quell’insieme di operazioni mirate a dare una parvenza lecita a
capitali la cui provenienza &egrave;, in realt&agrave;, illecita.
Un’importante azione contro il riciclaggio &egrave; stata svolta dall’Unione Europea, da ultimo con
la direttiva 2005/60/CE acquisita dal legislatore italiano nel Dlgs 231/07 del 16 novembre
2007, che introduce, con la sua entrata in vigore, un collegamento diretto tra la disciplina
antiriciclaggio e la responsabilit&agrave; amministrativa degli enti prevista dalle disposizioni del
Dlgs 231/01 con l’art. 25-octies, relativo ai reati di “ricettazione, riciclaggio e l’impiego di
denaro, beni o utilit&agrave; di provenienza illecita” (artt. 648, 648-bis e 648-ter del codice penale),
nel quale &egrave; indicato che:
“1) In relazione ai reati di cui agli articoli 648, 648-bis e 648-ter del codice penale, si applica all’ente la
sanzione pecuniaria da 200 a 800 quote. Nel caso in cui il denaro, i beni o le altre utilit&agrave; provengono
da delitto per il quale &egrave; stabilita la pena della reclusione superiore nel massimo a cinque anni si applica
la sanzione pecuniaria da 400 a 1000 quote.
2) Nei casi di condanna per uno dei delitti di cui al comma 1 si applicano all’ente le sanzioni interdittive
previste dall’art. 9, comma 2, per una durata non superiore a due anni”.
I soggetti destinatari degli obblighi previsti dalla normativa antiriciclaggio comprendono sia il
sistema bancario, finanziario e assicurativo, sia professionisti e operatori non finanziari (quali
i notai e gli avvocati quando, in nome o per conto dei propri clienti, compiono qualsiasi operazione di natura finanziaria o immobiliare, nonch&eacute; i soggetti iscritti nell’albo dei ragionieri
e dei periti commerciali, dei dottori commercialisti e in quello dei consulenti del lavoro ecc.).
In merito agli obblighi posti in capo a tali tipologie di soggetti, essi possono essere cos&igrave;
• obbligo di adeguata verifica sul cliente;
• obbligo di adottare nella valutazione un approccio basato sul rischio (risk based approach);
• obbligo di registrazione e di tenuta di tutta la documentazione acquisita per assolvere
l’obbligo di verifica sul cliente;
• obbligo di immediata segnalazione di eventuali operazioni sospette all’Unit&agrave; di Informazione Finanziaria;
• obbligo di vigilanza e controllo, ciascuno nell’ambito delle proprie attribuzioni e competenze, affidato a specifici organismi aziendali, quali il Collegio Sindacale, il Consiglio
di Sorveglianza, il Comitato di Controllo di Gestione, l’Organismo di Vigilanza e, in
generale, a tutti gli incaricati della funzione di controllo di gestione.
I rischi di riciclaggio devono quindi essere oggetto di particolari misure di gestione e controllo,
integrate nel sistema di controllo interno dell’impresa, ed essere sottoposti a una valutazione
periodica al fine di salvaguardare l’ente dal vedersi attribuita una responsabilit&agrave; relativa allo
specifico reato. Dovranno essere definiti modelli di prevenzione e contrasto del riciclaggio
connotati da un insieme strutturato di istruzioni, procedure e regole operative interne per
gestire il rischio individuato.
4.3 Sicurezza e salute sui luoghi di lavoro (DLgs 81/08)
In Italia la salute e la sicurezza sul lavoro sono regolamentate dal Dlgs 9 aprile 2008, n. 81
(anche noto come “Testo unico in materia di salute e sicurezza sul lavoro”, entrato in vigore
il 15 maggio 2008) e dalle relative disposizioni correttive, ovvero dal Dlgs 3 agosto 2009, n.
106 e da successivi ulteriori decreti.
Il Dlgs 81/08 e i successivi hanno notevolmente ampliato il campo di applicazione delle previsioni in ambito antinfortunistico e di tutela della salute sul luogo di lavoro, estendendole a
tutti i settori di attivit&agrave;, privati e pubblici, a tutte le classi di rischio e a tutte le tipologie di
lavoratori (dipendenti, parasubordinati, autonomi, volontari ecc.).
&Egrave; importante evidenziare che l’art. 25-septies del Dlgs 231/01 (introdotto dalla L. 123/07 e
poi modificato dal Dlgs 81/08) ha creato una sostanziale connessione tra sicurezza sul lavoro
e responsabilit&agrave; amministrativa di societ&agrave; ed enti. Infatti, i reati di omicidio colposo e lesioni
personali colpose gravi o gravissime, commessi in violazione delle norme antinfortunistiche e
di tutela dell’igiene e della salute sul lavoro, hanno rilevanza anche ai fini della responsabilit&agrave;
amministrativa ex Dlgs 231/01, purch&eacute; la loro commissione sia relazionabile a un interesse e/o
un vantaggio per la societ&agrave;/ente (vantaggio che potrebbe configurarsi anche in termini di risparmio delle spese necessarie ad adattare l’ambiente lavorativo alle previsioni del Dlgs 81/08).
Il datore di lavoro ha l’obbligo di effettuare la valutazione dei rischi di esposizione dei lavoratori e, in base a quanto rilevato, di prendere tutte le misure di prevenzione e protezione,
collettiva e individuale, necessarie a ridurre al minimo il rischio. La valutazione dovrebbe
procedere attraverso:
• la creazione di una base dati anagrafica comune, comprendente i pericoli a cui i lavoratori
possono essere esposti, l’identificazione di un indice di pericolo, la valutazione di un indice
di rischio per ogni mansione-pericolo;
• la verifica periodica dell’esposizione dei lavoratori mediante misurazioni e confronto con
i valori limite professionali, ambientali e biologici;
• la valutazione del rischio correlato a ciascuna mansione;
• la verifica degli adempimenti di legge e della conformit&agrave; degli ambienti di lavoro e delle
• l’analisi del rischio degli ambienti di lavoro e la stesura di un documento di valutazione,
anche al fine di contribuire al percorso di formazione/informazione dei lavoratori;
• la gestione delle attivit&agrave; conseguenti la valutazione dei rischi (sorveglianza sanitaria, piani
di emergenza ecc.), con la creazione di un registro per la gestione delle azioni migliorative
conseguenti e dell’aggiornamento periodico.
L’art. 30 del Dlgs 81/08 descrive il modello di organizzazione e di gestione idoneo ad avere
efficacia esimente, come previsto dal Dlgs 231/01, ossia di quel modello in grado di assicurare un sistema aziendale che permetta l’adempimento di tutti gli obblighi in materia di
Il comma 4 ribadisce la necessit&agrave; che il modello preveda un’entit&agrave; di controllo sull’attuazione e sul mantenimento nel tempo dell’idoneit&agrave; del modello stesso (Organismo di Vigilanza). Al comma 5 viene inoltre indicato come criterio fondamentale per essere compliant
alla normativa l’adozione di un Sistema di Gestione per la Salute e Sicurezza nei Luoghi
di Lavoro (SGSSLL) che sia conforme allo standard Ohsas 18001:200711 o alle linee guida
UNI-INAIL12.
Un SGSSLL &egrave; un sistema di gestione permanente e organicamente strutturato, che permette di tenere sotto controllo i risultati aziendali in materia di sicurezza e salute del lavoro
e garantire la conformit&agrave; alle previsioni normative.
Si tratta di un elemento del sistema complessivo di gestione dell’organizzazione che comprende la struttura organizzativa, le attivit&agrave; di pianificazione, le responsabilit&agrave;, le azioni di
coinvolgimento, le pratiche, le procedure, i processi e le risorse necessarie per sviluppare, attuare, raggiungere e mantenere la politica dell’organizzazione in materia di salute e sicurezza
sul lavoro, nell’ottica del miglioramento continuo.
Il sistema aziendale deve garantire l’adempimento di tutti gli obblighi giuridici relativi a:
• il rispetto degli standard tecnico-strutturali di legge relativi ad attrezzature, impianti,
• le attivit&agrave; di valutazione dei rischi e di predisposizione delle misure di prevenzione e
• le attivit&agrave; di natura organizzativa, quali emergenze, primo soccorso, gestione degli appalti,
riunioni periodiche di sicurezza, consultazioni dei rappresentanti dei lavoratori per la
• le attivit&agrave; di sorveglianza sanitaria;
• le attivit&agrave; di informazione e formazione dei lavoratori;
• le attivit&agrave; di vigilanza con riferimento al rispetto delle procedure e delle istruzioni di
• l’acquisizione di documentazioni e certificazioni obbligatorie di legge;
• le periodiche verifiche dell’applicazione e dell’efficacia delle procedure adottate.
Il modello organizzativo e gestionale adottato dovrebbe inoltre prevedere un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure in esso contenute e un idoneo
sistema di controllo sulla sua attuazione.
4.4 Danni ambientali e inquinamento (DLgs. 152/06 e DLgs 121/11)
Per effetto del Dlgs 7 luglio 2011, n. 121 sono state ricomprese nel campo di applicazione del
Dlgs 231/01 (per mezzo dell’integrazione nel decreto dell’art. 25-undecies) alcune fattispecie
di reati contro l’ambiente e, nello specifico, reati contro specie animali e vegetali protette,
illeciti di distruzione di habitat all’interno di un sito protetto, di scarichi idrici, di gestione dei
rifiuti, di emissioni in atmosfera eccetera13. Tali ipotesi di reato determinano la responsabilit&agrave;
amministrativa dell’impresa in ogni caso in cui l’illecito sia stato posto in essere da un dipendente dell’azienda stessa, nell’interesse/vantaggio della societ&agrave;; a carico degli enti sono previste
sanzioni di carattere pecuniario, interdittive, di confisca e di pubblicazione della sentenza.
In linea con le previsioni normative contenute nel Dlgs 231/01, anche con riferimento ai
reati ambientali la predisposizione di adeguati modelli organizzativi ha efficacia esimente.
In merito a ci&ograve; le best practice pi&ugrave; diffuse prevedono l’adozione di Sistemi di Gestione
Ambientale (SGA) conformi allo standard ISO 1400114 o al regolamento europeo 1221/09
(EMAS)15; tuttavia, &egrave; opportuno specificare che tali protocolli, sebbene di grande importanza, rappresentano unicamente un primo punto di partenza sulla base del quale sviluppare un
modello organizzativo compliant rispetto alle previsioni del Dlgs 231/01.
Infatti, un Sistema di Gestione Ambientale conforme agli standard ISO 14001/EMAS
ha lo scopo di identificare preliminarmente le prescrizioni normative applicabili al proprio
ambito di attivit&agrave; e gli aspetti di rischio ambientale connessi alla propria operativit&agrave;; un
modello organizzativo adeguato deve andare oltre, individuando le aree, le attivit&agrave; e i processi aziendali nell’ambito dei quali possono pi&ugrave; facilmente ricorrere i reati ambientali e di
inquinamento, procedendo a una valutazione e a una costruzione/adeguamento del sistema
di controlli attualmente esistente in azienda.
Nella prospettiva di conformit&agrave; ai requisiti del modello organizzativo 231, lo svolgimento
delle attivit&agrave; di progettazione e attuazione di un sistema di gestione ambientale deve essere
integrato con attivit&agrave; ulteriori, quali il coordinamento tra politica ambientale prevista dal
SGA e il codice etico aziendale, il controllo dell’effettiva separazione tra compiti e funzioni
per le attivit&agrave; a rischio, l’istituzione dell’Organismo di Vigilanza e la puntuale definizione
4.5 Privacy e protezione dei dati personali (DLgs 196/03)
Il Dl 14 agosto 2013, n. 93, recante disposizioni urgenti in materia di sicurezza e per il
contrasto della violenza di genere, ha introdotto alcuni provvedimenti in materia di delitti
in ambito privacy (nello specifico, trattamento illecito dei dati personali, falsit&agrave; nelle dichiarazioni e notificazioni al Garante e inosservanza dei provvedimenti del Garante).
Le fattispecie di reato citate entrano a far parte dell’elenco dei reati per i quali le imprese sono
chiamate a rispondere, qualora gli illeciti vengano commessi, nell’interesse o a vantaggio della
societ&agrave;, da rappresentanti, amministratori, dirigenti o soggetti ad essi sottoposti; la conseguenza &egrave; la necessit&agrave; di aggiornare i modelli organizzativi degli enti, per non incorrere nelle
specifiche sanzioni previste.
Le disposizioni di legge sulla privacy e protezione dei dati personali in Italia sono contenute
nel Dlgs 196/03 (e successive integrazioni), nominato “Codice in materia di protezione dei
dati personali”; oltre a sancire il diritto per chiunque alla protezione dei dati personali, esso
pone in carico ai soggetti che effettuano il trattamento dei dati, sia con l’ausilio di strumenti
elettronici che mediante supporti cartacei, l’onere di adottare misure atte a rendere sempre
pi&ugrave; garantite e riservate le informazioni di natura personale e sensibile in loro possesso, di
utilizzarle in modo quanto pi&ugrave; parsimonioso possibile, di procedere a un loro adeguato aggiornamento, oltre a prevedere per tali soggetti numerosi altri obblighi operativi16.
Per attuare in modo completo la normativa sulla privacy &egrave; necessario implementare alcuni
cambiamenti organizzativi, adottando un modello di organizzazione che chiarisca e definisca in maniera precisa ruoli e responsabilit&agrave;, procedure e istruzioni da applicare per risultare
effettivamente compliant al corpo normativo di riferimento.
In sostanza, &egrave; necessario adottare un Modello organizzativo privacy i cui tratti pi&ugrave; rilevanti sono:
• l’individuazione di un privacy officer, il cui ruolo fondamentale &egrave; quello di verificare
l’adempimento alle previsioni normative della L. 196/03 di riferimento, analizzando i
rischi di violazione della norma e definendo quindi le linee guida per l’aggiornamento del
modello organizzativo aziendale, supportando l’operato degli altri organi/soggetti responsabili che svolgono le differenti attivit&agrave; necessarie alla tutela della privacy;
• l’istituzione di un Comitato privacy, con compiti di indirizzo, individuazione delle aree a
priorit&agrave; di intervento e governo del modello organizzativo interno;
• l’identificazione delle tre figure chiave del modello organizzativo privacy, cio&egrave; il titolare, il
responsabile e l’incaricato al trattamento dei dati17;
• la redazione del Documento Programmatico della Sicurezza (DPS) da parte di tutte le aziende, associazioni, enti e professionisti che trattano i dati personali – anche sensibili – con
strumenti elettronici; il DPS deve riportare le caratteristiche e gli aspetti pi&ugrave; rilevanti
dell’infrastruttura tecnologica aziendale coinvolta nella gestione di dati personali e sensibili, verificando che essa sia coerente con quanto richiesto dalla normativa sulla privacy.
Un modello organizzativo privacy opportunamente integrato con un modello organizzativo
conforme alle previsioni del Dlgs 231/01, con lo sviluppo degli opportuni protocolli interni
e dei flussi informativi tra l’Organismo di Vigilanza e il privacy officer, dovrebbe dunque
permettere alle imprese di non incorrere nella responsabilit&agrave; amministrativa dell’ente per
gli illeciti previsti.
4.6 Norme sulla sicurezza informatica
Tra i reati per i quali il Dlgs 231/01 prevede il regime di responsabilit&agrave; amministrativa a
carico dell’impresa rientrano i reati informatici, ossia quegli illeciti compiuti per mezzo o nei
confronti di un sistema informatico. Il sistema IT pu&ograve; infatti essere oggetto di un reato finalizzato a distruggere o manipolare l’elaboratore, piuttosto che a sottrarre o eliminare le informazioni o i programmi in esso contenuti; alternativamente, pu&ograve; rappresentare lo strumento
attraverso il quale gli illeciti vengono compiuti, come nel caso delle frodi informatiche.
La Convenzione di Budapest del 2001, ratificata e resa esecutiva con la L. 18 marzo 2008,
n. 48, ha cercato di fornire una soluzione al problema dei computer crimes prevedendo una
specifica forma di responsabilit&agrave; in capo agli enti dotati di personalit&agrave; giuridica, alle societ&agrave; e
associazioni, anche prive di personalit&agrave; giuridica, quando tale particolare tipologia di illeciti
sia commessa nel loro interesse o a loro vantaggio. Questo &egrave; stato reso possibile mediante
l’inserimento nel Dlgs 231/08 dell’art. 24-bis, denominato “Delitti informatici e trattamento
illecito di dati”, che determina la necessit&agrave; per gli enti di dotarsi di un adeguato modello
organizzativo anche in relazione alla prevenzione dei reati informatici, al fine di non incorrere nella responsabilit&agrave; per i computer crimes eventualmente posti in essere al suo interno.
L’adozione di un adeguato modello organizzativo e lo svolgimento di tutti i controlli da esso
previsti possono essere fortemente facilitati dall’adozione di un Sistema di Gestione della
Sicurezza delle Informazioni (SGSI), in coerenza con le linee guida e i requisiti definiti dalla
norma ISO 27001, applicabile a qualsiasi tipo di organizzazione, a prescindere dal settore
e dalle dimensioni. Un SGSI modellato opportunamente potr&agrave; ottenere anche la relativa
certificazione internazionale ISO 27001, che definisce lo standard condiviso per la gestione
della sicurezza delle informazioni. La norma ISO 27001 propone un modello che tratta tutti
gli aspetti relativi alla sicurezza informatica, col fine di proteggere le informazioni aziendali:
dai documenti in formato elettronico a quelli cartacei e agli strumenti informatici, fino alla
conoscenza individuale dei singoli dipendenti.
Il SGSI si posiziona a un livello pi&ugrave; alto rispetto alle scelte tecnologiche di dettaglio, dalle
quali dipende la cosiddetta sicurezza fisica (da intendere in termini di infrastrutture, sistemi
di continuit&agrave;, sistemi di controllo degli accessi fisici); infatti, esso comprende anche le previsioni in ambito di sicurezza logica (sicurezza dei sistemi di autenticazione e identificazione,
impostazione dei firewall e gestione del sistema di e-mailing ecc.) e di sicurezza organizzativa, che si realizza attraverso:
• un’opportuna definizione delle figure, dei ruoli e delle responsabilit&agrave; delle risorse che,
all’interno dell’organizzazione, si occupano di gestione della sicurezza informatica;
• una definizione delle procedure operative rilevanti per la gestione della sicurezza IT e per
l’utilizzo sicuro delle risorse informatiche, con la redazione di una policy di utilizzo dei
sistemi informatici (norme per l’uso corretto del personal computer, per la creazione di
password sicure, per l’utilizzo di internet e della posta elettronica ecc.);
• una pianificazione di opportune attivit&agrave; formative finalizzate a incrementare la conoscenza e la competenza in materia di sicurezza IT degli addetti e degli utenti che operano
sulle risorse informatiche.
4.7 Qualit&agrave; e certificazione ISO 9001
Tra le differenti certificazioni che un’azienda pu&ograve; scegliere di conseguire al fine di garantire
l’adeguatezza a standard di qualit&agrave; riconosciuti a livello internazionale, oltre alle gi&agrave; citate
Ohsas 18001:2007 per la salute e la sicurezza sul luogo di lavoro, ISO 14001 per un sistema
di gestione ambientale compliant alle normative vigenti e ISO 27001 per la gestione della
sicurezza delle informazioni, vi &egrave; la certificazione ISO 9001, recepita in Italia con la denominazione di UNI EN ISO 9001:2008.
La norma ISO 9001 rappresenta il riferimento per i requisiti caratteristici di un sistema di gestione finalizzato a migliorare le performance di un’organizzazione e dei processi che essa pone
in essere per ottenere uno specifico prodotto/servizio; &egrave; rilevante sottolineare che la norma e
la certificazione si riferiscono ai processi di produzione, mai al prodotto o servizio stesso. Lo
standard ISO 9001 &egrave; l’unica norma della famiglia ISO 900018 per cui un’azienda pu&ograve; essere
certificata; le altre sono solo guide utili per favorire la corretta applicazione e interpretazione
dei princ&igrave;pi del sistema qualit&agrave;.
La corretta applicazione della norma ISO 9001 permette:
• l’ottimizzazione dei processi interni a un’organizzazione;
• l’impostazione di un efficace sistema di monitoraggio sui propri processi;
• il controllo dei costi e la riduzione di inefficienze e sprechi nell’operativit&agrave; aziendale;
• il miglioramento della soddisfazione dei clienti e la loro fidelizzazione, incrementando la
credibilit&agrave; dell’azienda e la sua visibilit&agrave; sul mercato.
La certificazione deve essere richiesta a un ente indipendente ufficialmente riconosciuto che
constata che l’azienda risponda ai requisiti della norma di riferimento, quindi che l’azienda
sia in grado di assicurare il livello di qualit&agrave; richiesto.
Sebbene il Dlgs 231/01 e la certificazione di qualit&agrave; ISO 9001 abbiano finalit&agrave; differenti, &egrave;
evidente lo stretto legame fra di essi; sarebbe infatti impensabile avere un sistema adeguato
di prevenzione dei reati in assenza di un modello gestionale conforme agli standard internazionali di qualit&agrave;, poich&eacute;, in concreto, il primo non &egrave; che uno degli strumenti necessari ai
fini della qualit&agrave; gestionale promossa dallo standard ISO. Infatti, il percorso che le imprese
devono compiere per allinearsi alle previsioni contenute nel Dlgs 231/01 non &egrave; differente
da quello necessario per ottenere la certificazione di qualit&agrave;. A titolo meramente esemplificativo, evidenziamo le seguenti analogie:
• la progettazione e l’attuazione del sistema di gestione per la qualit&agrave; di un’organizzazione
sono influenzate dal contesto del mercato di riferimento e dai rischi associati, dai suoi
obiettivi, dai prodotti/servizi che fornisce e dai processi necessari alla loro produzione; il
modello organizzativo 231 prevede, in relazione alla natura e alla dimensione dell’organizzazione nonch&eacute; al tipo di attivit&agrave; svolta, misure idonee a garantire lo svolgimento dell’attivit&agrave; nel rispetto della legge, eliminando tempestivamente eventuali situazioni di rischio;
• la normativa ISO 9001 richiede che al fine di comunicare all’interno e all’esterno della
propria organizzazione gli indirizzi da seguire in termini di qualit&agrave;, la direzione debba
sottoscrivere una politica per la qualit&agrave;, che espliciti gli obiettivi aziendali e dichiari formalmente i princ&igrave;pi di riferimento sui quali il processo dovr&agrave; modellarsi; la politica per
la qualit&agrave; &egrave; un documento analogo al codice etico, uno degli elementi pi&ugrave; rilevanti del
• il rappresentante della direzione per la qualit&agrave;, previsto dalla ISO 9001, ha la responsabilit&agrave; di mantenere attivo il sistema di gestione della qualit&agrave;, svolgendo un ruolo analogo a
quello dell’Organismo di Vigilanza che vigila sull’osservanza del modello organizzativo
adottato da parte di tutti i membri dell’impresa.
Il modello organizzativo 231 pu&ograve; dunque essere correttamente identificato con un’applicazione, tra le tante possibili, del modello gestionale codificato dalla norma ISO 9001.
4.8 Normative specifiche nazionali e internazionali
Le leggi fin qui analizzate si applicano, ciascuna per il proprio specifico ambito di intervento, a tutte le aziende operanti nel territorio nazionale, indipendentemente dalla tipologia di
ente, dalle relazioni che lo possano legare ad altre societ&agrave;, dal settore e dalle caratteristiche
della sua operativit&agrave;.
Tuttavia, per completare il quadro rappresentativo delle normative rispetto alle quali il
rischio di non conformit&agrave; delle imprese &egrave; particolarmente elevato, &egrave; necessario rendere
manifesta l’esistenza di ulteriori direttive di carattere specifico, che si applicano soltanto ad
alcune imprese operanti in particolari settori o con caratteristiche peculiari.
Non essendo possibile prenderle in esame integralmente, si far&agrave; qui riferimento, a mero
titolo esemplificativo, a quattro disposizioni, col fine di darne un rapido inquadramento
nell’ambito del sistema della compliance aziendale.
I prodotti offerti in vendita al consumatore finale devono essere sicuri, non devono cio&egrave;
presentare alcun rischio per la salute e la sicurezza o presentare solo rischi minimi e accettabili compatibili con un livello elevato di tutela della salute e della sicurezza delle persone:
lo stabilisce la direttiva comunitaria 2001/95/CE, recepita dal nostro codice del consumo.
Nello specifico, un prodotto &egrave; considerato sicuro se rispetta le disposizioni di sicurezza previste dalla legislazione europea o, in assenza di tali disposizioni, se rispetta le disposizioni
nazionali specifiche dello Stato membro di commercializzazione. Le aziende dovranno
dotarsi di un modello organizzativo e di processi produttivi in grado di garantire la sicurezza
dei prodotti offerti, al fine di assicurare una corretta tutela della salute e della sicurezza dei
loro acquirenti e utenti.
Certificazione delle attivit&agrave; di informazione scientifica
Si tratta di una certificazione delle procedure relative all’attivit&agrave; di informazione scientifica
per i farmaci in commercio che pu&ograve; essere ottenuta dalle aziende farmaceutiche. Il processo
di verifica per l’ottenimento della certificazione prevede che un ente terzo accreditato a li-
vello europeo accerti ogni anno il rispetto delle norme, la corretta esecuzione dei processi di
informazione scientifica, la trasparenza nel rapporto con tutti gli interlocutori dell’industria
farmaceutica: medici, operatori sanitari, enti pubblici. In caso di esito positivo della verifica
annuale, l’ente incaricato rilascia all’azienda un certificato di conformit&agrave; che attesta eticit&agrave; e
qualit&agrave; del processo di informazione scientifica. Il corpo normativo di riferimento &egrave; il Dlgs
219/0619 e le relative modifiche e integrazioni successive.
Tutela del risparmio e disciplina dei mercati finanziari
Si tratta di disposizioni finalizzate al rafforzamento e all’incremento dell’efficacia della
tutela del risparmio investito in strumenti finanziari, contenute nella legge di riferimento
(Dlgs 262/05 e successive modifiche). Esse si applicano a tutte le aziende, italiane ed estere
quotate sul mercato italiano, e introducono una serie di adempimenti organizzativi e operativi a cui le aziende devono uniformarsi. Tra essi vi sono nuove regole di governo per le
societ&agrave; quotate in borsa, alcuni provvedimenti per una maggiore trasparenza su emissione e
circolazione di prodotti finanziari, disposizioni in merito ai conflitti di interesse nelle attivit&agrave;
finanziarie, norme pi&ugrave; stringenti per le societ&agrave; di revisione ecc.
La Sarbanes-Oxley Act (SOX) &egrave; una legge federale emanata nel luglio 2002 dal governo degli Stati Uniti, equiparabile alle nostre “Disposizioni per la tutela del risparmio e la disciplina dei mercati finanziari”; essa &egrave; connotata da alcuni adempimenti quali: la creazione di un
board indipendente che si occupi del monitoraggio delle societ&agrave; di revisione, la previsione di
regole per assicurare l’indipendenza dei revisori contabili, la certificazione da parte del senior
corporate management della veridicit&agrave; del bilancio annuale e delle relazioni finanziarie della
societ&agrave; quotata, la regolamentazione pi&ugrave; rigorosa delle operazioni in titoli effettuate dagli
insider, l’aggravio delle sanzioni civili e penali in caso di frode nei confronti degli investitori. In Italia la SOX trova applicazione presso le societ&agrave; quotate nelle piazze borsistiche
statunitensi e presso le controllate di societ&agrave; quotate negli Stati Uniti, che dovranno quindi
adeguare la propria operativit&agrave; ai provvedimenti contenuti in tale legge federale.
5. Il progetto di ricerca: metodologia impiegata e analisi
Al fine di indagare il ruolo rivestito dalla compliance nelle imprese italiane ed elaborare una panoramica sullo stato dell’arte dell’oggetto d’analisi, &egrave; stato predisposto un questionario di 15 domande
con l’obiettivo di identificare le politiche, i processi e le procedure adottate al fine di garantire la
conformit&agrave; alla normativa, ai regolamenti e ai codici di condotta vigenti in Italia (Allegato 2).
Il questionario &egrave; stato sottoposto all’attenzione delle aziende italiane operanti nei settori
industria, commercio e servizi con fatturato superiore ai 10 milioni di euro escluso il settore
finanziario (banche, assicurazioni e altri intermediari finanziari)20. Il processo di contatto delle
aziende selezionate21 ha permesso di raccogliere un totale di 77 questionari compilati.
Da un’analisi delle aziende rispondenti emerge una certa uniformit&agrave; nel campione di aziende
di diverse dimensioni. Considerando come parametro di grandezza il numero di dipendenti,
infatti, notiamo che il panel &egrave; composto per un quarto da organizzazioni con meno di 50
dipendenti, al 23,68% da imprese con
Figura 1 – Composizione del campione per numero
un numero di dipendenti tra i 50 e i 150
e al 28,95% da enti con un numero di
dipendenti variabile tra i 150 e i 500. Il
campione si completa con il 6,58% comDa 50 a 150
posto da realt&agrave; con 500-1.000 dipendenti
e il 15,79% da imprese con oltre 1.000
lavoratori subordinati (Fig. 1).
Una distribuzione analoga si osserva analizzando la composizione del panel dal
punto di vista del fatturato. Le aziende con un giro d’affari tra i 10 e i 25 milioni di euro
sono il 31,58% del totale delle rispondenti; la percentuale si riduce al 23,68% per quelle
con fatturato tra i 25 e i 50 milioni ed &egrave; pari al 26,32% per quelle con fatturato oltre i 250
milioni di euro. Il restante 18,42% del panel si divide perfettamente fra le organizzazioni
con ricavi tra i 50 e i 100 milioni di euro e tra i 100 e i 250 milioni. Le lievi differenze
non permettono quindi di affermare che il campione sia fortemente sbilanciato verso una
particolare tipologia di aziende o che sia Figura 2 – Composizione del campione di imprese
connotato da un trend rilevante in termi- analizzate in base al fatturato
ni di fatturato (Fig. 2).
Il gruppo dei rispondenti &egrave; invece conDa 10 a 25 mln
notato da una marcata presenza interDa 25 a 50 mln
nazionale: ben il 57,89% delle imprese
Da 50 a 100 mln
Da 100 a 250 mln
analizzate sono infatti realt&agrave; operanti
Oltre 250 mln
tanto in Italia che all’estero, mentre il
32,89% delle organizzazioni opera unicamente entro i nostri confini, avendo
posto in essere pi&ugrave; sedi dislocate nel territorio. Il restante 9,21% &egrave; rappresentativo di enti
con un’unica sede sita nel nostro paese (Fig. 3).
Se ne pu&ograve; desumere che il modo di
interpretare il ruolo della compliance
all’interno delle organizzazioni, nonch&eacute;
le logiche in base alle quali sono state
adottate politiche, processi e proceducon una sede
re operative all’interno di queste realt&agrave;,
con pi&ugrave; sedi
potranno essere fortemente influenzati
dall’impronta internazionale, che connointernazionale
ta quasi il 60% del campione d’indagine.
Da ultimo, con riferimento ai settori merceologici di appartenenza, &egrave; il settore industriale quello che risulta maggiormente coinvolto
nella ricerca, essendo ad esso riconducibile ben il 50% dei rispondenti (Fig. 4). Il 39,47% del
campione &egrave; composto da aziende del setFigura 4 – Settore merceologico di appartenenza
tore del commercio e il residuo 10,53% da delle aziende intervistate
enti operanti nel settore dei servizi.
Figura 3 – Grado di internazionalizzazione del panel
Il quadro identificativo delle aziende inServizi
tervistate &egrave; rilevante per una pi&ugrave; agevole
comprensione dei risultati della ricerca.
Questi hanno posto in evidenza come il
tema della compliance coinvolga in maniera omogenea le aziende, a prescindere
dal loro dimensionamento e dalla grandezza del fatturato generato; la preponderanza di organizzazioni rispondenti appartenenti al settore dell’industria non &egrave; invece da intendersi come
un elemento che segnali una rilevanza maggiore dei temi di conformit&agrave; presso tali tipologie di
aziende, quanto pi&ugrave; probabilmente come segno di un pi&ugrave; elevato livello di attenzione prestato
dalle imprese industriali a tali tematiche, o, forse, a una loro maggiore propensione o preparazione al confronto con realt&agrave; differenti.
Nelle sezioni che seguono verr&agrave; indagato dapprima il ruolo riconosciuto alla funzione di
compliance dalle aziende del campione, analizzando quindi prassi, politiche e processi che
ne connotano il modo di svolgere le attivit&agrave; (domande 1-5 e 13-15 del questionario); quindi,
verranno presi in considerazione pi&ugrave; nel dettaglio i modelli organizzativi adottati e le caratteristiche dell’operativit&agrave; delle funzioni di conformit&agrave; (domande 6-12 del questionario).
6. Il ruolo della compliance nelle aziende italiane:
Il sistema della compliance d’azienda svolge il rilevante ruolo di supportare le aziende nella
definizione e nel consolidamento dei princ&igrave;pi etici e delle norme che ne dovrebbero ispirare
l’attivit&agrave;, al fine di permettere alle organizzazioni di operare in modo pi&ugrave; efficace ed efficiente,
di essere maggiormente consce dei rischi di conformit&agrave; che gravano sui processi e sulle aree
aziendali, di validare le proprie procedure interne verificandone costantemente la congruenza
rispetto alla normativa vigente, di migliorare le relazioni con la clientela, rendendole anche pi&ugrave;
competitive nei confronti dei concorrenti.
Le imprese sembrano aver inteso in maniera corretta i differenti compiti e le funzioni ascrivibili al sistema della compliance aziendale e il positivo impatto che pu&ograve; generare sull’operativit&agrave;. Ben il 38,16% del panel, infatti, &egrave; sicuro che dotarsi di una funzione di conformit&agrave; possa
rappresentare una concreta opportunit&agrave; per migliorare le procedure, le prassi e l’organizzazione
aziendale, generando un circolo virtuoso che porti benef&igrave;ci a tutti i livelli operativi. La funzione
compliance viene inoltre riconosciuta (21,05% dei rispondenti) come una preziosa fonte di
credibilit&agrave; nei confronti di tutti gli stakeholder, prevenendo il deterioramento della reputazione aziendale presso l’opinione pubblica, migliorandone nel complesso anche l’immagine e la
percezione esterna (10,53% del panel).
Tuttavia, &egrave; pur vero che l’adozione di un sistema di conformit&agrave; e la sua integrazione all’interno
della dimensione aziendale hanno un’implicazione in termini di necessit&agrave; di procedere con riorganizzazioni interne, di creare organismi ad hoc (es. l’Organismo di Vigilanza), di incrementare i
flussi informativi circolanti fra le unit&agrave; aziendali, di elaborare e adottare un codice etico ecc. Se
per taluni (13,16% delle aziende indagate) questo rappresenta un impegno accettabile a fronte
dei benef&igrave;ci ottenibili, per altri (17,11%) lo sforzo richiesto e il significativo aumento della
burocrazia interna che si rende necessario
Figura 5 – Impatti e implicazioni di un sistema
sembrano troppo gravosi per essere equadi compliance aziendale
mente controbilanciati dagli effetti positivi
ricavabili dalla creazione di una funzione
Maggior garanzia per
10,53% 13,16%
terzi e stakeholder
di compliance aziendale (Fig. 5).
Opportunit&agrave; per migliorare
procedure e organizzazione
Prendendo in considerazione il processo
di compliance – che in modo trasversale
Impegno accettabile
Impegno elevato e
e ciclico opera al fine di evitare disallinea21,05%
aumento burocrazia
menti organizzativi e operativi rispetto alle
regole del contesto nel quale l’azienda si
trova inserita – si sono analizzate le modalit&agrave; attraverso le quali le imprese lo pongono in essere.
Dapprima, si &egrave; voluto verificare se esse svolgessero l’attivit&agrave; preliminare di valutazione dei
rischi, con lo scopo di confrontare la situazione aziendale corrente con le prescrizioni della
disciplina vigente, identificando quei processi/aree aziendali che potrebbero risultare non
conformi alle richieste normative. La
Figura 6 – Valutazione dei rischi di conformit&agrave;
valutazione del rischio viene svolta nella rinvenibili all’interno dell’organizzazione
maggior parte dei casi in modo completo
su tutte le dimensioni dell’organizzazione (55,26% dei rispondenti), ma ben il
S&igrave;, parziale
44,74% delle imprese, pur dichiarando
S&igrave;, completa
di svolgerla, afferma di farlo in modo
parziale, lasciando quindi spazio a situa44,74%
zioni di non conformit&agrave; potenzialmente
pericolose per l’azienda (Fig. 6). Quindi,
prendendo a riferimento quell’insieme
di normative che abbiamo visto nella
Sezione 1 e rispetto alle quali il rischio
di non conformit&agrave; delle imprese &egrave; maggiormente marcato, le aziende sono state
interrogate affinch&eacute; esplicitassero quello
che secondo loro &egrave; il grado di rischio
sopportato dall’azienda con riferimento
a ciascuna di tali norme.
Possiamo notare che in merito alla
responsabilit&agrave; amministrativa delle persone giuridiche, delle societ&agrave; e delle associazioni
anche prive di personalit&agrave; giuridica, ben il 50% del campione ritiene che rappresenti per la
propria azienda un rischio contenuto; circa un terzo del totale dei rispondenti (il 35,53%)
lo valuta invece come un rischio di grado medio e solo il 14,47% del panel interpreta le
prescrizioni contenute nel Dlgs 231/01 come una fonte di rischi elevati per la propria
organizzazione (Fig. 7).
Una percezione del livello di rischio analoga si rileva anche in relazione ad altre normative
(Fig. 8) a prescindere dal settore di attivit&agrave;, dalla dimensione e dalle modalit&agrave; operative
adottate: antiriciclaggio e per il contrasto del finanziamento al terrorismo (Dlgs 231/07);
sicurezza e salute sui luoghi lavoro (Dlgs 81/08); danni ambientali e inquinamento (Dlgs
152/06 e Dlgs 121/11); privacy e protezione dei dati personali (Dlgs 196/03); norme sulla
sicurezza informatica; qualit&agrave; e certificazione dei processi secondo lo standard ISO 9001.
La percezione diffusa &egrave; che tali normative rappresentino un rischio contenuto per tutte le
imprese rispondenti; addirittura, nei casi dell’antiriciclaggio e dei danni ambientali ben il
75% del panel si &egrave; dimostrato concorde su tale posizione. Le discipline che, nel complesso,
sono viste come maggiormente rischiose sono quelle relative alla sicurezza e salute sui
luoghi di lavoro, alla privacy e alla sicurezza informatica, ma le percentuali di aziende che
le percepiscono come fonte di un rischio di grado elevato sono comunque molto ridotte e
di minoranza rispetto al campione totale (percentuale pari al 15,79% in tutti e tre i casi).
Le ragioni di una simile uniformit&agrave; nella percezione del rischio potrebbero essere ricondotte
al fatto che le aziende hanno probabilmente gi&agrave; posto in essere quegli adeguamenti specifici
previsti da tali normative (adozione di standard specifici, adeguamento del modello organizzativo, adeguamento delle infrastrutture aziendali ecc.) e possono dunque essere pressoch&eacute;
certe di essere compliant e non passibili di alcuna delle sanzioni previste.
Con riferimento alle direttive, nazionali e internazionali, di carattere specifico che si applicano solo ad alcune imprese operanti in particolari settori o con caratteristiche peculiari, la
distribuzione dei rischi percepiti comunque non varia. Oltre al grado di rischiosit&agrave; relativo
alle normative di settore, si &egrave; analizzato quello relativo alle prescrizioni in materia di sicurezza dei prodotti, di tutela del risparmio e disciplina dei mercati finanziari e a quelle contenute
nella legge federale statunitense Sarbanes-Oxley Act (SOX), che in Italia trova applicazione
presso le societ&agrave; quotate nelle Borse statunitensi e presso le controllate di societ&agrave; quotate
Figura 7 – Grado di rischio della normativa
sulla responsabilit&agrave; amministrativa degli enti
Figura 8 – Grado di rischio delle principali normative generiche in materia di compliance
Sicurezza salute e luoghi di lavoro
11,84% 13,16%
Qualit&agrave; e certificazione
La SOX &egrave; la disciplina percepita come meno rischiosa in assoluto (il grado di rischio basso &egrave;
stato indicato addirittura dall’82,89% del panel), mentre quelle percepite come maggiormente
rischiose (dal 17,11% del panel) sono le normative specifiche di settore (Fig. 9). Le ragioni di
una simile uniformit&agrave; nella percezione del rischio possono essere in questo caso ricondotte al
fatto che, al di l&agrave; della normativa specifica relativa al settore d’operativit&agrave; di ciascuna azienda, le
leggi analizzate si applicano solo ad alcune realt&agrave; delle organizzazioni rispondenti. Con riferimento alla SOX, per esempio, le aziende potrebbero non essere quotate nella Borsa statunitense
o non essere controllate di societ&agrave; statunitensi, nonostante si sia visto che il profilo internazionale del panel &egrave; molto forte. Oppure, in maniera simile a quanto considerato con riferimento
alle normative generiche, i membri del campione intervistato potrebbero aver gi&agrave; provveduto ad
adottare tutte le misure necessarie per essere conformi alle disposizioni di tali norme.
Figura 9 – Grado di rischio delle principali normative specifiche in materia di compliance
17,11% 23,68%
Disciplina mercati finanziari
A valle del processo di valutazione dei rischi, si potrebbe rendere necessaria l’adozione di
nuove regole, politiche e procedure operative finalizzate al riequilibro dei disallineamenti
interni all’azienda dovuti a una non conformit&agrave; rispetto alla normativa vigente.
Le aziende rispondenti si distribuiscono in modo piuttosto omogeneo tra coloro che
hanno gi&agrave; provveduto a elaborare un sistema completo di politiche e procedure che coinvolga l’organizzazione nel suo complesso (48,68% delle realt&agrave; analizzate), e coloro che
hanno, per il momento, definito regole
Figura 10 – Definizione di regole, politiche
operative compliant con la normativa
e procedure di compliance
in modo parziale (il 51,32%), coinvol48,68%
gendo soltanto alcune aree aziendali
o alcune figure rilevanti, piuttosto che
S&igrave;, parzialmente
adottando solo alcuni standard e best
S&igrave;, completamente
practice che dovrebbero essere integrati
nelle organizzazioni al fine di garantire
un livello massimo di tutela della conformit&agrave; aziendale (Fig. 10).
Anche relativamente all’elaborazione e all’adozione preventiva di un piano di verifiche di
compliance da svolgere periodicamente e nel continuo, allo scopo di constatare l’effettiva
applicazione degli adeguamenti organizzativi/operativi effettuati e l’efficacia del sistema di
regole sviluppato (predisponendo eventuali interventi correttivi, qualora necessario), il panel
si distribuisce piuttosto omogeneamente
Figura 11 – Adozione preventiva di un piano
in un gruppo di maggioranza di aziende di verifiche di compliance
che hanno sviluppato un piano di ve52,63%
rifiche completo (il 52,63%), relativo a
tutti i processi e le aree aziendali, e in un
insieme di organizzazioni (il 47,37%) che
S&igrave;, completo
invece sono per il momento dotate di un
piano di verifiche solo parziale (Fig. 11).
Tale sistema di verifiche e controlli periodici e continui si &egrave; tradotto per il
19,74% delle realt&agrave; indagate in un numero annuo di verifiche piuttosto numeroso (oltre i 10
controlli annuali) e in un numero tra le 5 e le 10 per il 36,84% delle organizzazioni. La grande maggioranza (il 43,42%) ha invece realizzato un numero di controlli periodici inferiore ai
5 annui (Fig. 12); tale risultato potrebbe
Figura 12 – Numero annuo di controlli di conformit&agrave;
essere un segnale del fatto che le logiche
svolti presso le aziende del panel
di controllo e verifica periodica sottese a
un buon funzionamento di un sistema
di compliance sono ancora in corso di
assimilazione da parte delle imprese; proPi&ugrave; di 10
babilmente la numerosit&agrave; dei controlli &egrave;
destinata a crescere nel corso del tempo.
Un piano di verifiche di compliance
si pone, tra i suoi molteplici obiettivi,
quello di accertare l’efficacia del sistema di conformit&agrave; sviluppato anche in relazione alle
politiche di sviluppo delle competenze e degli skill delle risorse umane aziendali; non ci si
riferisce unicamente a coloro che sono impiegati all’interno della funzione di compliance
e alle competenze che necessitano per espletare i propri compiti, ma, in generale, a tutto il
personale d’azienda. Lo scopo dei programmi formativi &egrave; permettere al personale di essere
sempre aggiornato in merito alle previsioni contenute nel codice etico, alle procedure interne
e ai flussi di informazione, alla struttura dei poteri autorizzativi ecc.
Le imprese rispondenti si dimostrano consce della rilevanza delle attivit&agrave; formative: ben il
68,42% ha infatti posto in essere percorsi educativi rivolti, in particolar modo, proprio a quei
soggetti che operano in ognuna delle
Figura 13 – Attivit&agrave; di formazione per il personale
aree aziendali soggette a rischio di con- presso le imprese intervistate
formit&agrave;; la restante parte del campione
(31,58%) ha invece progettato corsi formativi rivolti alle risorse operanti solo in
Su tutte le aree a
rischio di conformit&agrave;
alcune delle aree a rischio, probabilmente
Solo su alcune
optando per quelle connotate da un tasso
di non conformit&agrave; superiore (Fig. 13).
Al termine di ogni processo di verifica
di conformit&agrave; deve essere svolta una
puntuale attivit&agrave; di rendicontazione agli organi supervisori e di controllo dei risultati
raggiunti con le procedure e le politiche realizzate mediante il sistema di compliance
in atto; tale attivit&agrave; di reporting non pu&ograve; non includere anche le segnalazioni relative ai
possibili eventi di non conformit&agrave; con
Figura 14 – Svolgimento dell’attivit&agrave; di reporting
carattere di rilevanza che si siano ridi compliance presso le imprese del panel
scontrati all’interno dell’organizzazione.
Lo scopo &egrave; garantire agli organismi di
controllo la possibilit&agrave; di disporre di tutte
le informazioni rilevanti per definire le
logiche operative future della funzione di
conformit&agrave;, supportandola nell’ideazione
degli interventi correttivi che possano
essersi resi necessari. Con riferimento al
regolare svolgimento delle attivit&agrave; di reporting, nonch&eacute; all’attribuzione della responsabilit&agrave;
per la sua redazione a specifiche risorse/unit&agrave; dell’organizzazione, la grande maggioranza
delle imprese rispondenti (68,42% del totale) ha dichiarato di provvedervi puntualmente;
il restante 31,58% del panel, invece, non ha ancora strutturato processi formalizzati, n&eacute; ha
elaborato un sistema di responsabilit&agrave; per l’esecuzione di questa attivit&agrave; (Fig. 14). Tale parte
del panel dovr&agrave; sicuramente provvedere a farlo nel pi&ugrave; breve tempo possibile se desidera
porre in essere un sistema di conformit&agrave; d’azienda completo.
7. Il modello organizzativo della compliance nelle aziende
italiane: le evidenze della survey
La survey ha voluto anche indagare il livello di avanzamento nello sviluppo del modello
organizzativo della compliance aziendale e nella definizione delle figure, dei ruoli e delle
responsabilit&agrave; propri della funzione stessa. Gli aspetti organizzativi di gestione della funzione di conformit&agrave; sono particolarmente
Figura 15 – Definizione degli aspetti organizzativi
rilevanti per garantirle di poter operare della compliance: ruoli e responsabilit&agrave;
in maniera efficace ed efficiente; una
loro corretta formalizzazione permette
di comprendere in maniera chiara le
logiche di distribuzione delle responsaTotalmente
bilit&agrave;, i compiti e le attivit&agrave; posti in capo
a specifici organismi aziendali, le linee
di dipendenza gerarchica, il sistema dei
poteri e delle deleghe.
La maggior parte del campione (il 53,95%) ha dichiarato di aver gi&agrave; completato l’attribuzione
di ruoli, mansioni e responsabilit&agrave;, mentre il restante 46,05% ha affermato di averlo fatto
solo in modo parziale e di avere dunque ancora alcuni aspetti organizzativi da definire per
completare questo processo (Fig. 15).
Con un grado superiore di dettaglio, si &egrave; quindi voluto verificare a quale funzione aziendale,
nello specifico, fossero stati affidati l’incarico di gestione e le competenze della funzione
compliance, data la molteplicit&agrave; di approcci e scelte organizzative possibili. Il campione
in questo caso appare particolarmente
Figura 16 – Funzione che gestisce la compliance
composito e variato nelle opzioni stratenelle aziende intervistate
giche che sono state prescelte (Fig. 16). Il
36,84% ha preferito affidarne la gestione
(compliance, ufficio legale)
a una funzione aziendale di controllo (es.
Altra funzione di controllo
(auditing, risk management,
internal audit, risk management, sistemi
sistemi gestionali)
di gestione ecc.); il 28,95% ha attribuito
Altre funzioni per le parti
le attivit&agrave; di gestione a una funzione
di loro spettanza
specifica, che potrebbe essere un’unit&agrave;
preesistente (es. l’ufficio legale) piuttosto
che un’unit&agrave; creata ad hoc per lo svolgimento di tali attivit&agrave;, mentre il 19,74% dei rispondenti
ha attribuito le competenze di compliance alla direzione generale. Infine, il restante 14,47%
del campione ha optato per un modello nel quale le risorse che espletano compiti di controllo
di conformit&agrave; sono inserite all’interno di funzioni aziendali diverse e che dunque svolgono
le specifiche attivit&agrave; di controllo unicamente per gli ambiti e le parti del processo di loro
spettanza (modello organizzativo decentrato).
Ovviamente, affinch&eacute; la funzione di compliance possieda le caratteristiche desiderabili di
autonomia, indipendenza, professionalit&agrave; e continuit&agrave; di azione, risulta auspicabile la previsione di una specifica funzione aziendale preposta esclusivamente o prevalentemente dedicata
a tale attivit&agrave;. Certo &egrave; che le piccole e medie imprese probabilmente non dispongono della
dimensione sufficiente per la creazione di una specifica funzione. In effetti, solo il 16,66% delle
imprese rispondenti di piccola dimensione (fatturato inferiore a 25 milioni di euro) dispone
di una funzione di compliance specifica,
Figura 17 – Adozione del modello organizzativo 231
mentre ne dispongono il 27,7% delle im- presso le realt&agrave; del panel
prese rispondenti appartenenti alla classe
dimensionale superiore (tra 25 e 50 milioni di euro) e il 38,2% delle imprese con
fatturato superiore a 50 milioni di euro.
Sempre con riferimento all’approccio organizzativo, al panel &egrave; stato richiesto se
avesse gi&agrave; provveduto ad adottare e attuare
un modello di organizzazione, gestione e
controllo idoneo a prevenire la realizzazione dei reati considerati generatori della responsabilit&agrave;
amministrativa degli enti, secondo quanto previsto in merito dal Dlgs 231/01, modello che,
se conforme a quanto previsto nel decreto, ha efficacia esimente della responsabilit&agrave; amministrativa delle persone giuridiche, delle societ&agrave; e delle associazioni anche prive di personalit&agrave;
giuridica ed &egrave; dunque uno strumento fondamentale per prevenire il rischio di non conformit&agrave;.
Ben il 72,37% del campione ha gi&agrave; adottato un modello organizzativo 231, mentre il 27,63%
non lo ha ancora fatto (Fig. 17).
Con specifico riferimento all’organismo deputato a svolgere attivit&agrave; di controllo sul sistema di compliance aziendale, la cui esistenza &egrave; prevista dall’art. 6 del Dlgs 231/01, la survey
ha rilevato che il 71,05% delle imprese ha gi&agrave; nominato un OdV (Fig. 18). Le percentuali non sono difformi da quelle relative
Figura 18 – Nomina dell’Organismo di Vigilanza 231
all’adozione del modello organizzativo
presso le organizzazioni analizzate
231 presso le imprese del panel e questo
potrebbe essere indicazione del fatto
che, essendo l’Organismo di VigilanNo
za un elemento essenziale del modello
organizzativo 231, l’adozione dell’uno
vada necessariamente di pari passo con
quella dell’altro.
Quanto alla frequenza delle riunioni
dell’OdV, nel corso dell’ultimo esercizio, &egrave; possibile notare che nella maggior parte dei
casi (il 48,68% dei rispondenti) esso &egrave; riuscito a incontrarsi dalle 3 alle 6 volte nel corso
dei 12 mesi, numero che arriva a essere superiore a 6 nel 14,47% dei casi. Se &egrave; vero che
un buon 36,84% delle aziende rispondenti ha dichiarato che l’Organismo &egrave; riuscito a
riunirsi soltanto meno di 3 volte nell’anno di riferimento, &egrave; pur vero che in generale si
sta delineando una tendenza a confeFigura 19 – Numero annuo di riunioni dell’Organismo
rire una grande rilevanza all’attivit&agrave; di di Vigilanza 231 presso le aziende del panel
tale entit&agrave; e a incentivare l’azione di
vigilanza sul corretto funzionamento del
Pi&ugrave; di 6
modello di organizzazione e gestione,
anche mediante un ricorso maggiore
alle occasioni di riunione nel corso delle
quali l’OdV pu&ograve; concretamente e fat48,68%
tivamente svolgere i propri compiti di
controllo (Fig. 19).
Infine, poich&eacute; autonomia e indipendenza sono due dei requisiti fondamentali che devono connotare l’Organismo di Vigilanza e il suo operato, si &egrave; proceduto a verificare se
nelle imprese che hanno risposto al questionario gli organismi di controllo svolgessero
la loro funzione in totale indipendenza, in linea dunque con quanto espressamente
richiesto dal Dlgs 231/01.
Ben il 72,37% del campione ha conFigura 20 – Indipendenza degli organismi di controllo
fermato la totale e completa autonomia
dell’organismo di verifica e controllo,
mentre nel 27,63% dei casi il livello di
indipendenza &egrave; solo parziale (Fig. 20).
Un maggioranza cos&igrave; larga &egrave; segno del
fatto che le imprese sono ben consce
di quanto sia rilevante garantire totale
indipendenza all’ente di controllo nello
svolgimento della propria azione; infatti, risultando libero da qualsiasi interferenza o condizionamento (in particolare se proveniente dall’organo dirigente) che possa gravare sul
suo operato, l’organismo potr&agrave; assolvere
Figura 21 – Realizzazione e certificazione di sistemi
in modo massimamente efficiente ed gestionali specifici
efficace il proprio compito.
Per concludere, alle imprese del camPi&ugrave; di uno
pione &egrave; stato richiesto di esprimersi in
merito al grado di realizzazione di sisteNessuno
mi gestionali specifici nelle loro realt&agrave;,
facendo riferimento al conseguimento di
certificazioni per questi sistemi, dichiarandoli conformi agli standard di riferimento riconosciuti a livello internazionale. Fra le certificazioni citate nella presente analisi
ricordiamo quella Ohsas 18001:2007, per la salute e la sicurezza sul luogo di lavoro; ISO
14001, che stabilisce i requisiti di un sistema di gestione ambientale compliant alle normative
vigenti; la certificazione ISO 9001, che attesta la corretta implementazione di un sistema di
qualit&agrave; dei processi aziendali.
In riferimento a questo aspetto della compliance aziendale, le imprese hanno dichiarato nel
53,95% dei casi di aver adottato pi&ugrave; di un sistema gestionale specifico certificato, nel 18,42%
di averne adottato almeno uno e nel 27,63% dei casi di non averne implementato nessuno
(Fig. 21). Appare chiaro come il panel attribuisca una rilevanza significativa all’adozione e
certificazione dei sistemi gestionali, che rappresentano una garanzia di qualit&agrave; agli occhi
degli stakeholder e un elemento di differenziazione e vantaggio rispetto ai competitor.
Banca d’Italia, 2007, p. 2.
Ne sono un esempio Banca d’Italia, 2007 per le banche e il regolamento 20/08 dell’ISVAP per le imprese
Il questionario &egrave; stato elaborato con il supporto del Comitato Tecnico Scientifico del Premio Assiteca
(Allegato 1) ed &egrave; stato somministrato attraverso l’invio di e-mail dedicate da parte de Il Sole 24 ORE,
partner dell’iniziativa, per totale di 40mila contatti complessivi a livello nazionale. Il testo del questionario
&egrave; riportato in Appendice (Allegato 2).
Si faccia riferimento a quanto riportato in merito in: Anolli M., Rajola F. (a cura di) (2010), Il rischio di
reputazione e di non conformit&agrave; – Strumenti e metodi per la governance e la gestione operativa, Bancaria
Editrice, Roma, p. 100.
Si veda: Anolli M., Rajola F., Il rischio di reputazione e di non conformit&agrave; – Strumenti e metodi per la governance e la gestione operativa, op. cit., p. 93.
Si tratta della Convenzione di Bruxelles del 26 luglio 1995 sulla tutela degli interessi finanziari della
Comunit&agrave; Europea, della Convenzione di Bruxelles del 26 maggio 1997 sulla lotta alla corruzione dei
funzionari della Comunit&agrave; Europea o degli Stati membri e della Convenzione OCSE del 17 dicembre 1997
sulla lotta alla corruzione di pubblici ufficiali stranieri nelle operazioni economiche e internazionali.
Decreto legislativo 231/01, art. 5.
Decreto legislativo 231/01, art. 6, comma 1.
Decreto legislativo 231/01, art. 6, comma 2.
Per una trattazione esaustiva delle caratteristiche del sistema dei controlli preventivi si faccia riferimento al documento “Linee guida per la costruzione dei modelli di organizzazione, gestione e controllo ex
Dlgs 231/01” di Confindustria.
Standard britannico per la salute e la sicurezza dei luoghi lavorativi; &egrave; il riferimento valido per la certificazione dei propri sistemi di gestione per la salute e sicurezza sui luoghi di lavoro.
Le linee guida UNI-INAIL sono un documento di indirizzo alla progettazione, implementazione e attua&shy;
zione di sistemi di gestione della salute e della sicurezza sul lavoro, rivolto soprattutto alle Pmi che
caratterizzano il sistema produttivo italiano; tali linee guida (a differenza di Ohsas 18001:2007) non sono
destinate alla certificazione dei sistemi.
Per la casistica completa dei reati ambientali e di inquinamento oggetto della norma si faccia riferimento
al Dlgs 231/01, art. 25-undecies.
La norma UNI EN ISO 14001:2004 &egrave; uno standard riconosciuto e condiviso a livello internazionale al quale
si aderisce volontariamente; esso prevede un set di requisiti per l’attuazione e la verifica di un sistema
di gestione ambientale che pu&ograve; essere applicato da organizzazioni di tutte le dimensioni e i settori merceologici.
Il Regolamento CE 1221/09 del Parlamento Europeo e del Consiglio Europeo del 25 novembre 2009
definisce un sistema comunitario di ecogestione e audit denominato EMAS, al quale pu&ograve; aderire volontariamente qualsiasi organizzazione che intenda valutare e migliorare le sue prestazioni ambientali e
comunicarle al pubblico.
Per una trattazione completa si rimanda alla lettura del decreto di riferimento.
Quando il trattamento &egrave; effettuato da persona giuridica, pubblica amministrazione o qualsiasi altro ente,
associazione o organismo, il titolare coincide con l’entit&agrave; giuridica nel suo complesso ovvero con l’unit&agrave;
o l’organismo periferico che esercita un potere decisionale autonomo sulle finalit&agrave; e sulle modalit&agrave; del
trattamento, compreso il profilo della sicurezza; il responsabile &egrave; il soggetto che, nominato per iscritto
dal titolare, sovraintende all’intero processo del trattamento dei dati, dall’acquisizione fino all’eventuale
cessazione o distruzione, sulla base delle istruzioni impartitegli; l’incaricato &egrave; qualsiasi soggetto che
esegue materialmente il trattamento dei dati, sotto la diretta autorit&agrave; del titolare o del responsabile, con
l’ausilio di strumenti informatici e mediante supporti cartacei.
La sigla ISO 9000 identifica una serie di normative e linee guida sviluppate dall’Organizzazione Internazionale per la Normazione (ISO) finalizzate a definire i requisiti per la realizzazione di un sistema di
gestione della qualit&agrave; all’interno delle imprese, al fine di condurre in maniera ottimale i processi aziendali,
migliorare l’efficacia e l’efficienza nella realizzazione dei propri prodotti/nell’erogazione dei propri servizi,
ottenendo e incrementando la soddisfazione della clientela.
Recepimento della direttiva 2001/83/CE e successive direttive di modifica, relativa a un codice comunitario
concernente i medicinali per uso umano, e direttiva 2003/94/CE.
L’esclusione &egrave; determinata dal fatto che, per la specificit&agrave; dell’attivit&agrave; svolta e per l’esistenza di normative di settore, il rischio di compliance e la sua gestione si caratterizzano diversamente per le imprese
Le aziende appartenenti al campione selezionato sono state contattate via e-mail e invitate alla compilazione del questionario pubblicato su una piattaforma on-line dedicata.
Aldini S., Romaniello A. (2012), &laquo;Imprese e reati ambientali: le novit&agrave; su “Modelli” e OdV&raquo;, in
Ambiente e Sicurezza, n. 6, 27 marzo 2012
Anolli M., Rajola F. (a cura di) (2010), Il rischio di reputazione e di non conformit&agrave; – Strumenti e
metodi per la governance e la gestione operativa, Bancaria Editrice, Roma
Assonime (2012), Circolare 28 maggio 2012, n. 15/12 – Reati ambientali e responsabilit&agrave; amministrativa degli Enti
Banca d’Italia, Disposizioni di vigilanza. La funzione di conformit&agrave; (compliance), n. 608006, 10
CeTIF (2006), Riflessi organizzativi della compliance nelle banche, Rapporto di ricerca
CeTIF (2007), Riflessi operativi della compliance nelle istituzioni finanziarie, Rapporto di ricerca
Confindustria (2008), Linee guida per la costruzione dei modelli di organizzazione, gestione e
controllo ex Dlgs 231/01, 31 marzo 2008
Moti-F, Il Dlgs 231/07 contro il riciclaggio – Impatti sulle persone giuridiche, White paper
www.assoaicom.com
Bruno Giuffr&eacute; - (Presidente)
Presidente AODV231 (Associazione dei Componenti
degli Organismi di Vigilanza ex Dlgs 231/01)
Alberto Floreani - (Direttore Scientifico)
Professore Associato Facolt&agrave; di Scienze Bancarie
Finanziarie e Assicurative Universit&agrave; Cattolica del Sacro Cuore
Direttore Master in Insurance &amp; Risk Management MIB
School of Management; Docente di Finanza Aziendale
Presidente ANRA (Associazione Nazionale Risk Manager
e Responsabili delle Assicurazioni Aziendali)
Vice Presidente ANDAF (Associazione Nazionale Direttori
Amministrativi e Finanziari) - Sezione Lombardia
Presidente e co-fondatore - Sernet SpA
Direttore - Insurance Magazine
Partner - ASSITECA SpA
La gestione del rischio nelle imprese italiane: politiche, processi e procedure per garantire la compliance aziendale e migliorare la competitivit&agrave;
Per gestire i rischi di compliance le aziende mettono a punto un insieme di processi e strutture
organizzative funzionali alla prevenzione delle violazioni di norme, regole o standard, da cui
possono derivare sanzioni, perdite operative, danni reputazionali e provvedimenti di interdizione parziale o totale dell’attivit&agrave;. Una corretta gestione dei rischi di non conformit&agrave; aiuta
le aziende a promuovere e consolidare i propri principi etici, a migliorare le relazioni con la
clientela, a tutelare gli amministratori da possibili responsabilit&agrave; personali e ad armonizzare
i comportamenti dei dipendenti: questo si traduce anche in un miglioramento della loro
competitivit&agrave;. Una buona gestione della compliance pu&ograve; infine prevenire ricadute negative sul
bilancio, sull’immagine e sulla reputazione presso l’opinione pubblica, la comunit&agrave; finanziaria
e tutti gli stakeholder. Il presente questionario si pone l’obiettivo di verificare come le aziende
italiane si sono organizzate e strutturate per gestire questi rischi: quali le politiche, i processi
e le procedure adottate.
Specificare ..........................................................................................................................................
da 10 a 25 mln da 25 a 50 mln
Societ&agrave; quotata
Societ&agrave; multinazionale
Informativa ex art. 13 Dlgs 196/03 - “Tutela della privacy”
I Suoi dati personali liberamente conferiti saranno trattati da Il Sole 24 ORE SpA, titolare del trattamento, per permetterLe di partecipare all’indagine e per elaborazioni di tipo statistico. I dati potranno essere trattati da incaricati
preposti all’organizzazione e gestione dell’indagine e dal servizio clienti e saranno necessariamente comunicati ad
Assiteca, con sede in Milano, Via G. Sigieri 14, che li tratter&agrave; in qualit&agrave; di autonomo titolare del trattamento per le
finalit&agrave; e con le modalit&agrave; strettamente connesse alla gestione del questionario e all’assegnazione del Premio Assiteca
2013. I trattamenti, eventualmente anche ulteriori, eseguiti da Assiteca ed estranei all’attivit&agrave; di Sole 24 ORE SpA,
saranno resi noti direttamente da Assiteca a mezzo dell’informativa ex art. 13 del codice della privacy. Potr&agrave; esercitare
i diritti dell’art. 7 Dlgs 196/03 (accesso, correzione, integrazione, opposizione ecc.) e richiedere l’elenco completo e
aggiornato dei Responsabili del trattamento scrivendo a Database di Marketing – Via Carlo Pisacane 1, Pero (Mi).
S&Igrave;, autorizzo NO, non autorizzo (questa opzione interrompe la
compilazione del form e preclude quindi la candidatura al
Premio Assiteca 2013)
Qual &egrave; il livello di rischio di non conformit&agrave; della Sua azienda rispetto alle seguenti normative?
a) Sicurezza e salute sui luoghi lavoro (Dlgs 81/08)
b)Responsabilit&agrave; amministrativa delle persone giuridiche (Dlgs 231/01)
c)Danni ambientali e inquinamento (Dlgs 152/06)
d)Privacy e protezione dei dati personali (Dlgs 196/03)
e) Security – Sicurezza informatica
f)Antiriciclaggio e contrasto del finanziamento del terrorismo (Dlgs 231/07)
g) Qualit&agrave; e certificazione ISO 9001
h) Sicurezza dei prodotti
i) Normative italiane o straniere di settore
j)Tutela del risparmio e disciplina dei mercati finanziari
(Dlgs 262/05 - Societ&agrave; quotate in Italia)
k)SOX Sarbanes-Oxley (Societ&agrave; quotate o controllate di
societ&agrave; quotate a Wall Street)
&Egrave; stata eseguita in azienda una valutazione dei rischi di
S&igrave;, per ogni area/attivit&agrave;
S&igrave;, per alcune aree/attivit&agrave;
Sono state definite le politiche e le procedure di compliance?
&Egrave; prevista l'adozione preventiva di un piano di verifiche di
Quante verifiche di compliance sono state effettuate
nell'ultimo esercizio?
Pi&ugrave; di 10
Gli organismi di controllo previsti esercitano la loro funzione in totale indipendenza?
Sono stati definiti gli aspetti organizzativi di gestione della
compliance (ruoli e responsabilit&agrave;)?
Quale funzione aziendale si occupa della gestione della
unzione specifica (compliance,
ufficio legale)
Altre funzioni per le parti di loro
spettanza (produzione,
amministrazione, personale)
Sono stati realizzati e certificati sistemi gestionali specifici
(ISO 9001; ISO 14001; OHSAS 18001 ecc.)
&Egrave; stato adottato il Modello Organizzativo 231/01?
&Egrave; stato nominato l'Organismo di Vigilanza 231?
Quante riunioni ha tenuto l'Organismo di Vigilanza 231 nel
corso dell'ultimo esercizio?
L'azienda svolge attivit&agrave; di formazione del personale?
u tutte le aree a rischio di conS
formit&agrave;
Esiste un reporting regolare ed &egrave; prevista l'attribuzione
della responsabilit&agrave; per la sua redazione?
Come valuta l'azienda l’impatto della compliance?
Impegno elevato e aumento burocrazia
Opportunit&agrave; per regolamentare
alcuni aspetti aziendali (procedure e organizzazione)
Maggior garanzia per terzi e
Il Gruppo Assiteca nasce nel 1982 per iniziativa di alcuni professionisti del settore
assicurativo e oggi rappresenta il pi&ugrave; grande gruppo italiano nel mercato del brokeraggio assicurativo: 430 milioni di premi intermediati a giugno 2012, 43,2 milioni di
provvigioni e oltre 400 addetti.
In Italia la presenza in 18 citt&agrave; – Milano, Lecco, Torino, Genova, Manzano (Ud), Verona,
Piacenza, Modena, Cesena, Firenze, Livorno, Prato, Ancona, Pescara, Roma, Napoli, Salerno, Taranto – la conoscenza delle particolarit&agrave; territoriali e l’esperienza maturata
nei principali settori industriali, commerciali e dei servizi, garantiscono alle aziende
clienti la massima attenzione nel soddisfare ogni esigenza.
In Spagna &egrave; presente con 3 uffici diretti a Madrid, Barcellona e Siviglia.
Nel resto dell’Europa e nel mondo, in qualit&agrave; di membro di EOS RISQ e Lockton
Global Networks, pu&ograve; contare su una presenza in oltre 100 Paesi, confermando
tempestivit&agrave; nell’affrontare le nuove sfide di un mercato globale.
Oltre alla Divisione Tecnica, che offre i migliori servizi di Risk Management, le Divisioni Trasporti, Crediti commerciali, Energie rinnovabili, Grandine e rischi agricoli,
Employee Benefits &amp; Previdenza, Rischi edili, Cauzioni e fidejussioni, Pubblica amministrazione e Internazionale.
Assiteca pone costantemente al centro delle proprie azioni la piena soddisfazione
del cliente nel rispetto di codici deontologici basati su princ&igrave;pi di etica e trasparenza. Ne sono testimonianza la certificazione del Bilancio Consolidato, del proprio
Sistema Qualit&agrave;, l’adozione del Modello Organizzativo 231 e il Bilancio Sociale
pubblicato dal 2003.
Nel 2010 &egrave; stato lanciato il Premio Assiteca “La Gestione del Rischio nelle Imprese italiane”, un riconoscimento unico in Italia, che si basa sulla realizzazione di
un’indagine funzionale a valutare il grado di preparazione delle aziende italiane sul
tema della gestione del rischio. Ogni edizione indaga un focus specifico: I edizione
2010 “Sicurezza sul Lavoro”; II edizione 2011 “Crediti Commerciali”; III edizione 2012
“Business Continuity”; IV edizione 2013 “Compliance”.
Tel. 02.54679.1 – www.assiteca.it