Nel sistema del D.Lgs. 231/2001, i flussi informativi verso l’Organismo di Vigilanza non sono un elemento accessorio. Sono uno dei punti in cui si misura la serietà del modello. La legge, infatti, richiede che il Modello 231 preveda obblighi di informazione nei confronti dell’organismo deputato a vigilare sul funzionamento e sull’osservanza del modello.
Il problema, nella pratica, è che spesso l’espressione “flussi informativi” viene riempita di carta ma non di contenuto. Si trasmettono documenti in quantità, si moltiplicano report standardizzati, si inviano verbali e mail in modo seriale, ma l’OdV continua a non ricevere ciò che gli serve davvero: informazioni tempestive, selezionate, leggibili e utili a capire dove si stia formando il rischio.
Il punto, allora, non è avere molti flussi. Il punto è avere flussi intelligenti.
Cosa richiede davvero il sistema 231
Il sistema 231 non chiede un archivio indistinto di documenti inviati all’OdV. Chiede qualcosa di più preciso: un organismo dotato di autonomia e poteri di iniziativa e controllo deve poter vigilare sul funzionamento del modello, sulla sua osservanza e sul suo aggiornamento. Per farlo, ha bisogno di informazioni che gli consentano di cogliere anomalie, scostamenti, criticità e cambiamenti organizzativi rilevanti.
Per questo motivo, i flussi informativi efficaci non coincidono con tutto ciò che l’azienda produce. Coincidono con ciò che permette all’OdV di comprendere:
- dove si sta concentrando il rischio;
- quali procedure non stanno funzionando;
- quali eventi impongono una verifica del modello;
- se il sistema dei controlli interni stia operando davvero o solo in apparenza.
Flussi verso l’OdV e whistleblowing: non sono la stessa cosa
Uno degli equivoci più frequenti è pensare che il whistleblowing abbia assorbito l’intero tema dei flussi informativi verso l’OdV. Non è così.
Il canale interno di segnalazione ha oggi una disciplina specifica, autonoma, che deve rispettare i requisiti del d.lgs. 24/2023. ANAC ha chiarito che il Modello 231 deve prevedere un canale interno conforme a quella disciplina, ma questo non significa che il sistema dei flussi verso l’OdV si esaurisca nelle segnalazioni whistleblowing.
La segnalazione interna è un tassello. I flussi informativi ordinari sono un’altra cosa.
Il whistleblowing serve a far emergere violazioni o sospetti di violazioni.
I flussi verso l’OdV servono, più in generale, a consentire una vigilanza reale, continua e strutturata sul modello.
Confondere i due piani è un errore. Perché un’azienda può avere un canale whistleblowing formalmente corretto e, nello stesso tempo, un sistema di flussi verso l’OdV del tutto insufficiente.
Quali flussi servono davvero
I flussi davvero utili sono quelli che aiutano l’OdV a vedere prima il problema, non a ricostruirlo dopo.
1. I cambiamenti organizzativi rilevanti
L’OdV deve essere informato quando cambiano assetti, deleghe, procure, organigrammi, processi autorizzativi, aree di business, fornitori strategici o mercati di riferimento.
Un modello 231 può apparire completo e diventare improvvisamente inadeguato se l’assetto reale dell’impresa cambia senza che l’organismo ne abbia percezione.
2. Le anomalie emerse nei controlli interni
Audit, verifiche ispettive, rilievi del collegio sindacale, non conformità, controlli di seconda linea, rilievi del revisore o della funzione compliance: tutto questo non deve arrivare all’OdV in forma dispersa, ma come informazione organizzata e leggibile.
Ciò che conta non è il numero dei documenti allegati, ma la chiarezza sul tipo di anomalia, sull’area coinvolta e sulle misure correttive avviate.
3. I procedimenti disciplinari e le violazioni delle procedure
Quando in aree sensibili emergono violazioni di procedure interne, scostamenti autorizzativi, elusioni dei controlli o contestazioni disciplinari, l’OdV deve saperlo.
Non perché ogni violazione abbia rilievo penale, ma perché spesso il rischio 231 comincia proprio da una violazione organizzativa apparentemente minore.
4. Gli eventi esterni che segnalano rischio
Ispezioni, accessi dell’autorità, contestazioni della pubblica amministrazione, accertamenti fiscali, sequestri, infortuni gravi, data breach significativi, contenziosi sensibili, rilievi in materia ambientale o di sicurezza: sono eventi che l’OdV deve conoscere in tempi rapidi.
Un flusso che arriva mesi dopo, magari in una relazione annuale, spesso non serve più a vigilare: serve solo a verbalizzare che il fatto è già accaduto.
5. Le informazioni che mostrano scostamenti sistemici
Un flusso è utile quando non fotografa solo il singolo episodio, ma fa capire se esista una criticità ricorrente:
stesse funzioni coinvolte, stesso tipo di eccezione, stessi ritardi, stesse aree senza controllo effettivo.
L’OdV non ha bisogno soltanto del fatto. Ha bisogno del pattern.
Quali flussi sono solo carta
Accanto ai flussi utili, nella prassi se ne trovano molti che hanno un valore quasi solo apparente.
1. Le trasmissioni indiscriminate di documenti
Inviare all’OdV tutti i verbali, tutte le delibere, tutte le mail o tutta la contrattualistica non significa informarlo.
Spesso significa soltanto trasferirgli una massa documentale che rende più difficile individuare ciò che conta davvero.
2. I report standardizzati privi di eventi
I report periodici che ripetono formule identiche, senza anomalie, senza scostamenti, senza indicatori di rischio e senza commento critico, hanno un’utilità molto limitata.
Sono flussi che attestano un invio, ma non costruiscono vigilanza.
3. Le autodichiarazioni generiche
Le dichiarazioni rituali del tipo “non si segnalano criticità” possono avere un senso solo se inserite in un sistema serio di responsabilizzazione delle funzioni.
Se restano isolate, rischiano di essere un adempimento difensivo più che un vero strumento di controllo.
4. I flussi tardivi
Un flusso importante che arriva quando il problema è già esploso, o quando l’ente ha già subito contestazioni, perde una parte essenziale della sua funzione.
L’informazione, per essere utile, deve essere anche tempestiva.
5. I flussi senza criteri di escalation
Se il modello non chiarisce quali eventi debbano essere comunicati immediatamente, quali periodicamente e quali solo su richiesta, il sistema si appiattisce.
Il risultato è quasi sempre uno di questi due: o l’OdV viene sommerso da informazioni inutili, o non riceve quelle decisive.
Come si costruisce un sistema di flussi che funziona
Un sistema di flussi informativi verso l’OdV funziona quando è costruito con pochi criteri chiari.
Il primo è la selezione.
Ogni funzione aziendale deve sapere non tutto ciò che può inviare, ma ciò che deve inviare.
Il secondo è la periodicità differenziata.
Non tutto ha la stessa urgenza: alcune informazioni richiedono trasmissione immediata, altre un riepilogo periodico, altre ancora un alert al verificarsi di un evento specifico.
Il terzo è la tracciabilità.
Il flusso deve lasciare traccia, indicare data, mittente, oggetto, evento segnalato e azioni conseguenti.
Il quarto è la leggibilità.
Un flusso utile non è un pacchetto di allegati. È un’informazione comprensibile, sintetica e strutturata.
Il quinto è il collegamento con l’aggiornamento del modello.
Quando i flussi mostrano criticità ricorrenti, mutamenti organizzativi o nuove esposizioni al rischio, non devono esaurirsi in una presa d’atto: devono poter attivare una riflessione sull’adeguatezza del modello.
Il vero discrimine: vigilanza o scenografia
In materia di 231, i flussi informativi sono uno dei punti in cui si riconosce subito la differenza tra un modello pensato per funzionare e un modello costruito per essere esibito.
Nel primo caso, l’OdV riceve informazioni selezionate, tempestive e rilevanti.
Nel secondo, riceve carta.
Ed è proprio qui che il tema diventa sostanziale. Perché un OdV privo di flussi veri non è messo nelle condizioni di vigilare davvero. E un modello che non alimenta una vigilanza reale rischia di restare, nel momento decisivo, soltanto formale.
Conclusione
I flussi informativi verso l’OdV non dovrebbero essere misurati in quantità, ma in capacità di far emergere il rischio.
Un buon sistema non è quello che trasmette tutto. È quello che trasmette ciò che conta, quando conta, nel modo in cui serve.
Per questo, il problema non è chiedersi se i flussi esistano.
Il problema è chiedersi se aiutino davvero l’OdV a vigilare, oppure se servano soltanto a dimostrare che qualcosa è stato inviato.
