Risk assessment 231: come mappare i rischi reato in azienda

Prima ancora di scrivere una singola pagina del modello 231, un’azienda dovrebbe farsi una domanda molto concreta: dove, nei miei processi, potrebbe nascondersi il rischio di commettere un reato che coinvolge l’ente? Rispondere a questa domanda è esattamente il compito del risk assessment 231, la fase che precede e orienta tutto il resto del lavoro. Non è un adempimento formale da archiviare, ma la mappa su cui si costruisce ogni protocollo, ogni regola interna, ogni controllo che l’azienda deciderà di adottare. Il risk assessment 231 è l’attività con cui si individuano, all’interno dei processi aziendali, le aree in cui potrebbero verificarsi i cosiddetti reati presupposto, cioè quelli che possono generare la responsabilità amministrativa dell’ente ai sensi del d.lgs. 231/01. Non si tratta di un esercizio teorico, ma di un’analisi puntuale di come lavora davvero l’azienda: chi decide cosa, chi firma cosa, dove passano i pagamenti, come vengono gestiti gli appalti, chi ha accesso a determinate informazioni. Il risultato di questa analisi non resta fine a sé stesso: diventa la base su cui si scrivono i protocolli 231, si definiscono i poteri di firma, si stabiliscono i controlli incrociati e si costruisce il sistema disciplinare. Senza una mappatura accurata dei rischi, un modello organizzativo rischia di restare un documento generico, poco aderente alla realtà dell’azienda e quindi debole proprio nel momento in cui dovrebbe dimostrare la sua efficacia, cioè in caso di controllo o di contestazione.

Come si mappa il rischio reato: le fasi del processo

Il lavoro di risk assessment segue solitamente un percorso strutturato in più fasi, che parte dalla conoscenza reale dell’organizzazione. Si comincia con l’analisi della struttura aziendale, dell’organigramma e dei processi decisionali, per capire chi ha potere di rappresentanza, chi gestisce le risorse e chi interagisce con soggetti esterni come pubblica amministrazione, fornitori o partner commerciali. Questa fase preliminare, spesso sottovalutata, è in realtà quella che determina la qualità di tutto il lavoro successivo: senza una fotografia realistica dell’organizzazione, anche la fase di analisi più approfondita rischia di partire da presupposti sbagliati. A questa fase segue il momento più operativo: interviste e incontri con i responsabili delle diverse aree, dall’amministrazione agli acquisti, dalla produzione alla sicurezza sul lavoro. È qui che emergono le cosiddette attività sensibili, cioè quei processi in cui, per la loro natura, il rischio reato è più concreto. Ogni attività sensibile viene poi incrociata con i reati presupposto potenzialmente collegati e valutata secondo due parametri: la probabilità che l’evento si verifichi e l’impatto che avrebbe sull’azienda. Non è raro che, proprio in questa fase, emergano prassi consolidate da anni che nessuno aveva mai messo in discussione, semplicemente perché non erano mai state osservate con la lente della normativa 231. Il prodotto finale è una matrice del rischio, uno strumento visivo e sintetico che permette al management e all’organismo di vigilanza di capire a colpo d’occhio dove intervenire con priorità. Non è un documento statico: va aggiornato ogni volta che cambiano i processi aziendali, la normativa o l’organizzazione interna, ad esempio in seguito a una riorganizzazione interna, all’apertura di una nuova sede o all’ingresso in un nuovo mercato.

Reati presupposto e aree sensibili: cosa osservare in ogni settore

Le aree da presidiare non sono uguali per tutte le aziende. Un’impresa che lavora molto con la pubblica amministrazione dovrà concentrarsi soprattutto su corruzione e concussione, gestione delle gare e dei rapporti con enti pubblici. Un’azienda manifatturiera avrà invece un peso maggiore su sicurezza sul lavoro e reati ambientali, mentre chi gestisce grandi flussi di dati dovrà valutare con attenzione i rischi legati ai reati informatici. Ci sono poi aree trasversali, presenti quasi ovunque: la gestione amministrativa e finanziaria, dove si annidano i rischi di reati societari e di riciclaggio, e la gestione delle segnalazioni interne, oggi centrale anche per effetto della normativa sul whistleblowing. Una compliance aziendale costruita bene tiene conto di tutte queste dimensioni, senza limitarsi a copiare un modello standard preso da un altro settore, e restituisce una mappa dei rischi realmente rappresentativa del modo in cui l’azienda opera ogni giorno.

Chi si occupa del risk assessment e con quali strumenti

Il risk assessment richiede competenze diverse messe a sistema: conoscenza della normativa 231, ma anche comprensione concreta dei processi aziendali, capacità di condurre interviste efficaci e di tradurre informazioni qualitative in una valutazione strutturata. Per questo motivo dovrebbe sempre essere condotto insieme a un consulente esterno, che porta un punto di vista indipendente e un metodo collaudato, mentre il personale interno garantisce la conoscenza reale dell’organizzazione. Il confronto tra questi due punti di vista è spesso ciò che fa emergere le criticità più difficili da individuare dall’interno, perché diventate ormai abitudine. Accanto ai colloqui diretti con i responsabili di funzione, capita spesso di ricorrere a questionari strutturati, all’analisi della documentazione già in uso in azienda, come procedure, deleghe e poteri di firma, e al confronto con eventuali episodi critici già verificatisi in passato, anche solo sfiorati. Incrociare fonti diverse riduce il rischio di basare la valutazione su una sola prospettiva, spesso parziale, e restituisce un quadro più affidabile su cui costruire il resto del modello organizzativo. Una volta completata la mappatura, il testimone passa idealmente all’organismo di vigilanza, che utilizzerà la matrice del rischio come riferimento costante per pianificare i controlli e verificare nel tempo che i protocolli adottati siano effettivamente rispettati.

Un percorso su misura per ogni azienda

Non esiste un risk assessment valido per tutte le aziende, così come non esiste un modello 231 replicabile senza adattamenti. Le dimensioni dell’impresa, il settore, i rapporti con l’esterno e persino la storia dell’azienda incidono su quali rischi vadano presidiati con più attenzione. Un approccio davvero utile è quello che entra nel merito dei processi reali, senza accontentarsi di un questionario standard compilato in poche ore. Due aziende dello stesso settore, con lo stesso numero di dipendenti, possono avere mappe del rischio molto diverse tra loro, semplicemente perché organizzano il lavoro in modo diverso o hanno rapporti diversi con l’esterno. È questo il tipo di lavoro che Michelle Consulting porta avanti con le aziende che si affidano al suo supporto: un percorso di analisi costruito sulle caratteristiche specifiche di ciascuna realtà, con un approccio boutique che punta alla qualità del rapporto più che alla standardizzazione del servizio. Se stai valutando di avviare o aggiornare il risk assessment della tua azienda, una consulenza personalizzata è il modo più concreto per capire da dove partire e quali priorità affrontare per prime.