Compliance integrata: strumenti e opportunità. I casi risolti a Master Telefisco

I provvedimenti di amministrazione giudiziaria ex art. 34 del Codice antimafia che hanno colpito noti marchi hanno mostrato l'inefficacia di Modelli 231 affidati a soli codici etici e ad audit documentali formali. Come deve essere ridisegnata la procedura di qualifica e due diligence dei fornitori nella Parte speciale del Modello, così da ridurre la rimproverabilità dell'ente committente?

L'acquisizione puramente cartolare di DURC, visure o autocertificazioni non è idonea a escludere la colpa di organizzazione ove l'ente ometta di verificare la reale capacità imprenditoriale del fornitore. La procedura deve quindi prevedere un'istruttoria tecnica ed economico-finanziaria, articolata nei passaggi seguenti:

La separazione dei ruoli è principio cardine del sistema dei controlli interni. In che modo il Modello deve procedimentalizzare la segregazione delle mansioni e l'impiego del mansionario reale nell’acquisto di beni e servizi?

Ove la configurazione dei sistemi informativi lo consenta, la segregazione dovrebbe essere tradotta in profili autorizzativi, workflow e blocchi coerenti con deleghe e limiti di spesa; nelle realtà meno strutturate, devono essere previsti controlli compensativi, autorizzazioni indipendenti e verifiche successive documentate.

L'organizzazione dei processi di acquisto può strutturarsi sulla seguente tripartizione funzionale:

Il gestionale deve inoltre imporre il triplo riscontro prima di ogni pagamento, ovvero la verifica di corrispondenza tra

Il "triplo riscontro" appena richiamato, ovviamente, va adattato al tipo di acquisto, sicché

Per gli affidamenti d'urgenza o in deroga alle previste procedure, il Modello dovrebbe inoltre prevedere una motivazione scritta obbligatoria del richiedente, con le ragioni tecniche dell'eccezione. Le deroghe dovrebbero quindi essere registrate in un apposito tracciato e oggetto di flusso periodico verso l'OdV, con comunicazione a evento limitata alle anomalie rilevanti per importo, ripetitività, controparte, assenza di adeguata giustificazione o indicatori di rischio.

A seguito dell'introduzione di sistemi di IA, fin dove può spingersi la vigilanza dell’OdV senza trasformarsi in un controllo tecnico o gestionale sugli output algoritmici, e quali competenze e flussi informativi sono richiesti?

L'introduzione dell'IA non modifica il perimetro di fondo della funzione OdV: ai sensi dell'art. 6, comma 1, lett. b), D.Lgs. 231/2001, esso vigila sul funzionamento e sull'osservanza del Modello e ne cura l'aggiornamento.

L'Organismo non deve, in particolare, trasformarsi in un certificatore tecnico dei sistemi, né assumere decisioni gestionali sull'adozione dello strumento o sull'approvazione dei singoli output: la sua verifica attiene all'adeguatezza e all'effettività dell'assetto organizzativo che governa l'impiego dell'IA, non alla tecnologia in sé.

L'OdV, pertanto, dovrebbe verificare che l'ente abbia censito i casi d'uso dell'IA, li abbia ricondotti ai processi sensibili e alle aree 231, abbia previsto protocolli proporzionati e riceva flussi informativi sufficienti; segnala carenze, sollecita aggiornamenti e documenta la propria attività, senza sostituirsi alle funzioni operative.

Non è quindi necessario che l'Organismo sia composto da tecnici dell'IA, ma occorre che disponga (al proprio interno o mediante consulenze) delle competenze minime per comprendere i casi d'uso, leggere i flussi, valutarne la sufficienza documentale e dialogare con IT, legal, compliance, risk management, DPO e internal audit.

Con riferimento, invece, ai necessari flussi informativi, andrebbero assicurati almeno:

Per i sistemi ad alto rischio, l'OdV dovrebbe ricevere flussi periodici con frequenza coerente con il livello di rischio e comunque adeguata a intercettare tempestivamente anomalie, modifiche significative e incidenti; gli eventi rilevanti devono essere oggetto di flusso a evento.

Alla luce di tutto quanto sopra esposto, l'OdV deve poter esaminare, su processi selezionati, ad esempio, se una comunicazione sociale predisposta con supporto generativo sia stata sottoposta a revisione qualificata, e se ne sono conservate versioni intermedie con le approvazioni.

Nell'aggiornamento del Modello come va gestito e neutralizzato lo shadow AI?

Lo shadow AI (ovvero l'impiego non autorizzato e non censito di strumenti di IA da parte del personale, come il caricamento di dati industriali riservati su modelli linguistici commerciali privi di licenza enterprise, per analisi o redazione di bozze/sintesi) rappresenta un indicatore di rischio che richiede una verifica dell'adeguatezza e dell'effettiva attuazione dei presidi organizzativi, procedurali, formativi e tecnologici. Esso può concorrere a evidenziare una carenza organizzativa, soprattutto quando sia diffuso, tollerato, prevedibile o non intercettato nonostante segnali di anomalia.

Per dimostrare l'effettività del Modello rispetto ai rischi-reato connessi all'IA (ad oggi: reati societari e manipolazione del mercato), è possibile seguire una sequenza conforme allo standard UNI CEI ISO/IEC 42001:2024 e ai profili professionali di cui alla UNI 11621-8:2026, ovvero:

Con l'art. 25-octies.2 del D.Lgs. 231/2001, le sanzioni colpiscono chi viola o elude le misure restrittive dell'Unione europea, fino a parametrare la sanzione sul fatturato globale annuo dell'ente. Come si progetta un sistema di prevenzione integrato lungo la supply chain internazionale?

La riforma impone anzitutto di evitare una lettura meramente "doganale" o limitata all'export. I reati richiamati dall'art. 25-octies.2 possono riguardare l'offerta o il trasferimento di beni, servizi e risorse economiche a soggetti designati, l'omesso congelamento, l'elusione delle misure, le violazioni delle autorizzazioni e gli obblighi informativi; il rischio può quindi attraversare vendite, acquisti, pagamenti, servizi, software e rapporti con controparti italiane o estere.

Il primo intervento è un risk assessment specifico, integrato nella mappatura 231, che identifichi processi esposti, unità organizzative coinvolte, categorie di controparti, paesi, beni, servizi, canali commerciali, intermediari, pagatori e beneficiari finali, nonché presidi già esistenti e relative lacune.

Su questa base, l'ente dovrebbe:

La verifica della controparte deve essere condotta secondo un approccio basato sul rischio ed estendersi ai titolari effettivi, ai soggetti controllanti, agli intermediari, ai pagatori, ai beneficiari e ai destinatari finali. Tale attività deve essere effettuata sia nella fase di instaurazione del rapporto sia durante il suo svolgimento, assicurando il tempestivo aggiornamento delle verifiche in presenza di modifiche delle liste di riferimento, variazioni degli assetti proprietari o della destinazione, nonché al ricorrere di ulteriori elementi o indicatori di anomalia.

Nei rapporti a rischio, la procedura deve prevedere la verifica dell'end-user e dell'end-use (utilizzatore finale e destinazione d'uso), della coerenza tra attività del cliente, natura del bene o servizio, paese di stabilimento, destinazione e utilizzazione finale. Particolare attenzione va dedicata ai trasferimenti intangibili, come software, know-how, assistenza tecnica e servizi digitali, nonché alle triangolazioni e ai pagamenti effettuati da o a soggetti diversi dalla controparte validata.

Un indicatore di anomalia (ovvero una c.d. "red flag") deve attivare sospensione tecnica dell'operazione, istruttoria documentata, verifica dell'eventuale disciplina autorizzatoria e decisione della funzione munita dei poteri necessari.

I contratti devono essere integrati con clausole di compliance sanzionatoria: dichiarazioni su status della controparte e UBO (Ultimate Beneficial Owner, ovvero titolare effettivo), obblighi di aggiornamento, divieti di riesportazione, subfornitura o trasferimento in violazione di misure UE, cooperazione documentale, audit proporzionati e rimedi contrattuali graduati. Le clausole non sostituiscono i controlli interni, ma rafforzano la dimostrabilità della due diligence e disciplinano la gestione del rapporto quando emergano impedimenti o anomalie.

Il Modello deve essere aggiornato nella Parte generale e, secondo la sua struttura, nella Parte speciale o nella mappatura dei processi sensibili; vanno inoltre adeguati formazione, sistema disciplinare, procedura whistleblowing e flussi informativi.

L'OdV, come previsto, non interviene direttamente nella gestione delle attività di verifica, blocco o autorizzazione delle operazioni, ma svolge un'attività di vigilanza sull'adeguatezza e sull'effettiva attuazione dei presidi adottati. A tal fine, esamina i flussi informativi relativi, tra l'altro, alle anomalie riscontrate, alle operazioni sospese, alle eventuali eccezioni, agli esiti delle attività di audit e alle conseguenti azioni correttive, riferendo agli organi sociali competenti in merito alle criticità di maggiore rilievo emerse nello svolgimento della propria attività.