La certificazione del Modello organizzativo ex Decreto Legislativo 231/2001

19 Novembre 2010

Il recente e noto schema di disegno di legge redatto dall’AREL, fatto proprio dal Ministero della Giustizia, si propone di inserire un nuovo art. 7-bis (Certificazione del modello preventivo) nel d.lg. n. 231 del 2001.

Il presente contributo si soffermerà su questa novità, considerando incidenter tantum l’ipotizzata eliminazione dell’inversione dell’onere della prova oggi sancita dall’art 6 a carico dell’ente (nell’ipotesi di reato del soggetto apicale).

Il nuovo art 7-bis così recita:

1. In caso di regolare certificazione di idoneità del modello preventivo secondo le modalità stabilite nel regolamento previsto al comma 4, è esclusa la responsabilità dell’ente, sempre che il modello concretamente attuato corrisponda al modello certificato e non siano sopravvenute significative violazioni delle prescrizioni che abbiano reso manifesta la lacuna organizzativa causa del reato per cui si procede.

2. La certificazione può anche:

a) riguardare singole procedure;

b) attestare l’idoneità delle procedure in corso per l’impianto dei modelli preventivi dei reati. In tal caso la certificazione, in attesa di quella finale, ha efficacia provvisoria, escludendo la responsabilità dell’ente solo per il tempo necessario all’impianto dei modelli e nei limiti in cui risulti espressione certa della volontà dell’ente medesimo di prevenire il fatto di reato rilevante.

3. Nel caso di modello certificato non si applicano, a titolo di misura cautelare, le sanzioni interdittive di cui all’articolo 9, comma 2, salvo che non ricorrano esigenze cautelari di eccezionale rilevanza.

4. Con regolamento emanato ai sensi dell’articolo 17, comma 3, della legge 23 agosto 1988, n. 400, il Ministro della giustizia definisce i criteri generali per la certificazione di idoneità dei modelli, in particolare determinando il loro contenuto e le modalità di rilascio della certificazione, nonché l’efficacia a questa attribuita e la periodicità del rinnovo, tenendo conto anche dei codici di comportamento redatti dalle associazioni rappresentative degli enti. Il medesimo regolamento individua inoltre i soggetti pubblici o privati che possono rilasciare la certificazione di idoneità, nonché le caratteristiche soggettive e i requisiti patrimoniali, di indipendenza e di professionalità di cui essi devono disporre, prevedendo a tal fine l’istituzione, presso il Ministero della Giustizia, di un elenco dei soggetti abilitati. I soggetti abilitati sono sottoposti, relativamente all’attività di rilascio delle certificazioni, alla vigilanza del Ministero, secondo le modalità definite dal regolamento.

1. L’oggetto della certificazione

Si consideri innanzitutto la terminologia utilizzata.

Lo schema parla precisamente di “certificazione di idoneità” del Modello preventivo.

La certificazione intercetterebbe pertanto – ed esclusivamente - il primo momento valutativo assegnato al giudice, quello relativo all’idoneità e adeguatezza in astratto del Modello a prevenire i reati della specie di quello verificatosi.

Non si parla in alcun modo di certificazione dell’effettiva attuazione, probabilmente per l’intrinseca difficoltà di un simile adempimento.

Di conseguenza il vero limite all’efficacia esimente della certificazione è appunto rappresentato dalla non effettiva attuazione del Modello certificato: rectius, dalla mancanza di corrispondenza del Modello attuato con quello certificato[1].

In ogni caso il principio che si sancisce è meritevole di approfondimento: la certificazione del Modello determina l’esclusione di responsabilità dell’ente.

Il principio non è tuttavia formulato in termini assoluti: sussiste l’esclusione della responsabilità “sempre che il modello concretamente attuato corrisponda al modello certificato e non siano sopravvenute significative violazioni delle prescrizioni che abbiano reso manifesta la lacuna organizzativa causa del reato per cui si procede”.

Alcune considerazioni si impongono su questi due limiti all’efficacia esimente della certificazione.

In primo luogo appare evidente che la mancata corrispondenza tra il Modello attuato in concreto e quello certificato debba essere dimostrata dal pubblico ministero[2], il quale non potrà invece contestare l’adeguatezza in astratto del Modello certificato.

Come è noto, in molteplici occasioni – nell’ambito di incidenti cautelari e in sede di esame dei c.d. Modelli adottati ex post - la valutazione giudiziale si è arrestata proprio dinanzi alla valutazione formale del modello e della sua idoneità in astratto[3].

Tanto che chi scrive non esita a definire l’idoneità in astratto, almeno allo stato, il vero parametro di riferimento della causa di esclusione della responsabilità ex art 6[4].

Il futuribile “sistema 231” si fonderebbe su due binari (ferma restando la facoltatività dell’adozione del Modello e la facoltatività della relativa certificazione):

1. Nell’ipotesi di Modello non certificato, per affermare la responsabilità dell’ente il pubblico ministero dovrà dimostrare che il Modello non è idoneo o che, pur essendo in ipotesi idoneo, non è concretamente attuato;

2. nell’ipotesi di Modello certificato, si presumerebbe iuris et de iure l’idoneità dello stesso; per affermare la responsabilità dell’ente il pubblico ministero dovrà dimostrare che tale Modello non è stato effettivamente attuato.

La corrispondenza tra il Modello attuato e quello certificato non è l’unica condicio sine qua non dell’esimente.

Si è visto infatti che il nuovo art 7-bis aggiunge: “e non siano sopravvenute significative violazioni delle prescrizioni che abbiano reso manifesta la lacuna organizzativa causa del reato per cui si procede”.

Pertanto, se non si erra[5], l’esimente verrebbe meno anche se il Modello certificato sia stato attuato in concreto ma siano emerse – evidentemente in data successiva a quella della certificazione – violazioni dello stesso Modello che portino alla luce una lacuna organizzativa causalmente legata al reato de quo.

In questa ipotesi a venire meno sarebbe l’efficace attuazione del Modello organizzativo; non v’è poi chi non veda che tale lacuna ravvisata ex post potrebbe anche imputarsi alla responsabilità professionale del certificatore.

In ogni caso anche la rilevanza causale della lacuna organizzativa sopravvenuta deve essere provata dal pubblico ministero.

Sul significato processuale delle sopravvenute significative violazioni del Modello si concentrerà, verosimilmente, il contraddittorio tra Accusa e Difesa dell’ente: la prima dovrà evidenziarne la natura di sintomi incontestabili di lacune organizzative causalmente legate al reato contestato; la seconda dovrà proporne una ricostruzione in termini di elusione fraudolenta del Modello da parte di persone fisiche, al fine di ottenere l’esenzione da responsabilità.

2. Certificazione e sanzioni interdittive cautelari

Un accenno critico merita poi l’esclusione delle sanzioni interdittive cautelari prevista dal comma 3 dell’art 7-bis:

Nel caso di modello certificato non si applicano, a titolo di misura cautelare, le sanzioni interdittive di cui all’articolo 9, comma 2, salvo che non ricorrano esigenze cautelari di eccezionale rilevanza.

Proprio perché la certificazione riguarderebbe l’idoneità in astratto del Modello, non appare condivisibile l’esclusione dell’applicazione cautelare delle sanzioni interdittive.

Ad avviso di chi scrive una prognosi di non pericolosità dell’ente può scaturire solo da una verifica dell’effettiva attuazione del Modello organizzativo[6], non potendo invece costituire una conseguenza automatica della certificazione medesima.

Inoltre una disposizione di questo tenore andrebbe ad introdurre una irragionevole disparità di trattamento tra una società munita di un Modello non certificato e un’altra che invece ha ottenuto la certificazione.

La prima infatti, per evitare la misura cautelare[7], dovrebbe contestare il pericolo che vengano commessi illeciti della stessa indole di quello per cui si procede, attivandosi con condotte di collaborazione che evidenzino la sua diligenza organizzativa e gestionale.

La seconda invece, potrebbe andare esente da misure cautelari semplicemente esibendo una certificazione di idoneità del modello, che, come detto, nulla ha a che fare con la sua effettiva attuazione.

3. Gli standard della certificazione

Ulteriore questione attiene al possibile standard di riferimento della certificazione del Modello.

Esistono, come è noto, standard settoriali in ambito ISO: si pensi alla gestione della qualità, dell’ambiente, alla corporate social responsibility, al risk management, alla sicurezza delle informazioni.

Sarà quindi cruciale il successivo regolamento del Ministero della Giustizia, il quale dovrà definire i seguenti aspetti (forse troppi):

- i criteri generali per la certificazione di idoneità del modello;

- le modalità di rilascio della certificazione;

- l’efficacia a questa attribuita (ma sarebbe già stabilita ex lege, ndr);

- la periodicità del rinnovo.

Il regolamento dovrà tenere conto delle linee-guida di categoria.

Una soluzione parzialmente differente potrebbe essere quella di redigere le linee-guida di categoria “in forma ISO”[8] e prevedere, di conseguenza, una certificazione 231 “settoriale”[9].

4. La certificazione parziale

Secondo lo schema di d.d.l. possono essere certificate anche singole procedure (evidentemente quelle che presidiano le attività considerate maggiormente rischiose), anche nel corso del processo di adozione del modello.

In quest’ultima ipotesi la certificazione avrebbe un’efficacia (esimente) ad tempus, per il tempo strettamente necessario all’”impianto” del modello: sarebbe forse più corretto scrivere “fino alla certificazione definitiva”.

Nulla si dice però sulla prima ipotesi, vale a dire sull’efficacia della certificazione di singole procedure di un modello già esistente.

Come è noto, una parziale anticipazione di questo sistema è contenuta nell’art 30 d.lg. 81/2008[10].

La disposizione concernente la certificazione delle procedure medio tempore consentirebbe di ottenere l’esclusione di responsabilità nelle ipotesi in cui il reato venga commesso mentre la società si sta dotando di un Modello organizzativo[11] e limitatamente alle ipotesi in cui si tratti di reato specificamente fronteggiato dalle procedure in questione.

5. I certificatori

Il regolamento del Ministero dovrà poi individuare:

- I soggetti pubblici o privati che possono rilasciare la certificazione di idoneità;

- le relative caratteristiche soggettive e i requisiti patrimoniali, di indipendenza e di professionalità degli stessi.

Il regolamento istituirà un elenco dei soggetti abilitati alla certificazione, i quali saranno sottoposti alla vigilanza del Ministero stesso.

Si precisa (art 2) che il certificatore – anche se soggetto pubblico - esercita comunque funzioni private, sotto il controllo della pubblica autorità.

Pertanto, non rivestendo qualifiche pubblicistiche[12], non sarebbe tra l’altro tenuto all’obbligo di denuncia di reati all’Autorità giudiziaria (con correlativa responsabilità penale in caso di omissione)[13].

Sulla natura privata della funzione di certificazione del Modello preventivo è lecito nutrire qualche perplessità.

Va ricordato, ad esempio, che l’art. 30 comma 1, del d.l. n. 112 del 2008, dispone che “per le imprese soggette a certificazione ambientale o di qualità rilasciata da un soggetto certificatore accreditato in conformità a norme tecniche europee ed internazionali, i controlli periodici svolti dagli enti certificatori sostituiscono i controlli amministrativi o le ulteriori attività amministrative di verifica, anche ai fini dell’eventuale rinnovo o aggiornamento delle autorizzazioni per l’esercizio dell’attività”.

Qualche analogia può pure scorgersi con la ritenuta qualifica di pubblico ufficiale (con conseguenti responsabilità) dell’avvocato che autentica la firma del cliente sul mandato; o, ancora, del difensore che documenta le indagini difensive[14].

Inoltre, sotto un profilo di teoria generale, si andrebbe a consentire che un’attestazione privata (la certificazione del Modello) vincoli l’accertamento del giudice, determinando una limitazione dello ius puniendi dello Stato.

In altri termini: la certificazione del Modello potrebbe avere una proiezione processuale di tipo probatorio, in questo modo partecipando, a latere societatis, alla funzione giurisdizionale, limitando il potere decisorio del giudice.

Il sistema sarebbe comunque presidiato da sanzioni penali a carico del certificatore.

La falsa attestazione di idoneità del Modello da parte del certificatore è punita con la reclusione da sei mesi a tre anni: trattasi di reato di danno, in quanto deve sussistere l’effettivo conseguimento di un ingiusto profitto[15].

Se non c’è il conseguimento del profitto, la falsa attestazione sui presupposti di idoneità del Modello, anche a titolo di colpa grave, è punita con la sospensione fino a due anni o con l’interdizione dell’attività di certificazione.

6. Uno spunto di diritto comparato

Qualche tempo fa la statunitense Ethics and Compliance Officer Association aveva promosso un’iniziativa volta allo sviluppo di linee-guida standard internazionali per un sistema di gestione dell’etica societaria, attraverso le normative ISO[16].

L’obiettivo di questo standard sarebbe stato quello di rendere maggiormente effettivi i programmi di gestione della condotta negli affari al fine di migliorare i risultati dell’attività: lo standard avrebbe dovuto essere un mezzo, adatto a società di ogni grandezza, di ogni settore di attività e di ogni Stato, per integrare valori etici nelle operazioni.

Avrebbe dovuto pure permettere alle società di misurare l’effettività dei loro programmi[17].

L’esistenza di questo standard permetterebbe alle società di scegliere un metodo per dimostrare all’esterno la conformità ad esso dei propri programmi[18]. Le opzioni in tal senso sono almeno tre:

1. L’autocertificazione di conformità allo standard;

2. l’inserimento del riferimento allo standard ISO nel contratto;

3. la certificazione esterna da parte di un ente indipendente e specializzato. La società potrebbe utilizzare la certificazione nei rapporti commerciali per asseverarsi quale organizzazione etica e responsabile in cui riporre fiducia.

Lo standard dovrebbe prendere in considerazione le seguenti componenti:

- coinvolgimento del management;

- preposizione di soggetto di vertice come ethics/compliance officer;

- adozione di codici etici e di condotta;

- formazione sulle policies, sulle procedure, e sulla normativa applicabile;

- comunicazione completa e diffusa su tutti gli aspetti del programma;

- adozione di “help lines” aziendali;

- valutazione del rischio;

- monitoraggio e auditing;

- investigazioni in caso di denunciate condotte irregolari;

- azioni preventive e di reazione;

- misure disciplinari;

- regolare reporting al senior management e al consiglio di amministrazione;

- valutazione dell’effettività;

- diffusione delle best practices;

- continuo miglioramento.

Per la realizzazione di un simile standard potrebbe rappresentare un valido supporto la “Guida 72” dell’ISO[19], la quale, come è noto, specifica gli elementi comuni ai sistemi di gestione sviluppati in ambito ISO:

- policy aziendale (dimostrazione del coinvolgimento dell’Alta direzione e principi di condotta);

- pianificazione (identificazione dei bisogni, degli obiettivi; chiarificazione della struttura organizzativa; responsabilità interne);

- implementazione (misure di controllo; documentazione, comunicazione, coinvolgimento e formazione del personale);

- valutazione dell’efficacia (monitoraggio, gestione delle non conformità, audit);

- miglioramento continuo (azioni correttive e preventive);

- revisione da parte del management.

[1] in peius ovviamente.

[2] in conformità all’ipotizzata eliminazione dell’inversione dell’onus probandi ex art 6.

[3] Basti pensare ai leading cases FINSPA (GIP Tribunale Roma, 4 aprile 2003), I.V.R.I. (GIP Tribunale Milano, 20 settembre 2004) e Impregilo (GIP Tribunale Napoli, 26 giugno 2007).

[4] La stessa sentenza del GIP Tribunale Milano 17 novembre 2009, che per prima ha riconosciuto l’esimente ex art 6, non si è affatto soffermata sui profili concernenti l’effettiva attuazione del Modello e dell’effettiva vigilanza dell’Organismo a ciò preposto..

[5] Ed evidenziando la mancanza di chiarezza della disposizione

[6] O, almeno, da una verifica che il modello sia stato reso operativo (arg. ex art 12 comma 2 lett. b)

[7] O per ottenerne la sospensione e la successiva revoca ex art 49

[8] in questo senso, ad esempio, quelle dell’Associazione delle imprese di trasporto (ASSTRA) o quelle sull’attività di informazione scientifica di Farmindustria

[9] Sempre sulla base di una previsione legislativa. L’esimente legata alla conformità alle linee-guida di categoria è prevista dalla proposta di legge C 3640 (Della Vedova). Sarebbe tuttavia auspicabile una maggiore rapidità da parte delle associazioni di categoria nell’aggiornamento delle proprie linee-guida alle nuove fattispecie di reato-presupposto.

[10] Il quale contiene peraltro l’unica menzione di efficacia “esimente”, di cui non parla il d.lg. n. 231

[11] Sulla questione dell’inesigibilità dell’adozione del Modello per circostanze non imputabili all’ente, sia consentito il rinvio all’articolo dello scrivente: L’inesigibilità dell’adozione e attuazione del modello organizzativo, in www.reatisocietari.it, 18 febbraio 2009

[12] Ex artt 357 e 358 c.p.

[13] Restando escluso anche ogni profilo di falsità in atto pubblico

[14] Cass., S.U., sentenza n. 32009 del 27 giugno 2006

[15] Va rilevato che la dazione di denaro al certificatore da parte del management della società costituirebbe un caso paradigmatico di corruzione tra privati, allo stato comunque non rilevante penalmente.

[16] Un simile standard sarebbe avrebbe dovuto essere idoneo a ricomprendere le misure e le disposizioni organizzative oggi richieste in tema di “corporate social responsibility”.

[17] La tematica in esame è affrontata anche da Muskin, Interorganizational ethics: standard of behavior, reperibile sul sito

www.oecd.org/daf/nocorruptionweb, il quale propone la realizzazione di standard internazionali in materia di etica societaria, analogamente alla normativa ISO 9000 (qualità) e ISO 14000 (ambiente).

[18] Cfr. Il documento sul sito www.singerpubs.com/ethikos/html/essrig.html

[19] E la più recente Guida 73, che integra il nuovo standard ISO 31000 sul risk management