La creazione di un Organismo di Vigilanza rappresenta, nel sistema del decreto 231, una delle condizioni affinché l’impresa possa essere giudicata esente da responsabilità per i reati eventualmente posti in essere, nel suo interesse o vantaggio, dai vertici aziendali o dai soggetti ad essi sottoposti. L’OdV è, infatti, l’organismo al quale spetta il compito di vigilare sul funzionamento e l’osservanza del Modello di Organizzazione dell’impresa, nonché quello di curarne l’aggiornamento e che, secondo la legge, dovrebbe essere «dotato di autonomi poteri di iniziativa e controllo» [art. 6, comma 1, lett. b), d.lgs. n. 231/2001].

Da sempre la giurisprudenza ha chiarito che, perché l’OdV possa adeguatamente ed efficacemente adempiere ai propri compiti, è necessario che ne sia garantita l’autonomia, l’indipendenza e la professionalità (Tribunale di Milano, ord. 20 settembre 2004).

  1. L’organismo di vigilanza nella giurisprudenza: compiti e composizione

    L’analisi della giurisprudenza in materia 231 mostra un’evoluzione sul tema della responsabilità dell’Organismo di Vigilanza: nei primi anni di applicazione della legge i giudici si soffermavano soprattutto sui compiti e funzioni, specificando e riempiendo di contenuto le laconiche formule di legge; oggi i giudici intervengono per valutarne l’operato ed evidenziare le criticità.

    Va però rilevato come pochissimi giudizi abbiano avuto come oggetto principale l’idoneità dei modelli organizzativi (v. voce MODELLI ORGANIZZATIVI) e solo incidentalmente si è guardato al ruolo in concreto svolto dall’OdV, per cui permangono le incertezze sulla natura della figura e sui rapporti con gli altri attori dei controlli interni.

    Il dibattito sul punto è tutt’ora acceso, specie a seguito degli interventi normativi recenti che hanno previsto la facoltà di attribuire le funzioni di OdV al Collegio sindacale, su cui ci si soffermerà oltre.

    Nelle prime pronunce si sottolineava in particolare che l’OdV non dovesse avere funzioni operative e che la composizione, in caso di Odv pluricollegiale, dovesse essere mista. Circa la composizione dell’OdV, il Tribunale di Roma (ord. 4 aprile 2003) auspicava, sin dall’entrata in vigore, che i membri di tale organo non appartenessero agli organi sociali ritenendo che, al fine di garantire efficienza e funzionalità all’organismo di controllo esso non dovrebbe avere compiti operativi che, facendolo partecipe di decisioni dell’attività dell’ente, potrebbero pregiudicare la serenità di giudizio al momento delle verifiche.

    Quanto ai compiti ad esso affidati vale pena di richiamare l’ordinanza del Tribunale di Napoli del 26 giugno 2007, che ha riempito di concreto contenuto la generica formulazione secondo la quale: «l’OdV accede a tutte le informazioni concernenti le attività a rischio di reato; chiede informazioni o esibizioni di documenti in merito alle attività a rischio di reato a tutto il personale dipendente della società e laddove necessario agli amministratori, al collegio sindacale e alla società di revisione; riceve periodicamente informazioni dai responsabili di funzioni interessate dalle aree a rischio; chiede informazioni agli organismi di vigilanza delle società appartenenti al gruppo; propone l’adozione delle sanzioni disciplinari; coordina la definizione dei programmi di formazione del personale; sottopone il modello a verifica periodica e ne propone l’aggiornamento quando siano intervenute violazioni o elusioni delle prescrizioni ovvero quando siano intervenuti mutamenti significativi nel quadro normativo, nell’organizzazione o nell’attività della società; redige semestralmente una relazione al consiglio di amministrazione e al collegio sindacale sulla attività svolta; informa il presidente del CdA di circostanze e fatti significativi emersi nel corso della propria attività».

    La giurisprudenza recente, a differenza di prima, si sofferma maggiormente sulle inefficienze di questo organismo e, anche per questo, non consente l’esonero di responsabilità.

    Particolarmente importante a questo riguardo è la giurisprudenza degli ultimi due anni e, in particolare, la recentissima sentenza Impregilo, che ha cassato con rinvio l’unico precedente in cui l’ente era stato assolto per adeguatezza del modello organizzativo.

    L’attività di controllo esercitata dall’OdV, si afferma, non deve essere «cartolare» e non deve ridursi ad un mero «simulacro» (Cass. Pen. Sez. V, 30 gennaio 2014, n. 4677). Essa, piuttosto, deve consistere in «alta vigilanza» sulla correttezza della complessiva gestione del rischio (Cass. Pen. Sez. IV, 19 marzo 2012, n. 10702).

    Oggi, il punto critico messo in evidenza con forza dalla giurisprudenza è l’autonomia dell’Organismo rispetto all’organo dirigente e, spesso, questo profilo si lega a un problema di composizione dell’Organismo e di individuazione dell’organo deputato al conferimento dell’incarico.

    La Cassazione contesta l’operato dell’OdV perché negligente e attribuisce questa negligenza al fatto che l’OdV non fosse indipendente dal CdA. Si chiarisce che l’art. 6, comma 2, prevede obblighi di informazione nei confronti dell’organo di vigilanza evidentemente per consentire l’esercizio «autonomo» del potere (di vigilanza), nonché un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure indicate nel modello (ovviamente per rendere «credibile» il potere di controllo) (Cass. Pen., Sez. V, 2 ottobre 2009, n. 47171).

    Viene particolarmente in rilevo la configurazione dell’OdV che, nel caso specifico, era monocratico, posto alle dirette dipendenze del Presidente e svolto da un membro dell’Internal Audit. In più occasioni la giurisprudenza ha sottolineato che la maggiore criticità deriva in concreto dal fatto che spesso l’OdV è alle dipendenze degli apicali: «perché iniziativa e, principalmente, controllo, siano effettivi e non meramente ‘cartolari’, si deve presupporre la non subordinazione del controllante al controllato» (Cass. Pen. Sez. V, 30 gennaio 2014, n. 4677).

    Altra giurisprudenza importante specifica: «il motivo per cui si è ritenuto che il Modello organizzativo e l’OdV non fossero mai stati efficacemente attuati non deriva da eventuali deficit dell’esercizio dell’onere probatorio che la legge affida all’ente, quanto piuttosto dall’attività istruttoria condotta dal P.M. il quale ha fatto emergere di propria iniziativa la circostanza che un componente dell’OdV fosse un dirigente incaricato di organizzare un’articolazione operativa dell’azienda, con la conseguenza di dimostrare la non autonomia dell’organo di controllo» (Corte di Assise d’Appello di Torino, sent. 28 febbraio 2013; Cass. Pen., Sez. Un., 18 settembre 2014, n. 38343). Dunque anche qui il difetto di indipendenza dipende dalla composizione dell’OdV.

    In maniera molto significativa (Thyssenkrupp) si afferma: «ancora una volta nel caso in esame la Corte ha condiviso le valutazioni precedentemente operate in ordine al difetto del requisito di autonomia in capo a uno dei componenti dell’Organismo di Vigilanza il quale, investito altresì dell’incarico di responsabile dell’area ecologica, ambiente e sicurezza, compreso il settore della manutenzione degli impianti e di organizzazione del servizio di emergenza (due settori sui quali l’Organismo di Vigilanza era ed è chiamato a svolgere le sue funzioni), si è trovato a rivestire contemporaneamente il ruolo di controllore e controllato» (Cass. Pen., Sez. Un., 18 settembre 2014, n. 38343). L’accettazione di tale conflitto di interessi ha fondato nei giudici di merito e della Suprema Corte il convincimento della predisposizione da parte dell’ente di un modello dell’organo di controllo in termini burocratici e di facciata e non di effettiva prevenzione dei reati.

    Dall’errata composizione dell’OdV, la Cassazione fa conseguire la mancata efficace attuazione del modello organizzativo previsto dalla lettera a) della stessa norma, con conseguente impossibilità di escludere la responsabilità dell’ente (v. voce MODELLI ORGANIZZATIVI).

    Qualche anticipazione in questo senso si trova anche in Trib. Roma, ord. 4 aprile 2003, in cui si era ritenuto privo di indipendenza un ingegnere responsabile del sistema ISO 9002 e in Trib. Napoli, sent. 26 giugno 2007, in cui si nega l’indipendenza a un membro dell’OdV che era nel CdA di una società del gruppo.

    Si segnala peraltro che Confindustria, nelle Linee Guida del 2014, chiarisce che i compiti dell’OdV esigono che il soggetto vigilato sia distinto dal componente dell’OdV e che i componenti non dovrebbero svolgere, nell’ambito dell’ente o di soggetti da questi controllati o che lo controllano, funzioni operative.

    Di recente, poi, è intervenuta un’importante decisione della Suprema Corte che ha provveduto – a quanto consta, per la prima volta – a delineare, in parte, i confini della responsabilità dell’OdV (Cass. Pen., Sez. I, 2 maggio 2016, n. 18168). In particolare, il caso di specie scaturiva dalle lesioni personali occorse a un operaio durante le fasi di lavoro in un cantiere navale. A seguito delle lesioni, l’accusa chiedeva l’imputazione, oltre che dei membri del CdA, anche dei componenti dell’OdV per omessa vigilanza e omessa informazione, in favore dei primi, delle circostanze pregiudizievoli presenti nello stesso cantiere (nel caso di specie, assenza di apparecchi di sicurezza per gli operai). Essendo questi i fatti di causa, la Cassazione ha statuito come i compiti di tale organismo non si dilatino fino a decidere se nell’ambito di mere operazioni tecniche compiute dai dipendenti (si trattava, in tal caso, delle modalità di carico di una nave) si debba utilizzare una specifica modalità di lavoro o meno, in quanto non è una funzione a questo spettante quella di «verificare le concrete modalità operative, sotto il profilo organizzativo, attraverso le quali il lavoro viene svolto». Detti compiti di vigilanza specifica – tiene a sottolineare la Corte – esulano pertanto da quelli assegnati dalla legge all’OdV, essendo da attribuire, invece, ai singoli responsabili delle specifiche unità organizzative e/o produttive.

  2. L’OdV nel sistema dei controlli societari

    La complessità dei problemi enunciati deriva: (i) da un difetto di impianto del decreto 231, probabilmente frutto di scelta comprensibile del legislatore che ha voluto garantire alle società la massima libertà nella compliance alla legge sia per la sua natura teoricamente non obbligatoria, sia per la difficoltà di prevedere soluzioni univoche per tutti i soggetti ad essa sottoposti; (ii) dall’evoluzione normativa del sistema dei controlli societari che non ha mai operato un raccordo con la normativa 231.

    Su entrambi gli aspetti vale la pena di soffermarsi. Quanto al primo, si ricorda che il d.lgs. n. 231/2001 prevede l’introduzione di Modelli Organizzativi e la nomina di un Organismo di Vigilanza come un onere per l’impresa, in considerazione della logica premiale che caratterizza il decreto, secondo la quale l’ente può andare esente da responsabilità se il reato è stato commesso da un apicale e un dipendente nell’interesse o a vantaggio dell’ente, ma la società dimostri che le persone hanno commesso il reato eludendo il modello organizzativo e che non vi è stata omessa o insufficiente vigilanza da parte dell’OdV. Nell’esperienza della giurisprudenza è evidente che la compliance alla 231 è ritenuta essenziale da parte dei giudici, al punto che è certamente avvertita dalle società come obbligatoria. L’assenza di indici chiari e univoci sulla composizione dell’OdV (la legge si limita a consentire che negli enti di piccola dimensione il ruolo di OdV possa essere affidato all’organo dirigente) è all’origine di scelte estremamente eterogenee da parte delle imprese. La tendenza prevalente, tuttavia, è stata quella di adottare un organismo collegiale, con composizione mista di soggetti interni e esterni all’impresa, tra i quali si registra frequentemente la presenza dell’internal audit e di un membro del collegio sindacale (v. ASSONIME, «Indagine conoscitiva sull’attuazione del d.lgs. n. 231/2001», Roma, 2008).

    Quanto all’assenza di raccordo con le altre figure deputate alla vigilanza e al controllo sull’attività di impresa, si ricorda in primo luogo che il d.lgs. n. 231/2001 precede sia la Riforma del diritto societario (2003) sia la Legge Risparmio (2005) e dunque anticipa l’idea della centralità dell’organizzazione di impresa come strumento di governance.

    Solo con la riforma del diritto societario penetra infatti l’idea che l’adeguatezza degli assetti organizzativi è il parametro di corretta gestione e il principale criterio di responsabilità per l’attività d’impresa. Amministrazione e controllo sono aspetti di un unico sistema deputato al monitoraggio e alla gestione dei rischi d’impresa, adeguatamente ripartiti tra organi delegati, consiglio di amministrazione e collegio sindacale. L’organizzazione di queste funzioni compete all’organo di governo, mentre all’Organo di Vigilanza compete di vigilare sul fatto che esse siano state efficacemente costituite e siano operative. La centralità degli assetti organizzativi valorizza anche le figure di controllo interno (internal audit, compliance, risk management, responsabile sicurezza lavoro): si occupano della gestione dei rischi d’impresa, ad esempio, l’amministratore delegato, il Comitato di controllo interno, il Responsabile Internal Audit; il Responsabile privacy, il responsabile sicurezza, l’OdV.

    Il risultato cui si è pervenuti per questa via di riforme è che il nuovo diritto societario se, da un lato, si connota per una migliore definizione e ripartizione delle competenze tra organi di gestione e di controllo rispetto al passato (con il vantaggio di una più chiara fisionomia delle società e dei modelli di amministrazione e controllo); dall’altro lato registra la presenza di un numero eccessivo di controllori che aiutano, in teoria, a garantire il rispetto delle regole e la corretta amministrazione ma che appesantiscono la struttura e impongono costi elevati, con la conseguenza che si è venuto a creare un reticolo di controlli, oneroso e talvolta a rischio di inefficienze.

    Nel contesto così ricostruito, ASSONIME aveva segnalato da tempo l’anomalia che in tale sistema sembrava essere rappresentata dall’OdV, come disciplinato dal decreto 231. Si è infatti osservato che in un’ottica di razionalizzazione dell’assetto dei controlli, l’Organismo di Vigilanza stenta a trovare una ragione di sopravvivenza. L’attività di controllo dell’OdV ha infatti punti di contiguità sia con il compito dell’organo di gestione (nel suo plenum) di valutare l’adeguatezza degli assetti interni (predisposti dagli organi delegati), sia con il dovere dell’organo di controllo di vigilare sull’adeguatezza degli assetti stessi, sia con la funzione di Internal Audit, in punto di controllo sulla conformità delle operazioni con le procedure interne. Rispetto a tali organi e funzioni però – proprio in ragione della sua estraneità all’ente – l’OdV continua a rimanere privo di poteri specifici e di correlate responsabilità.

    Il riparto di competenze tra organo amministrativo e organo di controllo, come delineato nel codice civile, comporta che il Collegio sindacale è tenuto ad una vigilanza sull’attività d’impresa che si traduce in vigilanza sui processi con finalità di prevenzione e, dunque, che il Collegio Sindacale è per legge responsabile della vigilanza sull’adeguatezza degli assetti organizzativi.

    Se la funzione di Organismo di Vigilanza è esercitata dal Collegio sindacale l’enforcement è maggiore: gli strumenti per esercitare la funzione sono tutti già previsti dalle norme sul collegio sindacale e la sua autonomia e indipendenza è garantita dalla nomina assembleare.

    La legge di stabilità del 2012 (art. 14, comma 12, legge n. 183/2011), modificando l’art. 6 del d.lgs. n. 231/2001, ha introdotto per le società la facoltà di attribuire perciò al Collegio Sindacale (al sindaco unico, agli organi di controllo dei sistemi alternativi) le funzioni dell’Organismo di Vigilanza.

    Nell’ambito della sua più ampia attività di vigilanza l’organo di controllo può essere ora chiamato a svolgere anche la più specifica funzione di vigilanza sull’adeguatezza del Modello Organizzativo 231.

    Anche la nuova versione del Codice di Autodisciplina attribuisce agli emittenti la possibilità di valutare l’opportunità di attribuire le funzioni di OdV al Collegio Sindacale. Nella stessa direzione, e in modo più incisivo, si pongono le recenti disposizioni di Banca d’Italia in materia di sistema dei controlli interni, sistema informativo e continuità operativa, adottate nel mese di luglio 2013.

    Gli enti, tuttavia, possono continuare ad attribuire le funzioni dell’OdV a un organismo appositamente istituito, laddove esso appaia essere più idoneo alle caratteristiche dell’impresa e alle tipologie dei rischi di reato in cui la stessa incorre.

    Accanto alla soluzione già ammessa dalla legge di attribuire le funzioni di OdV al collegio sindacale, per superare definitivamente tutte le criticità connesse al ruolo e alle responsabilità di tale organismo sarebbe utile un ripensamento della disciplina, volto a prevedere che il giudizio di responsabilità dell’ente possa essere svolto dal giudice tenendo conto non tanto, o comunque non solo, dell’adeguatezza dei modelli organizzativi adottati, quanto soprattutto del sistema dei controlli interni valutati nella loro complessità (sul punto v. ASSONIME, Le politiche di contrasto alla corruzione: otto linee d’azione, Note e Studi, n. 3 del 2015).