Modello di organizzazione, gestione e controllo ex d.lgs. 231/2001 (MOG 231)

1. Cos’è il MOG 231 e a cosa serve

1.1 Definizione e funzione
Il Modello di organizzazione, gestione e controllo (MOG) è l’insieme di regole interne, procedure, controlli e strutture organizzative che un ente adotta per prevenire la commissione dei reati indicati nel d.lgs. 231/2001 (c.d. “reati presupposto”). [1]

1.2 Obiettivo principale
Scopo del MOG è evitare (o ridurre in modo significativo) il rischio che amministratori, dirigenti o dipendenti commettano, nell’interesse o a vantaggio dell’ente, uno dei reati del “catalogo 231” (corruzione, reati societari, reati ambientali, sicurezza sul lavoro, ecc.). Un modello idoneo e attuato può:

  • escludere la responsabilità dell’ente; oppure
  • attenuare in modo rilevante le sanzioni. [2] [3] [4] [5]

2. Contesto: perché il MOG oggi è necessariamente “integrato”

2.1 Sovrapposizione di normative
Il sistema dei controlli aziendali non riguarda solo il d.lgs. 231/2001, ma si fonda su una serie di normative che spesso si intersecano e si sovrappongono:

  • legge anticorruzione;
  • norme antiriciclaggio (d.lgs. 231/2007);
  • sicurezza sul lavoro (d.lgs. 81/2008);
  • privacy (Reg. UE 2016/679, d.lgs. 196/2003);
  • whistleblowing;
  • ambiente, responsabilità amministrativa, ecc. [1]

Questa stratificazione rende indispensabile, nella costruzione del MOG, un’analisi preliminare dei sistemi di gestione e controllo già esistenti (policy, procedure, certificazioni) e della loro effettiva efficacia. [1]

2.2 Modelli e certificazioni utili ma non sufficienti
Tra i sistemi che possono contribuire alla gestione dei rischi 231, se già presenti in azienda, si segnalano: [1]

  • modello ex d.lgs. 81/2008 per salute e sicurezza sul lavoro;
  • strumenti organizzativi per la conformità antiriciclaggio (d.lgs. 231/2007);
  • certificazioni anticorruzione e whistleblowing (ISO 37001, ISO 37002);
  • sistemi di gestione del rischio (ISO 31000);
  • certificazioni ambientali (ISO 14001);
  • certificazioni sulla sicurezza sul lavoro (OHSAS 18001 / ISO 45001);
  • sistemi di gestione della sicurezza delle informazioni (ISO 27001).

Tuttavia, il rispetto di queste norme e certificazioni:

  • non copre in modo completo le responsabilità delineate dal d.lgs. 231/2001;
  • non è di per sé sufficiente a esonerare l’ente dalla responsabilità 231.

È necessario che tali sistemi siano integrati e coordinati con il MOG, in modo specifico rispetto ai reati del catalogo 231. [1]

3. Contenuti essenziali di un MOG 231

In sintesi, un Modello 231 adeguato deve prevedere almeno:

3.1 Mappatura dei rischi (risk assessment 231)

  • Individuazione delle attività sensibili, cioè quelle in cui esiste il rischio di commissione dei reati presupposto (es. rapporti con la PA, gestione appalti, sicurezza sul lavoro, ambiente, fiscale, ecc.). [1]
  • Valutazione della probabilità e dell’impatto dei diversi rischi-reato. [1]

3.2 Protocolli e procedure

  • Regole operative che disciplinano in modo dettagliato le attività a rischio (es. gestione rifiuti, procedure di gara, autorizzazioni ambientali, gestione dei flussi finanziari, ecc.). [1]
  • Meccanismi di autorizzazione, firma e controllo (principio di separazione dei compiti, tracciabilità delle decisioni). [1]

3.3 Sistema di controllo interno

  • Controlli di linea (nei processi operativi) e controlli di secondo livello (compliance, risk management). [1]
  • Indicatori di anomalia e verifiche periodiche sull’effettiva applicazione del modello. [1]

3.4 Organismo di Vigilanza (OdV)

  • Nomina di un organismo dotato di autonomia, indipendenza, professionalità e continuità d’azione, con compiti di vigilanza sul funzionamento e l’osservanza del modello e di proposta di aggiornamento. [2] [1]

3.5 Sistema disciplinare

  • Previsione di sanzioni interne (anche conservative) nei confronti di dipendenti, dirigenti e apicali che violano il modello o le procedure. [2] [1]

3.6 Formazione e comunicazione

  • Programmi di formazione periodica e mirata sul MOG e sui rischi-reato, differenziati per ruoli e funzioni. [3] [1]
  • Comunicazione interna chiara delle regole, dei presidi e dei canali di segnalazione (whistleblowing). [1] [6]

3.7 Aggiornamento continuo

  • Revisione periodica del modello in funzione:
    • delle modifiche normative (es. estensione del catalogo dei reati presupposto, come per reati ambientali, fiscali, ecc.);
    • dei cambiamenti organizzativi (nuove attività, acquisizioni, estero);
    • delle risultanze dei controlli e delle segnalazioni. [7] [8] [1]

4. Metodo di costruzione del MOG: analisi preliminare e integrazione

4.1 Analisi dei sistemi esistenti
Prima di redigere o aggiornare un Modello 231 è indispensabile:

  • censire policy, procedure, istruzioni operative e controlli già presenti;
  • verificare eventuali certificazioni (ISO 14001, ISO 27001, ISO 37001, ecc.);
  • valutare, per ciascun sistema, il grado di effettiva applicazione e la copertura dei rischi 231. [1]

4.2 Integrazione e coordinamento
L’obiettivo è evitare:

  • duplicazioni inutili di procedure;
  • “vuoti” di responsabilità su aree di rischio importanti (es. ambiente, appalti, sicurezza, anticorruzione).

Occorre quindi:

  • armonizzare i diversi sistemi (es. sicurezza sul lavoro, ambiente, anticorruzione) all’interno di un unico framework di controllo 231;
  • chiarire ruoli, responsabilità e flussi informativi verso l’OdV. [1]

5. Perché il MOG è cruciale oggi (anche alla luce delle ultime riforme)

5.1 Estensione del catalogo 231 e aumento del rischio
Negli ultimi anni il catalogo dei reati presupposto è stato ampliato (corruzione, reati societari, reati ambientali, tributari, ecc.), con un sistema sanzionatorio pecuniario e interdittivo sempre più severo. [9] [7] [8] [5]

5.2 Necessità di un approccio realmente “compliance integrata”
Il MOG non può più essere visto come un documento statico, ma come l’architrave di un sistema di compliance che tenga insieme:

  • 231;
  • anticorruzione;
  • antiriciclaggio;
  • sicurezza sul lavoro;
  • ambiente;
  • privacy;
  • [1] [6]

Solo un modello realmente integrato consente di:

  • ridurre in modo effettivo il rischio-reato;
  • dimostrare al giudice, in caso di procedimento 231, l’assenza di “colpa di organizzazione”. [2] [3] [4] [5]

6. Come possiamo procedere operativamente

Se mi indichi:

  • il settore in cui opera l’ente (es. edilizia, rifiuti, manifatturiero, sanitario, servizi, PA partecipata);
  • le principali attività sensibili (rapporti con PA, ambiente, sicurezza, estero, ecc.);

posso aiutarti a:

  • delineare una bozza di struttura del MOG 231 specifica per il tuo caso (parte generale + parti speciali);
  • individuare quali sistemi e certificazioni già presenti possono essere integrati (es. ISO 14001, ISO 45001, ISO 37001);
  • elencare in modo schematico le procedure minime da prevedere per essere in linea con le migliori prassi 231. [1]

Referenze

[1] Memento Compliance — Responsabilità amministrativa degli enti e modello 231 / Il modello organizzativo (MOG) / Modello 231 e compliance integrata / Il Modello 231 e l’approccio integrato alla compliance / Interazione con altre normative simili

[2] Memento Salute e sicurezza sul lavoro — CONTROLLI E VIGILANZA / Controlli interni e responsabilità / Responsabilità amministrativa degli enti / Responsabilità delle persone giuridiche / Reati presupposto

[3] Memento Salute e sicurezza sul lavoro — CONTROLLI E VIGILANZA / Controlli interni e responsabilità / Responsabilità amministrativa degli enti / Presupposti per la responsabilità dell’ente / Interesse aziendale nella commissione del reato

[4] Memento Compliance — Responsabilità amministrativa degli enti e modello 231 / Criteri di imputazione della responsabilità / Persone fisiche interessate / Interesse o vantaggio

[5] Memento Compliance — Responsabilità amministrativa degli enti e modello 231 / Sistema sanzionatorio / Sanzioni pecuniarie / Il sistema di calcolo

[6] Memento Compliance — Responsabilità amministrativa degli enti e modello 231 / Reati presupposto: l’evoluzione del catalogo 231 / Rapporti con la Pubblica Amministrazione / Legge “anticorruzione” e Legge “spazzacorrotti”

[7] Memento Società commerciali — COMPLIANCE / Responsabilità amministrativa della società (D.Lgs. 231/2001) / Reati e prevenzione

[8] Memento Compliance — Responsabilità amministrativa degli enti e modello 231 / Reati presupposto: l’evoluzione del catalogo 231 / Reati ambientali

[9] Memento Compliance — Responsabilità amministrativa degli enti e modello 231 / Reati presupposto: l’evoluzione del catalogo 231