Compliance aziendale e modello 231: la prova che l’impresa si è organizzata

La compliance aziendale esiste per fare in modo che per ogni obbligo ci sia qualcuno che ne risponde, qualcosa che lo controlla e una prova che resta. Per questo ogni elemento della guida è accompagnato dal suo perché: a cosa serve, che cosa succede se manca, a chi tocca.

Eppure chi ne cerca la definizione trova quasi sempre solo un elenco di leggi. Niente di più lontano dalla sua reale utilità. La compliance aziendale è prima di tutto un fattore chiave della governance aziendale: e questo perché una norma rispettata solo sulla carta non protegge nessuno.

Scopriamo insieme perché.

Cos’è la compliance aziendale: significato e definizione

Se cerchiamo un significato di compliance aziendale dobbiamo allora parlare della capacità di un’impresa di operare nel rispetto delle norme che la riguardano; siano esse leggi, regolamenti o regole che si è data da sola (come il codice etico, di cui abbiamo parlato in questo articolo). Una definizione completa dovrebbe aggiunge anche le parole “verificabile” e “continua”, e questo perché essere in regola un giorno non basta. Serve poter mostrare, a un’autorità o a un socio, che le regole sono applicate e controllate nel tempo.

La ragione si capisce guardando chi paga quando la conformità manca. Le sanzioni colpiscono l’impresa, ma le conseguenze più pesanti ricadono spesso su chi ha deciso o sorvegliato: amministratori, dirigenti, in alcuni casi i singoli collaboratori. La compliance aziendale è il modo in cui un’organizzazione sposta la questione dalla colpa individuale al sistema: se le regole esistono, sono comprensibili e vengono controllate, un errore resta un incidente; se non esistono, diventa una responsabilità di governo.

La traduzione del termine compliance

La traduzione di compliance in italiano è conformità, dal verbo inglese to comply, cioè adeguarsi. Il termine inglese si è imposto perché la traduzione letterale suggerisce una semplice obbedienza alla legge, mentre la compliance comprende anche la prevenzione: individuare prima quali norme toccano l’impresa e dove possono essere violate. Una vera e propria differenza di metodo. Dopotutto, l’obbedienza si verifica dopo, mentre la compliance si costruisce prima.

Perché la compliance aziendale riguarda chi governa l’impresa

Compliance aziendale e governance sono concetti collegati.

Nel diritto italiano chi gestisce un’impresa in forma societaria ha il dovere di istituire un assetto organizzativo, amministrativo e contabile adeguato alla natura e alle dimensioni dell’impresa (articolo 2086 del codice civile, secondo comma, introdotto dal D.Lgs. 14/2019). La compliance aziendale è una parte di quell’assetto: è la funzione che dice se l’organizzazione è capace di rispettare ciò che le è richiesto.

Il principio vale anche per i dati personali, che sono il caso più noto di compliance aziendale. Il GDPR prevede che il titolare del trattamento sia responsabile del rispetto dei principi e debba essere in grado di comprovarlo (Regolamento UE 2016/679, articolo 5, paragrafo 2). Non basta dire di essere conformi: bisogna poterlo dimostrare. Questa logica, la prova dell’avvenuta conformità, è la stessa che regge tutta la compliance aziendale e spiega perché la documentazione non è burocrazia ma la difesa principale che l’impresa ha davanti a un controllo.

Ne deriva una conseguenza pratica, per chi decide. Per garantire una buona compliance aziendale, il Consiglio di Amministrazione deve conoscere almeno tre cose: (i) quali obblighi sono presidiati, (ii) chi risponde di ciascuno e (iii) quali segnali devono arrivare fino a lui. Se non lo sa, la compliance aziendale esiste solo nei documenti, e quella che esiste solo nei documenti non regge a un controllo.

Normativa aziendale: quali norme rientrano nella compliance

La normativa aziendale che un’impresa deve rispettare dipende da settore, dimensione e mercati, e si distingue in due famiglie. La prima è obbligatoria: leggi e regolamenti che valgono per tutte o per categorie di imprese. La seconda è volontaria: codici, politiche interne, standard e certificazioni che l’impresa sceglie di adottare e che, una volta adottati, diventano impegni da rispettare.

Tra le aree più ricorrenti:

• Responsabilità amministrativa degli enti per i reati commessi da chi lavora per l’impresa (D.Lgs. 231/2001).
• Protezione dei dati personali (GDPR e normativa nazionale).
• Salute e sicurezza sul lavoro.
• Anticorruzione e rapporti con la pubblica amministrazione.
• Segnalazione degli illeciti, il cosiddetto whistleblowing (D.Lgs. 24/2023).
• Norme di settore, come quelle bancarie, assicurative, sanitarie o ambientali.

Come si mette in ordine la compliance aziendale su tutte queste aree? Con un registro degli obblighi: l’elenco delle norme che riguardano l’impresa, ciascuna con un responsabile e una data di verifica. Senza questo elenco la compliance aziendale si riduce alla reazione all’ultima novità normativa. Con un registro invece si vede dove l’impresa è scoperta, cioè dove un obbligo non ha nessuno che lo presidia.

Esiste anche uno standard internazionale che dà una struttura a questo lavoro: la ISO 37301, pubblicata nell’aprile 2021, che fissa i requisiti di un sistema di gestione della compliance, è applicabile a organizzazioni di qualunque tipo e ha sostituito la precedente linea guida ISO 19600 (ISO, comitato tecnico TC 309). Il suo valore non sta nel numero della norma, ma nell’idea che la compliance aziendale sia un sistema da gestire, con obiettivi, ruoli e miglioramento continuo, e non un adempimento da chiudere una volta.

Compliance aziendale e modello 231: la prova che l’impresa si è organizzata

Compliance 231 indica il punto in cui la conformità incontra la responsabilità penale dell’impresa. Il D.Lgs. 231/2001 prevede che un ente risponda dei reati commessi nel suo interesse o a suo vantaggio da amministratori, dirigenti e dipendenti. Il decreto offre però una via d’uscita: l’ente non risponde se dimostra di aver adottato e attuato, prima del fatto, un modello di organizzazione e controllo idoneo a prevenire reati di quel tipo, e di aver affidato la vigilanza a un organismo dotato di autonomia.

La ragione di questa architettura è la stessa della compliance aziendale: il legislatore non chiede all’impresa di garantire che nessuno sbagli, chiede di dimostrare che si è organizzata per ridurre il rischio. Il modello 231 è quindi tra le forme più strutturate di compliance aziendale previste dal nostro ordinamento. Spieghiamo come si costruisce, cosa contiene e quando è davvero efficace nella nostra guida al modello 231. 

Whistleblowing: il canale che alimenta la compliance

Segnalazioni e whistleblowing sono la fonte di informazione che la compliance non può costruire da sola. Il D.Lgs. 24/2023 impone un canale interno di segnalazione, tra gli altri, alle imprese private che hanno avuto nell’ultimo anno una media di almeno cinquanta lavoratori subordinati e a quelle che adottano un modello 231, indipendentemente dal numero di dipendenti (decreto legislativo 24/2023, articolo 2). Il canale deve garantire la riservatezza e può essere gestito da una persona o da un ufficio autonomo e formato, oppure da un soggetto esterno (articolo 4).

I tempi sono precisi: avviso di ricezione entro sette giorni e riscontro entro tre mesi (articolo 5). Le ritorsioni sono vietate e per chi le attua sono previste sanzioni amministrative da 10.000 a 50.000 euro (articoli 17 e 21). Il motivo per cui conta per la compliance aziendale è pratico: chi lavora in azienda vede i problemi prima di qualsiasi audit. Un canale che funziona è un sistema di allerta precoce; un canale che esiste ma di cui nessuno si fida lascia l’impresa all’oscuro di ciò che accade.

Chi si occupa della compliance in azienda: ruoli e responsabilità

Il compliance officer è la figura che organizza e sorveglia la compliance aziendale: individua le norme applicabili, traduce gli obblighi in procedure, monitora il rispetto delle regole, forma le persone e riferisce ai vertici. Non coincide con chi risponde della conformità. La responsabilità, nell’ordine, sta in chi governa, in chi dirige le singole aree e in ciascuna persona per ciò che fa.

Per questo conviene ragionare per livelli di presidio, ciascuno con un compito diverso:

1. Le funzioni operative, le prime a incontrare il rischio, applicano le procedure e ne rispondono nel loro lavoro quotidiano.
2. La funzione di compliance, insieme al risk management, definisce le regole, le verifica e le aggiorna.
3. Una verifica indipendente, come l’internal audit o l’organismo di vigilanza, controlla che i primi due livelli funzionino davvero.

La ragione della separazione è l’indipendenza: chi controlla non può essere lo stesso che opera. Per questo il compliance officer risponde a chi governa e non al responsabile di un’area che deve sorvegliare. Nelle imprese piccole le funzioni si concentrano, ma il principio non cambia: se non c’è una figura dedicata, bisogna almeno evitare che la stessa persona applichi una regola e certifichi di averla rispettata. Chi vuole ricostruire come ruoli e deleghe si collegano all’assetto dell’impresa può partire dalla struttura organizzativa aziendale e dalla matrice RACI (di cui abbiamo parlato in questo approfondimento).

Come si costruisce la compliance aziendale: sei passaggi

Un sistema di compliance aziendale si costruisce partendo dai rischi, non dalle norme. Un’impresa che comincia dall’elenco delle leggi finisce per presidiare tutto allo stesso modo, e quindi niente davvero. Una che parte da dove un errore costerebbe di più decide dove concentrare i controlli. È la stessa logica del risk management, da cui la compliance aziendale eredita il metodo.

L’elenco non ha un ultimo passaggio che chiude il lavoro, perché la compliance aziendale non si chiude. Ogni nuova attività, ogni mercato, ogni fornitore importante cambia il quadro degli obblighi.

Per decidere se il sistema di compliance aziendale è pronto, conviene ragionare per singolo obbligo con questa griglia. Gli esempi che seguono sono illustrativi:

L’ultima colonna è quella che le due guide in testa alla SERP non trattano e che conta di più. Stabilisce quando un problema smette di essere operativo e diventa una decisione per chi governa. Senza questa regola, la compliance produce molte informazioni e nessuna decisione.

Compliance aziendale, risk management e controllo interno

Il sistema di controllo interno è l’insieme di regole, procedure e strutture che serve a mantenere l’impresa sui propri obiettivi; la compliance aziendale ne è uno dei presidi. Si distinguono per la domanda a cui rispondono:

• Compliance aziendale: stiamo rispettando le regole che ci riguardano?
• Risk management: quali eventi possono impedirci di raggiungere gli obiettivi, e quanto rischio siamo disposti ad accettare?
• Internal audit: i controlli che abbiamo funzionano davvero, e lo dice qualcuno che non li gestisce?

La distinzione serve a non sovrapporre i compiti. Quando una stessa funzione svolge le tre attività, nessuno è indipendente da ciò che valuta e i controlli perdono credibilità. Due approfondimenti completano il quadro: il compliance risk management, cioè come si valuta il rischio di non conformità, e i conflitti di interesse, che mettono alla prova l’indipendenza di chi controlla.

Compliance aziendale e lavoro: carriera, formazione e master

Lavorare nella compliance aziendale significa occuparsi di conformità come compliance officer, specialist o analyst, in imprese di ogni settore e negli studi di consulenza. I percorsi di provenienza sono vari: giurisprudenza ed economia sono i più frequenti, ma contano anche ingegneria, scienze politiche e competenze di audit e risk management. Ciò che distingue un buon profilo non è la quantità di norme memorizzate, ma la capacità di tradurle in procedure comprensibili e di spiegarle a chi decide.

Master in compliance: quando serve davvero

Un master in compliance è utile soprattutto a chi parte da un percorso diverso e vuole acquisire metodo e linguaggio della funzione. Prima di sceglierne uno conviene verificare tre cose: se il programma tratta sia la normativa sia l’organizzazione dei controlli, se prevede casi pratici o stage e quanto il titolo sia riconosciuto nel settore a cui si punta. Il titolo non sostituisce l’esperienza: in compliance l’esperienza consiste soprattutto nell’aver visto come i controlli si rompono nella pratica.

Consulenza compliance: quando serve e cosa chiedere

La consulenza sulla compliance aziendale è utile in tre momenti: quando l’impresa non ha ancora una funzione dedicata e deve costruire il sistema, quando cambia la sua esposizione (una nuova attività, un nuovo mercato, un’acquisizione) e quando serve un parere indipendente sul sistema esistente. La legge stessa prevede in alcuni casi il ricorso a soggetti esterni: il canale di segnalazione, per esempio, può essere affidato a un soggetto esterno autonomo e formato (D.Lgs. 24/2023, articolo 4).

Una buona consulenza lascia all’impresa un sistema che sa gestire da sola. Prima di incaricare un consulente di compliance aziendale è utile chiedere chi, dopo il progetto, sarà il responsabile di ogni obbligo, quali prove si avranno per ciascun controllo e come il sistema verrà aggiornato. Se le risposte sono vaghe, il rischio è comprare un manuale che nessuno applicherà. Un sistema copiato da un altro contesto rischia di dare l’impressione di essere protetti senza che lo si sia.

Principali errori nella compliance aziendale

Gli errori nella compliance aziendale nascono quasi sempre da una stessa radice: trattare la conformità come un documento invece che come una responsabilità. I più frequenti:

• Confondere la compliance con la carta: codici e procedure che nessuno ha letto o applicato. Un documento senza controlli non dimostra niente.
• Non assegnare un responsabile per nome, lasciando gli obblighi “all’ufficio”.
• Affidare i controlli a chi opera nell’area controllata.
• Non prevedere quando e come una questione sale al Consiglio di Amministrazione.
• Trascurare la formazione, o farla una volta sola.
• Non aggiornare la compliance aziendale quando cambiano norme, attività o mercati.
• Non ascoltare le segnalazioni: un canale attivo ma ignorato produce il peggiore dei risultati, un’impresa che sapeva e non ha agito.